Que sont les groupes de sécurité Active Directory ? Meilleures pratiques pour utiliser les groupes de sécurité

98 % des menaces de sécurité commencent par Active Directory. Active Directory détient littéralement les clés de votre royaume. Si les bons principes de sécurité ne sont pas mis en place et que vous accordez des autorisations excessives à vos utilisateurs, vous vous exposez à des menaces de sécurité potentielles.

Dans Active Directory, il existe de nombreux protocoles de sécurité parmi lesquels choisir pour mettre en œuvre une politique de moindre privilège dans laquelle vous n'accordez un accès administratif qu'à ceux qui en ont réellement besoin.

Dans ce blog, nous verrons exactement ce que sont les groupes de sécurité dans Active Directory, la différence entre les groupes de distribution et les groupes de sécurité, à quoi peuvent servir les groupes de sécurité, comment créer des groupes de sécurité et les meilleures pratiques pour les utiliser.

Que sont les groupes Active Directory ?

Active Directory, en général, est un programme qui trie les utilisateurs en différents groupes. Il s'agit d'une plate-forme centralisée que la plupart des entreprises utilisent pour gérer leurs comptes informatiques et accorder l'accès aux données sensibles.

Un groupe Active Directory est un groupe d'utilisateurs qui ont accès à certaines ressources. Il existe deux manières d'accorder ce type d'accès aux groupes : via un identifiant global unique (GUID) ou un identifiant de sécurité (SID).

Les SID sont principalement utilisés lorsque l'accès doit être accordé à des utilisateurs spécifiques, tandis que les GUID sont utilisés lors du regroupement d'utilisateurs qui ont tous besoin d'accéder aux mêmes ressources.

Les groupes peuvent être créés en fonction d'utilisateurs individuels qui ont tous besoin d'accéder à certaines ressources, ou ils peuvent être créés en fonction de groupes globaux (tels qu'un service) ou de membres d'un certain domaine.

Types de groupes Active Directory

Les groupes Active Directory sont divisés en deux catégorisations : les Groupes de sécurité Active Directory et les Groupes de distribution Active Directory.

Le type réel de groupe dont vous avez besoin dépendra de la fonction requise du groupe. Les groupes de distribution sont plus simples dans la mesure où ils seraient utilisés si seules des notifications unidirectionnelles sont requises de la part du contrôleur central. Les groupes de sécurité sont plus complexes et sont appliqués lorsque vous souhaitez permettre aux utilisateurs d'accéder aux données et de les modifier.

Les équipes de sécurité doivent accorder beaucoup plus d'attention aux groupes de sécurité pour garantir que les autorisations ne deviennent pas incontrôlables et que les risques pour la sécurité de vos données sont atténués.

Pourquoi devriez-vous utiliser les groupes de sécurité Active Directory ?

Les groupes de sécurité sont essentiels lorsqu'il s'agit de maintenir des droits d'accès appropriés à vos données les plus sensibles. La possibilité de regrouper les utilisateurs dans des pots pour attribuer des niveaux d'autorisations est extrêmement utile pour maintenir une politique de moindre privilège.

Par exemple, vous pouvez utiliser des groupes de sécurité Active Directory pour attribuer des autorisations de haut niveau aux membres du conseil d'administration afin qu'ils puissent soumettre des informations financières et des KPI à leurs collègues. Vous pouvez également utiliser des groupes de sécurité pour attribuer des autorisations de niveau inférieur aux nouveaux membres.

Les groupes de sécurité Active Directory peuvent également être modifiés via le portail AD, où les utilisateurs peuvent être déplacés ou complètement supprimés.

Comment créer un groupe de sécurité dans Active Directory

Les étapes suivantes s'appliquent à Windows 10 et à Windows Server 2016. Veuillez noter que vous devrez être membre du groupe Administrateurs de domaine ou disposer des autorisations appropriées déjà appliquées pour pouvoir créer vous-même de nouveaux groupes.

Ouvrez la console Utilisateurs et ordinateurs Active Directory.
Sélectionnez le conteneur dans lequel vous souhaitez stocker votre groupe (« Utilisateurs », par exemple).
Cliquez sur « Action » - « Nouveau » - « Groupe »
Nommez votre groupe à l'aide de la zone de texte Nom du groupe et saisissez une description.
En fonction de votre infrastructure forestière Active Directory, choisissez la portée de groupe appropriée : Globale ou Universelle.
Cliquez sur « Sécurité » comme type de groupe, puis cliquez sur « Ok » pour créer votre groupe de sécurité.

