Abus de relation d'approbation Active Directory (trust abuse)

Définition

L'abus de relation d'approbation Active Directory désigne l'exploitation des liens de confiance configurés entre différents domaines ou forêts Active Directory distincts, un mécanisme légitime permettant à des utilisateurs d'un domaine d'accéder à des ressources d'un autre domaine sans nécessiter de compte distinct dans chacun, mais qui peut également constituer un chemin d'attaque permettant à un attaquant ayant compromis un domaine de progresser vers un domaine ou une forêt approuvée, la robustesse de la sécurité de l'ensemble se trouvant alors réduite à celle du maillon le plus faible de la chaîne de confiance établie. Selon la direction et le type de la relation d'approbation configurée, un attaquant peut exploiter des mécanismes spécifiques comme la falsification d'un identifiant de sécurité inter-domaine pour usurper l'appartenance à un groupe à privilèges élevés dans le domaine approuvé cible, une technique particulièrement critique lorsque la relation de confiance traverse la frontière entre deux forêts distinctes appartenant historiquement à des organisations différentes, par exemple à la suite d'une fusion-acquisition n'ayant jamais fait l'objet d'un audit de sécurité approfondi de la relation de confiance nouvellement établie entre les deux environnements. Pour les équipes défensives, la contre-mesure repose sur un audit régulier de l'ensemble des relations d'approbation configurées, la suppression de celles n'étant plus strictement justifiées par un besoin métier actuel, et une surveillance renforcée du trafic d'authentification traversant les frontières de confiance inter-domaines.