GPO : attaques et durcissement Active Directory

Une GPO (Group Policy Object) est un objet Active Directory qui concentre un ensemble de paramètres de configuration appliqués automatiquement aux machines et utilisateurs d'une ou plusieurs Organizational Units. Les GPO sont au coeur de la gestion centralisée des environnements Windows. Chaque GPO est liée à un objet de l'annuaire (domaine, site ou OU) et appliquée via le mécanisme GPMC/SYSVOL. Le moteur de traitement client (csrss, winlogon) récupère les stratégies au démarrage ou à l'ouverture de session, selon un intervalle de rafraîchissement configurable (par défaut 90 minutes en environnement domaine). En cybersécurité, les GPO représentent un vecteur d'attaque majeur. Un attaquant qui obtient des droits d'écriture sur un objet GPO peut imposer des scripts de démarrage, modifier les privilèges locaux, désactiver Windows Defender ou déployer des tâches planifiées malveillantes sur l'ensemble des machines ciblées. La portée de l'impact est proportionnelle aux OUs liées à la GPO compromise. C'est pourquoi la maîtrise des droits de délégation sur les GPO est un prérequis fondamental pour tout audit AD.

La détection des abus de GPO repose sur plusieurs sources de journalisation. L'événement Windows 5136 (Directory Service Changes) dans le journal Security enregistre toute modification d'un attribut d'objet AD, y compris les attributs gPCFileSysPath et versionNumber d'une GPO. L'événement 4670 trace les changements de permissions sur des objets AD. Côté SYSVOL, toute modification de fichiers dans \domain\SYSVOL\domain\Policies\ doit être surveillée en temps réel via un SIEM ou un outil de File Integrity Monitoring. BloodHound, utilisé côté Blue Team, permet de cartographier les ACLs sur les GPO et d'identifier les comptes disposant de droits GenericWrite, WriteDacl ou WriteOwner. Des outils comme PingCastle ou Purple Knight signalent les GPO orphelines, les liaisons non filtrées et les délégations excessives. Un indicateur fort de compromission est la création ou la modification d'une GPO par un compte non administrateur, ou la modification d'une GPO existante en dehors des fenêtres de maintenance habituelles. La corrélation entre un événement 5136 et une connexion RPC sur le contrôleur de domaine depuis un poste non privilégié est un signal d'alerte critique à remonter immédiatement.

Côté Red Team, l'abus de GPO commence par l'énumération des droits ACL sur les objets Group Policy. BloodHound avec le collecteur SharpHound identifie les comptes ayant GenericWrite ou CreateChild sur des GPO liées à des OUs sensibles. L'outil SharpGPOAbuse permet d'ajouter un utilisateur au groupe local Administrators, de créer une tâche planifiée immédiate ou de déployer un script de démarrage malveillant sur toutes les machines de l'OU cible, sans modifier d'autres objets AD. PowerView (PowerSploit) expose les fonctions Get-NetGPO et Get-GPODelegation pour l'énumération. La technique 'GPO on OU link' consiste à créer une nouvelle GPO et à la lier à une OU cible si l'attaquant dispose du droit gpLink sur l'OU. Pour le durcissement, les contre-mesures essentielles sont les suivantes. Les droits de délégation sur les GPO doivent être auditéss trimestriellement. Le groupe 'Group Policy Creator Owners' doit rester vide ou strictement contrôlé. Les GPO sensibles (Default Domain Policy, Default Domain Controllers Policy) doivent avoir leurs ACLs verrouillées. Le filtrage WMI et la segmentation par OU limitent la portée d'une GPO compromise. Enfin, l'activation de LAPS via GPO, couplée à une GPO de restriction Applocker, réduit l'impact d'un mouvement latéral post-exploitation.