Commençons par un petit retour en arrière… En 2014, une série d’articles appelait au démantèlement et à la disparition d’Active Directory (AD) pour diverses raisons. En 2018, nous avons nous-mêmes appelé à sa disparition, ou tout simplement recommandé aux entreprises de prendre leurs serveurs AD, de les jeter du haut d’une falaise et de prendre le train en marche du cloud, avec ses services d’annuaire gérés et l’identité en tant que service…
Aujourd’hui, si vous écoutez certains fournisseurs de solutions d’identité, ils vous expliqueront qu’Active Directory a 20 ans et qu’il faut le mettre au rebut et le réduire en colle en bâton, car eux peuvent tout gérer. Et puis, qui a besoin de s’occuper des imprimantes partagées et de toutes ces broutilles au bureau ? Pas de souci, le cloud s’en charge, et s’il y a des lacunes, ils s’en occuperont, OU alors ce n’est pas grave.
Hmmm, un retour à la réalité, s'il vous plaît.
Tout d’abord, oui, Active Directory existe depuis environ 20 ans ; il a évolué, mûri et s’est diversifié pour pouvoir faire face à bon nombre des complexités modernes auxquelles nous l’avons confronté. Il n’est pas parfait, comme rien d’autre d’ailleurs, mais il est capable de s’intégrer dans une solution hybride pour prendre en charge bon nombre de ces applications liées au cloud que nous utilisons tous.
Deuxièmement, quiconque pense que des ressources comme les imprimantes « se débrouillent toutes seules » devrait se faire examiner la tête. En tant que hacker, les imprimantes sont l’un de mes endroits préférés pour traîner, cartographier le terrain, surveiller le bureau, récolter, collecter et exfiltrer des données… Elles sont géniales. Personne n’aime y installer un antivirus, appliquer des correctifs ou même les ajouter à des règles de sécurité réseau, car elles sont un véritable casse-tête à gérer… ce qui signifie qu’elles constituent une place au premier rang à l’opéra pour quiconque a l’esprit d’attaquant.
Troisièmement, il faudrait être complètement fou pour penser que ce que vous possédez aujourd’hui puisse vous être retiré pour être confié à un organisme de gestion des identités. Certes, une grande partie de ce qu’ils font est excellente et complète certains aspects de l’architecture AD. Cela ajoute une couche et fournit des mécanismes d’authentification supplémentaires dont AD ne dispose tout simplement pas. Mais il est tout à fait certain que cela ne gérera PAS l’ensemble de vos systèmes, architectures, partages, environnements et subtilités au sein de votre entreprise.
Ce qui nous amène tout naturellement à la section « POURQUOI »...
Comme indiqué plus haut au point 3, Active Directory est un système complexe et tentaculaire. Il a plus de tentacules ancrés dans votre entreprise que Cthulhu dans ses meilleurs jours – ce qui signifie qu’il comporte des vulnérabilités et des défis. Certains de ces problèmes sont dus à la configuration d’AD, d’autres à sa gestion et à son évolution, et d’autres encore simplement parce que l’administration d’AD (je veux dire, sa VRAIE administration) est un art occulte que seuls quelques initiés maîtrisent… dont la plupart sont devenus fous au fil des années.
Tout cela fait d'AD une cible de choix pour tout adversaire cherchant à s'introduire dans votre environnement. Si l'on jette un coup d'œil rapide aux différentes bases de données de vulnérabilités, Active Directory en compte suffisamment pour qu'il faille rassembler les doigts et les orteils de tout un groupe d'amis pour compter les façons de s'y introduire ou de l'exploiter. Quant au pauvre LDAP, il présente tellement de failles qu'il consulte un thérapeute presque chaque semaine depuis son apparition (près de 600 façons d'utiliser LDAP pour pirater des systèmes… et ce n'est pas fini).
Alors, félicitations : au cœur de votre entreprise se trouve une solution technologique fantastique qui gère l'ensemble de vos actifs, utilisateurs, systèmes, politiques, profils et droits… mais qui est aussi perméable qu'une passoire et aussi vulnérable qu'un poulain d'un jour.
Que faites-vous ? Vous l’entourez d’une pléthore d’acronymes censés protéger et servir, mais en tant qu’adversaire, je vais quand même y arriver. D’ailleurs, en moyenne, j’y suis déjà. Je suis probablement assis dans cette imprimante, et j’y suis depuis plusieurs mois à simplement observer… et vous ne saviez même pas que j’étais là. Nous en avons déjà parlé, mais je vais vous le rappeler. Vous ne pouvez pas m’empêcher d’entrer, aucune chance : rien de ce que vous achetez, rien de ce à quoi vous vous abonnez ou dans quoi vous investissez ne m’empêchera d’atteindre la première base sur (ou dans) votre réseau. Le défi, c’est : que faites-vous ensuite ?
SI vous adhérez à la philosophie consistant à « partir du principe qu'une faille existe », alors vous avez déjà pris certaines mesures. Vous avez organisé des exercices de simulation. Vous connaissez vos problèmes et vos défis. Vous aurez déployé diverses technologies pour bénéficier d’alertes plus proactives et préventives, et c’est là que les équipes de Semperis entrent en jeu. C’est d’ailleurs la raison pour laquelle je passe du temps avec eux et les aide à mieux comprendre certaines choses. (Ils disposent déjà d’une mine d’informations sur les méthodes des attaquants… Je suis juste là pour les astuces les plus sournoises…)
Adopter une approche proactive… Et si on reprenait le concept d’outil de surveillance de la santé, de la sûreté et de la sécurité d’AD… qu’on le poussait à fond et qu’on le mettait gratuitement à la disposition de la communauté ? Ouais, ça devrait bientôt voir le jour pour les chercheurs et les geeks.
Adoptons une approche d'audit… Que diriez-vous de passer en revue les défis liés à AD, de cartographier les vecteurs d'attaque selon le référentiel MITRE ATT&CK, puis de vous aider à comprendre comment nous atténuons ces risques ? Oui, cela sera bientôt disponible et devrait satisfaire à la fois les équipes d'audit et la direction.
En envisageant le pire des cas… quand vous serez victime d’une attaque, pourquoi ne pas mettre en place un processus de reprise qui vous permettra de consacrer votre temps à vous remettre sur pied, PLUTÔT que de payer des rançons à des inconnus sur Internet ? Oui, on s’en est occupé… ça fera le bonheur des geeks ET des assureurs.
Vous voyez l'idée. L'équipe adopte ici une approche proactive. Elle va à la rencontre de la communauté pour mettre en place un centre de recherche destiné à favoriser le partage des connaissances, et insuffle ainsi un esprit de collaboration dont les discussions avaient grand besoin.
D'où la logique de traîner avec eux, ils se sentent concernés.
« C'est tout pour l'instant »
Chris
