Comment améliorer la détection des attaques par brute force sur un Active Directory ?

Présentation

Dans cet article, nous allons aborder les attaques par brute force sur les comptes utilisateurs d’un Active Directory, en étudiant les évènements générés par défaut ainsi que l’importance d’améliorer la stratégie d’audit. Nous partagerons également des éléments et des requêtes pour détecter et visualiser une attaque par brute force dans un SIEM comme ELK.

Les évènements générés lors d’une brute force

Les journaux par défaut de l’Active Directory

Nous commencerons par analyser les évènements générés par l’Active Directory lors d’attaques par brute force. En effectuant des attaques de ce type, nous avons constaté que les journaux de sécurité par défaut ne permettent pas d’identifier efficacement une attaque par brute force. Il est donc essentiel de suivre les bonnes pratiques de sécurité pour renforcer la détection.

Durcissement de la stratégie d’audit

Il est possible de configurer l’Active Directory pour générer des évènements relatifs aux tentatives d’authentification en activant la journalisation des évènements de sécurité d’importance. En ajustant la stratégie d’audit selon les recommandations des guides de sécurité, il est possible d’améliorer la détection des attaques par brute force. Cela permet de journaliser les succès et les échecs d’authentification, renforçant ainsi la visibilité sur les tentatives d’attaques.

Surveiller le verrouillage des comptes utilisateur

En cas d’une attaque par brute force, la surveillance du verrouillage des comptes utilisateurs peut fournir des indicateurs précieux. En gardant un œil sur les évènements de verrouillage des comptes, il est possible de détecter une attaque en cours. Cependant, il est important de noter que le verrouillage des comptes peut être contourné par un attaquant expérimenté.

Détection d’une attaque par brute force avec ELK

Grâce à un SIEM comme ELK, il est possible de détecter activement une attaque par brute force en analysant les évènements de sécurité. En filtrant les évènements liés aux échecs d’authentification et aux verrouillages des comptes, on peut identifier les anomalies et détecter une attaque en cours. Cependant, il est important de rester vigilant face aux techniques d’évitement des attaquants.

Conclusion

Dans cet article, nous avons souligné l’importance de configurer correctement la stratégie d’audit de l’Active Directory pour détecter les attaques par brute force. En suivant les bonnes pratiques de sécurité et en utilisant un SIEM pour surveiller les évènements de sécurité, il est possible d’identifier et de contrer efficacement ce type d’attaques. La vigilance et la mise en place de mesures de sécurité adéquates sont essentielles pour protéger un environnement Active Directory contre les attaques par brute force.

Source : www.it-connect.fr