DRSR Protocol MS-DRSR

Définition

MS-DRSR (Directory Replication Service Remote Protocol) est le protocole RPC sous-jacent au mécanisme de réplication d'Active Directory, permettant à un contrôleur de domaine de demander à un autre la synchronisation des modifications de l'annuaire, incluant les attributs les plus sensibles comme les hachages de mots de passe stockés dans l'attribut unicodePwd. Ce protocole constitue la base technique exacte exploitée par l'attaque DCSync : un attaquant disposant des droits DS-Replication-Get-Changes et DS-Replication-Get-Changes-All, normalement réservés aux contrôleurs de domaine et aux groupes à très hauts privilèges, peut invoquer directement les mêmes primitives MS-DRSR depuis n'importe quelle machine du réseau pour demander la réplication de données sensibles, sans jamais exécuter de code sur un contrôleur de domaine réel. MS-DRSR ne prévoit structurellement aucune restriction empêchant qu'une machine non déclarée officiellement comme contrôleur de domaine invoque ces mêmes appels, dès lors qu'elle dispose des droits de réplication appropriés au niveau de l'annuaire, ce qui explique pourquoi la protection contre DCSync repose entièrement sur la maîtrise rigoureuse des permissions de réplication accordées, plutôt que sur une restriction technique du protocole lui-même. La surveillance des requêtes MS-DRSR provenant d'hôtes non répertoriés comme contrôleurs de domaine légitimes constitue une piste de détection avancée recommandée pour repérer une exploitation en cours de ce protocole.