Sources¶
Les règles d'audit, les fiches et les chemins d'attaque s'appuient sur ces références. Chaque règle cite les siennes : voir Règles d'audit.
ANSSI¶
- Points de contrôle Active Directory : la checklist du CERT-FR, dont SMAD-X reprend les identifiants (
vuln_spn_priv,vuln_dnsadmins…) et les niveaux officiels. - Recommandations pour l'administration sécurisée des SI reposant sur AD (ANSSI-PA-099) : le cloisonnement en tiers.
NIST¶
- SP 800-53 Rev. 5 : contrôles de sécurité (moindre privilège AC-6, séparation des tâches AC-5, gestion des authentifiants IA-5…).
- SP 800-63B : authentification et gestion des mots de passe.
CIS¶
- CIS Controls v8, contrôle 5 : gestion des comptes.
- CIS Controls v8, contrôle 6 : gestion des accès.
MITRE ATT&CK¶
| Technique | Utilisée pour |
|---|---|
| T1558.003 Kerberoasting | comptes avec SPN |
| T1558.004 AS-REP Roasting | comptes sans préauthentification |
| T1558.001 Golden Ticket | mot de passe de krbtgt |
| T1558 Steal or Forge Kerberos Tickets | délégation Kerberos |
| T1550.003 Pass the Ticket | comptes privilégiés délégables |
| T1484.001 Group Policy Modification | GPO |
| T1222.001 Windows Permissions Modification | propriétaires et permissions |
| T1098 Account Manipulation | groupes et comptes |
| T1078.002 Domain Accounts | comptes dormants, mots de passe non requis |
Microsoft¶
- Enterprise Access Model : le modèle d'accès en tiers.
- Comptes et groupes protégés (AdminSDHolder)
- Comptes et groupes privilégiés
- Groupe Protected Users
- Délégation Kerberos contrainte
- Réinitialiser le mot de passe de krbtgt
- Modèles d'administration au moindre privilège
- Comptes de service gérés de groupe (gMSA)
Note
SMAD-X estime un niveau à la manière de l'ANSSI : ce n'est ni l'outil ADS de l'ANSSI, ni un audit officiel.