Stratégie de groupe et GPO : comment Active Directory est attaqué - Microsoft Platform Management - Blogs - Quest Community

Psst ! Vous voulez connaître un excellent moyen de propager un ransomware sur un réseau d’entreprise ? Compromettre la stratégie de groupe de l’organisation.

Vous voulez connaître un excellent moyen de paralyser les défenses d’une organisation contre le vol de données ? Stratégie de groupe de compromis.

En fait, vous souhaitez connaître un excellent moyen d'obtenir un contrôle total sur l'intégralité d'un domaine Active Directory ? Stratégie de groupe de compromis.

Ne vous inquiétez pas, je ne révèle aucun secret aux pirates. Ils savent déjà tout cela. En fait, ils exploitent activement cette fonctionnalité puissante d’Active Directory depuis des années pour voler des données, installer des logiciels malveillants et compromettre la sécurité informatique. Vous voulez une preuve ? Eh bien, le rapport M-Trends 2016 de FireEye décrit un attaquant tentant de distribuer un ransomware via des objets de stratégie de groupe (GPO) en 2015, et il y a tout lieu de penser que des attaques Active Directory similaires se produisaient bien avant cette date.

Vous vous sentez un peu en retard dans votre stratégie de défense ? Ne désespérez pas. Voici ce que vous devez savoir pour commencer à réduire considérablement vos risques en matière de cybersécurité.

Pourquoi les pirates ciblent la stratégie de groupe

Les pirates ciblent la stratégie de groupe pour deux raisons principales : elle est extrêmement puissante et elle est extrêmement vulnérable.

Quelle est sa puissance ?

Comme vous le savez probablement, la stratégie de groupe permet une gestion centralisée des utilisateurs et des ordinateurs dans n'importe quel environnement Microsoft Active Directory, et chaque groupe de paramètres associés est appelé un objet de stratégie de groupe. Voici quelques exemples des milliers de choses utiles que vous pouvez faire avec eux :

Verrouillez un compte après avoir saisi un certain nombre de mots de passe incorrects.
Empêchez les utilisateurs non identifiés sur des ordinateurs distants de se connecter à un partage réseau.
Offrez à tous les utilisateurs professionnels un ensemble standard de signets afin qu’ils puissent facilement joindre votre service d’assistance ou accéder à d’autres ressources importantes.
Restreindre l'accès à certains dossiers.
Installez le même logiciel sur tous vos contrôleurs de domaine (DC).
Désactivez l’invite de commande sur les machines des utilisateurs.
Assurez-vous que les mises à jour Windows sont appliquées rapidement.
Désactivez l'utilisation du protocole d'authentification NTLM v1 (qui est plus faible que Kerberos).

Il ne faut pas beaucoup d’imagination pour comprendre comment les GPO peuvent être abusés pour contourner les contrôles de sécurité et accéder à des données sensibles. Tout ce que vous avez à faire est de prendre les politiques énumérées ci-dessus et de penser à l’inverse :

Autorisez des tentatives illimitées pour deviner le mot de passe d'un compte.
Autorisez les utilisateurs non identifiés sur des ordinateurs distants à se connecter à un partage réseau.
Remplacez l'ensemble standard de signets par des liens vers des sites malveillants.
Autoriser l'accès aux dossiers contenant des données critiques.
Installez des logiciels malveillants sur tous vos contrôleurs de domaine.
Activez l’invite de commande sur les machines des utilisateurs.
Arrêtez d'appliquer les mises à jour Windows.
Activez l’utilisation du protocole d’authentification NTLM v1 plus faible.

N'importe lequel de ces changements pourrait sérieusement nuire à votre organisation et le changement se propagerait sur le réseau en quelques minutes, voire quelques secondes. Si ce n’est pas une technologie puissante, je ne sais pas ce que c’est.

Qu’est-ce qui le rend vulnérable ?

L’autre facteur qui fait de la stratégie de groupe une cible si attrayante est qu’elle est vulnérable sur plusieurs fronts. Tout d’abord, c’est un livre ouvert. La conception d'Active Directory garantit que chaque utilisateur peut voir les stratégies dont vous disposez, où elles sont appliquées et qui y a accès. De plus, les équipes informatiques utilisent généralement des noms descriptifs pour les objets dans Active Directory, ce qui simplifie l'administration mais a pour effet secondaire malheureux de fournir aux pirates informatiques des informations critiques qu'ils peuvent utiliser pour diriger et affiner leurs attaques.

