Stratégies et silos d'authentification : limiter l'endroit où les comptes de niveau 0 peuvent se connecter
Les stratégies de restriction d'ouverture de session appliquées par GPO dépendent de la machine cible. Les stratégies et silos d'authentification déplacent le contrôle sur le contrôleur de domaine lui-même : un administrateur de domaine qui tente de s'authentifier depuis un poste hors du silo n'obtient tout simplement pas de ticket. Une mesure puissante, qui exige des prérequis et une phase d'audit.
Le principe
Disponibles depuis Windows Server 2012 R2, les stratégies d'authentification définissent des conditions appliquées par le centre de distribution de clés (KDC) lors de la délivrance des tickets Kerberos. Un silo de stratégies d'authentification regroupe des comptes d'utilisateur, d'ordinateur et de service, et leur associe une ou plusieurs stratégies.
Le cas d'usage typique : créer un silo « Niveau 0 » contenant les comptes d'administration du domaine, les contrôleurs de domaine et les postes d'administration dédiés, puis définir une stratégie qui n'autorise ces comptes à obtenir un TGT que lorsqu'ils s'authentifient depuis un ordinateur membre du même silo. Un identifiant d'administrateur volé et rejoué depuis un poste utilisateur devient inutilisable pour Kerberos.
Les prérequis
- Niveau fonctionnel du domaine au moins Windows Server 2012 R2.
- Prise en charge des revendications et du blindage Kerberos côté KDC, activée par stratégie de groupe sur les contrôleurs de domaine (paramètre « Prise en charge du KDC pour les revendications, l'authentification composée et le blindage Kerberos »).
- Prise en charge côté client, activée par stratégie de groupe sur les ordinateurs membres du silo (paramètre « Prise en charge des revendications, de l'authentification composée et du blindage Kerberos par le client Kerberos »).
Le blindage Kerberos (FAST) protège l'échange de pré-authentification à l'aide du ticket de l'ordinateur. C'est ce qui permet au KDC de connaître de manière fiable la machine d'origine de la demande et d'évaluer la condition du silo. Sans blindage sur le poste, la condition ne peut être vérifiée.
Concevoir la stratégie
Une stratégie d'authentification permet notamment de définir :
- la durée de vie du TGT pour les comptes concernés ;
- les conditions de contrôle d'accès portant sur l'appareil depuis lequel l'utilisateur s'authentifie, par exemple l'appartenance à un silo donné ;
- les conditions portant sur les comptes autorisés à obtenir des tickets de service pour les ordinateurs du silo.
Restez simple : un silo pour le niveau 0, contenant les comptes d'administration nominatifs, les contrôleurs de domaine et les postes d'administration dédiés. Les serveurs de niveau 0 hors contrôleurs, comme ceux hébergeant une autorité de certification ou une solution de fédération, doivent y être ajoutés s'ils sont administrés par ces comptes.
Kerberos seulement. Les stratégies d'authentification s'appliquent à Kerberos. Pour empêcher le repli sur NTLM, ajoutez les mêmes comptes au groupe Protected Users. Les deux mesures sont complémentaires.
Commencer en mode audit
Chaque stratégie et chaque silo peuvent être configurés en mode audit plutôt qu'en mode appliqué. En audit, le KDC délivre les tickets mais journalise les demandes qui auraient été refusées. Ces événements sont consignés sur les contrôleurs de domaine dans des journaux dédiés, sous Microsoft, Windows, Authentication, qu'il faut activer au préalable.
La méthode que nous recommandons :
- activer les prérequis sur les contrôleurs de domaine puis sur les postes d'administration ;
- créer le silo et la stratégie en mode audit, y affecter les comptes et les machines ;
- analyser les journaux pendant plusieurs semaines, couvrant au moins un cycle d'exploitation complet ;
- corriger les usages légitimes non prévus : scripts planifiés, consoles installées ailleurs, interventions d'astreinte ;
- basculer en mode appliqué, en conservant un compte d'urgence hors silo, documenté et surveillé.
Limites à connaître
Les silos contrôlent l'endroit où un compte obtient un TGT, pas ce qui se passe sur une machine du silo compromise. Ils ne remplacent donc ni le durcissement des postes d'administration, ni la surveillance des modifications de configuration : un attaquant disposant de droits d'administration du domaine pourrait retirer un compte du silo. Surveillez les modifications des objets de stratégie et de silo, ainsi que des attributs d'affectation des comptes.
Ce qu'un audit vérifie
- l'existence de stratégies et de silos d'authentification, et leur mode (audit ou appliqué) ;
- l'activation du blindage Kerberos côté KDC et côté clients concernés ;
- la couverture des comptes de niveau 0 par un silo ;
- la cohérence entre les machines du silo et les postes réellement utilisés pour administrer ;
- la journalisation des refus et la surveillance des modifications des silos.