User Enumeration

Définition

L'User Enumeration désigne l'ensemble des techniques permettant à un attaquant d'identifier des noms de comptes utilisateurs valides au sein d'un domaine Active Directory, une étape préalable indispensable à toute tentative ultérieure de force brute, de password spraying ou d'attaque Kerberos ciblée comme l'AS-REP Roasting. Plusieurs vecteurs permettent cette énumération sans nécessiter de compte préalablement authentifié : les requêtes LDAP anonymes lorsque le domaine les autorise encore, l'interrogation du protocole Kerberos lui-même, qui répond différemment selon qu'un nom de compte existe ou non lors d'une demande AS-REQ, une différence de code d'erreur exploitée par des outils comme Kerbrute, ou encore l'énumération via SMB et le protocole SAMR lorsque les restrictions anonymes ne sont pas correctement appliquées. Une fois authentifié avec un compte disposant même de privilèges minimaux, l'attaquant dispose d'un accès bien plus large via des requêtes LDAP standards, listant potentiellement l'intégralité des comptes du domaine avec leurs attributs associés. Cette phase de reconnaissance conditionne directement l'efficacité des attaques suivantes, une liste précise de comptes valides réduisant considérablement le nombre de tentatives nécessaires lors d'un password spraying et limitant ainsi le risque de déclencher un verrouillage de compte massif. La restriction des requêtes anonymes et la limitation de l'exposition Kerberos non authentifiée constituent les principales contre-mesures recommandées.