Analyse du chemin d'attaque

Les ressources du Tier 0 sont les comptes, groupes et autres ressources qui ont un contrôle administratif direct ou indirect sur une forêt Active Directory, des domaines et des contrôleurs de domaine. En accédant à ces ressources du Tier 0, les attaquants peuvent prendre le contrôle de l'ensemble du réseau.

Microsoft a mis au point le modèle d'administration par niveaux pour Active Directory afin de rendre plus difficile l'escalade des privilèges par les acteurs de la menace, c'est-à-dire le passage d'un poste de travail à des serveurs pour dominer le domaine AD. Ce modèle comporte trois niveaux :

• Le Tier 2 est composé de clients, d'imprimantes et d'appareils mobiles reliés au domaine, ainsi que des comptes qui les administrent.
• Le Tier 1 contient les serveurs et les applications, ainsi que leurs comptes administratifs.
• Le Tier 0 contient les serveurs (par exemple, les contrôleurs de domaine), les structures AD (telles que la stratégie de domaine par défaut GPO) et les comptes privilégiés qui prennent en charge le service Active Directory lui-même.

Cette hiérarchie est appliquée de manière à ce que les informations d'identification des niveaux supérieurs ne soient pas accessibles à partir des niveaux inférieurs (par exemple, un compte d'administrateur de domaine se connectant à un PC client, où ces informations d'identification privilégiées pourraient ensuite être récoltées par des logiciels malveillants tels que mimikatz). Pour les environnements hybrides, ce modèle a été étendu pour tenir compte de leur complexité accrue et est appelé modèle d'accès d'entreprise.

Les ressources du Tier 0 ont le contrôle administratif d'Active Directory. Si l'une de ces ressources est compromise, un acteur de la menace peut prendre le contrôle d'Active Directory et donc de chaque ressource - serveurs, applications, bases de données, clients, autres comptes Active Directory - à l'intérieur d'Active Directory pour atteindre ses objectifs.

En raison de mauvaises configurations qui s'accumulent au fil du temps, de nombreuses organisations ont des comptes et des groupes qui ont des accès privilégiés - c'est-à-dire des actifs de niveau 0 - mais ces privilèges excessifs sont soit négligés, soit les équipes informatiques et de sécurité n'ont pas eu les ressources nécessaires pour les examiner. La découverte de ces actifs peut s'avérer difficile. Forest Druid L'outil communautaire gratuit de Semperis, le " Tier 0 ", met en lumière les comptes sensibles afin que les équipes informatiques et de sécurité puissent les marquer comme " Tier 0 " et appliquer les mesures de protection appropriées, y compris le verrouillage des privilèges ou la suppression pure et simple des comptes inutiles.

Les chemins d'attaque sont des itinéraires qu'un acteur de la menace peut emprunter depuis l'accès initial à l'environnement (tel qu'un PC client), en passant par des étapes intermédiaires, jusqu'à la domination du domaine du Tier 0.

Semperis propose un outil gratuit de découverte des chemins d'attaque du Tier 0, appelé Forest Druid, qui vous aide à découvrir les ressources vulnérables du Tier 0, à verrouiller les privilèges excessifs et à découvrir et corriger rapidement les chemins les plus dangereux, et pas seulement les plus courants.(Cliquez ici pour en savoir plus sur Forest Druid).