Verrouillage intelligent Entra ID : bien le régler face à la pulvérisation de mots de passe
Le verrouillage intelligent est actif dans tous les locataires Entra ID, et c'est précisément pour cela qu'on l'oublie. Ses valeurs par défaut conviennent à beaucoup d'organisations, mais en environnement hybride, un mauvais alignement avec la stratégie de verrouillage d'Active Directory peut transformer une attaque venue d'Internet en déni de service sur les postes de travail.
Ce que fait le verrouillage intelligent
Le verrouillage intelligent (smart lockout) bloque temporairement les tentatives de connexion à un compte après un certain nombre d'échecs de mot de passe. Contrairement au verrouillage classique d'Active Directory, il ne cherche pas à bloquer le compte pour tout le monde : il tente de distinguer l'utilisateur légitime de l'attaquant, afin de freiner le second sans pénaliser le premier.
Deux mécanismes y contribuent. D'abord, les emplacements familiers et non familiers sont comptabilisés séparément : les échecs provenant d'un lieu inhabituel n'entraînent pas forcément le verrouillage de l'utilisateur qui se connecte depuis son réseau habituel. Ensuite, Entra ID mémorise les derniers hachages de mots de passe erronés : un utilisateur qui retape plusieurs fois le même ancien mot de passe n'incrémente pas le compteur à chaque tentative.
Seuil et durée : les deux réglages
Les paramètres se trouvent dans les méthodes d'authentification, rubrique Protection par mot de passe. Deux valeurs y sont exposées :
- Seuil de verrouillage : le nombre d'échecs tolérés avant le premier verrouillage. La valeur par défaut est de 10 pour les locataires commerciaux ;
- Durée du verrouillage : la durée initiale du premier blocage, en secondes (60 par défaut). Les verrouillages suivants sont de plus en plus longs.
La personnalisation de ces valeurs requiert une licence Microsoft Entra ID P1 ou supérieure ; vérifiez les prérequis en vigueur dans la documentation Microsoft. La même page permet de gérer la liste personnalisée de mots de passe interdits, qui complète utilement le verrouillage : un mot de passe évident est refusé dès sa création, avant même qu'un attaquant ne le teste.
L'interaction avec Active Directory
En environnement hybride, le comportement dépend de la méthode d'authentification retenue.
- Synchronisation du hachage de mot de passe (PHS) : la validation a lieu dans le cloud. Le verrouillage intelligent s'applique seul, et les échecs survenus côté Entra ID ne verrouillent pas le compte Active Directory.
- Authentification directe (PTA) : chaque tentative est transmise à un agent qui la valide auprès d'un contrôleur de domaine. Sans précaution, une attaque menée depuis Internet peut verrouiller les comptes dans Active Directory, et donc empêcher les utilisateurs d'ouvrir leur session Windows.
Avec PTA, deux règles d'alignement s'imposent :
| Paramètre | Règle |
|---|---|
| Seuil de verrouillage | Le seuil Entra ID doit être inférieur au seuil de la stratégie de domaine Active Directory. |
| Durée | La durée Entra ID doit être supérieure au délai de réinitialisation du compteur de verrouillage Active Directory. |
Ainsi, Entra ID arrête l'attaquant avant qu'Active Directory ne verrouille le compte, et le compteur local a le temps de revenir à zéro.
Stratégies affinées. Ne vous arrêtez pas à la stratégie de domaine par défaut. Les stratégies de mot de passe affinées (FGPP) appliquent souvent un seuil plus bas à certains groupes, notamment les administrateurs. C'est ce seuil, le plus bas, qui doit servir de référence.
Face à la pulvérisation de mots de passe
La pulvérisation de mots de passe (password spray) consiste à tester un petit nombre de mots de passe courants sur un grand nombre de comptes, lentement, en restant sous le seuil de chaque compte. Le verrouillage intelligent la freine, mais ne suffit pas à l'arrêter. Il doit s'inscrire dans un ensemble :
- Bloquer l'authentification héritée, qui ne supporte pas la MFA et reste le vecteur privilégié de ces attaques.
- Exiger la MFA pour tous les utilisateurs via l'accès conditionnel, afin qu'un mot de passe deviné ne suffise pas.
- Enrichir la liste de mots de passe interdits avec le nom de l'organisation, de ses marques et de ses sites.
- Surveiller les journaux de connexion : une hausse des codes d'erreur 50126 (identifiants invalides) et 50053 (compte verrouillé) répartie sur de nombreux comptes, depuis un petit nombre d'adresses IP, est la signature typique d'une pulvérisation.
Si vous disposez d'Entra ID Protection, les détections de risque liées à la pulvérisation méritent d'être reliées à une stratégie d'accès conditionnel basée sur le risque utilisateur.
Ce qu'un audit vérifie
- Les valeurs de seuil et de durée configurées, et leur cohérence avec la méthode d'authentification.
- En PTA, l'alignement avec la stratégie de domaine et avec toutes les stratégies affinées.
- Le contenu de la liste personnalisée de mots de passe interdits.
- Le blocage effectif de l'authentification héritée.
- L'existence d'une surveillance des échecs de connexion et des verrouillages en masse.