Comment sécuriser votre processus de réinitialisation de mot de passe Active Directory
Table of Contents
Attackers target helpdesks with social engineering attacks to gain unauthorized access to user accounts, which they can use to compromise an environment or launch ransomware attacks. When done effectively, they can bypass MFA and avoid having to verify their identity. It’s possible (and highly recommended) to have a solution in place that lets helpdesk agents accurately verify the identity of callers. However, if you have a solution in place to verify end users and securely reset passwords, you want to make sure this is the only way helpdesk agents can reset a password.
Nous partagerons quelques étapes que vous pouvez prendre pour « sécuriser » le processus de réinitialisation de mot de passe dans Active Directory. D’abord, il est important de comprendre pourquoi une organisation voudrait renforcer son processus de réinitialisation de mot de passe. Commençons par une cyberattaque récente sur MGM Resorts qui met en évidence la vulnérabilité des supports techniques aux appels frauduleux et l’importance pour les agents du service d’assistance d’être capables d’appliquer avec précision la vérification des utilisateurs.
Attaque de MGM Resorts : une leçon d’ingénierie sociale
In September 2023, MGM Resorts’ infrastructure was compromised by a hacking group known as Scattered Spider. The hackers gained access by using social engineering to trick helpdesk personnel. It’s believed the group found an MGM Resorts employee’s information on LinkedIn and then called the helpdesk, posing as an employee who had lost their device and needed a password reset. After helpdesk staff gave the attacker a temporary password, they were able to gain an initial foothold in the environment and launch a ransomware attack.
L’attaque de ransomware qui en a résulté a affecté les opérations de MGM pendant environ dix jours avant que les opérations puissent revenir à la normale. Cependant, il a été révélé plus tard que le groupe de hackers avait obtenu l’accès aux informations personnelles de ses clients, y compris les noms, les informations de contact, les numéros de sécurité sociale et d’autres informations. Cette attaque souligne le besoin pour les organisations d’avoir un moyen de vérifier l’identité des utilisateurs ayant besoin de réinitialisations de mot de passe et d’autres informations liées au compte.
Service d’assistance sécurisé : combiner sécurité et expérience utilisateur
Specops Secure Service Desk allows organizations to effectively verify the identity of end-users calling the help desk for password resets. Using Secure Service Desk, help desk staff can send a one-time code to a mobile number associated with the user’s account. It also allows integration with common identity services that may already be used, like Duo Security, Okta, and others. This allows the helpdesk to take charge of secure password resets, enforcing the need to validate identity for end users requesting password resets and other account operations.
Si les agents du support technique suivent correctement le flux de travail, ils peuvent éviter des situations comme chez MGM Resorts où un hacker tente de contourner le processus de vérification. Donc si votre organisation utilise déjà un outil tel que Secure Service Desk pour valider l’identité, comment les équipes informatiques peuvent-elles « sécuriser » ce processus et appliquer une vérification d’utilisateur appropriée et des réinitialisations de mot de passe sécurisées ?
Application de la vérification d’utilisateur pour les réinitialisations de mot de passe
Pour éviter les scénarios d’ingénierie sociale, les organisations doivent supprimer la capacité du personnel du service d’assistance à réinitialiser les mots de passe en dehors du flux de travail approprié pour la vérification d’identité utilisateur. Il ne devrait pas être possible pour quelqu’un d’appeler avec une excuse et de contourner le processus de vérification. Il y a quelques étapes que vous pouvez prendre pour renforcer le processus dans votre Active Directory.
Groupes Active Directory
Les groupes intégrés d’Active Directory Domain Services (AD DS) peuvent réinitialiser les mots de passe. Par exemple, les utilisateurs dans les groupes Account Operators ou Domain Admins peuvent réinitialiser les mots de passe. Les utilisateurs du service d’assistance ajoutés à ces groupes seraient capables de réinitialiser les mots de passe en dehors des flux de travail implémentés par Specops Secure Service Desk.
Plutôt que d’utiliser les groupes intégrés dans Active Directory pour permettre les permissions pour les réinitialisations de mot de passe, il est préférable de créer des groupes de sécurité personnalisés avec précisément les permissions nécessaires au personnel du support technique. En utilisant l’Assistant de délégation de contrôle intégré d’Active Directory, vous pouvez donner des permissions granulaires dans Active Directory pour effectuer des tâches spécifiques. Ci-dessous, dans l’Assistant de délégation de contrôle vous pouvez déléguer des permissions pour des tâches spécifiques, y compris Modifier l’appartenance d’un groupe. Créer des groupes spécifiques avec des permissions granulaires garantit que les membres du service d’assistance n’ont pas de permissions sur-provisionnées.
Permissions déléguées dans les services de domaine Active Directory
Pour les environnements qui ont déjà des permissions déléguées avant d’implémenter une stratégie pour appliquer la vérification d’identité, vous pouvez utiliser PowerShell pour découvrir les permissions déléguées dans Active Directory Domain Services (AD DS).
- Ouvrir PowerShell avec des privilèges administratifs : Pour exécuter des commandes PowerShell qui interagissent avec Active Directory, vous devez avoir des privilèges administratifs. Cliquez avec le bouton droit sur l’icône PowerShell et sélectionnez « Exécuter en tant qu’administrateur ».
- Importer le module Active Directory : Vous devez importer le module Active Directory avant d’utiliser les cmdlets spécifiques à AD. Utilisez la commande suivante :
Import-Module ActiveDirectory - Identify the AD Object: Determine the distinguished name (DN) or path of the AD object (like an OU) for which you want to check the delegated permissions. For example, if you want to check the permissions of an OU named ‘Sales,’ find its DN. You can do that in AD DS, by looking at the advanced properties of the OU object.
Getting the Distinguished Name for an AD DS OU - Obtenir l’ACL de l’objet AD : Utilisez le cmdlet Get-Acl pour obtenir l’ACL de l’objet. Par exemple :
$acl = Get-Acl -Path "AD:\OU=Sales,DC=yourdomain,DC=com" - Analyser les entrées ACL : L’ACL contient une liste d’entrées de contrôle d’accès (ACE) qui définissent les permissions. Vous pouvez voir ces entrées en utilisant :
$acl.Access | Format-Table - Filtrer et examiner les résultats : La sortie listera les principaux de sécurité (utilisateurs ou groupes) et les permissions assignées. Regardez les permissions déléguées dans la sortie, comme les droits spécifiques accordés aux utilisateurs ou groupes non administratifs.
- Exporter les résultats (optionnel) : Si vous voulez sauvegarder les résultats, vous pouvez les exporter vers un fichier CSV :
$acl.Access | Export-Csv -Path « C:\chemin\vers\sortie.csv » -NoTypeInformation
Ci-dessous un exemple de la sortie CSV de l’export PowerShell des listes de contrôle d’accès pour une OU spécifique.
Essayez Specops Secure Service Desk
Verifying identity for end-user password reset requests is a must due to attackers using social engineering and other attack vectors to steal credentials via helpdesks. Service desk agents need the right tools to verify identity and validate users are who they say they are. Specops Secure Service Desk is a great solution to provide the help desk with the tools needed for proper identity verification.
Cependant, les organisations doivent également appliquer les flux de travail fournis par Secure Service Desk pour s’assurer que l’identité est vérifiée correctement. Une délégation de permissions appropriée et l’audit des permissions déléguées existantes sont importants pour gouverner qui a la permission de réinitialiser directement les mots de passe des comptes utilisateurs.
Dernière mise à jour le 09/11/2026