Identity Attack : techniques et défense

Un Identity Attack désigne toute attaque ciblant les identités numériques d'un système d'information. L'objectif est de compromettre des credentials légitimes pour usurper une identité et accéder à des ressources protégées. Ces attaques exploitent les mécanismes d'authentification, d'autorisation et de gestion des identités (IAM). On distingue plusieurs vecteurs principaux. Le credential stuffing consiste à rejouer des paires identifiant/mot de passe issus de fuites de données. Le password spraying tente un petit nombre de mots de passe courants sur de nombreux comptes, afin d'éviter le verrouillage. Les attaques Kerberos, comme le Kerberoasting ou l'AS-REP Roasting, ciblent le protocole d'authentification Active Directory pour extraire des tickets et les craquer hors ligne. Les techniques pass-the-hash et pass-the-ticket permettent de réutiliser des condensats NTLM ou des tickets Kerberos sans connaître le mot de passe en clair. La compromission d'une identité permet ensuite le mouvement latéral, l'élévation de privilèges et, en bout de chaîne, la persistance dans le système. Ces attaques sont particulièrement redoutables car elles opèrent avec des comptes valides, rendant la détection plus difficile qu'une intrusion purement technique.

La détection des Identity Attack repose sur l'analyse fine des journaux d'authentification. Côté Active Directory, les événements Windows à surveiller sont l'ID 4625 (échec de connexion), l'ID 4768 et 4769 (requêtes TGT et TGS Kerberos), l'ID 4771 (pré-authentification Kerberos échouée) et l'ID 4648 (connexion avec credentials explicites). Une densité anormale d'événements 4769 avec chiffrement RC4 (type 0x17) sur des comptes de service est un indicateur fort de Kerberoasting. Le password spraying génère de nombreux événements 4625 depuis une même source IP sur des comptes différents, avec des intervalles réguliers. Les SIEM comme Splunk, Microsoft Sentinel ou Elastic SIEM permettent de corréler ces événements et de déclencher des alertes sur des seuils anormaux. Les solutions EDR détectent les accès au processus LSASS (identifiant de tentatives de dump de credentials) via des règles Sysmon ciblant l'ID 10. Les plateformes ITDR (Identity Threat Detection and Response), comme Microsoft Defender for Identity ou CrowdStrike Falcon Identity Protection, analysent les comportements des comptes en temps réel pour identifier les usages suspects de tickets ou les connexions depuis des emplacements inhabituels.

Côté Red Team, les Identity Attack s'appuient sur une chaîne d'outils bien documentée. Impacket fournit des scripts Python pour le Kerberoasting, l'AS-REP Roasting et les attaques pass-the-hash en environnement Active Directory. Mimikatz reste la référence pour l'extraction de condensats NTLM depuis la mémoire de LSASS et la création de Golden Ticket via la clé KRBTGT. Rubeus, écrit en C#, permet de manipuler les tickets Kerberos directement depuis un poste Windows compromis. BloodHound cartographie les chemins d'attaque entre identités et groupes pour identifier les élévations de privilèges exploitables. Pour les contre-mesures, plusieurs niveaux de durcissement s'appliquent. L'activation du Protected Users Security Group sur les comptes sensibles désactive RC4 et limite la durée des tickets. La rotation régulière du mot de passe du compte KRBTGT invalide les Golden Tickets existants. Le déploiement des silos d'authentification (Authentication Policy Silos) restreint l'usage des comptes privilégiés à des postes de travail dédiés. Enfin, le principe du moindre privilège, combiné à la surveillance des groupes à privilèges élevés et à l'activation de l'authentification multifacteur (MFA), réduit significativement la surface d'attaque exposée aux Identity Attack.