Renforcer la sécurité LDAP dans Active Directory : activation et configuration optimal
Activation et configuration du LDAP Signing dans un environnement Active Directory
Dans ce tutoriel, nous allons apprendre à activer et configurer le LDAP Signing dans un environnement Active Directory. Nous aborderons la sécurité offerte par le LDAP Signing et expliquerons sa mise en place à l’aide de stratégies de groupe (GPO).
Qu’est-ce que le LDAP Signing ?
LDAP Signing est un mécanisme de sécurité qui exige que les clients signent les requêtes LDAP pour garantir leur origine. Cela permet de sécuriser les connexions LDAP via SASL Bind et de se prémunir contre les attaques de type man-in-the-middle.
Configuration du LDAP Signing
Par défaut, les contrôleurs de domaine Active Directory et les clients Windows négocient une connexion LDAP avec signature. Toutefois, pour renforcer la sécurité de l’environnement AD, il est possible de rendre le LDAP Signing obligatoire. Cela implique de créer une GPO pour les contrôleurs de domaine et une autre pour les machines Windows.
Tests de bon fonctionnement
Après avoir configuré le LDAP Signing, il est essentiel de tester son bon fonctionnement. En actualisant les GPO sur les DC et les machines clientes, on peut vérifier si les connexions non sécurisées en Simple Bind sont refusées, signe que la configuration du LDAP Signing est opérationnelle.
Auditer les connexions LDAP non sécurisées
Pour identifier les machines à l’origine de connexions LDAP non sécurisées, il est recommandé d’activer les journaux Windows et de surveiller les événements avec l’ID “2889”. Ces logs permettent de détecter les connexions non sécurisées et d’identifier les sources pour les sécuriser.
Conclusion
En suivant ce tutoriel, vous pourrez renforcer la sécurité de vos échanges LDAP via SASL Bind en activant le LDAP Signing dans votre environnement Active Directory. Combine avec d’autres mesures de sécurité, telles que la désactivation du protocole NTLM et la mise en œuvre du LDAPS, vous pourrez améliorer la protection de vos connexions LDAP.
Source : www.it-connect.fr
