Aller au contenu

TP – Durcir un domaine de laboratoire

BTS SIO SISR 2e année – Bloc 3 – S06 – en binôme : un tape, l'autre lit ; on échange les rôles à chaque partie

Note

But. Faire l'état des lieux des privilèges d'un domaine, puis le durcir : politique de mots de passe et de verrouillage, comptes d'administration séparés, stratégie de groupe de sécurité, observation de Kerberos et de NTLM.

Durée : 3 h 10. Prérequis : cours S06 lu ; Active Directory du bloc 2.

Warning

Séance non testée de bout en bout par l'auteur : le laboratoire de l'auteur n'a pas de Windows Server. Les commandes sont celles de l'administration Windows courante ; l'enseignant les essaie sur le laboratoire de la salle avant la séance (voir les notes du corrigé). Les noms de groupes et de menus dépendent de la langue du système.

Note

Comment ce TP fonctionne. Tu anticipes (« J'anticipe »), tu manipules, tu notes ce que tu constates, puis tu expliques (« Je comprends »). Un bilan de compétences clôt la séance.

Binôme : ____________ / ____________

Le laboratoire

  • DC1 : Windows Server, contrôleur du domaine lab.local, avec le module Active Directory pour PowerShell.
  • PC1 : poste Windows joint au domaine.
  • Un domaine « hérité » de la séance du bloc 2 : des utilisateurs, une OU Postes contenant PC1, des groupes. Si ces éléments manquent, l'enseignant fournit un domaine préparé.
  • Les identifiants du laboratoire sont des identifiants de laboratoire (par exemple Lab-2026) : ils ne sont jamais repris ailleurs.
  • Instantané de DC1 et PC1 avant de commencer.

Les commandes PowerShell se tapent dans une console ouverte en administrateur sur DC1.

Partie A – État des lieux des privilèges (≈ 35 min)

A1 – Qui est administrateur du domaine ?

J'anticipe. Combien de comptes devraient être membres du groupe des administrateurs du domaine dans une PME ? ______________________

On retrouve le groupe par son identifiant (512), valable quelle que soit la langue :

$sid = (Get-ADDomain).DomainSID.Value
Get-ADGroupMember -Identity "$sid-512" | Select-Object Name, SamAccountName, objectClass
Get-ADGroupMember -Identity "$sid-519" | Select-Object Name   # administrateurs de l'entreprise
Get-ADGroupMember -Identity "$sid-518" | Select-Object Name   # administrateurs du schéma

Je comprends. Chaque nom de la liste est une personne qui peut tout faire. Pour chacun, tu dois pouvoir dire : pourquoi ? en a-t-il toujours besoin ?

Compte Rôle réel Droit justifié ?

A2 – Comptes à risque

Search-ADAccount -PasswordNeverExpires -UsersOnly | Select-Object Name, SamAccountName
Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly | Select-Object Name, LastLogonDate
Get-ADUser -Filter * -Properties LastLogonDate, PasswordLastSet | Sort-Object LastLogonDate | Select-Object -First 10 Name, LastLogonDate, PasswordLastSet

Je comprends. Un compte dont le mot de passe n'expire jamais, ou qu'on n'utilise plus, est une porte ouverte : personne ne remarquera son utilisation par un attaquant.

Constats : ______________________

A3 – La politique de mots de passe actuelle

Get-ADDefaultDomainPasswordPolicy

Note : longueur minimale ______ · historique ______ · durée maximale ______ · seuil de verrouillage ______ · durée de verrouillage ______

J'anticipe. Une longueur minimale de 6 caractères et aucun verrouillage : que peut faire un attaquant depuis un poste du réseau ? ______________________

Partie B – Politique de mots de passe et de verrouillage (≈ 25 min)

Applique la politique suivante au domaine (valeurs de laboratoire : fixe les tiennes d'après la recommandation à jour de la CNIL ou de l'ANSSI) :

Set-ADDefaultDomainPasswordPolicy -Identity lab.local `
  -MinPasswordLength 12 -PasswordHistoryCount 12 `
  -LockoutThreshold 5 -LockoutDuration 00:30:00 -LockoutObservationWindow 00:30:00
Get-ADDefaultDomainPasswordPolicy

Je comprends. Un seuil de verrouillage ralentit une attaque par essais répétés, mais crée aussi un risque de déni de service (un attaquant peut verrouiller des comptes). Un compromis se justifie : 5 essais, 30 minutes.

