Liste noire de mots de passe dans Active Directory : comment la mettre en œuvre sans dépendre d’un fournisseur

Apprendre à créer et à appliquer une liste noire de mots de passe dans Active Directory est tout à fait possible avec la bonne combinaison d’outils. Ce guide explique comment constituer une liste de mots de passe interdits qui empêche vos utilisateurs d’utiliser des mots de passe courants, faciles à deviner ou déjà compromis.

Qu’est-ce qu’une attaque par pulvérisation de mots de passe ?

Créer une liste noire ou un filtre de mots de passe qui empêche les utilisateurs d’employer des mots de passe interdits contribue à protéger votre entreprise contre les attaques par pulvérisation de mots de passe. Ces attaques consistent à essayer des mots de passe couramment utilisés, faciles à deviner ou déjà exposés lors d’une fuite de données. Les attaquants peuvent tenter d’accéder à plusieurs comptes fédérés qui utilisent les identifiants Active Directory pour divers services cloud ou hébergés en privé.

Une liste personnalisée de mots de passe interdits, adaptée à votre entreprise, va plus loin que les listes génériques : vous pouvez par exemple y inclure le nom et l’adresse de votre société pour en interdire l’usage dans les mots de passe, et bloquer les mots de passe dont vous savez qu’ils ont été compromis, divulgués ou partagés (par exemple lorsque des employés partagent des comptes utilisateur).

Créer une liste noire de mots de passe dans Active Directory

Lorsqu’il est hébergé sur des contrôleurs de domaine Windows, Active Directory ne prend pas en charge nativement les listes noires de mots de passe personnalisées. Ce rôle a traditionnellement été assuré par des produits tiers, ce qui crée une dépendance vis-à-vis du fournisseur. Microsoft Entra ID s’impose rapidement comme la méthode privilégiée pour gérer l’authentification en entreprise avec Active Directory, grâce à son intégration étroite avec Microsoft 365 et à ses outils de gestion cloud améliorés. Il propose désormais une fonctionnalité de liste noire de mots de passe.

En utilisant la jonction hybride Microsoft Entra pour relier votre Active Directory sur site à Microsoft Entra ID, les appareils et les utilisateurs sont synchronisés entre les deux services et vous pouvez profiter des fonctionnalités supplémentaires offertes par Entra ID. Cela inclut la protection personnalisée des mots de passe, avec la possibilité de définir vos propres listes de mots de passe bloqués après avoir installé l’agent requis sur vos contrôleurs de domaine. Pensez également à activer la réécriture des mots de passe afin de synchroniser les changements de mots de passe depuis Entra ID vers votre infrastructure Active Directory.

Éviter la dépendance en gérant votre propre liste de mots de passe

Vous aurez peut-être aussi besoin d’utiliser votre liste noire de mots de passe sur d’autres plateformes, en dehors d’Active Directory ou de l’écosystème Microsoft. Il est donc important d’en conserver votre propre copie pour l’avoir toujours à disposition. Vous pouvez le faire via votre plateforme de documentation informatique.

Il est impératif que votre liste noire de mots de passe soit protégée par du chiffrement et des contrôles d’accès, car elle pourrait fournir aux attaquants des indices précieux sur les mots de passe à essayer lors d’une attaque par pulvérisation. Assurez-vous que la plateforme de documentation informatique que vous choisissez offre une sécurité robuste, des accès basés sur les rôles et la possibilité de téléverser des fichiers chiffrés, afin que seuls les techniciens qui en ont besoin puissent consulter et mettre à jour ces listes.

Élaborer une stratégie de liste noire de mots de passe pour Active Directory

Pour déterminer ce qui doit figurer dans votre liste de mots de passe interdits, tenez compte des éléments suivants :

• Les mots de passe compromis, couramment utilisés, faciles à deviner, ainsi que leurs variantes triviales (comme l’ajout d’un chiffre séquentiel ou d’une date). Par exemple, les termes liés à l’entreprise ou à la marque et l’argot local.
• Concentrez-vous sur les mots de passe vulnérables propres à votre environnement : évitez les termes courants comme « password », car ces attaques par dictionnaire doivent être couvertes par votre fournisseur d’authentification et/ou votre politique de complexité des mots de passe. Vouloir gérer manuellement tous les mots de passe faibles possibles est une tâche impossible.
• Normalisez et dédupliquez vos listes de mots de passe pour en faciliter la gestion.

Revoyez régulièrement votre liste de mots de passe, en particulier après une fuite de données, afin de vous assurer que tous les mots de passe divulgués y figurent.

Comment garantir l’efficacité de votre liste de mots de passe interdits Active Directory

Encouragez les utilisateurs à réinitialiser eux-mêmes leur mot de passe via l’interface web d’Entra ID, afin que leurs mots de passe soient mis à jour le plus rapidement possible sur l’ensemble des services fédérés. Si vous découvrez qu’un mot de passe facile à deviner est utilisé par plusieurs utilisateurs, qu’une fuite s’est produite ou que des comptes sont partagés, imposez une réinitialisation des mots de passe après avoir mis à jour la liste noire, pour garantir que tous les comptes utilisent des mots de passe nouveaux et sécurisés.

Microsoft Entra ID vous permet de surveiller les rejets de mots de passe. Vous pouvez combiner cette fonction avec votre solution de surveillance et gestion à distance (RMM) pour repérer les utilisateurs qui peinent à définir un nouveau mot de passe, afin qu’un technicien du support puisse les contacter de manière proactive. Tenez vos équipes du service d’assistance informées des politiques de mots de passe et de leurs évolutions, pour qu’elles disposent des informations nécessaires pour aider rapidement les utilisateurs.

Surveillez les attaques par pulvérisation et sécurisez vos listes noires de mots de passe avec NinjaOne

La suite d’outils de gestion informatique de NinjaOne s’intègre aux déploiements Windows sur site ainsi qu’aux outils Microsoft 365 et Azure comme Entra ID, mais aussi aux plateformes de protection et de sécurité des terminaux. Elle comprend des solutions de RMM, de MDM et de sécurité des terminaux, ainsi que des plateformes de Helpdesk (service d’assistance) et de documentation. Vous disposez ainsi de tout ce qu’il faut pour automatiser et surveiller la détection et le blocage des attaques par pulvérisation de mots de passe, documenter vos listes noires en toute sécurité et tenir les utilisateurs informés des politiques de mots de passe.