Rust et Active Directory : deux outils ANSSI à connaître

L'ANSSI publie un guide destiné aux développeurs qui écrivent en Rust des applications à fortes exigences de sécurité. Le document ne cherche pas à apprendre le langage : il sert à orienter le programmeur et à le prévenir de certains pièges. Ce n'est donc pas un cours de Rust, mais un complément aux ressources d'apprentissage existantes.

Les recommandations viennent en complément du niveau de confiance que le langage offre déjà. Des rappels restent parfois nécessaires, et le développeur expérimenté peut se contenter des encadrés mis en évidence, comme les règles, recommandations et avertissements. Le guide est encore en cours de version et les contributions sont ouvertes.

La lecture se fait en ligne, et la construction locale passe par mdbook et des préprocesseurs installés via cargo. Le document est publié sous la licence ouverte 2.0.

Le script PowerShell ADTimeline génère une chronologie à partir des métadonnées de réplication d'Active Directory, pour les objets jugés intéressants. Ces métadonnées donnent la date de dernière modification de chaque attribut répliqué d'un objet. La chronologie des modifications reste donc partielle, et un numéro de version s'incrémente à chaque changement d'attribut répliqué.

Le script a été présenté à la CoRI&IN 2019, puis au FIRST Technical Colloquium d'Amsterdam en 2019. Les objets ciblés couvrent notamment les racines de partition, les approbations de domaine, les utilisateurs supprimés, les objets protégés par SDProp, les stratégies de groupe, les contrôleurs de domaine et les zones DNS. La liste inclut aussi les comptes Kerberoastables et AS-REP roastables, ainsi que les délégations Kerberos.

Des groupes personnalisés peuvent être ajoutés via le paramètre Customgroups, sous forme de chaîne séparée par des virgules ou de tableau importé depuis un fichier.

Le compte qui lance le script doit pouvoir lire les objets du conteneur des objets supprimés et certaines parties des paramètres Exchange dans la partition de configuration. La délégation de ces droits peut être délicate, surtout pour la lecture du conteneur des objets supprimés : l'ANSSI conseille donc de lancer le script avec un compte administrateur de domaine. Avec un compte standard, la chronologie est produite sans les objets concernés.

La machine doit tourner sous Windows NT 6.1 ou ultérieur, avec PowerShell 2.0 ou plus et le module Active Directory PowerShell installé. En mode PowerShell Constrained Language Mode, le script peut échouer ; il faut envisager de l'autoriser via la politique Device Guard.

En mode hors ligne, il faut installer le rôle ADLDS sur une édition Windows Server pour utiliser dsamain.exe et monter la base NTDS. La version de Windows Server doit correspondre à celle d'où provient le fichier ntds.dit.

Les sorties sont écrites dans le répertoire courant : un CSV avec la chronologie issue des métadonnées de réplication, un journal de script et des fichiers XML des objets récupérés via LDAP et via le catalogue global. Ces fichiers s'importent ensuite dans PowerShell pour l'analyse.

Une application ADTimeline pour Splunk traite et analyse les données collectées par le script. Elle a été présentée à la 32e conférence annuelle FIRST, et sa page de démarrage donne les instructions d'import. Une fois les données indexées, les tableaux de bord aident l'analyste DFIR à repérer des mécanismes de persistance, des erreurs de configuration, des contournements de journalisation d'audit, de l'exfiltration de courrier ou des attaques par force brute.

L'application est aussi disponible sur Splunkbase. Elle n'a aucun prérequis et fonctionne avec une licence Splunk gratuite.