S'il est un moment où il faut réexaminer la sécurité de votre Active Directory, c'est bien maintenant.
Face aux inquiétudes croissantes concernant la célèbre faille « Zerologon » (CVE-2020-1472), l'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a publié une «directive d'urgence » à l'intention des agences fédérales, leur enjoignant d'appliquer immédiatement le correctif de Microsoft. Les entreprises auraient tout intérêt à faire de même.
Vulnérabilité grave de type « escalade de privilèges » dans « Zerologon »
La semaine dernière, le code d'exploitation d'une grave vulnérabilité d'escalade des privilèges, baptisée "Zerologon", a fait surface en ligne. La vulnérabilité réside dans le protocole à distance Netlogon. En envoyant un certain nombre de messages Netlogon dont les différents champs sont remplis de zéros, l'attaquant peut modifier le mot de passe du contrôleur de domaine (DC) stocké dans AD. En effet, l'attaque permet à tout acteur de menace sur le réseau local d'élever ses privilèges et de compromettre le domaine Windows sans aucune information d'identification de l'utilisateur. Avec Zerologon, les attaquants peuvent voler les informations d'identification d'ADministrateur du domaine et restaurer le mot de passe original du contrôleur de domaine, facilitant ainsi toutes sortes d'attaques, du ransomware au vol de données.
Découvert par des chercheurs de Secura, le bogue a un score CVSS de 10 sur 10, le plus sévère. De nombreux exploits de démonstration de concept pour Zerologon ont déjà été diffusés dans la nature. Zerologon a également été rendu opérationnel dans une version mise à jour de l'outil Mimikatz.
Avez-vous apporté des correctifs ?
Avec la circulation d’exploits, la pression est forte pour appliquer les correctifs dès que possible. Cette problématique est traitée en deux étapes. En août, Microsoft a publié unemise à jour de sécuritéqui modifie le protocole Netlogon afin de protéger par défaut les appareils Windows, d’enregistrer les événements liés à la détection d’appareils non conformes et d’activer la protection pour tous les appareils joints à un domaine, avec des exceptions explicites. Une deuxième mise à jour est prévue pour le premier trimestre 2021. Elle imposera une utilisation sécurisée des appels de procédure à distance (RPC) pour les comptes de machine sur les systèmes non Windows, sauf autorisation accordée par la stratégie de groupe « Contrôleur de domaine : autoriser les connexions via le canal sécurisé Netlogon vulnérable ».
Il convient de noter qu’après le déploiement de la mise à jour d’août, les contrôleurs de domaine (DC) corrigés enregistreront l’ID d’événement 5829 dans le journal des événements système chaque fois qu’une connexion via le canal sécurisé Netlogon vulnérable sera autorisée. Microsoft conseille aux organisations de traiter ces événements avant la configurationdu mode d’applicationdes contrôleurs de domaine ou avant la mise à jour prévue en 2021, afin d’éviter toute interruption de service. Il est également essentiel que tous les contrôleurs de domaine, y compris ceux en lecture seule, soient mis à jour. Le processus de correction n’est pas toujours aisé ; il est souvent ralenti par le nombre considérable d’applications et de systèmes présents dans les environnements informatiques, ainsi que par la crainte générale de perturber les opérations. Néanmoins, toute organisation utilisant Active Directory devrait commencer dès maintenant à identifier les systèmes vulnérables et à donner la priorité à leur correction.
Se préparer à un afflux de nouvelles attaques ciblant Active Directory
Une fois les correctifs rigoureusement appliqués, il est temps de prendre conscience de la multiplication des nouvelles attaques exploitant Active Directory. Identifiez vos points faibles et concentrez-vous sur le renforcement de la sécurité d’AD. Les évaluations des vulnérabilités et des configurations sont essentielles pour relever la barre face aux attaquants ciblant AD. De même, la surveillance continue des modifications apportées à AD qui contournent les journaux de sécurité, ainsi que la mise en place d’une annulation automatique des modifications suspectes trop risquées pour attendre une intervention humaine, permettront de mettre un terme aux mouvements latéraux et aux menaces persistantes avancées. La surveillance automatisée, l’évaluation des vulnérabilités et la correction des failles sont des éléments essentiels pour garantir la sécurité de votre environnement AD.
En cas de cyber-catastrophe, la réalisation de sauvegardes régulières et le stockage de copies hors ligne feront la différence entre une brève panne et un temps d'arrêt prolongé en cas de compromission d'AD. Dans le cas contraire, les sauvegardes accessibles par le réseau peuvent facilement être détruites et augmenter les chances de paiement de la victime. Les organisations devraient toujours disposer de suffisamment de sauvegardes pour effectuer une restauration complète de la forêt. Enfin, il convient d'éviter les restaurations à l'état brut et les restaurations de l'état du système lors de la reprise après une cyberattaque, car ces approches comportent de graves problèmes sous-jacents, notamment la possibilité probable d'une réinfection par un logiciel malveillant.
Comme le montre l'affaire Zerologon, il est temps pour les entreprises de se pencher sérieusement sur le niveau de sécurité d'Active Directory. Un pirate déterminé trouvera toujours un moyen de s'introduire, d'une manière ou d'une autre. Ne laissez pas AD devenir une cible facile.
