Les 48 premières heures d'une compromission Active Directory : contenir, préserver, reprendre la main
Quand un attaquant a obtenu des droits élevés dans Active Directory, les premières heures déterminent souvent l'issue. Agir trop vite, c'est détruire les preuves et alerter l'adversaire sans l'avoir délogé ; agir trop lentement, c'est le laisser consolider son emprise. Cette trame décrit l'ordre des priorités, telle que nous l'appliquons. Elle ne remplace pas un plan de réponse préparé à froid.
Avant tout : ne pas improviser seul
La première décision n'est pas technique. Il s'agit d'activer la cellule de crise, de décider qui dirige, d'impliquer la direction et, selon le contexte, l'assurance, le conseil juridique et les autorités compétentes. Une compromission de l'annuaire d'authentification est un incident majeur : elle touche potentiellement tous les systèmes qui s'appuient sur lui. Tenter de la régler discrètement entre administrateurs est l'erreur la plus fréquente et la plus coûteuse.
Préserver les preuves avant de nettoyer
La tentation est de réinitialiser, redémarrer, supprimer immédiatement. Or ces gestes effacent précisément ce qui permettra de comprendre l'étendue de l'intrusion et de s'assurer qu'elle est bien terminée. Avant toute remédiation :
- sécurisez une copie des journaux pertinents (contrôleurs de domaine, pare-feu, systèmes de détection) hors de portée de l'attaquant, car les journaux locaux peuvent être effacés ;
- préservez l'état des machines suspectes (images mémoire et disque) lorsque c'est possible, plutôt que de les réinstaller tout de suite ;
- notez une chronologie des faits et des actions menées, horodatée : elle sera indispensable à l'analyse et, souvent, aux tiers.
Préservation et confinement ne s'opposent pas : on peut isoler une machine du réseau tout en conservant son état pour analyse.
Contenir sans se bercer d'illusions
Le confinement vise à retirer à l'attaquant ses accès et ses points d'appui. Les leviers : isoler les segments touchés, couper les accès distants, suspendre les comptes manifestement compromis. Mais il faut garder une hypothèse de travail prudente : dès lors que des droits de niveau 0 ont pu être obtenus, on doit supposer que l'attaquant a eu accès à l'ensemble des secrets du domaine, y compris la base des comptes. Désactiver quelques comptes ne suffit alors pas ; c'est l'ensemble des secrets qui est à considérer comme exposé.
Le poste d'administration doit être sûr. Toute la remédiation doit être conduite depuis des postes dont on est certain qu'ils ne sont pas compromis, avec des comptes dédiés à la crise. Administrer la reprise depuis une machine infectée revient à travailler sous les yeux de l'attaquant.
Réinitialiser les secrets privilégiés, dans le bon ordre
La reprise de contrôle passe par un renouvellement massif de secrets, mené méthodiquement : comptes d'administration (domaine, entreprise, niveau 0), comptes de service privilégiés, puis le reste de la base selon l'évaluation du risque. Deux points de vigilance : réinitialiser un compte de service sans avoir préparé les applications qui l'utilisent provoque des pannes en cascade, et oublier un compte privilégié peu visible laisse une porte ouverte. D'où l'importance d'un inventaire des comptes privilégiés établi avant la crise.
Le double renouvellement du compte krbtgt
Le compte krbtgt chiffre tous les tickets Kerberos du domaine. S'il a pu être extrait, un attaquant peut forger des tickets lui donnant un accès durable, indépendant des mots de passe. Le neutraliser suppose de renouveler son mot de passe deux fois, car le compte conserve son mot de passe précédent, encore accepté pour la validation des tickets.
Le calendrier est délicat. Les deux renouvellements ne doivent pas être enchaînés trop vite : entre les deux, il faut laisser la réplication se propager à tous les contrôleurs de domaine et laisser les tickets en cours arriver à expiration, faute de quoi des authentifications légitimes échouent. Mais ils ne doivent pas non plus être trop espacés, car un seul renouvellement laisse encore valides les tickets forgés avec l'ancienne clé. Cette opération se planifie, idéalement avec l'appui d'un outil prévu pour, et s'inscrit dans une séquence où l'on a d'abord repris le contrôle des accès ; la renouveler trop tôt, alors que l'attaquant est encore présent, ne fait que lui signaler qu'il a été repéré.
Nettoyer ou reconstruire ?
Vient la question la plus difficile. Après une compromission de niveau 0, on ne peut jamais prouver qu'un environnement est redevenu totalement sain : l'attaquant a pu laisser des mécanismes de persistance discrets, dans l'annuaire ou sur les contrôleurs. Trois voies existent : nettoyer en place, reconstruire certains éléments (contrôleurs, modèle d'administration), ou reconstruire la forêt à partir de bases saines. Le choix dépend de la profondeur de l'intrusion, de la confiance que l'on peut accorder aux sauvegardes et du temps disponible. Une reconstruction de forêt est lourde, mais c'est parfois la seule façon de repartir sur une base dont on est sûr. Cette décision gagne énormément à avoir été anticipée : savoir à l'avance qu'une procédure de reconstruction existe et a été testée change tout.
Communiquer, pendant et après
Une communication maîtrisée, interne et externe, fait partie de la réponse. En interne, les équipes doivent savoir quoi faire et quoi ne pas faire, sans que l'information ne parvienne à l'attaquant s'il est encore présent. En externe, les obligations légales de notification peuvent s'appliquer selon les données concernées. Enfin, une fois l'incident clos, le retour d'expérience est ce qui transforme une crise en amélioration durable : il alimente la correction des causes profondes, souvent les mêmes faiblesses qu'un audit aurait signalées.
Ce qu'un audit vérifie
- L'existence d'un plan de réponse à incident spécifique à Active Directory, et sa mise à l'épreuve.
- La disponibilité de postes et de comptes d'administration de secours sûrs.
- Un inventaire à jour des comptes privilégiés et des comptes de service.
- La centralisation et la rétention des journaux hors de portée d'un attaquant.
- La connaissance de la procédure de double renouvellement du krbtgt et de son calendrier.
- L'existence et le test d'une procédure de reconstruction de forêt, et de sauvegardes hors ligne.