Anatomie de la compromission interne
- Le contrôleur de domaine (DC) : La clé de voûte de toute infrastructure d'entreprise sous Windows. Sa prise de contrôle signe la perte totale du système d'information.
- Kerberoasting & AS-REP Roasting : Techniques courantes permettant d'extraire des hachages de mots de passe de comptes de service pour les casser hors-ligne.
- Modèle d'administration par niveaux (Tiering Model) : L'unique stratégie architecturale efficace pour empêcher un administrateur local compromis de donner accès aux privilèges d'administrateur de domaine.
1. De l'accès initial au statut d'administrateur de domaine : le scénario type
Dès qu'un assaillant prend pied sur une machine du réseau interne (via un poste de travail infecté ou un serveur DMZ compromis), il déploie des outils de cartographie comme BloodHound pour calculer le chemin d'attaque le plus rapide vers le groupe « Domain Admins » :
- Reconnaissance locale : Extraction des identifiants et tickets Kerberos résidant dans la mémoire du processus LSASS (via Mimikatz ou des scripts PowerShell natifs).
- Mouvement latéral : Rebond d'un poste utilisateur vers un serveur d'application en utilisant des protocoles administratifs comme WinRM, WMI ou SMB.
- Exploitation des privilèges résiduels : Découverte d'un compte de service doté de privilèges trop étendus et d'un mot de passe faible.
- DCSync : Simulation d'un contrôleur de domaine légitime pour demander la réplication complète de tous les mots de passe de l'annuaire de l'entreprise.
- Déploiement massif du ransomware : Utilisation des stratégies de groupe (GPO) pour exécuter la charge de chiffrement sur l'intégralité du parc en moins de 30 minutes.
2. Les contre-mesures techniques indispensables
| Attaque courante | Vulnérabilité sous-jacente | Correction technique recommandée |
|---|---|---|
| Kerberoasting | Comptes de service avec SPN utilisant des mots de passe faibles et statiques. | Migration vers des comptes de service administrés par groupe (gMSA) avec rotation automatique des clés de 128 caractères. |
| Pass-the-Hash / Mimikatz | Comptes administrateurs de domaine se connectant sur des postes de travail non sécurisés. | Activation de Windows Defender Credential Guard et interdiction stricte de connexion des comptes privilégiés sur les machines de niveau inférieur (Tier 1/2). |
| Abus d'ACL / GPO | Droits d'écriture excessifs sur les conteneurs d'objets Active Directory. | Audit régulier des listes de contrôle d'accès (ACL) avec outils d'analyse de chemin d'attaque et nettoyage des privilèges orphelins. |
