Vol de justificatifs : detection et defense pour les blue teams

Le vol de justificatifs est l'une des techniques les plus lourdes de consequences qu'un intrus puisse executer apres avoir pris pied, car les secrets voles transforment un seul hote compromis en mouvement lateral, elevation de privileges et, a terme, controle de tout le domaine. Cet article s'adresse aux defenseurs. Il explique ce qu'est le vol de justificatifs, comment il fonctionne au niveau conceptuel et — surtout — comment detecter ce comportement dans votre telemetrie et durcir votre environnement pour que la technique devienne bruyante, couteuse ou impossible. Il n'y a ici aucune recette operationnelle d'attaque ; l'objectif est de comprendre la menace assez bien pour la vaincre.

Ce qu'est vraiment le vol de justificatifs

Le vol de justificatifs (associe a MITRE ATT&CK T1003, OS Credential Dumping) consiste a extraire le materiel de compte — condensats de mots de passe, mots de passe en clair, tickets Kerberos ou jetons d'authentification — depuis les endroits ou un systeme d'exploitation les stocke a l'execution ou au repos. Sous Windows, les cibles canoniques sont la memoire du processus LSASS, la base locale SAM, les justificatifs de domaine en cache et, dans Active Directory, l'interface de replication d'un controleur de domaine. Sous Linux et macOS, les equivalents incluent /etc/shadow, les trousseaux et la memoire des processus. Comprendre ces emplacements de stockage est le premier pas defensif : vous ne pouvez pas surveiller ce que vous n'avez pas inventorie.

Comment la technique fonctionne a haut niveau

Les systemes d'exploitation modernes conservent le materiel d'authentification en memoire pour ne pas redemander a l'utilisateur a chaque ressource reseau — c'est ce qui permet l'authentification unique. Un attaquant disposant de privileges suffisants abuse de cette commodite en lisant le processus ou la base contenant le materiel et en reconstruisant des secrets exploitables. Conceptuellement, il existe trois familles : lire la memoire d'un processus vivant (par exemple celle du sous-systeme d'authentification), lire les magasins sur disque et leurs cles de protection, et abuser de protocoles legitimes de replication ou de sauvegarde pour demander les secrets via une interface prise en charge. Dans tous les cas, l'attaquant a d'abord besoin de privileges eleves, point crucial pour la defense : le vol de justificatifs est une activite de post-exploitation, si bien que les controles limitant l'elevation de privileges reduisent directement l'exposition.

La surface d'attaque : ou vivent les justificatifs

Cartographiez votre exposition par emplacement de stockage. La memoire de LSASS conserve les justificatifs interactifs et en cache sur tout hote Windows ou des utilisateurs privilegies se sont connectes. Les ruches SAM et SYSTEM detiennent les condensats des comptes locaux. Les secrets LSA retiennent les mots de passe de comptes de service et les secrets en cache. Sur les controleurs de domaine, la base NTDS.dit et l'interface de replication de l'annuaire exposent tous les justificatifs du domaine. Les sauvegardes de l'un de ces elements — instantanes de VM, cliches instantanes, exports NTDS.dit non proteges — sont tout aussi dangereuses. Enfin, les gestionnaires de justificatifs, coffres de navigateurs et fichiers de configuration contenant des jetons ou des chaines de connexion sont de plus en plus vises car ils requierent moins de privileges que l'acces a LSASS. Un defenseur doit traiter chacun de ces elements comme un actif surveille.

Detection : signaux dans votre telemetrie

La detection se concentre sur le schema d'acces, pas sur le nom de l'outil, car l'outillage change en permanence. Sous Windows, activez et transferez ce qui suit. Le Sysmon Event ID 10 (ProcessAccess) est le signal a plus forte valeur : alertez sur tout processus qui ouvre un handle vers lsass.exe avec des masques d'acces permettant des lectures memoire (par exemple 0x1010, 0x1410), surtout depuis des appelants atypiques. Etablissez une reference des lecteurs legitimes de LSASS dans votre environnement — un petit ensemble de processus de securite et systeme — et traitez tout le reste comme suspect.

Completez cela avec le Sysmon Event ID 11 (FileCreate) pour les fichiers de dump ecrits sur disque a la taille caracteristique de LSASS, l'Event ID 4656/4663 (acces aux objets) sur les ruches de registre SAM et SECURITY, et l'Event ID 4688 (creation de processus avec audit de la ligne de commande active) pour capter les utilitaires de dump connus et leurs arguments. Pour l'abus de la replication Active Directory (DCSync), le signal decisif est l'Event ID 4662 de securite Windows ou un principal qui n'est pas un controleur de domaine demande les droits de replication identifies par les GUID de controle d'acces de DS-Replication-Get-Changes et DS-Replication-Get-Changes-All. La replication legitime ne provient que des controleurs de domaine, donc toute autre source est un indicateur fort.

Les plateformes EDR ajoutent une couverture comportementale : telemetrie d'ouverture de handles vers LSASS, chaines parent-enfant de processus inhabituelles, lectures en memoire du sous-systeme d'authentification et acces au service de cliches instantanes utilise pour capturer les ruches verrouillees. Sous Linux, surveillez les lectures de /etc/shadow par des processus non executes en root, les attaches ptrace vers les demons d'authentification et l'usage inattendu d'utilitaires d'inspection memoire. Correlez les alertes d'acces aux justificatifs avec les evenements precedents d'elevation de privileges et de mouvement lateral ; le vol de justificatifs apparait rarement seul, et la sequence environnante augmente la confiance et reduit les faux positifs.

