Chapitre 1011 minAvancé
Sauvegarder et restaurer l'annuaire
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- sauvegarder l'état du système des contrôleurs et protéger ces sauvegardes ;
- restaurer un objet supprimé avec la corbeille AD ;
- choisir entre restauration non autoritaire, autoritaire et reprise de forêt ;
- organiser la reprise d'un domaine après une compromission.
4 exercices corrigés
Sauvegarder Active Directory, c'est pouvoir remettre l'annuaire en état après une suppression, une corruption ou une compromission. L'enjeu est double : récupérer un objet effacé par erreur, et reprendre la main sur tout un domaine après un rançongiciel. Ce chapitre explique ce qu'il faut sauvegarder, comment restaurer un objet avec la corbeille AD, la différence entre restauration non autoritaire et autoritaire, et la reprise d'un domaine après une attaque. Le cours Sauvegarde et PRA couvre la sauvegarde en général (règle 3-2-1, immuabilité, RPO et RTO) ; ici, on se concentre sur l'annuaire.
Ce qu'il faut sauvegarder : l'état du système
L'annuaire ne se sauvegarde pas en copiant un fichier : la base NTDS.dit est ouverte en permanence. On sauvegarde l'état du système (System State) d'un contrôleur de domaine, qui regroupe tout ce qui permet de le reconstruire : la base de l'annuaire et ses journaux, le dossier SYSVOL (scripts et GPO), le registre, la base d'enregistrement des classes COM+ et, sur un contrôleur, les fichiers de démarrage. L'outil intégré est Windows Server Backup (la fonctionnalité Sauvegarde Windows Server), que le cours Windows Server détaille.
# Installer la fonctionnalité, puis sauvegarder l'état du système vers un disque dédié
Install-WindowsFeature Windows-Server-Backup
wbadmin start systemstatebackup -backupTarget:E: -quiet
Quelques règles propres à l'annuaire :
- sauvegarder l'état du système des deux contrôleurs, au moins une fois par jour, et le garder plusieurs générations ;
- rester sous la durée de vie des objets désactivés (tombstone lifetime, 180 jours par défaut) : une sauvegarde plus ancienne ne peut plus être restaurée sans risque de « réapparition » d'objets supprimés ;
- conserver une copie hors ligne ou immuable, hors de portée d'un rançongiciel (voir plus bas).
La corbeille Active Directory : récupérer un objet supprimé
Quand on supprime un compte ou une OU par erreur, inutile de restaurer une sauvegarde entière si la corbeille Active Directory est activée : elle conserve les objets supprimés avec tous leurs attributs (groupes, SID, mot de passe), et permet de les restaurer intacts. C'est la première mesure à prendre, et le constat H de Sorbier montre qu'elle ne l'était pas.
La corbeille s'active une fois pour la forêt, et l'opération est irréversible (on ne peut plus la désactiver) ; elle demande un niveau fonctionnel de forêt Windows Server 2008 R2 au moins :
Enable-ADOptionalFeature 'Recycle Bin Feature' -Scope ForestOrConfigurationSet `
-Target 'ad.sorbier.example'
# Retrouver puis restaurer un objet supprimé
Get-ADObject -Filter 'Name -like "*Lefèvre*"' -IncludeDeletedObjects
Restore-ADObject -Identity "<DistinguishedName de l'objet supprimé>"
Dans l'interface, le Centre d'administration Active Directory (dsac.exe) montre un conteneur Deleted Objects d'où l'on restaure d'un clic. Sans corbeille, récupérer un objet exige une restauration autoritaire depuis une sauvegarde, bien plus lourde : c'est pourquoi on l'active avant d'en avoir besoin.
Restauration non autoritaire ou autoritaire
Quand on restaure l'annuaire depuis une sauvegarde, la réplication complique les choses : les autres contrôleurs ont peut-être une version plus récente, et vont « corriger » le contrôleur restauré. D'où deux modes :
| Mode | Ce qu'il fait | Quand l'utiliser |
|---|---|---|
| Non autoritaire | Le contrôleur restauré redémarre, puis reçoit des autres contrôleurs les changements survenus depuis la sauvegarde : il se remet à jour | Remplacer un contrôleur défaillant quand les autres sont sains |
| Autoritaire | On marque certains objets (une OU supprimée, par exemple) comme prioritaires : après restauration, le contrôleur les impose aux autres, qui ne les réécrasent pas | Récupérer des objets supprimés quand la corbeille n'était pas activée, ou que la suppression s'est déjà répliquée partout |
La restauration se fait en démarrant le contrôleur en mode de restauration des services d'annuaire (DSRM), avec le mot de passe DSRM (que Windows LAPS peut gérer, chapitre 6). Pour une restauration autoritaire, on marque les objets avec ntdsutil :
ntdsutil "activate instance ntds" "authoritative restore" "restore subtree OU=Comptabilite,OU=Sorbier,DC=ad,DC=sorbier,DC=example" quit quit
On lance cette commande en mode DSRM, après la restauration non autoritaire de l'état du système et avant de redémarrer normalement : activate instance ntds sélectionne la base de l'annuaire, puis restore subtree marque l'OU et tout son contenu comme prioritaires.
