Partager via

Comprendre et utiliser le mode "Remote Credential Guard" (fr-FR)

  • Article

https://hichamkadiri.files.wordpress.com/2017/03/remotecredguardbigpic.jpg

S'applique à : Windows 10 et Windows Server 2016

Remote Credential Guard, qu'est-ce que c'est ?

Le géant américain a lancé l'année dernière le "Credential Guard", une fonctionnalité de sécurité native dans Windows 10 Enterprise et Windows Server 2016. Credential Guard aide à empêcher le vol d’informations d’identification et permet de réduire l'efficacité des attaques Kerberos telles que Overpass-The-Hash et Pass-the-Ticket.

Récemment, avec la publication de la mise à jour "Anniversaire" Windows 10, Microsoft a annoncé la disponibilité du "Remote Credential Guard", une nouvelle fonctionnalité de sécurité qui vise elle aussi à protéger les informations d'identification sur les connexions Bureau à distance en générant des tickets de service nécessaires à partir de la machine source au lieu de copier les informations d'authentification (Haches et TGT) vers la machine cible.

Notez que Remote Credential Guard a été introduite sur Windows 10 version 1607.

Cette fonctionnalité peut être considérée comme le successeur /remplaçant du mode "Restricted Admin".
En effet, les deux fonctionnalités s'activent et fonctionnent de la même manière, la seule différence réside dans le fait que le Remote Credential Guard ne limite pas l’accès aux autres ressources du réseau en redirigeant de nouveau toutes les demandes d'identifications vers la machine cliente du réseau.

Si vous voulez en savoir plus sur le mode "Restricted Admin", je vous invite à consulter cet article.

Enfin, un article détaillé sur le "Remote Credential Guard" a été rédigé et publié par CyberArk, je vous invite à consulter pour en savoir plus sur cette nouvelle fonctionnalité :
https://www.cyberark.com/blog/no-pass-hash-exploring-limitations-remote-credential-guard/

Prérequis

La fonctionnalité « Remote Credential Guard » est prise en charge par les OS suivants uniquement :

  • OS Server : Windows Server 2016
  • OS Client : Windows 10 (Entreprise)

Vous pouvez donc l’implémenter uniquement pour sécuriser des Connexions Bureau à distance établies depuis et vers les OS cités ci-dessus.

HowTo : Activer ou Désactiver le mode "Remote Credential Guard"

Le mode "Remote Credential Guard" est désactivé par défaut.

Il s’active de la même manière que le mode « Restricted Admin », il suffit donc de créer /ajouter la clé de Registre suivante sur vos machines cibles :

Chemin: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Valeur DWORD (32-bits) : DisableRestrictedAdmin

Données de la valeur : 0

Note importante : Cette clé de Registre peut également être crée en exécutant la commande suivante (depuis CMD.exe lancée en tant qu’Admin) :

Reg.exe Add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /V DisableRestrictedAdmin /D 0 /T REG_DWORD

Utiliser le mode "Remote Credential Guard"

Une fois activé, le mode « Remote Credential Guard » doit être forcé sur l’ensemble des machines du réseau (cibles) sur lesquelles vous vous connectez via Bureau à distance.

Cette configuration peut être effectuée d'une manière centralisée sur un ensemble de serveurs /postes de travail via GPO, et ce via l'utilisation du paramètre de Stratégie de groupe suivant :

Chemin : Configuration Ordinateur | Stratégies | Modèles d'administration | Système | Délégation d'informations d'identification

Paramètre : Limiter la délégation d'informations d'identification à des serveurs distants

Valeur du paramètre : Activé

Mode restreint : Requérir Credential Guard à distance

https://hichamkadiri.files.wordpress.com/2017/03/gpoconfig.png

Le mode « Remote Credential Guard » ou « Credential Guard à distance » est représenté par un paramètre de l’outil MSTSC.exe et plus précisément le paramètre /remoteGuard, lancez MSTSC /? depuis l’invite de commande (CMD.exe) ou le Menu Démarrer et constatez la disponibilité du mode « /remoteGuard » :

https://hichamkadiri.files.wordpress.com/2017/03/mstsc.png

Dans l’exemple suivant, nous allons établir une Connexion Bureau à distance en mode « remoteGuard » sur le serveur distant « LABRDS01 » :

https://hichamkadiri.files.wordpress.com/2017/03/runmenu.png

Ceci est un extrait de l'eBook "RDS 2016 - Securisation et Hardening [2ème Edition]"