DCSync : Détecter le Vol de Hashs AD — Akuity SOC

Dans l'arsenal des attaquants ciblant Active Directory, la technique DCSync (MITRE ATT&CK T1003.006) occupe une place redoutable. Popularisée par des outils tels que Mimikatz et Impacket (secretsdump.py), elle permet d'extraire l'intégralité des secrets d'authentification du domaine sans jamais exécuter de code sur le Contrôleur de Domaine (DC) ni toucher physiquement au fichier NTDS.dit. Comprendre la mécanique sous-jacente et automatiser sa détection est un impératif critique pour tout RSSI.

Anatomie de l'attaque : Le détournement du protocole MS-DRSR

DCSync n'exploite pas une vulnérabilité logicielle, mais abuse des fonctionnalités légitimes du protocole MS-DRSR (Directory Replication Service Remote Protocol). L'attaquant, ayant compromis un compte disposant de privilèges étendus (Domain Admin, Enterprise Admin, ou délégations spécifiques sur la racine du domaine), sollicite un DC via l'interface RPC drsuapi.

En invoquant la fonction IDL_DRSGetNCChanges, le poste attaquant simule le comportement d'un Contrôleur de Domaine synchronisant sa base d'annuaire. L'adversaire demande la réplication d'attributs chiffrés hautement sensibles, notamment les hashs NTLM et les clés Kerberos (dont le hash du compte krbtgt, ouvrant la voie immédiate à la forge d'un Golden Ticket).

L'angle mort natif des SIEM traditionnels

Surveiller DCSync via les journaux d'événements Windows natifs (notamment l'Event ID 4662 : Operation on an object) génère un volume d'alertes insoutenable. Les contrôleurs de domaine répliquent continuellement leurs données. La difficulté réside dans la corrélation précise entre l'identité requérante, l'adresse IP source et les GUIDs de droits étendus invoqués :

• DS-Replication-Get-Changes (GUID : 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2)
• DS-Replication-Get-Changes-All (GUID : 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2)
• DS-Replication-Get-Changes-In-Filtered-Set (GUID : 89e95b76-444d-4c62-991a-0facbeda0a23)

Un SIEM classique sans inspection protocolaire profonde ne distingue pas un flux légitime de synchronisation entre deux serveurs d'une requête RPC malveillante émanant d'un poste de travail bureautique.

Détection avancée : Requête KQL pour Defender for Identity

Grâce aux capteurs de Defender for Identity, les requêtes RPC sur le réseau sont interceptées directement avant d'inonder les journaux d'événements. Voici la requête Advanced Hunting (KQL) permettant d'isoler immédiatement les demandes de réplication frauduleuses non générées par des comptes de machines ou de synchronisation légitimes :

IdentityDirectoryEvents
| where ActionType in ("Directory Services replication", "Replication requested")
| extend ParsedFields = parse_json(AdditionalFields)
| extend NamingContext = tostring(ParsedFields.NamingContext),
         AttributesRequested = tostring(ParsedFields.AttributesRequested)
| where AttributesRequested has_any (
    "1131f6aa-9c07-11d1-f79f-00c04fc2dcd2", // DS-Replication-Get-Changes
    "1131f6ad-9c07-11d1-f79f-00c04fc2dcd2", // DS-Replication-Get-Changes-All
    "89e95b76-444d-4c62-991a-0facbeda0a23"  // DS-Replication-Get-Changes-In-Filtered-Set
)
| where not(AccountName endswith "$" and DestinationDeviceName has AccountName)
| where not(AccountName startswith "MSOL_" or AccountName startswith "Sync_")
| project Timestamp, ActionType, AccountName, AccountDomain, IPAddress,
          DestinationDeviceName, NamingContext, ReportId
| sort by Timestamp desc

Orchestration et Remédiation avec Akuity SOC

La découverte d'une réplication DCSync exige un temps de réaction inférieur à 5 minutes pour neutraliser l'exfiltration avant la création de tickets Kerberos persistants :

1. Qualification instantanée : L'assistant IA in-app d'Akuity SOC analyse les requêtes RPC et valide la légitimité des GUIDs de réplication, sans aucune fuite de données sensibles vers des décodeurs web tiers.
2. Riposte SOAR 1-clic : Confinement immédiat du poste émetteur via isolateDevice() dans Defender for Endpoint et révocation complète de l'identité compromise via confirmUserCompromised() et revokeSessions() dans Microsoft Entra ID.
3. Gouvernance Zero-Trust : Toute action de remédiation critique requiert une élévation de privilèges sécurisée par un challenge MFA AAL2 obligatoire, consignée dans un journal d'audit immuable certifié NIS 2 et SOC 2 Type II.

Mini-FAQ Technique

Quels comptes possèdent nativement les droits nécessaires pour exécuter DCSync ?

Par défaut, seuls les membres des groupes Domain Admins, Enterprise Admins, Administrators et les comptes de Contrôleurs de Domaine possèdent ces droits de réplication. Cependant, des délégations mal configurées (comme des outils tiers de sauvegarde ou d'audit mal paramétrés) accordent parfois ces privilèges à des comptes de service vulnérables.

Comment Microsoft Entra Connect gère-t-il la synchronisation sans déclencher de faux positifs ?

Le compte de service Microsoft Entra Connect (souvent préfixé par MSOL_ ou Sync_) dispose légitimement de ces droits étendus. La règle d'investigation exclut rigoureusement ces comptes connus, ainsi que les communications machine-à-machine ($) validées entre contrôleurs répertoriés.