Credential Theft Mitigations

Définition

Les Credential Theft Mitigations regroupent l'ensemble des mesures techniques et organisationnelles recommandées pour réduire le risque de vol de credentials en environnement Active Directory, une problématique transversale à la quasi-totalité des chaînes d'attaque documentées contre les infrastructures Windows d'entreprise. Ces mitigations se déploient à plusieurs niveaux complémentaires : la protection des secrets en mémoire, via Credential Guard qui isole les identifiants dans un conteneur virtualisé, et LSA Protection qui interdit l'injection de code non signé dans LSASS ; la limitation de l'exposition des comptes à privilèges, via le Tier Model imposant l'usage exclusif de PAW pour l'administration sensible et l'appartenance au groupe Protected Users pour désactiver NTLM sur les comptes critiques ; l'unicité des secrets locaux, assurée par le déploiement de LAPS pour éviter la réutilisation d'un même mot de passe administrateur sur l'ensemble du parc ; et la gestion temporelle des privilèges, via le modèle JIT et PIM plutôt qu'une attribution permanente de droits élevés. La rotation régulière du mot de passe du compte KRBTGT complète cette stratégie en limitant la durée de vie exploitable d'une compromission non détectée, tandis que la surveillance active des journaux d'événements et des solutions EDR dédiées à LSASS constitue le dernier filet de détection face aux techniques n'ayant pas été neutralisées en amont par ces contrôles préventifs.