Active Directory : les défis d’un grand ménage de printemps (imprévu)

Face à l’urgence, des opérations considérées comme impossibles

Cyrille Barthelemy explique ainsi qu’en de telles circonstances, il faut « prendre des mesures d’évaluation de la compromission », à savoir : « vérification des comptes à privilèges existants et créés, réinitialisation des mots de passe à privilèges, double réinitialisation des comptes Kerberos ». Pour lui, « c’est un sujet complexe et d’expert » et mieux vaut « se faire accompagner en l’absence d’expertise en interne ».

Mais il ajoute d’autres opérations : « auditer l’Active Directory en utilisant déjà des outils comme PingCastle ou Alsid », et « investiguer sur les serveurs concernés – infrastructure Exchange, contrôleurs de domaine, etc. » En fonction des résultats de ces investigations, il convient de « considérer la nécessité de reconstruire une bulle de confiance avec un Active Directory neuf ». Une opération à laquelle beaucoup de victimes de ransomware n’ont, hélas, pas échappé.

Concernant le changement des mots de passe pour les comptes des utilisateurs, des administrateurs, ou encore les comptes applicatifs, face à la menace d’une attaque en cours… « j’ai surtout vu des gens faire en urgence des choses considérées comme impossibles précédemment. Parce qu’il n’y avait pas d’autres choix ».

Les comptes qui ne posent pas (trop) de problèmes…

À écouter Laurent Besset, directeur Cyberdéfense d’I-Tracing, et Benoît Patin, administrateur système chez Advens, on comprend que la question des comptes des utilisateurs finaux n’est forcément la plus délicate. Benoît Patin souligne ainsi qu’il s’agit surtout de procédures et de communication : « il faut une procédure à destination des utilisateurs afin qu’ils sachent quand, comment et pourquoi changer leur mot de passe. Cette procédure doit décrire les raisons du changement du mot de passe et aider l’utilisateur à le changer, en indiquant comment choisir un bon mot de passe, pourquoi ne pas le réutiliser, comment les stocker (avec un gestionnaire de mots de passe, par exemple), etc. ».

Et il convient de tenir compte des utilisateurs distants : « il faudra prévoir une connexion VPN qui permettra au collaborateur de changer son mot de passe sans se désynchroniser de l’Active Directory. Il est important qu’une machine intégrée à l’active directory se connecte au réseau de l’entreprise, car le compte machine doit aussi être changé régulièrement. Ce changement est géré automatiquement ».

Laurent Besset s’inscrit sur la même ligne : « avec les utilisateurs finaux, c’est avant tout une question de support. Le changement de mot de passe est une source marginale d’erreurs chez les utilisateurs ». Même si « la marge s’épaissit », lorsque des milliers d’utilisateurs le font en même temps. Alors, la réponse est connue : « coupler une communication adaptée avec un renforcement temporaire des structures de support aux utilisateurs ». Mais le cas des utilisateurs, évoqué par Benoît Patin, n’est pas sans générer des difficultés. Là, explique Laurent Besset, « disposer de services de type self-care est plus qu’un facilitateur ».

Et les autres

Les vraies difficultés se cristallisent en fait généralement sur les comptes de service, ceux qui ne sont pas liés à des utilisateurs humains. Et, explique Laurent Besset, « ce n’est pas un problème d’outils, car il y a presque 10 ans que certaines solutions de coffre-fort disposent de fonctionnalités permettant de gérer le stockage et le renouvellement des comptes machine-to-machine ».

« Nous voyons régulièrement des clients obligés de faire des exceptions lors de la reconstruction de leur SI après une attaque, par peur d’impact en renouvelant le mot de passe de certains comptes de service critiques ».

D’où viennent donc les difficultés ? D’un décalage entre les bonnes pratiques et la réalité. Ainsi, Benoît Patin explique que l’usage veut que l’on « réinitialise au moins une fois par an les comptes de services ». Ce qui implique de bien « identifier où ces comptes sont utilisés et planifier les changements en heures non ouvrées pour éviter la coupure de service ». Ça, c’est pour la théorie.

Dans la pratique, Laurent Besset explique que « beaucoup d’organisations ont accumulé une dette technique importante au fil des ans et progressivement perdu le contrôle de tout ou partie des comptes techniques ». Sur le terrain, « nous voyons régulièrement des clients obligés de faire des exceptions lors de la reconstruction de leur SI après une attaque, par peur d’impact en renouvelant le mot de passe de certains comptes de service critiques ».

L’indicateur du niveau de maîtrise des actifs ? « Les projets d’intégration des solutions de coffre-fort », explique Laurent Besset, car « les fonctionnalités que j’évoque sont régulièrement sorties du périmètre ou dépriorisées parce “trop compliquées à mettre en œuvre” ».