Active Directory - Administration sécurisée - NIVEAU 2
EXPERT- 3 jours
- INTER
- 2800 HT
- 8 participants max
- ·
- Présentiel ou Distanciel
- ·
- Tarif INTRA sur demande
OBJECTIFS
Cette formation vise à approfondir la sécurisation Active Directory et des environnements Windows.
Les principaux objectifs pédagogiques sont :
- Consolider les connaissances fondamentales et concepts clés
- Sécuriser les services DNS, ADCS et ADFS dans un domaine Active Directory
- Appliquer les bonnes pratiques de cloisonnement et de durcissement
- Comprendre les risques associés à la notion de dissémination de secrets
- Mettre en œuvre les différentes composantes définies par le Tiering
- PUBLIC
- ▪ Profils techniques en charge de la sécurisation d’environnements Active Directory
- PRÉREQUIS
- ▪ Maîtriser les fondamentaux de l’administration AD et des environnements Windows
- ▪ Recommandé : avoir suivi la formation "Active Directory – Niveau 1"
PROGRAMME
RAPPELS SUR LA FORMATION AD NIVEAU 1
▸ Concepts de base, architecture AD, rôles FSMO, GPOs
SÉCURITÉ DU SERVICE ADCS
▸ Rappels sur les systèmes de type PKI : clé public/privée, certificat, norme X.509, etc.
▸ Analyse d’un certificat : notion d’extensions, SAN, EKU, OID, etc.
▸ Service ADCS : création d’une CA, stockage dans l’annuaire, notion de templates, etc.
▸ Kerberos et certificat : rappels sur le protocole Kerberos, PKINIT, etc.
▸ Attaques sur les certificats : export des clés privées, Pass-The-Certificate, Shadow Credentials, etc.
▸ Attaques ESCx : Certipy, ESC1, ESC2, ESC3, ESC4, etc)
SÉCURITÉ DES SERVICES DNS ET ADFS
▸ Service DNS et stockage dans l’annuaire
▸ Sécurité des enregistrements DNS : mise à jour non sécurisée, wildcard, ACLs, etc.
▸ Risques du groupe « DNSAdmins » : compromission du service DNS
▸ Risques de la fonctionnalité de transfert de zones
▸ ADFS et compte de service : Kerberoasting, mot de passe faible, etc.
▸ Exposition du service ADFS : exposition sur Internet, attaque Golden SAML, etc.
METHODES DE CONNEXION ET DISSÉMINATION DE SECRETS
▸ Rappels sur les « Logon Type » : Interactive, Remote Interactive, Network, etc.
▸ Rappels sur les notions de « secrets en mémoire » et « principe de dissémination »
▸ Comparatif des méthodes de connexions : session locale, runas, RDP, RDP RA, MMC, WinRM, etc.
▸ Principe de connexion avec « identité implicite » et « identité explicite »
TIERING MODEL - CLASSIFICATION
▸ Présentation du « Tiering Model » : zones de confiances, Enterprise Access Model, etc.
▸ Caractéristiques du T0, T1 et T2 : nombre de ressources, niveau d’exposition, criticité, etc.
▸ Identification des chemins d’attaques : chemins de contrôles AD, erreurs de configurations, etc.
▸ Problématiques de classification : infrastructure de virtualisation et de sauvegarde, agents et gestion centralisée, WSUS, sécurité physique, ADCS, Microsoft Exchange, etc.
TIERING MODEL - CLOISONNEMENT
▸ Familles de cloisonnements : logique, réseau, système, physique, etc.
▸ Processus de cloisonnement : identification, analyse, catégorisation, etc.
▸ JEA - Just Enough Administration : principe, mise en place en PowerShell Remoting/WinRM
▸ JIT - Just In Time : principe, options en PowerShell, solutions PAM, etc.
▸ Groupe « Protected Users » : caractéristiques et apports en sécurité
▸ Durcissements sur Kerberos : blindage, revendications, stratégies d’authentification, etc.
▸ Silo d’authentification : dépendances à Kerberos, mise en place, particularités
▸ Restriction d’ouvertures de sessions via GPOs : mise en place, particularités
▸ Système de délégation des droits dans l’AD
TIERING MODEL - MUTUALISATION
▸ Principe de mutualisation dans les actions d’administration
▸ Architectures possibles : poste physique dédié, poste physique multiniveaux, serveur de rebond
▸ Isolation des environnements : dual boot, machines hors-domaine, virtualisation, etc.
Méthodes
- Cours magistral et travaux pratiques (dont accès Root-Me PRO)
VALIDATION
- En fin de formation, une attestation non certifiante est délivrée sur validation de la mise
en pratique.
Livrables
- Attestation non certifiante, supports de formation et, selon les formations, licence d'essai de 7 jours aux environnements Root-Me PRO.
