Pentest Active Directory : Collectivité territoriale

Collectivité territoriale

5 jours

Active Directory Windows

Contexte de la mission

Le défi

Contexte

Une collectivité territoriale souhaitait faire tester la sécurité de son réseau interne. La collectivité avait mis en place une segmentation réseau mais aucun test d'intrusion n'avait jamais été réalisé.

Objectifs

Évaluer la résistance du réseau interne face à un attaquant ayant obtenu un premier accès
Identifier les chemins d'attaque vers les comptes administrateurs du domaine
Vérifier l'efficacité de la segmentation réseau en place
Fournir un plan de correction priorisé

Déroulement

Découvertes clés

Périmètre testé

Réseau interne Active Directory
Serveurs et postes de travail
Dossiers partagés et lecteurs réseau
Segmentation réseau

Méthodologie

Test d'intrusion en boîte grise avec un compte utilisateur standard :

Reconnaissance du réseau et des services exposés
Identification des serveurs vulnérables
Exploitation des failles pour progresser dans le réseau
Tentative d'accès aux droits d'administrateur du domaine

Critique

Serveurs vulnérables à des failles critiques connues permettant l'exécution de code à distance

Critique

Dossiers partagés accessibles en écriture par tous les utilisateurs (scripts, exécutables, codes sources)

Critique

Identifiants d'administration trouvés en clair dans des scripts et fichiers de configuration

Élevé

Segmentation réseau contournable : les serveurs pouvaient accéder à Internet sans restriction

Élevé

Mots de passe faibles sur plusieurs comptes (password spraying)

Élevé

Données sensibles accessibles sur les partages réseau (données personnelles, documents internes)

Résultats

Bilan et recommandations

Bilan

22 vulnérabilités : 3 critiques, 5 élevées, 7 moyennes, 7 faibles

En partant d'un simple compte utilisateur, l'auditeur a pu devenir administrateur du domaine en exploitant des serveurs obsolètes, des identifiants trouvés dans des fichiers partagés et des mots de passe faibles.

La segmentation réseau a été contournée en utilisant l'accès Internet sortant des serveurs. L'ensemble des données du réseau était accessible.

Recommandations

Mettre à jour les serveurs obsolètes en priorité
Restreindre les droits d'écriture sur les dossiers partagés au strict nécessaire
Supprimer tous les identifiants stockés en clair dans les scripts et fichiers
Bloquer l'accès Internet sortant des serveurs
Imposer une politique de mots de passe robustes
Réaliser un inventaire des données sensibles présentes sur les partages réseau

Enseignements

Leçons apprises

La segmentation réseau était contournable car les serveurs avaient un accès Internet sortant
Les dossiers partagés contenaient des identifiants d'administration en clair dans des scripts
Des serveurs non mis à jour depuis plusieurs années étaient toujours exposés à des failles critiques connues