Vérification. Depuis PC1, saisis cinq mots de passe faux pour un utilisateur de test, puis le bon : que se passe-t-il ? ______________________

Déverrouille ensuite le compte : Unlock-ADAccount -Identity utilisateur_test.

Partie C – Séparer les comptes d'administration (≈ 35 min)

C1 – Une OU et un compte d'administration nominatif

Crée une unité d'organisation Administration et un compte d'administration distinct du compte courant d'un technicien fictif (prenom pour l'usage courant, adm-prenom pour l'administration) :

New-ADOrganizationalUnit -Name "Administration" -Path "DC=lab,DC=local"
New-ADUser -Name "adm-technicien" -SamAccountName "adm-technicien" `
  -Path "OU=Administration,DC=lab,DC=local" -Enabled $true `
  -AccountPassword (Read-Host -AsSecureString "Mot de passe du compte d'administration")

Je comprends. Le compte d'administration n'a pas de messagerie, ne sert jamais à naviguer, et ne s'ouvre que sur les machines prévues pour l'administration.

C2 – Durcir ce compte

Ajoute-le au groupe des utilisateurs protégés (son nom dépend de la langue : « Protected Users » ou « Utilisateurs protégés » ; retrouve-le avec Get-ADGroup -Filter 'Name -like "*rotég*" -or Name -like "*Protected*"').

Add-ADGroupMember -Identity "<nom exact du groupe>" -Members "adm-technicien"
Get-ADGroupMember -Identity "<nom exact du groupe>" | Select-Object Name

J'anticipe. Quelles protections ce groupe ajoute-t-il ? (Aide : relis la section 2 du cours.) ______________________

C3 – Moindre privilège dans le temps

Au lieu de laisser adm-technicien administrateur du domaine en permanence, donne le droit pour la durée d'une tâche, puis retire-le :

$sid = (Get-ADDomain).DomainSID.Value
Add-ADGroupMember -Identity "$sid-512" -Members "adm-technicien"
# ... la tâche d'administration ...
Remove-ADGroupMember -Identity "$sid-512" -Members "adm-technicien" -Confirm:$false

Je comprends. Rédige en deux lignes la règle que tu proposerais à la direction pour accorder et retirer un droit d'administration : ______________________

Partie D – Une stratégie de groupe de sécurité (≈ 45 min)

D1 – Créer et lier la GPO

Dans la console Gestion de stratégie de groupe (ou en PowerShell) :

New-GPO -Name "Durcissement-Postes"
New-GPLink -Name "Durcissement-Postes" -Target "OU=Postes,DC=lab,DC=local"

D2 – Les paramètres

Modifie la GPO (clic droit, Modifier) :

  1. Niveau d'authentification NTLM : Configuration ordinateur → Paramètres Windows → Paramètres de sécurité → Stratégies locales → Options de sécurité → « Sécurité réseau : niveau d'authentification LAN Manager » → Envoyer uniquement les réponses NTLMv2. Refuser LM et NTLM.
  2. Interdire l'ouverture de session aux comptes d'administration sur les postes : Stratégies locales → Attribution des droits utilisateur → « Interdire l'accès à cet ordinateur à partir du réseau » et « Interdire l'ouverture de session locale » → ajoute le groupe des administrateurs du domaine (retrouve-le par son nom dans ta langue).
  3. Pare-feu Windows activé pour tous les profils.

