Accès compatible pré-Windows 2000 et accès anonyme : fermer l'énumération de l'annuaire

Le groupe Accès compatible pré-Windows 2000

Ce groupe intégré existe pour la compatibilité avec des systèmes antérieurs à Windows 2000 (serveurs d'accès à distance Windows NT, par exemple). Ses membres disposent d'un droit de lecture sur les objets utilisateurs et groupes du domaine. Selon le choix fait lors de la création du domaine, il contient :

• les Utilisateurs authentifiés, si l'option des autorisations compatibles uniquement avec Windows 2000 et versions ultérieures a été retenue ;
• Tout le monde et parfois Ouverture de session anonyme, si les autorisations compatibles avec les versions antérieures ont été choisies.

Dans le second cas, n'importe quelle machine du réseau, sans identifiants, peut interroger l'annuaire et obtenir la liste des comptes, des groupes et de leurs membres. C'est une première étape idéale pour préparer une pulvérisation de mots de passe ou cibler des comptes privilégiés.

Même la configuration « Utilisateurs authentifiés » mérite examen : ce groupe est rarement nécessaire aujourd'hui, et le vider réduit la surface de lecture sans impact dans la plupart des environnements modernes. Testez néanmoins, car certaines applications anciennes s'appuient sur ces droits.

L'accès LDAP anonyme et dSHeuristics

Par défaut, depuis Windows Server 2003, un contrôleur de domaine n'accepte en anonyme que la liaison et la lecture de l'objet racine (rootDSE), qui expose des informations techniques mais pas le contenu de l'annuaire. Ce comportement est piloté par l'attribut dSHeuristics de l'objet de configuration du service d'annuaire. Le septième caractère de cette chaîne, lorsqu'il vaut 2, autorise les opérations LDAP anonymes au-delà de ce minimum ; combiné à des ACL qui accordent des droits à Ouverture de session anonyme, il ouvre l'annuaire en lecture sans authentification.

Cette valeur est parfois positionnée pour une application ancienne, puis oubliée. Elle concerne toute la forêt. Si elle est présente, identifiez l'application qui en dépend et remplacez l'accès anonyme par un compte de service dédié.

Sessions nulles et énumération SAMR

L'énumération anonyme passe aussi par les sessions nulles SMB et les interfaces RPC comme SAMR et LSARPC. Plusieurs options de sécurité, dans la stratégie de groupe, encadrent ces accès :

Sur les contrôleurs de domaine, certaines interfaces restent accessibles pour des raisons de fonctionnement ; le paramètre qui restreint les clients autorisés à effectuer des appels distants vers SAM s'applique différemment selon le rôle de la machine. Vérifiez la documentation Microsoft pour chaque option et testez l'effet sur les contrôleurs de domaine avant de généraliser.

Durcir sans casser

1. Inventorier la composition actuelle du groupe Accès compatible pré-Windows 2000 et la valeur de dSHeuristics.
2. Activer la journalisation des accès LDAP et SMB anonymes sur les contrôleurs de domaine pour identifier les clients concernés.
3. Retirer Ouverture de session anonyme et Tout le monde du groupe, puis, après observation, envisager le retrait des Utilisateurs authentifiés.
4. Appliquer les options de sécurité par une GPO dédiée aux contrôleurs de domaine.
5. Vérifier depuis une machine non authentifiée que l'énumération échoue.

Ce qu'un audit vérifie

• les membres du groupe Accès compatible pré-Windows 2000 dans chaque domaine ;
• la valeur de dSHeuristics et les droits accordés à Ouverture de session anonyme ;
• les options de sécurité « Accès réseau » appliquées aux contrôleurs de domaine ;
• le résultat d'une tentative d'énumération anonyme LDAP et SAMR ;
• les comptes d'ordinateurs pré-créés jamais utilisés.