Apprendre comment utiliser Specops Password Auditor

Ils sont souvent la cible de nombreux attaquants qui les recherchent comme de l'or. Certains peuvent être facilement trouvés, tandis que d'autres peuvent être plus difficiles à trouver. Mais, inévitablement, ils peuvent certainement constituer le maillon faible de la sécurité de toute votre organisation. Quelle est cette ressource hautement désirable, souvent volée et ciblée ? Les mots de passe. Plus précisément, les mots de passe Active Directory.

La plupart des entreprises utilisent Microsoft Active Directory (AD) comme solution centralisée de gestion des identités et des accès. Le nom d'utilisateur et le mot de passe AD standard permettent aux utilisateurs d'accéder à un grand nombre de systèmes, notamment la messagerie électronique, les partages de fichiers, les postes de travail Windows, les serveurs de terminaux, SharePoint et de nombreux autres systèmes intégrés à Active Directory.

Les utilisateurs finaux utilisent souvent des mots de passe dangereux et faciles à retenir pour leurs comptes d'utilisateur, même si des politiques de mot de passe Active Directory sont en place. Repérer les mots de passe à risque dans votre environnement est plus important que vous ne le pensez. Pourquoi ? Comment renforcer la sécurité des mots de passe dans votre organisation ?

Les attaques par ransomware et les violations de données font continuellement la une des journaux. Il y a souvent un point commun entre les violations de données ou les attaques de ransomware : des informations d'identification volées ou faibles. Prenez note de ce qui suit :

• Kaspersky - « La grande majorité des violations de données sont dues à des informations d'identification volées ou faibles. Si des criminels malveillants disposent de votre combinaison de nom d'utilisateur et de mot de passe, ils ont une porte ouverte sur votre réseau » ;
• Verizon 2020 DBIR - « Plus de 80 % des brèches dans le cadre du piratage impliquent la force brute ou l'utilisation d'identifiants perdus ou volés » ;
• Infosecurity Magazine - « Il y a un an, des chercheurs ont découvert que 2,2 milliards d'enregistrements avaient fait l'objet d'une fuite, connue sous le nom de Collection 1-5… Avec ce trésor, les pirates peuvent simplement tester des combinaisons d'e-mails et de mots de passe sur différents sites, en espérant qu'un utilisateur en ait réutilisé un. Cette technique populaire est connue sous le nom de credential stuffing et est le coupable de nombreuses violations de données récentes. »

Les cybercriminels en ont après les mots de passe de votre organisation. Pourquoi les mots de passe sont-ils une telle cible ? En termes simples, le vol d'informations d'identification est la voie de moindre résistance dans votre environnement. Si un attaquant dispose de la combinaison de votre nom d'utilisateur et de votre mot de passe, il dispose d'une « porte grande ouverte » sur votre réseau et sur les systèmes critiques de votre entreprise. Il peut s'agir de la messagerie électronique, de sites Web, de comptes bancaires et d'autres sources de DPI. Pire encore, si un attaquant peut mettre la main sur les informations d'identification de l'administrateur, il possède les « clés du royaume » et peut faire tout ce qu'il veut.

Les attaquants utilisent un certain nombre de techniques pour mettre la main sur des informations d'identification volées. Il peut s'agir d'attaques par force brute, de pulvérisation de mots de passe, mais aussi de l'utilisation de bases de données de mots de passe divulgués. Les mots de passe divulgués qui résultent de violations de données antérieures sont également connus sous le nom de mots de passe « pwned ».

Les mots de passe sont hachés dans Active Directory et ne peuvent pas être lus, même par les administrateurs. Alors, comment pouvez-vous trouver efficacement les mots de passe faibles, réutilisés et même violés dans votre environnement ?

Il n'y a pas de fonctionnalité intégrée dans Active Directory qui vous permette nativement de vérifier les mots de passe réutilisés ou violés. Le seul véritable outil intégré dans Active Directory que les administrateurs ont à leur disposition est la politique de mot de passe Active Directory. Les stratégies de mot de passe font partie d'un objet de stratégie de groupe Active Directory et définissent les caractéristiques requises pour les mots de passe. Ces caractéristiques peuvent inclure des majuscules, des minuscules, des chiffres, des caractères spéciaux et un nombre de caractères minimum. Bien que cela aide à prévenir l'utilisation de mots de passe faibles, certains mots de passe sont toujours faciles à deviner avec des substitutions de lettres et de chiffres. En outre, la plupart des organisations activent les minima de longueur et de complexité des mots de passe.

Vous trouverez ci-dessous un exemple de stratégie de mot de passe Active Directory par défaut, non configurée.

Le cas d'utilisation principal de Specops Password Auditor est celui d'une organisation qui a besoin de rechercher dans Active Directory les vulnérabilités de sécurité suivantes :

• mots de passe expirant ou périmés ;
• comptes d'utilisateurs et/ou de services administratifs ;
• comptes qui ne nécessitent pas de mot de passe.