Attenuation et durcissement

Commencez par retirer le materiel que veulent les attaquants. Activez Credential Guard (securite basee sur la virtualisation) afin que les secrets de LSASS soient isoles dans un conteneur protege que le code ordinaire ne peut lire. Activez LSASS en tant que Protected Process Light (PPL) avec RunAsPPL pour que seuls des processus signes et proteges puissent l'ouvrir. Desactivez la mise en cache en clair de WDigest (deja desactivee sur les versions modernes) et effacez le texte en clair en cache la ou des reglages herites persistent.

Reduisez les endroits ou des justificatifs privilegies sont exposes. Adoptez un modele d'administration par niveaux pour que les justificatifs d'administrateur de domaine ne se connectent jamais sur des postes de travail ou serveurs ou ils pourraient etre recoltes. Utilisez Windows LAPS pour randomiser et faire tourner les mots de passe d'administrateur local, eliminant le mot de passe local partage qui rend le vol de SAM interessant. Exigez l'appartenance au groupe Utilisateurs proteges et des silos de strategie d'authentification pour les comptes a forte valeur, afin d'empecher la mise en cache des justificatifs et de restreindre ou ils peuvent s'authentifier. Imposez une MFA resistante au hameconnage pour qu'un condensat ou un mot de passe vole seul ne suffise pas. Pour DCSync en particulier, auditez et minimisez quels principaux detiennent des droits de replication de l'annuaire, et alertez chaque fois que cet ensemble d'acces change.

Ajoutez un controle applicatif (WDAC ou AppLocker) pour bloquer les outils non signes, restreignez les privileges de debogage et de sauvegarde (SeDebugPrivilege, SeBackupPrivilege) a l'ensemble minimal de comptes et protegez les interfaces de cliches instantanes et de sauvegarde. Faites tourner le mot de passe du compte krbtgt selon un calendrier et apres tout soupcon de compromission, car il sous-tend l'integrite des tickets Kerberos. Chacun de ces controles releve la barre de privileges ou supprime la recompense, retrecissant la fenetre ou le dump est meme possible.

Pieges courants et angles morts

L'erreur la plus frequente est d'alerter sur des noms d'outils ou des condensats de fichiers plutot que sur le comportement ; renommer un binaire dejoue cela entierement, donc ancrez les detections sur le schema d'acces a LSASS et aux droits de replication. Un deuxieme angle mort est le transfert de logs sans reference — LSASS est lu legitimement par l'antivirus et des processus systeme, et sans une allowlist affinee l'alerte ProcessAccess se noie dans le bruit et est ignoree. Troisiemement, les equipes activent Credential Guard sur les nouveaux portables mais oublient les serveurs et les controleurs de domaine, laissant exposes les hotes a plus forte valeur. Quatriemement, les sauvegardes et instantanes de VM des controleurs de domaine sont souvent stockes avec des controles plus faibles que les systemes en production, offrant une voie hors ligne vers NTDS.dit. Enfin, ne negligez pas les magasins d'identite hors Windows et cloud ; les jetons dans les fichiers de configuration et les services de metadonnees cloud sont de plus en plus la cible la plus tendre.

Liste de controle du defenseur

Utilisez ceci comme reference de durcissement et de detection. 1. Activez Credential Guard sur tous les postes, serveurs et controleurs de domaine pris en charge. 2. Configurez LSASS en PPL (RunAsPPL). 3. Deployez Sysmon et alertez sur les ouvertures de handle de l'Event ID 10 vers lsass.exe, calibrees sur les lecteurs connus. 4. Alertez sur l'acces aux droits de replication de l'Event ID 4662 depuis des sources qui ne sont pas des controleurs de domaine. 5. Auditez l'acces aux ruches SAM/SECURITY (4656/4663) et la creation de fichiers de dump (Event ID 11). 6. Deployez Windows LAPS et confirmez l'absence de mot de passe d'administrateur local partage. 7. Mettez en oeuvre l'administration par niveaux et les Utilisateurs proteges pour les comptes privilegies. 8. Imposez une MFA resistante au hameconnage. 9. Minimisez les comptes detenant des privileges de replication, de debogage et de sauvegarde. 10. Protegez et surveillez les sauvegardes de DC et les cliches instantanes. 11. Faites tourner krbtgt regulierement. 12. Correlez les alertes d'acces aux justificatifs avec la telemetrie d'elevation de privileges et de mouvement lateral.

FAQ

Desactiver les lectures de LSASS suffit-il a lui seul ? Aucun controle isole n'est suffisant. Credential Guard et PPL relevent drastiquement la barre, mais des intrus determines pivotent vers les ruches sur disque, l'abus de replication ou le vol de jetons. La defense en profondeur — isolation, moindre privilege, administration par niveaux, MFA et detection comportementale ensemble — rend le vol de justificatifs peu fiable pour un attaquant.

Comment distinguer une vraie tentative de dump d'un acces legitime a LSASS ? Etablissez une reference : identifiez le petit ensemble de processus de securite et systeme signes qui ouvrent LSASS de facon legitime, puis alertez sur tout ce qui sort de cette allowlist, en ponderant selon le masque d'acces demande et la lignee du processus appelant. Correler avec des evenements proches d'elevation de privileges reduit nettement les faux positifs et confirme l'intention.

Conclusion

Le vol de justificatifs est dangereux precisement parce qu'il transforme une compromission en plusieurs, mais il est aussi hautement detectable et largement evitable une fois que vous comprenez ou vivent les justificatifs et a quoi ressemble l'acces dans la telemetrie. Isolez les secrets avec Credential Guard et PPL, supprimez la recompense avec LAPS et l'administration par niveaux, imposez une MFA resistante au hameconnage et instrumentez l'acces a LSASS et les droits de replication pour que tout acces anormal remonte immediatement. Comprenez la technique afin de vous en defendre — et faites du vol de justificatifs l'etape la plus bruyante et la plus couteuse du chemin d'un attaquant, plutot que la plus facile.