Audit des modifications d'Active Directory et annulation

L'audit de l'Active Directory est le processus de surveillance de l'AD pour détecter les vulnérabilités et les erreurs courantes de configuration et de gestion qui peuvent ouvrir la porte à des compromissions de la sécurité. De nombreuses organisations disposent d'environnements AD hérités, avec des dizaines ou des centaines de configurations erronées qui se sont accumulées au fil du temps. En raison de ressources limitées et d'un manque de compétences AD au sein du personnel, l'audit continu d'AD et d'Entra ID pour les lacunes de sécurité est souvent négligé. Les cybercriminels savent que de nombreuses lacunes de sécurité AD ne sont pas comblées, ce qui fait d'AD la première cible des cyberattaques : Les chercheurs de Mandiant rapportent que 9 attaques sur 10 impliquent AD d'une manière ou d'une autre. Pour comprendre les vulnérabilités de votre organisation en matière de sécurité AD, téléchargez Purple Knight, un outil gratuit d'évaluation de la sécurité AD qui analyse l'environnement AD à la recherche de centaines d'indicateurs d'exposition (IOE) et de compromission (IOC), fournit un score de sécurité global et des conseils de remédiation hiérarchisés de la part d'experts en sécurité AD.

L'audit des modifications apportées aux stratégies de groupe est un élément essentiel du renforcement de la sécurité d'Active Directory. Il s'agit d'une tâche difficile, car les solutions traditionnelles de surveillance basées sur les événements n'incluent généralement pas les détails des modifications apportées aux stratégies de groupe. À titre d'exemple, si un attaquant effectue une modification malveillante avec le ransomware Ryuk ransomware, le seul signal sera que un compte ayant accès à la stratégie de groupe a effectué une modification, ce qui ne déclenchera probablement pas d'alerte. Pour détecter les modifications malveillantes apportées à la stratégie de groupe, vous avez besoin d'une solution qui utilise plusieurs sources de données, y compris le flux de réplication AD, pour obtenir un contexte supplémentaire qui indiquera une attaque potentielle en cours. Pour mieux comprendre les failles de sécurité de votre système AD liées aux erreurs de configuration des stratégies de groupe, téléchargez Purple Knight, un outil gratuit d'évaluation de la sécurité AD qui analyse l'environnement AD à la recherche de centaines d'indicateurs d'exposition (IOE) et de compromission (IOC). Purple Knight recherche plusieurs erreurs de configuration de la stratégie de groupe, notamment les modifications des exécutables SYSVOL, la délégation de la liaison des GPO au niveau du site AD et les mots de passe réversibles trouvés dans les GPO.

Pour suivre les changements dans Active Directory, vous devez surveiller en permanence l'environnement AD pour détecter les indicateurs d'exposition (IOE) et de compromission (IOC) liés à la sécurité des comptes Active Directory, à la délégation AD, à la stratégie de groupe, à Kerberos, à la sécurité Entra ID et à la sécurité de l'infrastructure AD. Les groupes de ransomware développent constamment de nouvelles méthodes pour compromettre AD, qui est la principale source d'identité pour 90 % des organisations dans le monde. Avec un accès privilégié à AD, les cybercriminels peuvent accéder à l'ensemble du réseau et paralyser les activités de l'entreprise. Pour une évaluation ponctuelle des lacunes de sécurité d'AD, téléchargez Purple Knight, un outil gratuit d'évaluation de la sécurité d'AD qui analyse l'environnement AD à la recherche de centaines d'indicateurs d'exposition (IOE) et de compromission (IOC), fournit un score de sécurité global et des conseils de remédiation hiérarchisés de la part d'experts en sécurité d'AD. Pour suivre en permanence les changements dans AD et Entra ID, consultez le site suivant Directory Services Protectorune solution de détection et de surveillance des menaces AD qui suit les changements dans AD et Entra ID et fournit un retour en arrière automatisé des changements AD malveillants.

Vous pouvez utiliser l'outil gratuit d'évaluation de la sécurité AD Purple Knight pour rechercher dans votre environnement Entra ID divers IOE et IOC, notamment des comptes d'invités inactifs, des politiques d'accès conditionnel mal configurées et des utilisateurs privilégiés Entra ID qui sont également des utilisateurs privilégiés dans AD on-prem, ce qui peut compromettre les deux environnements. Vous pouvez utiliser Directory Services Protector pour suivre les changements d'Entra ID en temps réel ; pour plus d'informations, voir "Améliorer la protection d'AD et d'Entra ID contre les cyber-menaces".

DCShadow est l'un des rares types d'attaques qui ne laissent aucune preuve d'activité Il est donc difficile de les détecter à l'aide des systèmes traditionnels basés sur les événements ou les journaux. Cette technique d'attaque contourne la journalisation traditionnelle basée sur le SIEM. Au lieu de cela, les modifications sont injectées directement dans le flux de réplication des contrôleurs de domaine de production. Pour se prémunir contre les attaques qui contournent la surveillance traditionnelle, les entreprises ont besoin de solutions qui utilisent plusieurs sources de données, y compris le flux de réplication AD. Pour une détection et une réponse complètes aux menaces AD, y compris la capacité d'auditer AD pour les attaques qui échappent aux SIEM et aux autres outils de surveillance traditionnels, consultez Directory Services Protector.