Protéger les sauvegardes contre le rançongiciel
Un rançongiciel moderne cherche et détruit les sauvegardes accessibles avant de chiffrer, pour empêcher la reprise. Une sauvegarde de l'annuaire n'est une protection que si l'attaquant ne peut pas l'atteindre :
- une copie hors ligne (déconnectée après l'écriture) ou immuable (que même un administrateur ne peut pas modifier ni supprimer avant une échéance) ;
- des comptes de sauvegarde dédiés, distincts des comptes d'administration du domaine, pour que la compromission du domaine ne donne pas accès aux sauvegardes ;
- un stockage des sauvegardes de tier 0 (chapitre 5) : qui peut restaurer un contrôleur contrôle l'annuaire.
Le stockage TrueNAS de Sorbier reçoit les sauvegardes et conserve des instantanés en lecture seule que le compte de sauvegarde lui-même ne peut pas effacer. La règle 3-2-1-1-0 (trois copies, deux supports, une hors site, une hors ligne ou immuable, zéro erreur de restauration vérifiée) s'applique à l'annuaire comme au reste ; le cours Sauvegarde et PRA la développe, avec le RPO, le RTO et la rédaction du PRA, et le cours Stockage et NAS avec TrueNAS montre les instantanés en lecture seule (protéger un NAS contre les rançongiciels).
Reprendre la main après une compromission du domaine
Si un attaquant a obtenu le contrôle du domaine, restaurer une sauvegarde ne suffit pas : on ne sait pas quand l'intrusion a commencé, la sauvegarde peut déjà contenir ses accès cachés, et il connaît peut-être la clé de krbtgt. La reprise suit le guide de récupération de forêt de Microsoft et les recommandations de l'ANSSI. Les grandes lignes, à connaître sans les détailler :
- Contenir : isoler le domaine, couper les accès distants, travailler sur un réseau de confiance (cours Réponse à incident).
- Restaurer un contrôleur à partir d'une sauvegarde antérieure à la compromission, hors ligne, puis reconstruire les autres à partir de lui.
- Changer les secrets : réinitialiser deux fois le mot de passe de
krbtgt(chapitre 7), les mots de passe des comptes d'administration et des comptes de service, le compte DSRM. - Vérifier l'absence de persistance : comptes créés par l'attaquant, délégations ajoutées, modifications d'
AdminSDHolder, droits de réplication accordés (DCSync). - Durcir avant de rouvrir, en appliquant les mesures de ce cours.
- Notifier si des données personnelles sont concernées : violation à la CNIL sous 72 heures, et les autres obligations (cours Réponse à incident).
Tester la restauration
Une sauvegarde jamais restaurée n'est pas une sauvegarde : c'est une supposition. On teste, au moins une fois par trimestre, dans un environnement isolé (un laboratoire monté sur l'hyperviseur) :
- restaurer l'état du système d'un contrôleur et vérifier que l'annuaire démarre ;
- restaurer un objet supprimé depuis la corbeille et vérifier ses attributs ;
- chronométrer : le temps de restauration mesuré est le RTO réel de l'annuaire, à comparer à l'objectif (le RPO et le RTO sont définis dans le cours Sauvegarde et PRA).
Le « 0 » de la règle 3-2-1-1-0 (zéro erreur) ne se vérifie que par ces tests.
Exercices
Exercice 1 sur 4 Corbeille ou restauration autoritaire ? Réussi À revoir
Pour chaque situation, dis si la corbeille AD suffit ou s'il faut une restauration autoritaire, et pourquoi.
- La corbeille est activée depuis un an ; un technicien a supprimé l'OU
Comptabilitece matin. - La corbeille n'a jamais été activée ; un compte important a été supprimé hier et la suppression s'est répliquée sur les deux contrôleurs.
- La corbeille est activée ; on veut revenir à la valeur d'un attribut modifié (pas supprimé) il y a deux jours.
