Active Directory - Sécuriser les services de domaine

Objectif : Comprendre le fonctionnement interne des protocoles d'authentification AD et les mécanismes des cyberattaques.

• Rappels d'architecture : Forêt, Domaine, Unités d'Organisation, Relations de confiance et NTDS.dit.
• Fonctionnement détaillé des protocoles d'authentification : Kerberos (TGT, TGS, tickets) vs NTLM (NetNTLMv1/v2).
• Cartographie des attaques modernes ciblant l'AD : Pass-the-Hash, Pass-the-Ticket, Kerberoasting, AS-REPRoasting et Golden Ticket.

Atelier pratique : Analyse des billets Kerberos sous Wireshark et identification des échanges de tickets d'authentification.

Cas métier : Autopsie de l'infection d'une entreprise par un ransomware- Analyse de la compromission du compte de domaine.

Compétence acquise : Diagnostiquer les faiblesses d'architecture d'un annuaire Active Directory.

Livrable : La cartographie des protocoles d'authentification AD.

Objectif : Utiliser les outils d'audit d'élite pour cartographier les vulnérabilités et les chemins d'accès de l'annuaire.

• Audit automatisé de la maturité AD avec PingCastle : interprétation du score de risque et des indicateurs de santé.
• Cartographie des chemins d'attaque avec BloodHound et SharpHound : requêtes Cypher, analyse des ACLs complexes et des droits délégués.
• Identification des comptes à privilèges cachés, des sessions d'administration résiduelles et des objets orphelins.

Atelier pratique : Exécution de PingCastle et BloodHound sur le domaine de laboratoire et identification du chemin d'attaque vers l'Admin du Domaine.

Cas métier : Audit de sécurité préalable à une acquisition d'entreprise- Analyse des failles AD de la société cible.

Compétence acquise : Auditer un domaine Active Directory et détecter les chemins d'élévation de privilèges.

Livrable : Le rapport d'audit de santé Active Directory et le schéma des chemins d'attaque.

Objectif : Implémenter la séparation stricte des niveaux d'administration pour protéger le cœur de domaine.

• Le modèle à 3 tiers recommandé par l'ANSSI et Microsoft : Tier-0 (Cœur de domaine), Tier-1 (Serveurs d'application), Tier-2 (Postes de travail).
• Règles d'isolation étanches : interdiction absolue de connexion d'un compte de Tier supérieur sur un équipement de Tier inférieur.
• Déploiement de postes d'administration dédiés (PAW -Privileged Access Workstations) et de bastions.

Atelier pratique : Découpage de l'Active Directory en Unités d'Organisation Tiers et application des GPO de restriction de connexion.

Cas métier : Mise en conformité ANSSI de l'infrastructure d'un opérateur d'importance vitale (OIV)- Déploiement du Tiering Model.

Compétence acquise : Déployer le modèle d'administration en tiers ANSSI pour isoler les contrôleurs de domaine.

Livrable : La structure d'UO en Tiers et les GPO de restriction d'ouverture de session.

Objectif : Éliminer les mots de passe statiques des comptes de services et contrer les attaques Kerberoasting.

• Problématique des comptes de services classiques : mots de passe faibles, jamais changés, privilèges excessifs.
• Déploiement des comptes de services gérés par le domaine (gMSA - GroupManaged ServiceAccounts) avec rotation automatique des mots de passe.
• Protection contre le Kerberoasting et l'AS-REPRoasting : chiffrement AES-256 obligatoire, complexification des SPN et désactivation de la pré-authentification Kerberos.

Atelier pratique : Migration d'un compte de service applicatif classique vers un compte gMSA sécurisé sans interruption de service.

Cas métier : Sécurisation des services SQL Server et IIS- Remplacement des comptes de domaine par des gMSA.

Compétence acquise : Déployer des comptes gMSA et sécuriser les protocoles d'authentification Kerberos.

Livrable : La politique de gestion des comptes de services et le script de création gMSA.

Objectif : Appliquer les stratégies de groupe (GPO) de durcissement et nettoyer les groupes d'administration.

• Durcissement des contrôleurs de domaine via les GPO de sécurité (ANSSI / CIS Benchmarks).
• Nettoyage et restriction des groupes sensibles : Administrateurs du domaine, Enterprise Admins, Schema Admins, Operateurs de compte.
• Protection contre les attaques DCSync : audit et restriction des droits de réplication (DS-Replication-Get-Changes).

Atelier pratique : Application du pack de GPO de durcissement ANSSI et restriction des droits de réplication du domaine.

Cas métier : Verrouillage d'un annuaire à la suite de la tentative d'extraction du fichier NTDS.dit - Sécurisation des droits DCSync.

Compétence acquise : Durcir la configuration des contrôleurs de domaine et verrouiller les droits sensibles.

Livrable : Le pack de GPO de durcissement d'annuaire d'entreprise.

Objectif : Configurer la surveillance des événements de sécurité AD et maîtriser la procédure de restauration d'urgence.

• Journalisation avancée des contrôleurs de domaine : événements clés d'audit (Id 4624, 4672, 4768, 4769, 4771, 5136).
• Détection des attaques en temps réel : détection de l'utilisation de Mimikatz, de la création de comptes suspects et des modifications d'ACL.
• Procédure de réinitialisation d'urgence du mot de passe du comptekrbtgt (Double réinitialisation pour invalider les Golden Tickets).

Atelier pratique : Simulation d'une attaque Golden Ticket, détection dans les journaux d'événements et exécution du script de réinitialisation du krbtgt.

Cas métier : Reprise après sinistre cyber (DisasterRecovery)- Procédure de décontamination et réinitialisation du comptekrbtgt.

Compétence acquise : Superviser la sécurité d'un domaine AD et exécuter la procédure de secours du comptekrbtgt.

Livrable : Le plan de réponse à incident Active Directory et la procédure de réinitialisation du krbtgt.