Spouleur d'impression et contrôleurs de domaine : fermer une porte que personne n'utilise
Sur la plupart des contrôleurs de domaine, le service Spouleur d'impression tourne encore, sans qu'aucune imprimante n'y soit jamais connectée. Ce service inutile élargit la surface d'attaque du cœur de l'annuaire. Le désactiver prend quelques minutes ; le compléter par des protections contre le relais d'authentification change réellement la donne.
Un service installé par défaut, inutile sur un DC
Le Spouleur d'impression est actif par défaut sur Windows Server, y compris sur les contrôleurs de domaine. Or un contrôleur de domaine n'a aucune raison de gérer des files d'impression. Ce service a pourtant fait l'objet de plusieurs vulnérabilités graves ces dernières années, et certaines de ses fonctions peuvent être détournées pour amener la machine à s'authentifier auprès d'un autre système.
Le vrai sujet : l'authentification forcée
Plusieurs protocoles Windows — le spouleur, mais aussi d'autres interfaces RPC — peuvent être sollicités pour qu'un serveur s'authentifie auprès d'une machine désignée. Pris isolément, ce comportement est peu dangereux. Il le devient lorsqu'il est combiné à un service qui accepte une authentification relayée sans la vérifier : un serveur en délégation non contrainte, un service LDAP sans signature, ou l'inscription web d'une autorité de certification sans protection étendue. C'est cette combinaison qu'il faut casser.
Principe de défense. Supprimer les services inutiles réduit les déclencheurs possibles ; exiger la signature et la protection étendue supprime ce qui rend ces déclencheurs exploitables. Les deux mesures se complètent, aucune ne suffit seule.
Désactiver le spouleur sur les contrôleurs de domaine
La mesure la plus simple : arrêter et désactiver le service sur tous les contrôleurs de domaine, par une GPO appliquée à l'unité d'organisation Domain Controllers. Il suffit de vérifier au préalable qu'aucun usage réel n'existe — ce qui est presque toujours le cas.
Get-Service -Name Spooler -ComputerName DC01 | Select-Object Status, StartType # Via GPO : Configuration ordinateur > Stratégies > Paramètres Windows > # Paramètres de sécurité > Services système > Spouleur d'impression : Désactivé
La même logique vaut pour les autres serveurs Tier 0 : autorité de certification, serveur Entra Connect, serveurs ADFS.
Les protections complémentaires
- Signature LDAP et liaison de canal sur les contrôleurs de domaine, pour qu'une authentification relayée vers LDAP soit rejetée.
- Signature SMB exigée sur les serveurs, en priorité les contrôleurs de domaine.
- Protection étendue de l'authentification (EPA) et HTTPS sur l'inscription web AD CS, ou désactivation de ce rôle s'il est inutile.
- Suppression de la délégation non contrainte sur tout ce qui n'est pas contrôleur de domaine.
- Réduction de NTLM, qui reste le protocole le plus exposé au relais.
Ce qu'un audit vérifie
- L'état du service Spouleur sur chaque contrôleur de domaine et serveur Tier 0.
- L'exigence de signature LDAP et de liaison de canal.
- L'exigence de signature SMB sur les contrôleurs de domaine.
- La configuration de l'inscription web de l'autorité de certification.
- Les comptes et ordinateurs en délégation non contrainte.