Audit des modifications d'Active Directory et annulation

L'audit d'Active Directory est le processus de surveillance d'AD pour détecter les vulnérabilités et les erreurs courantes de configuration et de gestion qui peuvent ouvrir la porte à des compromissions de la sécurité. De nombreuses organisations disposent d'environnements AD hérités, avec des dizaines ou des centaines de configurations erronées qui se sont accumulées au fil du temps. En raison de ressources limitées et d'un manque de compétences AD au sein du personnel, l'audit continu d'AD et d'Azure AD pour détecter les failles de sécurité est souvent négligé. Les cybercriminels savent que de nombreuses failles de sécurité AD ne sont pas comblées, ce qui fait d'AD la première cible des cyberattaques. Les chercheurs de Mandiant rapportent que 9 attaques sur 10 impliquent AD d'une manière ou d'une autre. Pour comprendre les vulnérabilités de sécurité AD dans votre organisation, téléchargez Purple Knight, un outil gratuit d'évaluation de la sécurité AD qui analyse l'environnement AD pour des centaines d'indicateurs d'exposition (IOE) et d'indicateurs de compromis (IOC), fournit un score de sécurité global et des conseils de remédiation hiérarchisés de la part d'experts en sécurité AD.

L'audit des modifications apportées aux stratégies de groupe est un élément essentiel du renforcement de la sécurité d'Active Directory. Il s'agit d'une tâche difficile, car les solutions traditionnelles de surveillance basées sur les événements n'incluent généralement pas les détails des modifications apportées aux stratégies de groupe. À titre d'exemple, si un attaquant effectue une modification malveillante avec le ransomware Ryuk ransomware, le seul signal sera qu' un compte ayant accès à la stratégie de groupe a effectué une modification, ce qui ne déclenchera probablement pas d'alerte. Pour détecter les modifications malveillantes apportées à la stratégie de groupe, vous avez besoin d'une solution qui utilise plusieurs sources de données, y compris le flux de réplication AD, pour obtenir un contexte supplémentaire qui indiquera une attaque potentielle en cours. Pour mieux comprendre les failles de sécurité de votre système AD liées aux erreurs de configuration des stratégies de groupe, téléchargez Purple Knight, un outil gratuit d'évaluation de la sécurité AD qui analyse l'environnement AD à la recherche de centaines d'indicateurs d'exposition (IOE) et d'Indicators of Compromise (IOC). Purple Knight recherche plusieurs erreurs de configuration des stratégies de groupe, notamment les changements d'exécutables SYSVOL, la délégation de la liaison des GPO au niveau du site AD et les mots de passe réversibles trouvés dans les objets de stratégie de groupe.

Pour suivre les changements dans Active Directory, vous devez surveiller en permanence les indicateurs d'exposition (IOE) et les indicateurs de compromis (IOC) dans l'environnement AD liés à la sécurité des comptes Active Directory, à la délégation AD, à la stratégie de groupe, à Kerberos, à la sécurité Azure AD et à la sécurité de l'infrastructure AD. Les groupes de ransomware développent constamment de nouvelles méthodes pour compromettre AD, qui est la principale source d'identité pour 90 % des organisations dans le monde. Avec un accès privilégié à AD, les cybercriminels peuvent accéder à l'ensemble du réseau et paralyser les activités de l'entreprise. Pour une évaluation ponctuelle des lacunes de sécurité d'AD, téléchargez Purple Knight, un outil gratuit d'évaluation de la sécurité d'AD qui scanne l'environnement AD à la recherche de centaines d'indicateurs d'exposition (IOE) et d'indicateurs de compromis (IOC), fournit un score de sécurité global et des conseils de remédiation hiérarchisés de la part d'experts en sécurité d'AD. Pour suivre en permanence les changements dans AD et Azure AD, consultez Directory Services Protector.Pour suivre en permanence les modifications apportées à AD et Azure AD, il est possible d'utiliser la solution de détection et de surveillance des menaces AD, qui suit les modifications apportées à AD et Azure AD et permet de revenir automatiquement en arrière en cas de modifications AD malveillantes.

Vous pouvez utiliser l'outil gratuit d'évaluation de la sécurité AD Purple Knight pour rechercher dans votre environnement Azure AD divers IOE et IOC, notamment des comptes d'invités inactifs, des politiques d'accès conditionnel mal configurées et des utilisateurs privilégiés Azure AD qui sont également des utilisateurs privilégiés dans AD sur site, ce qui peut compromettre les deux environnements. Vous pouvez utiliser Directory Services Protector pour suivre les modifications apportées à Azure AD en temps réel. Pour plus d'informations, consultez «5 nouvelles façons de sécuriser AD et Azure AD ».

DCShadow est l'un des rares types d'attaques qui ne laissent aucune preuve d'activité Il est donc difficile de les détecter à l'aide des systèmes traditionnels basés sur les événements ou les journaux. Cette technique d'attaque contourne la journalisation traditionnelle basée sur le SIEM. Au lieu de cela, les modifications sont injectées directement dans le flux de réplication des contrôleurs de domaine de production. Pour se prémunir contre les attaques qui contournent la surveillance traditionnelle, les entreprises ont besoin de solutions qui utilisent plusieurs sources de données, y compris le flux de réplication AD. Pour une détection et une réponse complètes aux menaces AD, y compris la capacité d'auditer AD pour les attaques qui échappent aux SIEM et aux autres outils de surveillance traditionnels, consultez Directory Services Protector.