Créer un Active Directory conformes aux bonnes pratiques

Florian BURNEL - ITConnect - 19/08
Utilisation de l'outil gratuit Hello-My-Dir pour créer un domaine Active Directory qui respecte toutes les règles de base en matière de sécurité.

Sommaire

  • I. Présentation
  • II. Active Directory : qu'est-ce qui ne va pas avec la configuration par défaut ?
  • III. L'outil Hello-My-Dir
  • IV. Créer un nouveau domaine Active Directory
    • A. Télécharger Hello-My-Dir
    • B. Préparer la configuration
  • V. Aperçu de la configuration déployée
    • A. Les utilisateurs et les groupes de sécurité
    • B. Les stratégies de groupe
    • C. Les stratégies de mots de passe affinées
    • D. Audit avec PingCastle
  • VI. Conclusion

I. Présentation

Comment créer un domaine Active Directory qui respecte toutes les règles de base en matière de sécurité ? Autrement dit, comment créer un domaine Active Directory qui répond à tous les points de sécurité évalués par des outils d'audit comme PingCastle et Purple Knight ? La réponse se nomme "Hello-My-Dir", un outil open source conçu dans ce but !

Dans ce tutoriel, nous allons découvrir plus en détail cet outil et apprendre à l'utiliser afin de pouvoir déployer un nouveau domaine Active Directory que l'on pourrait considérer "secure by design". Nous allons déjà commencer par évoquer la problématique de sécurité liée à l'Active Directory (AD) avant d'évoquer les fonctions de cet outil et son utilisation.

II. Active Directory : qu'est-ce qui ne va pas avec la configuration par défaut ?

L'Active Directory, à l'instar d'autres applications et services, n'est pas sécurisé dans sa configuration par défaut. Ainsi, lorsqu'un domaine Active Directory est créé, sa configuration ne respecte pas les bonnes pratiques et les recommandations en matière de sécurité.

C'est un vrai problème puisque l'AD, par sa fonction de gestion des identités, joue un rôle central dans le système d'information des entreprises. Cela en fait une cible privilégiée lors des cyberattaques et, malheureusement, il est bien trop souvent, le maillon faible d'une infrastructure. Quelques minutes peuvent suffire à un attaquant pour obtenir des privilèges élevés sur le domaine, et ainsi obtenir les clés de votre royaume.

Il suffit d'exécuter les outils d'audit PingCastle et Purple Knight sur un Active Directory existant ou fraîchement installé pour mettre en lumière ces vulnérabilités potentielles.

Nous pouvons citer notamment les points suivants :

  • Pour l'authentification, le protocole NTLM v1 est autorisé par défaut, ce qui ouvre la porte à plusieurs attaques connues.
  • Une stratégie de mots de passe pas suffisamment robuste et qui ne respecte pas les standards actuels.
  • Chaque utilisateur authentifié peut a...
    [Courte citation de 8% de l'article original]