Voir la réponseMasquer la réponse de l'exercice 1
- Corbeille : l'objet supprimé est dans le conteneur Deleted Objects avec tous ses attributs ;
Restore-ADObjectle remet en place en quelques secondes. - Restauration autoritaire : sans corbeille, l'objet supprimé n'a plus ses attributs utilisables ; il faut restaurer une sauvegarde de l'état du système en mode autoritaire pour réimposer l'objet aux autres contrôleurs. (Et on active la corbeille sans attendre, pour la prochaine fois.)
- Ni l'une ni l'autre directement : la corbeille ne concerne que les objets supprimés, pas une modification d'attribut. On récupère l'ancienne valeur dans une sauvegarde ou dans les journaux d'audit (événement 5136, qui enregistre l'ancienne et la nouvelle valeur), puis on la réécrit.
Tu avais trouvé ?
Exercice 2 sur 4 Un instantané comme sauvegarde ? Réussi À revoir
Un collègue propose : « Les contrôleurs sont des VM sur Proxmox. Je prends un instantané chaque nuit, et en cas de problème je reviens dessus. Pas besoin de Windows Server Backup. » Explique les deux risques, et propose une stratégie correcte.
Voir la réponseMasquer la réponse de l'exercice 2
Risques. (1) Un retour à un instantané ramène la base de l'annuaire en arrière : sans la gestion par identifiant de génération, c'est une régression USN, qui bloque la réplication et désynchronise les contrôleurs. (2) Un instantané stocké sur l'hyperviseur, accessible depuis le domaine, est à la portée d'un rançongiciel qui a compromis le domaine : il sera chiffré ou effacé comme le reste.
Stratégie correcte. Garder les instantanés comme filet de courte durée pour une manipulation ponctuelle (et compter sur la gestion des contrôleurs virtualisés des hyperviseurs récents), mais sauvegarder l'état du système avec Windows Server Backup, vers un stockage de tier 0, avec une copie hors ligne ou immuable (instantanés en lecture seule sur TrueNAS), un compte de sauvegarde dédié, et des tests de restauration trimestriels. La corbeille AD est activée pour les suppressions courantes.
Tu avais trouvé ?
Exercice 3 sur 4 Après la compromission Réussi À revoir
Un rançongiciel a chiffré le parc de Sorbier ; l'enquête montre que l'attaquant était administrateur du domaine depuis au moins deux semaines. L'équipe a une sauvegarde de l'état du système d'hier soir. Pourquoi restaurer cette sauvegarde telle quelle serait une erreur, et que faut-il faire en plus ?
Voir la réponseMasquer la réponse de l'exercice 3
La sauvegarde d'hier soir est postérieure au début de l'intrusion (deux semaines) : elle contient très probablement déjà les accès cachés de l'attaquant (comptes créés, délégations, droits de réplication) et ses éventuelles modifications de l'annuaire. La restaurer remettrait l'attaquant en place. Il faut : restaurer à partir d'une sauvegarde antérieure à l'intrusion si elle existe (sinon reconstruire et nettoyer méthodiquement), changer deux fois le mot de passe de krbtgt et réinitialiser tous les comptes d'administration et de service, chercher et supprimer toute persistance (comptes, délégations, AdminSDHolder, droits DCSync), durcir le domaine avant de rouvrir, et traiter l'incident avec ses obligations légales (notification CNIL sous 72 heures si des données personnelles sont concernées). C'est le travail du cours Réponse à incident.
Tu avais trouvé ?
Exercice 4 sur 4 Mesurer le RTO de l'annuaire Réussi À revoir
Antoine veut savoir combien de temps il faudrait pour remettre l'annuaire en service après la perte totale des deux contrôleurs. Comment l'évaluer concrètement, et à quoi comparer le résultat ?
Voir la réponseMasquer la réponse de l'exercice 4
On réalise un test de restauration chronométré dans un laboratoire isolé : restaurer l'état du système d'un contrôleur depuis la dernière sauvegarde, vérifier que l'annuaire démarre et qu'un compte s'authentifie, reconstruire le second contrôleur à partir du premier. Le temps mesuré est le RTO réel de l'annuaire. On le compare au RTO visé fixé avec la direction (par exemple « l'annuaire doit revenir en 4 heures ») : s'il est dépassé, il faut agir (sauvegardes plus fréquentes, procédure mieux rodée, matériel de secours prêt). Ce test valide aussi le « 0 » de la règle 3-2-1-1-0.
Tu avais trouvé ?