DCSync : attaque de réplication AD

DCSync est une attaque de réplication AD qui abuse du protocole DRSUAPI (Directory Replication Service Remote Protocol) d'Active Directory. Un attaquant disposant des droits Replicating Directory Changes et Replicating Directory Changes All peut simuler le comportement d'un contrôleur de domaine (DC) secondaire. Il envoie une requête DsGetNCChanges au DC cible afin de demander la réplication de données d'annuaire. Le DC répond en fournissant les attributs sensibles des objets demandés, dont les hachages NTLM et les clés Kerberos, y compris ceux du compte krbtgt. L'attaque ne nécessite aucun accès physique ni connexion RDP au contrôleur de domaine. Elle est particulièrement dangereuse car elle repose sur un mécanisme légitime du protocole AD. La récupération du hash krbtgt permet ensuite de forger des Golden Tickets, offrant un accès persistant et quasi illimité au domaine. DCSync est donc une technique de post-exploitation critique dans tout environnement Windows Active Directory.

La détection de DCSync repose principalement sur l'analyse des événements de réplication Active Directory. L'événement Windows 4662 (An operation was performed on an object) est le signal clé : il est généré quand un objet AD fait l'objet d'une opération avec les droits de réplication (Replicating Directory Changes). Il faut filtrer les GUID 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2 et 1131f6ab-9c07-11d1-f79f-00c04fc2dcd2 dans les propriétés d'accès. Un déclenchement de cet événement depuis un compte non-DC est fortement suspect. Les outils SIEM comme Splunk ou Microsoft Sentinel permettent de corréler ces événements avec la source IP de la requête. Si la source n'est pas un DC connu, l'alerte doit être immédiate. L'événement 4929 (A source naming context replica was removed) peut aussi apparaître. Côté réseau, un trafic RPC vers le port 135 suivi de ports dynamiques élevés, émis depuis une station de travail vers un DC, constitue un indicateur réseau fiable. Microsoft ATA et Microsoft Defender for Identity détectent nativement DCSync via l'analyse comportementale du trafic DRSUAPI.

En Red Team, DCSync est exécuté principalement via Mimikatz avec la commande lsadump::dcsync /domain:target.local /user:krbtgt. Impacket fournit également le script secretsdump.py, utilisable à distance sans déployer de binaire sur le DC. Pour déclencher DCSync, l'attaquant doit préalablement obtenir un compte avec les droits de réplication. Ces droits sont souvent accordés par erreur à des comptes de service ou des admins délégués. Une technique courante consiste à abuser de WriteDACL sur la partition de domaine pour s'accorder soi-même ces permissions (ACL abuse). Côté durcissement, il faut auditer régulièrement les ACL sur l'objet racine du domaine avec Get-ObjectAcl de PowerView ou BloodHound. Aucun compte hors des DC et du groupe Domain Admins ne doit posséder Replicating Directory Changes All. La rotation fréquente du mot de passe krbtgt (double rotation recommandée) limite l'impact d'un Golden Ticket déjà forgé. Enfin, le tiering Active Directory (modèle Tier 0/1/2) réduit la surface d'exposition aux comptes susceptibles d'obtenir ces droits de réplication.