Active Directory attaqué : comment détecter, contenir et surmonter les compromissions fondées sur l’identité

Pourquoi l’identité est la première cible des attaques modernes

Active Directory (AD) et Entra ID sont des systèmes fondamentaux pour l’authentification et l’autorisation au sein des organisations modernes. 

Chaque connexion, demande d’accès à une application et décision relative aux privilèges est liée à l’infrastructure d’identité. En raison de ce rôle central, les attaquants ciblent de plus en plus, en premier, l’identité comme plan de contrôle.

Au début d’une attaque, les acteurs malveillants effectuent une reconnaissance de l’environnement d’identité. Ils recherchent des points faibles tels que les comptes de service, les autorisations mal configurées et les utilisateurs privilégiés dont les identifiants peuvent être exploités. 

Une fois ces faiblesses identifiées, les attaquants dérobent, cassent ou rejouent les identifiants et les jetons. Cela leur permet de se déplacer latéralement dans les systèmes ou d’élever leurs privilèges verticalement, des environnements sur site vers le cloud, jusqu’à obtenir le contrôle total du domaine.

Cette approche correspond étroitement aux modes opératoires modernes des ransomwares. La compromission de l’identité n’est pas une simple étape supplémentaire de la chaîne d’attaque : elle constitue souvent la passerelle vers le contrôle total de l’environnement. Une fois maîtres de l’identité, les attaquants peuvent désactiver les défenses, déployer des ransomwares à grande échelle et maintenir leur persistance.

Les conséquences pour l’entreprise sont lourdes. Si AD ou Entra ID devient indisponible ou peu fiable, les systèmes et applications essentiels cessent de fonctionner. Les employés ne peuvent plus se connecter, les services ne peuvent plus s’authentifier et les opérations sont paralysées. 

Il n’est donc pas surprenant que 82 % des attaques aient « certainement ou peut-être » compromis des systèmes d’identité de niveau 0.

Détecter une compromission de l’identité : les premiers signaux d’alerte

Malgré le rôle critique de l’identité, les premiers signes d’une compromission sont souvent discrets et faciles à manquer.

Parmi les signaux d’alerte courants figurent les élévations de privilèges inattendues, comme l’attribution soudaine de droits d’administration ou les modifications non autorisées de groupes de sécurité. 

Les attaquants peuvent également établir leur persistance à l’aide de techniques telles que les attaques Golden Ticket, les comptes frauduleux ou les modifications non autorisées de l’annuaire.

Les anomalies d’authentification constituent un autre signal important. Il peut s’agir de connexions depuis des emplacements inhabituels, de tentatives d’accès à des ressources qu’un utilisateur n’utilise généralement pas ou de connexions de comptes privilégiés à des systèmes qui sortent de leurs schémas habituels. 

Même le password spraying lent et discret, qui consiste pour les attaquants à essayer de nombreux mots de passe au fil du temps afin d’éviter la détection, peut indiquer une compromission précoce.

Le problème est que de nombreuses organisations ne disposent pas de la visibilité nécessaire pour détecter ces comportements en temps réel. Sans supervision continue ni détection avancée des anomalies, les menaces fondées sur l’identité peuvent rester dissimulées pendant de longues périodes.

C’est pourquoi les équipes de sécurité les plus avancées adoptent une approche fondée sur le principe de la compromission présumée. Plutôt que d’attendre des preuves manifestes d’une compromission, elles recherchent en permanence les écarts subtils dans les comportements liés à l’identité, conscientes que les attaquants peuvent déjà se trouver dans l’environnement.

Confinement immédiat : que faire pendant une compromission active

Lorsqu’une compromission fondée sur l’identité est détectée, les premières heures sont déterminantes. Les mesures de confinement prises rapidement peuvent décider si l’attaque reste limitée ou devient catastrophique.

Les organisations activent des équipes de réponse aux crises cyber plus fréquemment que jamais ; 90 % l’ont fait au moins une fois au cours de l’année écoulée, et 39 % l’ont fait entre cinq et quinze fois. 

