Sécurisation de l’Active Directory et d’Azure AD

Trois types d’architecture existent sur le terrain : 100% Active Directory, 100% Azure Active Directory ou hybride. La tendance de fond du passage vers le cloud amène de nouveaux enjeux de sécurité.

Que l’on parle de l’AD on-premises ou d’Azure AD, le niveau de sécurité est encore largement insuffisant.

Par ailleurs, le CERT Wavestone constate sur le terrain que les infrastructures Active Directory sont encore très souvent prises pour cible par les attaquants, engendrant des incidents de sécurité majeur :

En réponse à cela et dans le contexte actuel d’explosion des attaques exploitant des défauts de configuration de l’AD, il n’est plus rare de voir le COMEX interroger le DSI ou le RSSI sur le niveau de sécurité de l’AD et de valider des enveloppes de plusieurs centaines de milliers voire millions d’euros pour mener des projets de refonte et de sécurisation.

Le nouveau modèle d’accès d’entreprise (Enterprise Access Model) a été pensé par Microsoft pour les organisations hybrides, qui ont des applications on-premises mais également multi-cloud suivant les principes de sécurité du Zero Trust. Dans ce nouveau modèle, le contrôle de la sécurité n’est plus opéré exclusivement à partir d’Active Directory, mais également depuis Azure Active Directory.

Evidemment, cela ne constitue qu’une partie de la remédiation, puisqu’il existe de nombreux autres sujets incontournables à traiter dans le plan de sécurisation.

Plus que n’importe quel autre composant du SI, la sécurité de l’AD ne peut se réduire à un programme limité dans le temps, mais doit se transformer en un processus régulier de contrôle du niveau de sécurité global. Celui-ci doit être exécuté régulièrement, et les écarts identifiés doivent se traduire par des actions correctrices à court terme et de prévention à moyen terme.

Ce plan de contrôle peut s’appuyer sur diverses sources : des scripts, des outils du marché complémentaire, le service ADS (Active Directory Security) de l’ANSSI, des vérifications manuelles (lorsqu’elles ne peuvent pas facilement être automatisées). Aussi, l’on pourra aussi s’appuyer sur des audits et des exercices de red team annuels, pour vérifier que le Tier 0 ne peut plus être compromis.

Enfin, en plus de vérifier que les sauvegardes de l’infrastructure Active Directory réussissent systématiquement, il convient, comme dans toute approche de continuité, de tester la restauration complète depuis une sauvegarde. Ces tests réguliers permettront aussi de mesurer le délai nécessaire à la restauration complète. Celui-ci pourra être communiqué aux responsables de la continuité et constituera également un indicateur que l’on cherchera à optimiser, test après test.

Sur le périmètre Cloud, on pourra commencer par Identity Security Score pour se piloter, afin d’identifier de premiers quick wins à mettre en œuvre. Au-delà de cet indicateur, des actions complémentaires doivent être menées sur tous les pans. Pour aller plus loin que cet indicateur, d’autres actions doivent impérativement être réalisées sur :
• Les administrateurs, utilisateurs internes et utilisateurs invités, en identifiant leurs droits et leur méthodes d’authentification (e.g. authentification multi facteurs).
• Les applications et accès conditionnels, en gérant les propriétaires et les secrets, ainsi qu’en mettant en œuvre des politiques d’accès.
• Les appareils, en imposant la conformité de ceux-ci par rapport à un standard défini et accepté.

Au-delà de sécurisation son environnement AD/Azure AD, il est nécessaire d’anticiper une éventuelle reconstruction d’un Active Directory pour mieux anticiper la crise. Deux méthodes de reconstruction AD peuvent être mises en œuvre à la suite d’une compromission :

• Une reconstruction à partir de zéro des contrôleurs de domaine et de l’annuaire ;
• Une reconstruction des contrôleurs de domaine mais avec réplication de l’annuaire existant.

La reconstruction d’un SI à la suite d’une cyberattaque est un sprint nécessitant la mobilisation de tous. Le risque est cependant de penser que la course s’arrête là. Dans ce cas, il n’est pas rare de subir une nouvelle attaque quelques mois ou années après.

La gestion de la crise doit être vue comme la première partie de la course permettant à l’entreprise de passer un cap en termes de maturité sécurité. Il est alors nécessaire de définir un programme de transformation du SI pour traiter la dette et bien souvent changer de modèle de sécurité pour le réaligner avec les besoins du métier: un vrai marathon !

Ce livre blanc « Sécurisation de l’Active Directory et d’Azure AD, enjeux et trajectoires de transformation » revient donc sur les différentes tendances à l’œuvre, et fournit un ensemble des bonnes pratiques à adopter.