Sécurité de vSphere Active Directory : Rapport de recherche

Sécurité de vSphere Active Directory : Un rapport de recherche complet

Lorsque les administrateurs s’authentifient à VMware vSphere en utilisant des identifiants Active Directory, ils s’attendent raisonnablement à ce que les mots de passe soient validés puis oubliés. La réalité est bien plus complexe.

Cette recherche indépendante en sécurité suit les identifiants AD à travers chaque couche d'un environnement vSphere, de ESXi 7 et 8 à vCenter Server 7 et 8. Les résultats révèlent que les configurations par défaut exposent les mots de passe via des transmissions LDAP en clair, des keytabs lisibles par tous et des caches persistants de tickets Kerberos. Sur les hôtes ESXi autonomes joints à AD, tout administrateur peut accéder aux identifiants mis en cache des autres utilisateurs, et le rôle ESXi Admin est fonctionnellement équivalent à Domain Admin lorsque les machines virtuelles du Domain Controller s'exécutent sur l'hôte.

vCenter Server fournit une authentification renforcée grâce à l'isolation des jetons SAML et à un contrôle d'accès basé sur les rôles granulaires, mais uniquement lorsqu'il est délibérément configuré pour utiliser l'authentification LDAPS ou SPNEGO. La source d'identité AD-over-LDAP par défaut recrée la pire exposition des identifiants au niveau du réseau.

Ce rapport documente chaque vulnérabilité avec des captures de paquets, des dumps mémoire et des chaînes d'attaque fonctionnelles, puis fournit des recommandations prioritaires pour renforcer votre intégration vSphere AD.

Dans ce guide, vous apprendrez comment

• Identifiez où les identifiants AD sont exposés aux niveaux réseau, disque et mémoire dans les environnements vSphere.
• Comprenez pourquoi la jonction autonome de domaine AD ESXi crée des faiblesses architecturales de sécurité irréparables.
• Configurez les sources d’identité vCenter pour éliminer la transmission des mots de passe en clair en utilisant LDAPS ou SPNEGO.
• Protégez le groupe admin ESXi avec la même rigueur que les Domain Admins, car l'appartenance au groupe AD contrôle directement l'accès root à l'hyperviseur.
• Empêchez les attaques par rétrogradation Kerberos en appliquant un chiffrement AES uniquement sur les comptes ordinateurs ESXi et vCenter.
• Restreignez l'accès administrateur ESXi aux hôtes exécutant des VM Domain Controller pour empêcher l'extraction hors ligne de ntds.dit et les attaques de rollback de snapshot.
• Détectez les tentatives de vol d'identifiants grâce à la surveillance de l'événement DC 2889 et à l'audit des accès aux fichiers.

Pourquoi télécharger ce guide

• Obtenez une visibilité sur les flux d’identifiants que la documentation par défaut de vSphere ne divulgue pas.
• Comprenez les compromis de sécurité entre la gestion autonome d'ESXi et les environnements gérés par vCenter.
• Mettez en œuvre des recommandations de durcissement prioritaires basées sur des chaînes d'attaque testées.
• Réduisez le risque de compromission du domaine en traitant les privilèges ESXi Admin avec la sensibilité appropriée.
• Renforcez les procédures de réponse aux incidents avec la révocation des certificats en plus des réinitialisations de mot de passe.