SDProp

Définition

SDProp (Security Descriptor Propagator) est un processus automatique interne à Active Directory, s'exécutant par défaut toutes les soixante minutes sur le contrôleur de domaine détenant le rôle FSMO PDC Emulator, chargé de comparer et de réappliquer systématiquement le modèle de sécurité de référence défini sur l'objet AdminSDHolder à l'ensemble des comptes et groupes identifiés comme protégés au sein du domaine. Cette liste d'objets protégés inclut notamment les membres des groupes Domain Admins, Enterprise Admins, Schema Admins et Administrators, ainsi que certains comptes intégrés critiques comme le compte Administrateur par défaut, garantissant qu'aucune modification non autorisée de leurs permissions, résultant par exemple d'une délégation trop large appliquée sur une OU parente, ne persiste au-delà du prochain cycle d'exécution du processus. Cette protection présente une conséquence offensive documentée : un attaquant disposant temporairement de droits d'écriture sur l'objet AdminSDHolder lui-même peut y inscrire une permission malveillante qui sera automatiquement propagée par SDProp à l'ensemble des comptes protégés, technique connue sous le nom d'AdminSDHolder Abuse. La remédiation d'une telle compromission nécessite non seulement de retirer la permission malveillante ajoutée à AdminSDHolder, mais également d'attendre ou de déclencher manuellement, via ntdsutil ou un script dédié, un nouveau cycle SDProp pour propager effectivement la correction à tous les objets affectés.