La question qui décide de tout
Une fois l'annuaire compromis, la question n'est pas technique mais tranchante : peut-on faire confiance à cet annuaire ?
Si un attaquant a obtenu les privilèges les plus élevés, il a pu créer des accès qui survivent au nettoyage : un compte discret dans un groupe sensible, une délégation modifiée, une machine ajoutée à un groupe d'administration, une signature de jetons dérobée.
Nettoyer ce que l'on voit ne prouve rien sur ce que l'on ne voit pas. C'est la raison pour laquelle une reconstruction est souvent recommandée après une compromission de niveau 0.
Les gestes des premières heures
L'ordre compte, et le premier est le plus difficile psychologiquement.
Ne pas se précipiter sur le nettoyage. Supprimer les comptes de l'attaquant l'informe qu'il est détecté et détruit les traces qui permettront de comprendre par où il est entré. Observer d'abord, quand c'est possible.
Isoler ce qui doit l'être. Couper les accès distants, séparer les segments réseau critiques.
Changer les éléments d'authentification de fond, dont la clé de signature interne de l'annuaire, deux fois et à intervalle, faute de quoi des jetons forgés restent valables.
Réinitialiser les comptes à privilèges, y compris les comptes de service, ce qui demande de savoir où ils sont utilisés. C'est le moment où l'inventaire tenu à froid vaut de l'or.
Documenter au fil de l'eau. Ce document servira aux assureurs, éventuellement à la justice, et à l'analyse ultérieure.
Reconstruire ou nettoyer
| Situation | Conduite raisonnable |
|---|---|
| Compte utilisateur compromis, sans élévation | nettoyage ciblé |
| Compte administrateur de serveurs compromis | nettoyage large, surveillance renforcée |
| Privilèges de niveau 0 obtenus | reconstruction de l'annuaire |
| Doute non levé sur le niveau atteint | traiter comme une compromission de niveau 0 |
La dernière ligne heurte, et c'est la plus honnête : sans journaux suffisants, on ne peut pas prouver que l'attaquant n'est pas allé plus loin, et une garantie non prouvée n'en est pas une.
Ce qui rend tout cela possible, ou impossible
Trois éléments décidés avant l'incident font toute la différence.
Des journaux conservés assez longtemps, ailleurs que sur les machines concernées. Sans eux, aucune analyse n'est possible, et le doute impose la reconstruction.
Un inventaire des comptes de service et de leurs usages, sans lequel une réinitialisation casse la production.
Une sauvegarde hors ligne et ancienne, antérieure à l'intrusion. Une sauvegarde de la veille contient l'attaquant.
Après : ce qu'il faut changer
Reconstruire à l'identique invite au même scénario. Trois changements minimaux : la séparation des niveaux réellement appliquée, l'authentification à deux facteurs sur les accès distants, et une surveillance des groupes sensibles qui alerte sur toute modification.
À retenir
Une compromission de niveau 0 se traite par la reconstruction, et le doute équivaut à la certitude. Observez avant de nettoyer, changez la clé de signature deux fois, et sachez que la qualité de vos journaux décide de la lourdeur de la réponse.