Fondamentaux d’AD

Active Directory (AD) est le service d’annuaire de Microsoft destiné à gérer les utilisateurs, les ordinateurs et les ressources d’un réseau Windows. Il fournit une authentification et une autorisation centralisées.

Presque toutes les entreprises utilisent AD, ce qui en fait une cible privilégiée. Compromettre AD signifie souvent compromettre toute l’organisation.

Un domaine est la principale limite administrative dans AD. Il regroupe des objets (utilisateurs, groupes, ordinateurs) au sein d’une base de données et d’une stratégie de sécurité communes.

Chaque domaine possède un nom tel que corp.example.com. Toute l’authentification au sein du domaine est gérée par les contrôleurs de domaine.

Un contrôleur de domaine (DC) est un serveur qui exécute les services de domaine AD. Il stocke la base de données de l’annuaire, authentifie les connexions et applique les stratégies.

La base de données de l’annuaire se trouve dans le fichier NTDS.dit. Le vol de ce fichier (avec la clé d’amorçage) permet à un attaquant d’extraire tous les condensats de mots de passe du domaine.

Un arbre est constitué d’un ou plusieurs domaines partageant un espace de noms contigu. Une forêt est le conteneur de niveau supérieur qui contient un ou plusieurs arbres.

La forêt constitue la véritable limite de sécurité dans AD. Au sein d’une forêt, les domaines peuvent être atteints grâce aux relations d’approbation.

Une relation d’approbation permet aux utilisateurs d’un domaine d’accéder aux ressources d’un autre. Les relations d’approbation peuvent être :

• À sens unique ou à double sens : définit la direction de l’accès.
• Transitives ou non transitives : indique si l’approbation s’étend à d’autres domaines.

Des relations d’approbation mal configurées permettent aux attaquants de pivoter entre les domaines et les forêts.

Les unités d’organisation (UO) sont des conteneurs utilisés pour organiser les objets et déléguer l’administration.

Les objets de stratégie de groupe (GPO) appliquent des paramètres de configuration et de sécurité aux UO, aux domaines ou aux sites. Les attaquants capables de modifier une GPO peuvent diffuser des paramètres ou des scripts malveillants sur de nombreuses machines simultanément.

AD utilise Kerberos comme protocole d’authentification principal. Au lieu d’envoyer des mots de passe, les clients échangent des tickets délivrés par le Centre de distribution de clés (KDC) exécuté sur le contrôleur de domaine.

Un utilisateur obtient d’abord un Ticket Granting Ticket (TGT), puis l’utilise pour demander des tickets de service. De nombreuses attaques contre AD abusent de ce système de tickets.

AD expose son annuaire via LDAP (protocole léger d’accès à l’annuaire). Les utilisateurs authentifiés peuvent interroger d’immenses quantités d’informations : utilisateurs, groupes, ordinateurs et leurs attributs.

C’est pourquoi même un compte de domaine peu privilégié a de la valeur. Il peut énumérer l’ensemble de l’annuaire pour trouver des chemins vers des privilèges supérieurs.

Certains groupes constituent les joyaux de la couronne de tout domaine :

• Domain Admins : contrôle total du domaine.
• Enterprise Admins : contrôle de l’ensemble de la forêt.
• Schema Admins : peuvent modifier le schéma AD.

L’élévation de privilèges dans AD consiste généralement à trouver un chemin vers l’un de ces groupes.

Un nom principal de service (SPN) identifie de manière unique une instance de service liée à un compte. Kerberos utilise les SPN pour délivrer des tickets de service.

Les comptes possédant des SPN sont des cibles intéressantes, car leurs tickets de service peuvent être demandés puis cassés hors ligne, selon une technique appelée Kerberoasting que vous étudierez ensuite.

AD centralise l’identité de toute l’organisation ; un seul point d’appui peut donc entraîner une prise de contrôle totale. Les attaquants enchaînent un accès peu privilégié, l’énumération et le vol d’identifiants pour atteindre Domain Admin.

Comprendre la structure (domaines, relations d’approbation, Kerberos, LDAP, groupes privilégiés) permet de repérer ces chemins avant un adversaire.

Vous connaissez maintenant les éléments fondamentaux d’Active Directory :

• Les domaines regroupent les objets ; les contrôleurs de domaine authentifient les utilisateurs et stockent la base de données NTDS.dit.
• Les forêts constituent la limite de sécurité ; les relations d’approbation permettent l’accès entre domaines.
• Kerberos et LDAP assurent l’authentification et l’énumération.
• Domain Admins et les SPN sont des cibles de grande valeur.

Ensuite, vous attaquerez directement Kerberos avec Kerberoasting.