DCSync Attack (Attaque DCSync AD)
hackingDéfinition
L'attaque DCSync exploite le protocole de réplication d'Active Directory (MS-DRSR) pour extraire des hachages de mots de passe directement depuis un contrôleur de domaine, sans nécessiter d'accès physique ou de code exécuté sur le DC lui-même. Un attaquant disposant des droits Replicating Directory Changes (généralement réservés aux Domain Admins, DC ou certains comptes de réplication) peut simuler un contrôleur de domaine et demander la réplication des secrets pour n'importe quel compte, y compris KRBTGT. Implémentée dans l'outil Mimikatz via la commande lsadump::dcsync, cette technique permet d'obtenir les hachages NTLM et Kerberos de tous les comptes du domaine, facilitant des attaques pass-the-hash ou la création de Golden Tickets. La détection repose sur l'audit des événements 4662 et 4929 dans les journaux de sécurité Windows, et la restriction stricte des droits de réplication aux seuls comptes légitimes.
Description
L'attaque DCSync exploite le protocole de réplication d'Active Directory (MS-DRSR) pour extraire des hachages de mots de passe directement depuis un contrôleur de domaine, sans code exécuté sur le DC. Elle nécessite les droits Replicating Directory Changes.
Exploitation
Implémentée dans Mimikatz via lsadump::dcsync, cette technique permet d'obtenir les hachages NTLM et Kerberos de tous les comptes du domaine, y compris KRBTGT, facilitant la création de Golden Tickets et les attaques pass-the-hash.
Défense
- Auditer et restreindre strictement les droits de réplication aux seuls comptes DC légitimes
- Surveiller les événements Windows 4662 et 4929 pour détecter des demandes de réplication anormales
- Déployer des solutions de détection AD (Microsoft Defender for Identity, BloodHound Enterprise)
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis