{"id":53879,"date":"2019-12-12T00:00:00","date_gmt":"2019-12-11T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/problema-konfidentsialnosti-dannyh-v-active-directory"},"modified":"2020-02-18T14:01:49","modified_gmt":"2020-02-18T11:01:49","slug":"problema-konfidentsialnosti-dannyh-v-active-directory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","title":{"rendered":"Le probl\u00e8me de confidentialit\u00e9 des donn\u00e9es dans Active Directory","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Le
\n
\nJ'ai effectu\u00e9 des tests de p\u00e9n\u00e9tration en utilisant PowerView<\/a><\/noindex> et je l'ai utilis\u00e9 pour extraire des informations sur les utilisateurs d'Active Directory (ci-apr\u00e8s d\u00e9nomm\u00e9 AD). \u00c0 l'\u00e9poque, je mettais l'accent sur la collecte d'informations sur l'appartenance aux groupes de s\u00e9curit\u00e9, et j'utilisais ensuite ces informations pour naviguer dans le r\u00e9seau. Quoi qu'il en soit, AD contient des donn\u00e9es sensibles sur les employ\u00e9s, dont certaines ne devraient vraiment pas \u00eatre accessibles \u00e0 tout le monde dans l'organisation. En fait, dans les syst\u00e8mes de fichiers Windows, il existe un \u00e9quivalent de la probl\u00e9matique \u00ab Everyone \u00bb<\/a><\/noindex>, qui peut \u00e9galement \u00eatre exploit\u00e9e tant par des attaquants internes qu'externes.<\/p>\n

Mais avant de parler des probl\u00e8mes de confidentialit\u00e9 et des moyens de les r\u00e9soudre, examinons les donn\u00e9es stock\u00e9es dans AD.
\n<\/a><\/noindex><\/p>\n

Active Directory est un Facebook d'entreprise. <\/h2>\n

\nMais dans ce cas, vous \u00eates d\u00e9j\u00e0 ami avec tout le monde ! Vous ne connaissez peut-\u00eatre pas les films, les livres et les restaurants pr\u00e9f\u00e9r\u00e9s de vos coll\u00e8gues, mais AD contient des informations de contact sensibles
\net d'autres champs qui peuvent \u00eatre utilis\u00e9s par des hackers et m\u00eame des initi\u00e9s sans comp\u00e9tences techniques particuli\u00e8res.<\/p>\n

Les administrateurs syst\u00e8me connaissent certainement la capture d'\u00e9cran ci-dessous. C'est l'interface d'Active Directory Users and Computers (ADUC), o\u00f9 ils \u00e9tablissent et modifient les informations sur les utilisateurs et attribuent les utilisateurs aux groupes appropri\u00e9s.<\/p>\n

\"Le
\n
\nAD contient des champs avec le nom de l'employ\u00e9, l'adresse et le num\u00e9ro de t\u00e9l\u00e9phone, donc il ressemble \u00e0 un annuaire t\u00e9l\u00e9phonique. Mais il y a bien plus ! D'autres onglets contiennent \u00e9galement des adresses \u00e9lectroniques et des URL, le sup\u00e9rieur hi\u00e9rarchique et des notes.<\/p>\n

Tout le monde dans l'organisation doit-il voir ces informations, en particulier \u00e0 une \u00e9poque de l'OSINT<\/a><\/noindex>, o\u00f9 chaque nouveau d\u00e9tail facilite la recherche d'informations suppl\u00e9mentaires ?<\/p>\n

Bien s\u00fbr que non ! Le probl\u00e8me s'aggrave lorsque les donn\u00e9es de la haute direction de l'entreprise sont accessibles \u00e0 tous les employ\u00e9s.<\/p>\n

PowerView pour tous<\/h2>\n

\nC'est l\u00e0 qu'intervient PowerView. Il fournit une interface PowerShell tr\u00e8s conviviale pour les fonctions Win32 sous-jacentes (et compliqu\u00e9es) qui acc\u00e8dent \u00e0 AD. En d'autres termes :
\nil rend l'obtention des champs AD aussi simple que de taper une tr\u00e8s courte commande.<\/p>\n

Prenons l'exemple de la collecte d'informations sur l'employ\u00e9e Cruella Deville, qui est l'un des dirigeants de l'entreprise. Pour cela, utilisons la commande PowerView get-NetUser :<\/p>\n

\"Le
\n
\nL'installation de PowerView n'est pas une s\u00e9rieuse probl\u00e9matique \u2013 v\u00e9rifiez-le vous-m\u00eame sur la page github<\/a><\/noindex>. Et ce qui est plus important, vous n'avez pas besoin de privil\u00e8ges \u00e9lev\u00e9s pour ex\u00e9cuter de nombreuses commandes PowerView, telles que get-NetUser. Ainsi, un employ\u00e9 motiv\u00e9 mais peu technique peut commencer \u00e0 fouiller dans AD sans trop d'efforts.<\/p>\n

Comme le montre la capture d'\u00e9cran ci-dessus, un initi\u00e9 peut rapidement apprendre beaucoup de choses sur Cruella. Avez-vous \u00e9galement remarqu\u00e9 que le champ \u00ab info \u00bb r\u00e9v\u00e8le des informations sur les habitudes personnelles et le mot de passe de l'utilisateur ?<\/p>\n

Ce n'est pas une probabilit\u00e9 th\u00e9orique. D'apr\u00e8s les dialogues avec d'autres pentesters<\/a><\/noindex> , j'ai appris qu'ils scannent AD \u00e0 la recherche de mots de passe en texte clair, et souvent ces tentatives, malheureusement, r\u00e9ussissent. Ils savent que les entreprises n\u00e9gligent les informations dans AD et, en g\u00e9n\u00e9ral, ne sont pas conscientes du sujet suivant \u2013 les permissions dans AD.<\/p>\n

Active Directory a ses propres ACL<\/h2>\n

\nL'interface AD Utilisateurs et ordinateurs permet de d\u00e9finir des permissions pour les objets AD. Dans AD, il existe des ACL, et les administrateurs peuvent attribuer ou interdire l'acc\u00e8s via celles-ci. Vous devez cliquer sur \u00ab Avanc\u00e9 \u00bb dans le menu ADUC Affichage, et ensuite, lorsque vous ouvrez l'utilisateur, vous verrez l'onglet \u00ab S\u00e9curit\u00e9 \u00bb, o\u00f9 vous d\u00e9finirez les ACL. <\/p>\n

Dans mon sc\u00e9nario avec Cruella, je ne voulais pas que tous les utilisateurs authentifi\u00e9s puissent voir ses informations personnelles, donc j'ai interdit leur acc\u00e8s en lecture :<\/p>\n

\"Le
\n
\nEt maintenant, un utilisateur ordinaire le verra s'il essaie Get-NetUser dans PowerView :<\/p>\n

\"Le
\n
\nJ'ai r\u00e9ussi \u00e0 cacher des informations manifestement utiles des yeux indiscrets. Pour maintenir l'acc\u00e8s \u00e0 celles-ci pour les utilisateurs pertinents, j'ai cr\u00e9\u00e9 une autre ACL, permettant aux membres du groupe VIP (Cruella et ses autres coll\u00e8gues de haut rang) d'acc\u00e9der \u00e0 ces donn\u00e9es confidentielles. En d'autres termes, j'ai mis en \u0153uvre des permissions AD bas\u00e9es sur un mod\u00e8le de r\u00f4le, rendant les donn\u00e9es sensibles inaccessibles \u00e0 la plupart des employ\u00e9s, y compris les initi\u00e9s.<\/p>\n

Cependant, vous pouvez rendre l'appartenance au groupe invisible pour les utilisateurs en configurant correctement les ACL pour l'objet groupe dans AD. Cela aidera en termes de confidentialit\u00e9 et de s\u00e9curit\u00e9.<\/p>\n

Dans ma s\u00e9ries d'\u00e9valuations de p\u00e9n\u00e9tration \u00e9piques<\/a><\/noindex> J'ai montr\u00e9 comment naviguer dans le syst\u00e8me en \u00e9tudiant l'appartenance aux groupes \u00e0 l'aide de PowerViews Get-NetGroupMember. Dans mon sc\u00e9nario, j'ai restreint l'acc\u00e8s en lecture aux membres d'un groupe sp\u00e9cifique. Vous pouvez voir le r\u00e9sultat de l'ex\u00e9cution de la commande avant et apr\u00e8s les modifications :<\/p>\n

\"Le
\n
\nJ'ai r\u00e9ussi \u00e0 masquer l'appartenance de Cruella et Monty Burns au groupe VIP, rendant plus difficile pour les hackers et les initi\u00e9s de cartographier l'infrastructure.<\/p>\n

Ce post avait pour but de vous motiver \u00e0 examiner plus attentivement les champs
\nAD et les autorisations qui y sont associ\u00e9es. AD est une excellente ressource, mais r\u00e9fl\u00e9chissez \u00e0 la mani\u00e8re dont vous
\nsouhaitez partager des informations sensibles et des donn\u00e9es personnelles, en particulier
\nlorsqu'il s'agit des hauts responsables de votre organisation. \u00a0
\n
Source : habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430 \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c PowerView \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0435\u0433\u043e \u0434\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u0445 \u0438\u0437 Active Directory (\u0434\u0430\u043b\u0435\u0435 \u2013 AD). \u0412 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u044f \u0434\u0435\u043b\u0430\u043b \u0430\u043a\u0446\u0435\u043d\u0442 \u043d\u0430 \u0441\u0431\u043e\u0440\u0435 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0447\u043b\u0435\u043d\u0441\u0442\u0432\u0435 \u0432 \u0433\u0440\u0443\u043f\u043f\u0430\u0445 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438, \u0430 \u0437\u0430\u0442\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u044d\u0442\u0443 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u0442\u044c\u0441\u044f \u043f\u043e \u0441\u0435\u0442\u0438. \u0412 \u043b\u044e\u0431\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435, AD \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u043e \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u0430\u0445, \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-53879","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Probl\u00e8me de confidentialit\u00e9 des donn\u00e9es dans Active Directory | ProHoster","description":"J'ai effectu\u00e9 des tests sur.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 Active Directory | ProHoster","og:description":"\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430.","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-11T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53879","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 09:08:21","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:16:27","updated":"2026-01-24 09:08:21","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/53879","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=53879"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/53879\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=53879"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=53879"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=53879"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}