Sécurité Active Directory: Etablir un référentiel

AMBIENT INTELLIGENCE
tech days•
2015
#mstechdays techdays.microsoft.fr

Sécurité AD:
Pensez référentiel !
Jean-Philippe Klein – Sr Premier Field Engineer (Microsoft)
Didier Pilon – Principal Premier Field Engineer – PMC (Microsoft)

tech.days 2015#mstechdays
 Introduction
 Les objets AD à surveiller
 Gestion de la délégation AD
 Configuration des contrôleurs de domaine
 Les serveurs membres
 Conclusion
#

 Qu’est ce qu’un référentiel Active Directory ?
 Pourquoi créer un référentiel Active Directory ?
#

Les groupes
Administrators Backup Operators Performance Monitor Users Cryptographic Operators IIS_IUSRS
Users Network Configuration
Operators
Performance Log Users Incoming Forest Trust Builders Terminal Server License Servers
Guests Remote Desktop Users Distributed COM Users Certificate Service DCOM Access Replicator
Print Operators Windows Authorization Access
Group
Event Log Readers Pre-Windows 2000 Compatible
Access
Domain Computers Cert Publishers* Group Policy Creator Owners Allowed RODC Password Replication Group DnsAdmins
Domain Controllers Domain Admins RAS and IAS Servers Denied RODC Password Replication Group DnsUpdateProxy
Schema Admins Domain Users Server Operators Enterprise Read-only Domain Controllers Read-only Domain Controllers
Enterprise Admins Domain Guests Account Operators
#

Administrator Krbtgt Les comptes appartenant à un
groupe à fort privilege.
Utilisateurs avec des privilèges sur
les systèmes tiers
Utilisateurs VIP
Les objets “Read Only Domain
Controller”
Les comptes
Les objets “Domain Controller”
Les objets machines qui exécutent
des services sensibles/critiques
Comptes de services, …
Comptes avec délégation sur l’AD
#

AdminSDHolder Les relations d’approbation Politique de mot de passe du
domaine
Fine Grained Password Policies -
FGPP (msDS-PasswordSettings)
Les GPO
Les comptes locaux DSRM
Les autres objets
Les scripts de
logon/logoff/startup/shutdown
#

Access Control List
ACE
ACE
Owner

ACL avec PowerShell
Import-Module ActiveDirectory
(Get-ACL 'AD:CN=Administrator,CN=Users,DC=nwtraders,DC=local') | gm |
?{ $_.MemberType -eq "CodeProperty"}
(Get-ACL 'AD:CN=Administrator,CN=Users,DC=nwtraders,DC=local').Access
(Get-ACL 'AD:CN=Administrator,CN=Users,DC=nwtraders,DC=local').SDDL

Get-ACK

ACL / ACEs

Format SDDL
 Header
 DACL
 SACL
 Primary Group
 Owner

Création d’un référentiel

Modélisation

Vérification

 Partition de domaine
 Partition de configuration
 Partition de schema
Les autres objets
#

 Les attributs surveillés sur tous les objets (sauf nTDSconnection)
Partition de configuration
ntSecurityDescriptor rightsGuid ValidAccesses
caCertificate crossCertificatePair
#

 Les attributs surveillés sur tous les objets
Partition de schéma
ntSecurityDescriptor defaultSecurityDescriptor attributeSecurityGUID
schemaIdGuid SystemFlags SearchFlags
#

 Analyse des ACL sur l’ensemble des objets ?
 Utilisation des métadonnées de réplication
Configuration / Schéma

Metadonnées de réplication
repadmin /showobjmeta . "CN=Administrator,CN=Users,DC=nwtraders,DC=local"

Configuration / Schema

Introduction
#

 Compte à privilèges sur les serveurs membres
 Services
 Taches planifiés
 Application Pool
 …
Introduction
#

Analyse des
déviations

Compromission

Modèle de
délégation

Configuration et
Schéma

Serveurs membres

Analyser
l’existant
Définir le
niveau de
sécurité
souhaité
Appliquer les
changements
Créer son
référentiel
#
 2 types d’analyses

Analyser
l’existant
Définir le
niveau de
sécurité
souhaité
Appliquer les
changements
Créer son
référentiel
#
 Suivre les bonnes pratiques de l’éditeur dans
votre contexte

Analyser
l’existant
Définir le
niveau de
sécurité
souhaité
Appliquer les
changements
Créer son
référentiel
#
 Respecter les règles ITIL pour la gestion du
changement
 Vérifier la compatibilité avec les applications

Analyser
l’existant
Définir le
niveau de
sécurité
souhaité
Appliquer les
changements
Créer son
référentiel
#
 Et le faire vivre …

 ACL Scanner
https://adaclscan.codeplex.com/
 Get-ServiceAccountUsage
https://gallery.technet.microsoft.com/Get-ServiceAccountUsage-
b2fa966f
 Security Compliance Manager
https://technet.microsoft.com/en-us/library/cc677002.aspx
Outils

Sécurité Active Directory: Etablir un référentiel

Contenu connexe

Tendances

En vedette

Similaire à Sécurité Active Directory: Etablir un référentiel

Plus de Microsoft Décideurs IT

Sécurité Active Directory: Etablir un référentiel