Détecter l’attaque DCSync : journaux, SIEM, réseau.

Comment détecter l’exploitation de DCSync dans un environnement Active Directory

Dans cet article, nous allons nous intéresser aux possibilités de détection de l’exploitation de DCSync au sein d’un domaine Active Directory. Nous utiliserons pour cela les journaux d’évènements qui permettent de tracer et historiser l’activité des systèmes d’exploitation Windows et de l’Active Directory. De plus, nous effectuerons également l’analyse du trafic réseau qui permet d’identifier une attaque par DCSync avec plus de certitude.

Détecter l’exploitation de DCSync via les journaux

Les évènements générés par une attaque DCSync

Il existe quelques stratégies d’audit et évènement relatifs aux tâches de réplication entre contrôleurs de domaine. Néanmoins, leur contenu et apparition ne sont pas suffisants pour affirmer qu’une attaque DCSync est en cours. Pour la plupart, ils ne contiennent aucune information sur l’objet source de la demande de réplication.

Pour avoir des signaux intéressants concernant une potentielle attaque DCSync, il est nécessaire d’activer une stratégie d’audit spécifique au niveau des contrôleurs de domaine. Cela permet à l’Active Directory de générer des événements chaque fois qu’un objet demande l’accès à un autre objet avec des permissions spécifiques, ce qui est le cas lors d’une opération de réplication (DCSync).

Visualisation d’une attaque DCSync dans un SIEM ELK

Une fois la bonne stratégie d’audit paramétrée, il est possible d’utiliser un SIEM (ELK dans notre exemple) pour analyser et visualiser les évènements générés lors d’une attaque DCSync. Cela permet de repérer les signaux caractéristiques de cette attaque et de mettre en place des alertes en cas de détection.

Détecter l’ajout des permissions DCSync via les journaux

En plus de surveiller l’exploitation de DCSync, il est également important de détecter toute modification des permissions d’un objet visant à ajouter les permissions permettant de réaliser une attaque DCSync. Cela peut se faire en activant une stratégie d’audit spécifique au niveau des contrôleurs de domaine et en surveillant les évènements liés à ces modifications.

Détection de l’attaque DCSync via l’analyse réseau

Un Network Intrusion Detection System (NIDS) peut être utilisé pour détecter une attaque DCSync en analysant le trafic réseau en temps réel. Des règles de détection spécifiques doivent être mises en place pour repérer les schémas d’attaque liés à DCSync et déclencher des alertes en cas de détection.

Conclusion

Dans cette seconde partie de l’article sur l’attaque DCSync, nous avons identifié plusieurs moyens de détection de cette attaque. Que ce soit par les journaux d’évènements, l’ajout de solutions tierces comme RPCFirewall ou par la surveillance du réseau avec des NIDS comme Suricata, il est possible d’identifier et de détecter une attaque DCSync ciblant nos contrôleurs de domaine.

Source : www.it-connect.fr