Meilleures pratiques pour utiliser les groupes de sécurité Active Directory

Vous trouverez ci-dessous quelques-unes des meilleures pratiques clés pour utiliser les groupes de sécurité AD :

1. Assurez-vous que les groupes de sécurité par défaut n'ont pas d'autorisations élevées

Chaque fois qu'un domaine Active Directory est configuré, un groupe de sécurité par défaut est configuré. Parfois, ces groupes de sécurité par défaut disposent d'autorisations excessives qui peuvent permettre aux utilisateurs d'accéder à des ressources et à des données dont ils n'ont pas besoin.

Assurez-vous que vos utilisateurs ont uniquement accès aux données et aux ressources dont ils ont besoin pour faire leur travail et rien de plus. Si un accès administrateur de domaine est requis, il doit être fourni de manière temporaire en cas de besoin.

Le compte Administrateur de domaine n'est généralement requis que pour la configuration du domaine et en cas d'urgence, telle que la reprise après sinistre. Le compte ne doit pas vraiment être utilisé à d’autres fins et les informations d’identification de ce compte doivent être stockées en toute sécurité.

Une méthode d'attaque courante pour Active Directory consiste à tirer parti du mot de passe du compte d'administrateur local. Le compte Administrateur local est souvent configuré avec le même mot de passe sur tous les domaines et le même SID sur toutes les installations.

2. Maintenir un Active Directory à jour

Tous les logiciels de votre système doivent être à jour pour garantir que les vulnérabilités connues ont été corrigées. Les attaquants profitent souvent de ces vulnérabilités connues, c'est pourquoi l'application régulière de correctifs peut contribuer à minimiser ce risque.

3. Maintenir une politique du moindre privilège

Comme nous l'avons évoqué précédemment, vous devez vous assurer que vos utilisateurs n'ont accès qu'aux données et aux ressources dont ils ont besoin pour faire leur travail. C’est ce qu’on appelle une politique du moindre privilège. Vous devez agir comme si tous vos utilisateurs étaient des menaces internes potentielles. Si tout le monde dispose de privilèges élevés et que vous subissez une violation de données, il peut être incroyablement difficile d’enquêter sur la source.

Les menaces internes sont notoirement difficiles à identifier et à éliminer dans les meilleurs délais. Ne vous compliquez pas la tâche en créant des utilisateurs avec des autorisations excessives.

4. Assurez-vous que les mots de passe sont forts et régulièrement renouvelés<

C’est un point simple, mais il vaut la peine d’être souligné. Vos mots de passe pour votre Active Directory doivent être les mots de passe les plus stricts que vous puissiez proposer. Les meilleures pratiques suggèrent d’utiliser des phrases secrètes composées de trois ou quatre mots aléatoires différents. Les phrases secrètes sont beaucoup plus difficiles à deviner pour les attaquants que les mots de passe complexes.

Dans la mesure du possible, une authentification à deux facteurs doit être utilisée et les comptes doivent être verrouillés si des mots de passe incorrects sont saisis plus de deux ou trois fois.

5. Auditer les modifications apportées aux groupes de sécurité Active Directory

Avoir une stratégie d'audit proactive et continue pour vos groupes de sécurité Active Directory est probablement le meilleur moyen de prévenir les menaces de sécurité. La plupart des menaces de sécurité provenant d'Active Directory auraient pu être évitées grâce à une meilleure visibilité sur les modifications apportées.

Comment améliorer la sécurité de vos groupes de sécurité Active Directory

De nombreuses entreprises doivent composer avec des nouveaux arrivants, des sortants et des personnes qui déménagent au sein de leur environnement. À mesure que les utilisateurs changent de rôle, quittent l’entreprise ou démarrent un nouveau rôle, leurs autorisations requises seront différentes.

Malheureusement, de nombreuses entreprises ne communiquent pas suffisamment efficacement avec les équipes informatiques et de sécurité pour garantir que les autorisations et les membres des groupes de sécurité sont correctement conservés. Dans le pire des cas, cela pourrait potentiellement conduire des menaces internes à mettre la main sur vos données les plus sensibles.

L'Auditeur Lepide Active Directory vous donnera la possibilité de générer instantanément une liste des utilisateurs qui ont été considérés comme détenant des « autorisations excessives », ou de générer des alertes en temps réel lorsque les autorisations sont modifiées, afin que vous puissiez prendre les mesures nécessaires pour maintenir votre politique du moindre privilège.

Pour voir la solution en action, planifiez une démonstration avec l'un de nos ingénieurs dès aujourd'hui ou téléchargez un essai gratuit.