Analyse des abus ACL Active Directory

Que fait Analyse des abus ACL Active Directory ?

Vue d'ensemble

Les listes de contrôle d'accès (ACL) d'Active Directory définissent les permissions sur les objets AD via des listes de contrôle d'accès discrétionnaires (DACL) contenant des entrées de contrôle d'accès (ACE). Des ACE mal configurées peuvent accorder à des utilisateurs non privilégiés des permissions dangereuses comme GenericAll (contrôle total), WriteDACL (modifier les permissions), WriteOwner (prendre possession) et GenericWrite (modifier les attributs) sur des objets sensibles tels que les groupes Domain Admins, les contrôleurs de domaine ou les GPO.

Cette compétence utilise la bibliothèque Python ldap3 pour se connecter à un contrôleur de domaine, interroger les objets avec leur attribut nTSecurityDescriptor, analyser le descripteur de sécurité binaire au format SDDL (Security Descriptor Definition Language) et identifier les ACE qui accordent des permissions dangereuses à des entités non administrateurs. Ces mauvaises configurations sont à la base des chemins d'attaque basés sur les ACL découverts par des outils comme BloodHound.

Quand l'utiliser

• Lors d'investigations d'incidents de sécurité nécessitant l'analyse d'abus ACL Active Directory
• Lors de l'élaboration de règles de détection ou de requêtes de chasse aux menaces pour ce domaine
• Lorsque les analystes SOC ont besoin de procédures structurées pour ce type d'analyse
• Lors de la validation de la couverture de surveillance de sécurité pour les techniques d'attaque associées

Prérequis

• Python 3.9 ou ultérieur avec la bibliothèque ldap3 (pip install ldap3)
• Identifiants d'utilisateur du domaine disposant d'un accès en lecture aux objets AD
• Connectivité réseau au contrôleur de domaine sur le port 389 (LDAP) ou 636 (LDAPS)
• Compréhension du modèle de sécurité Active Directory et du format SDDL

Étapes

1. Connexion au contrôleur de domaine : Établir une connexion LDAP en utilisant ldap3 avec une authentification NTLM ou simple. Utiliser LDAPS (port 636) pour les connexions chiffrées en production.

2. Interroger les objets cibles : Rechercher l'OU cible ou l'ensemble du domaine pour les objets incluant utilisateurs, groupes, ordinateurs et OU. Demander les attributs nTSecurityDescriptor, distinguishedName, objectClass et sAMAccountName.

3. Analyser les descripteurs de sécurité : Convertir le nTSecurityDescriptor binaire en sa représentation sous forme de chaîne SDDL. Analyser chaque ACE de la DACL pour extraire le SID du trustee, le masque d'accès et le type d'ACE (autoriser/refuser).

4. Résoudre les SID en entités : Mapper les identifiants de sécurité (SID) en noms de comptes lisibles par un humain à l'aide de requêtes LDAP sur le domaine. Identifier les SID bien connus pour les groupes intégrés.

5. Vérifier les permissions dangereuses : Comparer le masque d'accès de chaque ACE aux masques de bits de permissions dangereuses : GenericAll (0x10000000), WriteDACL (0x00040000), WriteOwner (0x00080000), GenericWrite (0x40000000) et WriteProperty pour des droits étendus spécifiques.

6. Filtrer les trustees non administrateurs : Exclure les trustees administratifs attendus (Domain Admins, Enterprise Admins, SYSTEM, Administrators) et signaler les ACE où des utilisateurs ou groupes non privilégiés détiennent des permissions dangereuses.

7. Cartographier les chemins d'attaque : Pour chaque constatation, documenter la chaîne d'attaque potentielle (ex. : GenericAll sur un utilisateur permet la réinitialisation du mot de passe, WriteDACL sur un groupe permet de s'ajouter soi-même au groupe).

8. Générer un rapport de correction : Produire un rapport JSON avec toutes les ACE dangereuses, les objets affectés, les trustees non administrateurs et les étapes de correction recommandées.

Sortie attendue

{
  "domain": "corp.example.com",
  "objects_scanned": 1247,
  "dangerous_aces_found": 8,
  "findings": [
    {
      "severity": "critical",
      "target_object": "CN=Domain Admins,CN=Users,DC=corp,DC=example,DC=com",
      "target_type": "group",
      "trustee": "CORP\\helpdesk-team",
      "permission": "GenericAll",
      "access_mask": "0x10000000",
      "ace_type": "ACCESS_ALLOWED",
      "attack_path": "GenericAll sur le groupe Domain Admins permet d'ajouter des membres arbitraires",
      "remediation": "Supprimer l'ACE GenericAll pour helpdesk-team sur Domain Admins"
    }
  ]
}