De plus, malgré sa puissance, la stratégie de groupe n’est généralement pas au centre de la stratégie de sécurité d’une organisation. Cela ne figure peut-être même pas dans une note de bas de page, car il est souvent considéré comme une technologie « réglez-le et oubliez-le ». Dans le même temps, c’est souvent très complexe, avec des milliers de politiques créées pour résoudre des problèmes spécifiques au fil des ans - et de nombreuses personnes auxquelles ont été déléguées des autorisations pour créer, modifier et supprimer ces objets de stratégie de groupe. Il peut être incroyablement difficile de tout démêler, et il est risqué de supprimer des politiques et des administrateurs délégués sans recherche ni attestation appropriées. En conséquence, trop d’organisations n’essaient même pas. Cela rend leur écosystème informatique extrêmement vulnérable.

Comment fonctionnent les attaques

Maintenant que nous savons pourquoi les attaquants ciblent la stratégie de groupe, explorons comment ils parviennent à la compromettre. Malheureusement, c’est plus facile que vous ne le pensez. Tout d’abord, les pirates informatiques doivent prendre pied dans votre écosystème informatique. Malheureusement, cela ne nécessite souvent pas de compétences sophistiquées ou de techniques exotiques : une attaque par pulvérisation de mot de passe localisera probablement rapidement un compte utilisateur avec un mot de passe éternel comme « 123456 » ou « mot de passe », ou un favori tendance comme « CovidSucks2020 ! ». En fait, l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) rapporte que deux des principaux moyens par lesquels les auteurs de menaces à l'origine de récents piratages ont obtenu un premier accès aux organisations victimes étaient les tactiques de base éprouvées de devinette et de pulvérisation de mots de passe.

Une fois que les attaquants ont pris pied, ils n’ont pas besoin de beaucoup de savoir-faire technique pour comprendre vos GPO et déterminer quels comptes cibler afin d’accéder à ceux dont ils ont besoin. Ils disposent de plusieurs boutons « Facile » : BloodHound, PowerSploit et Mimikatz ne sont que trois exemples d'outils open source qui feront le gros du travail à leur place. Par exemple, BloodHound fournira rapidement aux attaquants toutes les informations dont ils ont besoin, même si votre environnement est complexe, avec de nombreuses politiques et héritages bloqués, etc. L'attaquant dit essentiellement : « Je pense que je veux accéder à ce système ; Quels GPO sont appliqués à ce système et qui sont les administrateurs de ces GPO ? » et BloodHound crachera les détails, y compris une liste exacte des comptes qu'ils doivent cibler à l'aide du spear phishing ou d'autres vecteurs d'attaque.

Une fois que l’une de ces attaques de recherche d’informations d’identification réussit, la partie est terminée. La stratégie de groupe permet d'accéder à chaque système et de le contrôler, ce qui donne aux pirates informatiques les moyens d'accomplir à peu près n'importe quelle tâche, tout en évitant d'être détectés. Ils peuvent déployer des ransomwares ou exfiltrer des données, puis déposer un petit morceau de code qui s'exécutera sur tous vos contrôleurs de domaine pour détruire toutes les preuves de leur activité en sortant.

Comment riposter

De toute évidence, si vous souhaitez renforcer la sécurité de votre Active Directory, vous avez besoin d'une gestion efficace des stratégies de groupe. Microsoft propose la Console de gestion des stratégies de groupe (GPMC), un outil gratuit qui facilite diverses tâches, ainsi qu'un ensemble d'interfaces GPMC pour un accès programmatique à de nombreuses opérations. Cependant, ces deux outils ont des limites et ne vous aident pas à éliminer le cœur du problème : tous ces comptes juteux auxquels ont été déléguées des autorisations pour modifier vos GPO - des comptes que des outils comme BloodHound ne sont que trop capables d'identifier et de servir. jusqu'aux pirates. Les organisations possèdent souvent des dizaines, voire des centaines de comptes de ce type, tous prêts à être rachetés.

Un excellent moyen de réduire considérablement votre surface d’attaque consiste à réduire au strict minimum le nombre de comptes disposant de droits d’accès GPO. Bien sûr, les autorisations des administrateurs de domaine et des administrateurs d'entreprise ne peuvent pas être supprimées, mais si vous n'aviez qu'un compte avec des droits sur vos politiques, au lieu de dizaines ou de centaines, imaginez à quel point ce serait frustrant de n'importe quel attaquant.

Une solution basée sur un proxy telle que GPOADmin vous offre cette fonctionnalité. Vous enregistrez tous vos GPO dans GPOADmin et supprimez toute la délégation native qui vous rend si vulnérable. BloodHound et d'autres outils de surveillance deviennent instantanément inutiles, puisque seuls les administrateurs de domaine, les administrateurs d'entreprise et GPOADmin lui-même ont l'autorisation de modifier vos GPO. De plus, vous pouvez vous assurer que personne, y compris les utilisateurs ayant accès à GPOADmin, ne peut apporter certaines modifications, ce qui empêche toute modification de vos paramètres les plus critiques.