Test de pénétration interne : Un audit du point de vue du Ransomware

Le test de pénétration interne, ou pentest interne, est une évaluation critique de la sécurité des systèmes informatiques depuis l’intérieur de l’organisation. Contrairement au pentest externe qui simule des attaques venant de l’extérieur, le pentest interne envisage des scénarios où un attaquant a déjà accès au réseau interne, soit par un accès physique, soit par le biais d’un compromis initial, comme un phishing réussi.

Objectif du Pentest Interne

L’objectif principal du pentest interne est d’identifier et d’évaluer les vulnérabilités et les faiblesses au sein du réseau interne qui pourraient être exploitées par un attaquant ayant accès au réseau. Cela inclut l’évaluation des contrôles d’accès, la segmentation du réseau, les politiques de sécurité, et la manière dont les informations sensibles sont protégées.

Le Point de Vue du Ransomware

Dans le contexte des ransomwares, le pentest interne devient encore plus pertinent. Les attaquants utilisant des ransomwares cherchent à s’implanter profondément dans le réseau avant de déclencher l’attaque, maximisant ainsi leur impact. Un pentest interne peut simuler cette approche pour identifier comment un ransomware pourrait se propager à travers le réseau, quelles données pourraient être chiffrées, et comment les mécanismes de réponse à incidents peuvent être améliorés.

Étapes Clés du Pentest Interne

• Collecte d’Informations: Comprendre la structure du réseau, les actifs critiques, et les points d’entrée potentiels.
• Évaluation des Contrôles: Tester la robustesse des contrôles d’accès, des mécanismes de séparation du réseau, et des politiques de sécurité.
• Simulation d’Attaque: Effectuer des attaques contrôlées pour identifier les chemins d’accès et les vulnérabilités exploitées par les ransomwares.
• Analyse Post-Exploitation: Évaluer l’impact potentiel d’une compromission réussie et identifier les données à risque.
• Rapport et Amélioration: Fournir un rapport détaillé des découvertes et recommander des améliorations pour renforcer la sécurité.

Importance du Pentest Interne

Dans un paysage de menaces en évolution, où les attaques de ransomware deviennent de plus en plus sophistiquées avec l’avénement des plateformes RAAS (Ransomware as a service), le pentest interne est essentiel pour préparer et fortifier les défenses internes d’une organisation. En identifiant proactivement les faiblesses et en testant les mécanismes de défense, les organisations peuvent améliorer leur posture de sécurité et réduire le risque que représente un ransomware.

Ce que l’on regarde concrètement dans un Active Directory

Dans la plupart des entreprises, l’Active Directory est le cœur du système d’information : il décide qui peut se connecter où, et avec quels droits. C’est donc la cible prioritaire d’un attaquant une fois entré. Un pentest interne s’intéresse notamment à :

• Les relations de droits. Avec le temps, un annuaire accumule des groupes imbriqués, des délégations et des exceptions. Des outils comme BloodHound, utilisés aussi bien par les attaquants que par les défenseurs, permettent de visualiser ces relations et de repérer les chemins qui mènent d’un compte ordinaire aux comptes d’administration.
• Les comptes de service. Souvent créés il y a des années, avec des mots de passe qui ne changent jamais et des droits plus larges que nécessaire.
• Les protocoles hérités. Certains mécanismes d’authentification anciens restent activés par compatibilité, alors qu’ils facilitent la propagation d’un attaquant.
• Les mots de passe administrateurs locaux. Lorsqu’ils sont identiques sur tous les postes, la compromission d’une seule machine ouvre l’accès à toutes les autres.
• Les services associés à l’annuaire, comme une autorité de certification interne, dont la configuration est rarement revue après l’installation.

Les corrections qui ont le plus d’effet

Un rapport de pentest interne peut contenir des dizaines de constats. L’expérience montre que quelques mesures réduisent fortement le risque de propagation d’un rançongiciel :

• Séparer les comptes d’administration. Un administrateur ne devrait jamais lire ses emails ou naviguer sur Internet avec un compte qui a des droits sur le domaine. Le modèle par niveaux (tiering) recommandé par Microsoft et l’ANSSI formalise cette séparation.
• Rendre uniques les mots de passe administrateurs locaux, par exemple avec Windows LAPS.
• Désactiver les protocoles hérités qui ne sont plus nécessaires, après avoir vérifié qu’aucune application ne les utilise encore.
• Réduire les droits des comptes de service et leur attribuer des mots de passe longs, ou des comptes de service gérés.
• Segmenter le réseau pour qu’un poste utilisateur ne puisse pas joindre directement les serveurs d’administration.
• Protéger les sauvegardes : au moins une copie hors ligne ou immuable, inaccessible avec les comptes du domaine.

Ces mesures ne demandent pas toutes un budget important. Le rôle du pentest est de dire lesquelles s’appliquent à votre environnement, et dans quel ordre.

Pour aller plus loin, l’ANSSI publie des recommandations de sécurité relatives à Active Directory qui servent de référence lors de nos audits.