Je comprends. Quel scénario de risque la règle 2 coupe-t-elle ? (Relis le modèle en niveaux.) ______________________

D3 – Appliquer et prouver

Sur PC1 :

gpupdate /force
gpresult /r /scope computer

Dans la sortie, cherche Durcissement-Postes dans « Objets de stratégie de groupe appliqués ». Pour un rapport lisible : gpresult /h C:\rapport-gpo.html.

Test négatif. Essaie d'ouvrir une session sur PC1 avec un compte administrateur du domaine : le refus est-il constaté ? ______________________

Point de contrôle : capture de gpresult et du refus de session.

Partie E – Observer Kerberos et NTLM (≈ 25 min)

E1 – Les tickets Kerberos

Sur PC1, connecté avec un utilisateur du domaine :

klist

J'anticipe. Quel ticket voit-on en premier ? À quoi sert-il ? ______________________

Ouvre un partage de DC1 par son nom (\\DC1\NETLOGON), puis relance klist : quel nouveau ticket apparaît ? ______________________

E2 – Le retour à NTLM

Ouvre maintenant le même partage par son adresse IP (\\<adresse de DC1>\NETLOGON). Sur DC1, dans l'Observateur d'événements (Journaux Windows → Sécurité), filtre l'événement 4624 (ouverture de session réussie) et lis, dans le détail, le champ Package d'authentification.

Je comprends. Quel protocole constates-tu avec le nom ? avec l'adresse IP ? Qu'en conclus-tu sur l'importance de désigner les services par leur nom ? ______________________

Partie F – Mot de passe local et bastion (≈ 20 min, réflexion)

F1 – Le mot de passe de l'administrateur local

J'anticipe. Si les 80 postes de l'entreprise ont le même mot de passe d'administrateur local, que se passe-t-il quand un portable est volé ? ______________________

Décris en cinq lignes comment LAPS (version à vérifier selon les systèmes de la salle) répond à ce problème : ______________________

F2 – Un bastion pour l'Atelier Verdier

Reprends le dossier de la séance S02. Dessine (texte ou schéma) où placerais-tu un bastion, qui s'y connecte, vers quoi, et quelles protections tu ajoutes (second facteur, journalisation) :

Retour en entreprise (si ta situation le permet)

  • Observer : combien de comptes sont administrateurs du domaine dans ton entreprise ? Existe-t-il des comptes d'administration séparés ?
  • Documenter : décris en une demi-page la politique de mots de passe réellement appliquée et compare-la à la partie B.

Rendu

Compte rendu PDF, nommé RENDU-B3A2-S06-NOM.pdf, contenant les captures datées des parties A à E, les réponses aux questions et la réflexion de la partie F.

Prolongement dans InfraLab (facultatif)

Comptes à privilèges : le simulateur applique des profils, une séparation des tâches et une délégation limitée. Tu en vois les effets en changeant d'identité.

Le simulateur InfraLab propose des TP guidés sur ce thème : vue TP, choisis le TP. Ils s'ajoutent à la séance (en classe si le temps le permet, sinon en autonomie) ; ils ne remplacent pas la manipulation sur machine réelle ci-dessus.

TP Titre Durée
33 Qui peut faire quoi ? 40 min
35 Séparation des tâches 45 min
36 Le départ d'un technicien 45 min
39 Revue des habilitations 40 min

Note

InfraLab simule : le score ne valide aucune compétence. Exporte le rapport du TP (HTML) et joins-le à ton compte rendu.

Bilan de la séance

Compétence du référentiel Ce que j'ai fait dans cette séance Niveau
B3.3 – Sécuriser les équipements et les usages des utilisateurs
B3.5A – Assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service

Note

Je sais faire, sans aide :

  • Lister les comptes à privilèges d'un domaine et justifier chacun ;
  • Fixer une politique de mots de passe et de verrouillage et en expliquer le compromis ;
  • Séparer les comptes courant et d'administration ;
  • Appliquer et prouver une stratégie de groupe de sécurité ;
  • Distinguer Kerberos et NTLM dans les journaux.

Ce que je dois reprendre : ______________________