Vous pouvez utiliser cet outil pour vous aider à maintenir votre (vos) certification(s) de conformité de sécurité, ou vous pouvez simplement vouloir réduire la surface d'attaque de votre organisation. Specops vous offre cet outil gratuit pour le bénéfice de la communauté des administrateurs de système Windows, et comme point d'entrée pour l'un de ses produits commerciaux. Regardons de plus près Specops Password Auditor, voulez-vous ?

Allez-y et téléchargez le paquet .msi de 3 Mo sur le site Web de Specops. J'ai installé le freeware sur l'un de mes contrôleurs de domaine Windows Server 2016, bien que j'aurais tout aussi bien pu le faire sur un poste de travail administratif.

Specops Password Auditor ne dépend pas d'une base de données, et vous aurez l'outil opérationnel en moins d'une minute dans la plupart des circonstances. Une remarque : si vous êtes connecté à votre poste de travail avec des privilèges d'utilisateur standard, vous voudrez démarrer le logiciel sous un identifiant d'administrateur de domaine.

Cliquez avec le bouton droit de la souris sur l'icône Specops Password Auditor dans le menu Démarrer, puis cliquez sur Plus > Exécuter en tant qu'utilisateur différent, comme indiqué dans la capture d'écran suivante.

Exécuter Specops Password Auditor avec des informations d'identification alternatives

L'interface utilisateur principale est simple : il vous suffit de vérifier le domaine Active Directory cible, le contrôleur de domaine Active Directory Domain Services (AD DS) et de cliquer sur Start Scanning. Je vous montre cette interface dans la capture d'écran suivante.

Lorsque vous lancez Specops Password Auditor, vous accédez à un écran comme celui qui est illustré dans la figure ci-dessous. Comme vous pouvez le voir sur la figure, Specops a rendu le démarrage extrêmement facile. Tout ce que vous avez à faire est d'entrer le nom de votre domaine, et le nom de domaine pleinement qualifié d'un contrôleur de domaine dans le domaine, puis de cliquer sur le bouton géant Start. Comme si cela n'était pas assez simple, les champs Domaine et Contrôleur de domaine étaient préremplis sur mon serveur de test, de sorte que je n'ai même pas eu à fournir d'informations à Specops Password Auditor. Tout ce que j'avais à faire était de cliquer sur le bouton Start.

Voici l'écran qui s'affiche lorsque vous lancez Specops Password Auditor pour la première fois.

Avant de parler du processus de numérisation, je tiens à souligner certaines des choses qui s'affichent sur l'écran illustré dans la figure ci-dessus. J'aime beaucoup le fait que le logiciel explique exactement ce qui va se passer, et comment les informations qu'il collecte seront utilisées. Il n'y a pas de jargon technique ni d'ambiguïté. Le logiciel vous dit essentiellement qu'il va analyser votre Active Directory et comparer les paramètres qu'il contient aux normes et aux meilleures pratiques du secteur afin de générer une série de rapports. En outre, l'écran vous indique sans ambiguïté que le logiciel lira les informations de l'Active Directory, mais n'y apportera aucune modification.

Interface utilisateur de Specops Password Auditor

Lorsque vous cliquez sur les détails de la recherche de mots de passe, vous verrez la liste spécifique des comptes d'utilisateur avec le risque de mot de passe affiché. En outre, Specops Password Auditor indique l'emplacement, la dernière connexion et la politique de mot de passe associée du compte utilisateur particulier.

• Utilisation des politiques de mot de passe : quel pourcentage de votre base d'utilisateurs est affecté par les politiques de mot de passe détectées ?
• Conformité de la politique de mot de passe : comment votre politique actuelle en matière de mots de passe se compare-t-elle aux autres recommandations standard du secteur ?

Ceci étant dit, j'aimerais revenir sur un point que j'ai brièvement mentionné plus tôt. La case Conformité de la politique de mot de passe contient un indicateur coloré qui reflète la santé de la politique de mot de passe. Dans mon cas, cet indicateur était rouge. J'ai constaté que si je clique sur cet indicateur, j'accède à un écran comme celui illustré ci-dessous qui répertorie diverses normes industrielles telles que NIST et PCI. Pour chaque norme, il y a une icône qui indique si la politique de mot de passe actuelle est conforme, partiellement conforme ou non conforme à la politique.

Ce dernier rapport, Password Policy Compliance, est particulièrement utile. Ici, Specops Password Auditor évalue vos politiques de mot de passe actuelles par rapport aux normes suivantes :

• Microsoft Research ;
• Microsoft TechNet ;
• Institut national des normes et de la technologie (NIST) ;
• Industrie des cartes de paiement (PCI) ;
• System Administration, Networking, and Security Institute (SANS) Admin ;
• Utilisateurs du SANS.

Comme vous pouvez le voir dans la capture d'écran composite suivante, vous pouvez approfondir chaque comparaison où vous pouvez voir les valeurs de vos politiques et si elles sont conformes, partiellement conformes ou ne répondent pas à l'ensemble des recommandations cibles. Specops Password Auditor vous permet également de descendre dans chaque valeur pour comprendre le score. Par exemple, la politique par défaut figurant dans la capture d'écran ci-dessous ne répond pas aux recommandations de Microsoft Technet et de la SANS en matière de longueur de mot de passe, ni aux exigences de la SANS en matière de dictionnaire et de complexité.