Cependant, un plan n’est efficace que s’il comprend des mesures claires et concrètes, telles que les principales actions de confinement suivantes :

• Isolez les comptes et systèmes compromis afin d’empêcher toute propagation supplémentaire.
• Révoquez les accès privilégiés et faites tourner les identifiants, en particulier pour tous les comptes d’administration.
• Supervisez et contrôlez les modifications apportées aux objets AD critiques et aux objets de stratégie de groupe (GPO), et assurez-vous de pouvoir les annuler si nécessaire.
• Segmentez l’infrastructure d’identité afin de limiter les déplacements de l’attaquant.
• Bloquez les accès Internet non autorisés afin de perturber les communications de commande et de contrôle (C2).
• Vérifiez qu’une sauvegarde récente et saine d’AD est disponible ou effectuez-en une immédiatement s’il n’en existe aucune.

La coordination est tout aussi importante. Les équipes de sécurité et informatiques, la direction et les autres parties prenantes doivent travailler ensemble dans le cadre de rôles et de responsabilités définis à l’avance. Sans coordination, les efforts de réponse peuvent devenir fragmentés et lents.

Un confinement efficace réduit les perturbations opérationnelles et les dommages indirects, ce qui rend chaque minute critique lorsque l’identité est attaquée.

Les défis de la récupération : restaurer Active Directory après une attaque

La récupération d’Active Directory est bien plus complexe que la restauration de la plupart des autres systèmes. Contrairement aux applications autonomes, AD est une base de données répliquée multimaître qui possède des dépendances complexes dans l’ensemble de l’environnement.

Par conséquent, la récupération est bien plus complexe que la simple restauration d’une sauvegarde. Les organisations doivent reconstruire soigneusement les relations d’approbation, valider l’intégrité de la réplication et s’assurer qu’aucun élément compromis n’est réintroduit. Si la récupération n’est pas effectuée correctement, le risque de réinfection reste élevé.

Bonnes pratiques pour la récupération d’AD

• Utilisez des sauvegardes sécurisées et exemptes de logiciels malveillants, conçues spécifiquement pour la récupération.
• Reconstruisez AD dans un environnement contrôlé et isolé.
• Validez l’authentification, l’autorisation et le fonctionnement des systèmes en aval avant le retour en production.

Les enjeux sont considérables. Lorsque AD est indisponible, l’organisation cesse pratiquement de fonctionner. La plupart des entreprises ne peuvent pas supporter une telle panne plus de quelques heures sans subir d’importantes répercussions financières et opérationnelles.

Cette urgence se reflète dans les données : 54 % des organisations signalent une corruption permanente des données ou des systèmes à la suite d’incidents majeurs.

Renforcer la cyberrésilience : se préparer avant l’attaque

La prévention ne suffit plus. Les organisations doivent se concentrer sur la cyberrésilience, c’est-à-dire la capacité à récupérer rapidement et à assurer la continuité des activités même après une compromission.

Selon une étude de Semperis, alors que 96 % des organisations déclarent disposer d’un plan de réponse aux crises cyber, 71 % ont tout de même connu des événements qui ont interrompu des fonctions critiques de l’entreprise, et 36 % ont subi plusieurs perturbations de ce type. 

La préparation interfonctionnelle constitue une lacune majeure : seules 37 % des organisations incluent les équipes de continuité d’activité dans les simulations, et 43 % seulement y associent les équipes de reprise après sinistre.

Compte tenu du rôle central de l’identité, la planification de la résilience doit commencer par la récupération d’AD et d’Entra ID.

Principales stratégies de récupération d’AD et d’Entra ID

• Élaborez et testez des plans de récupération spécifiques à AD, et pas seulement des procédures générales de reprise après sinistre.
• Réalisez des exercices de récupération à grande échelle, et pas seulement des exercices sur table.
• Définissez clairement les rôles et responsabilités des équipes informatiques, de sécurité, juridiques, RH et des autres équipes métier.
• Mettez en place d’autres moyens de communication et de collaboration, car les outils habituels peuvent être indisponibles lors d’une panne de l’identité.

Les organisations doivent également obtenir l’adhésion de la direction et favoriser une culture qui accorde autant de priorité à la résilience qu’à la prévention.

Dans le paysage actuel des menaces, l’identité est à la fois la cible principale et le fondement de la récupération. Se préparer à une compromission fondée sur l’identité n’est plus facultatif ; c’est essentiel pour rétablir rapidement les opérations et limiter les conséquences pour l’entreprise.

Évaluez la capacité de votre organisation à détecter une compromission de l’identité, à contenir les déplacements de l’attaquant et à récupérer rapidement Active Directory et Entra ID — et découvrez comment Semperis aideles entreprises à combler les lacunes critiques en matière de résilience avant qu’une compromission ne devienne une crise métier.