Artefacts de stratégie de groupe

Présentation

La stratégie de groupe diffuse la configuration depuis Active Directory vers chaque machine et utilisateur du domaine. Les stratégies résident sous forme de fichiers dans SYSVOL sur les contrôleurs de domaine, puis sont mises en cache et appliquées sur chaque client. Parce qu'une seule GPO peut pousser des paramètres, scripts, tâches planifiées et logiciels vers des milliers d'hôtes d'un coup, les attaquants qui prennent le contrôle de l'annuaire arment la stratégie de groupe pour une persistance à l'échelle du domaine et le déploiement de rançongiciels. Les artefacts de stratégie de groupe permettent à l'enquêteur de voir ce qui a été appliqué, quand, et si un objet de stratégie a été altéré.

Emplacement

Ce que l'artefact prouve

• Quelles GPO se sont appliquées à un hôte ou un utilisateur, via les clés History et gpresult.
• Ce que contenait une stratégie : paramètres de registre, tâches planifiées, services, scripts et logiciels installés.
• L'altération : un ScheduledTasks.xml ou un script inattendu dans une GPO, ou un numéro de version incrémenté, atteste d'une stratégie armée.
• Cela ne prouve pas qu'une stratégie s'est réellement exécutée sur un hôte donné sans corroboration ; combinez avec les artefacts d'exécution côté client. Les clés History montrent l'assignation et la dernière application, pas le résultat par utilisateur.

Champs clés

Horodatages

Registry.pol et les XML GPP portent des dates NTFS $SI/$FN (UTC sur disque) ; un ScheduledTasks.xml récemment modifié dans une GPO ancienne est une piste forte. Les clés de registre History exposent une date LastWrite (UTC) de la dernière application. Recoupez avec le journal GroupPolicy Operational.

Rétention et effacement

Le contenu de SYSVOL et le cache client persistent jusqu'à l'édition ou la suppression de la GPO ; supprimer une GPO retire son dossier {GUID} mais les clichés et sauvegardes du DC le conservent en général. Les clés de registre History survivent aux redémarrages et constituent un enregistrement durable de ce qui s'est appliqué, même après disparition de la GPO source.

Collecte

gpresult /h C:\case\gpresult.html /f
Get-GPO -All | Select DisplayName, Id, ModificationTime, GpoStatus
robocopy \\%USERDNSDOMAIN%\SYSVOL\%USERDNSDOMAIN%\Policies E:\case\Policies /E /COPY:DAT

Exportez aussi les clés Group Policy\History depuis les ruches de registre client et collectez le journal GroupPolicy Operational des journaux d'événements.

Outils d'analyse

• gpresult / rsop.msc (natifs) : le jeu de stratégie résultant pour un hôte ou un utilisateur.
• module PowerShell GroupPolicy (Get-GPO, Get-GPOReport) : inventorie les GPO et leur dernière date de modification ; à lancer sur un DC ou avec RSAT.
• RegRipper / Registry Explorer : analysent les clés History et lisent Registry.pol.
• Get-GPPPassword et scripts d'audit similaires déchiffrent les cpassword GPP hérités pour évaluer l'exposition ; cités factuellement pour les défenseurs.

Conseils d'investigation

• Mots de passe GPP : tout cpassword subsistant dans Groups.xml, Services.xml ou ScheduledTasks.xml est déchiffrable et fut une source classique d'identifiants ; signalez et faites tourner les comptes concernés.
• GPO armée : les attaquants ajoutent une tâche planifiée immédiate ou un script de démarrage à une GPO largement liée pour exécuter une charge sur tout le domaine en un cycle. Comparez le contenu de la GPO à une sauvegarde saine et vérifiez les dates de modification de ScheduledTasks.xml.
• Sur le DC, 5136 (objet d'annuaire modifié) et 5137 (créé) dans le journal Sécurité captent les changements de GPO et de liens ; corrélez avec le compte auteur et avec l'activité de type DCSync.
• Le canal GroupPolicy Operational enregistre les cycles d'application (début/fin et erreurs) ; confirmez les Event IDs courants pour votre version plutôt que de les supposer, car ils varient.
• Des GUID de GPO nouveaux ou inattendus, ou une GPO liée à la racine du domaine juste avant un incident, méritent un examen attentif ; rattachez la date de changement au mouvement latéral.