Exemple de mission

Pentest Active Directory : Collectivité territoriale

Collectivité territoriale

5 jours

Active Directory Windows

Pentest Active Directory

Contexte et résultats adaptés à des fins d’illustration et de confidentialité.

Contexte de la mission

Le défi

Contexte

Une collectivité territoriale souhaitait faire tester la sécurité de son réseau interne, sur lequel une segmentation avait été mise en place mais aucun test d'intrusion n'avait jamais été réalisé.

Objectifs

Évaluer la résistance du réseau interne face à un attaquant ayant obtenu un premier accès
Identifier les chemins d'attaque vers les comptes administrateurs du domaine
Vérifier l'efficacité de la segmentation réseau en place
Fournir un plan de correction priorisé

Déroulement

Découvertes clés

Périmètre testé

Réseau interne Active Directory
Serveurs et postes de travail
Dossiers partagés et lecteurs réseau
Segmentation réseau

Méthodologie

Test d’intrusion avec un compte utilisateur standard fourni par la collectivité, selon une approche dite en boîte grise.

Reconnaissance du réseau et des services exposés
Identification des serveurs vulnérables
Exploitation des failles pour progresser dans le réseau
Tentative d'accès aux droits d'administrateur du domaine

Critique

Serveurs vulnérables à des failles critiques connues permettant l'exécution de code à distance

Critique

Scripts accessibles en écriture par tous les utilisateurs et exécutés par des comptes privilégiés

Critique

Identifiants d'administration trouvés en clair dans des scripts et fichiers de configuration

Élevé

Flux autorisés depuis un serveur compromis vers le réseau d’administration malgré la segmentation

Élevé

Mots de passe faibles sur plusieurs comptes (password spraying)

Élevé

Données sensibles accessibles sur les partages réseau (données personnelles, documents internes)

Résultats

Bilan et recommandations

Bilan

22 vulnérabilités : 3 critiques, 5 élevées, 7 moyennes, 7 faibles

En partant d’un compte utilisateur standard, l’auditeur a obtenu un premier accès sur un serveur vulnérable puis utilisé les identifiants trouvés dans un script partagé pour accéder à un compte d’administration.

Les flux encore autorisés depuis ce serveur ont donné accès au réseau d’administration, ce qui a permis de poursuivre l’attaque jusqu’à obtenir des droits d’administrateur du domaine et accéder à des partages sensibles.

Parmi les 22 vulnérabilités recensées dans le rapport, la collectivité a priorisé la mise à jour des serveurs, le renouvellement des identifiants exposés et la correction des droits sur les partages.

Recommandations

Mettre à jour les serveurs obsolètes en priorité
Restreindre les droits d'écriture sur les dossiers partagés au strict nécessaire
Supprimer tous les identifiants stockés en clair dans les scripts et fichiers
Restreindre les flux vers le réseau d’administration et les sorties Internet aux besoins identifiés
Imposer une politique de mots de passe robustes
Réaliser un inventaire des données sensibles présentes sur les partages réseau

Enseignements

Leçons apprises

Les règles de segmentation qui autorisaient les flux entre le serveur compromis et le réseau d’administration ont été intégrées au plan de correction.
Un script partagé contenait des identifiants d’administration encore valides, qui ont permis de poursuivre l’attaque après le premier accès.
Des serveurs non mis à jour depuis plusieurs années étaient toujours exposés à des failles critiques connues