Ce livre traite de la sécurité des systèmes d’information à travers le prisme du langage PowerShell. Il s’adresse aux administrateurs système et réseau, experts ou consultants en cybersécurité, chefs de projet ou responsables cyber qui souhaitent comprendre le rôle et les capacités du langage de scripting de Microsoft dans le domaine de la cybersécurité.

L’auteur propose une approche pragmatique et pédagogique de la sécurité qui présente aussi bien les capacités offensives que défensives de PowerShell, le tout illustré par des exemples pratiques à mettre en œuvre au sein d’un laboratoire virtuel.

Dans une première partie dédiée aux aspects offensifs, des premiers chapitres détaillent des exemples d’attaque en PowerShell et vous invitent à développer votre propre ransomware. Vous découvrez également PowerShell Empire, un framework d’attaque open source entièrement basé sur PowerShell.

La seconde partie illustre les possibilités défensives de PowerShell (et la façon de les contourner), comme la signature de code, la mise en place d’une chaîne de certification, les mécanismes comme AMSI (Anti-Malware Scan Interface) ou le mode de langage contraint. La sécurisation des accès à distance avec PowerShell est également étudiée avec WinRM, WMI ou Just Enough Administration. Diverses techniques d’administration nécessaires à la sécurité sont ensuite évoquées, telles que la protection des protocoles SMB et RDP, les comptes de service managés et les abonnements WMI.

Pour finir, une dernière partie appréhende la supervision des environnements Windows et PowerShell avec les mécanismes de journalisation et de centralisation des logs jusqu’à la mise en œuvre d’une infrastructure de supervision SIEM.


Quizinclus dans
la version en ligne !

• Testez vos connaissances à l'issue de chaque chapitre
• Validez vos acquis

Avant-propos

1. Introduction

Fondamentaux et mise en place du Lab

1. Les fondamentaux de la cybersécurité
   1. 1. Le risque et les compromis de sécurité dansle temps
   2. 2. Les quatre piliers de la sécurité
2. Les différents acteurs de la cybersécurité
   1. 1. Les équipes de production
   2. 2. Les équipes cyber
   3. 3. La gouvernance
   4. 4. Les utilisateurs
   5. 5. Les « attaquants »
3. Les éléments clés de PowerShell pour la sécurité
   1. 1. Pour les administrateurs
   2. 2. Pour les attaquants
      1. a. Live off the land
      2. b. Fileless attack
4. Mise en place de l’environnement de test virtuel
   1. 1. L’infrastructure du Lab
   2. 2. Infrastructure réseau
      1. a. VirtualBox
      2. b. pfSense
   3. 3. Infrastructure logique Active Directory
      1. a. Windows Server 19
      2. b. Finaliser la configuration pfSense
      3. c. Création du domaine Active Directory
   4. 4. Déploiement des clients
      1. a. Client Windows 10
      2. b. Client Windows 7 (optionnel)
      3. c. Machine de l’attaquant : Kali-Linux
5. Conclusion

Les attaquants et PowerShell

1. Quelques exemples d’attaques
   1. 1. Balayage réseau en PowerShell
      1. a. Définition d’un scan réseau
      2. b. Développement
      3. c. Cas pratique
   2. 2. Attaques sur KeePass
      1. a. Présentation de KeePass
      2. b. Recherche de KeePass sur un système
      3. c. Analyse du fichier de configuration
      4. d. Bruteforce
      5. e. Quelques bonnes pratiques relatives à KeePass
   3. 3. Kerberoasting
      1. a. Présentation
      2. b. Mise en place
      3. c. Attaque
      4. d. Bilan
   4. 4. Chiffrement
      1. a. "On dit chiffrer"
      2. b. Les attaquants
      3. c. Chiffrement et déchiffrement asymétriquesen PowerShell
      4. d. Chiffrement et déchiffrement symétriquesen PowerShell
      5. e. Bilan
2. Un cas dans la vraie vie : Emotet
3. Conclusion

Malware maison

1. Introduction
2. Comment est architecturé un malware ?
3. Étape 1 : le dropper Memory Only
4. Étape 2 : le serveur de contenu
   1. 1. Serveur HTTP en Python
   2. 2. Serveur HTTP en PowerShell
5. Étape 3 : le C&C et le reverse shell
   1. 1. Le C&C : mettre le serveur en écoute
   2. 2. Le reverse shell : établir une communication
   3. 3. Action
6. Étape 4 : le ransomware
   1. 1. Chiffrement
   2. 2. Déchiffrement
7. L'attaque, pas à pas
8. Conclusion

PowerShell Empire

1. Historique et présentation
2. Déploiement
   1. 1. Les sources et la documentation
   2. 2. Installation
      1. a. Empire
      2. b. Starkiller
      3. c. API REST d’Empire
3. Utilisation d'Empire pour attaquer un système d'information
   1. 1. Help !
   2. 2. Listeners
      1. a. Présentation
      2. b. Un premier listener
      3. c. Analyse du dropper associé
      4. d. Exécution du launcher
   3. 3. Stagers
      1. a. Présentation
      2. b. Création d’un stager
      3. c. Empaqueter le launcher dans une macro
      4. d. Ouverture d’une pièce jointe piégée
   4. 4. Agents
      1. a. Présentation
      2. b. Interagir avec un agent
      3. c. Élévation de privilègessous Windows 7
      4. d. Zoom sur l’attaque ByPass UAC
   5. 5. Modules
      1. a. Élévation de privilègespour W10
      2. b. Collecte d’informations
      3. c. Persistance
   6. 6. Propagation
      1. a. Bruteforce du mot de passe Administrateur
      2. b. Vol du jeton
      3. c. Pivot SMB et RDP
      4. d. Restricted Admin mode, RDP et pass-the-hash
   7. 7. Scripts
      1. a. NTDS
      2. b. DSInternals
4. Conclusion

Sécuriser PowerShell

1. Introduction
2. Supprimer PowerShell
   1. 1. Désinstaller, désactiver ou bloquer ?
   2. 2. Bloquer PowerShell par GPO
   3. 3. Contrôler le blocage
   4. 4. Quelques considérations
3. Execution policy
   1. 1. Présentation
   2. 2. Configuration
      1. a. Locale
      2. b. Domaine
   3. 3. Tester et contourner
      1. a. Tester
      2. b. Contourner
   4. 4. Bilan
4. Code signing
   1. 1. Présentation
   2. 2. Mettre en œuvre une Autorité deCertification  pour le code signing
      1. a. Autorité racine
      2. b. Serveur de liste de révocation
      3. c. Autorité intermédiaire
      4. d. Certificat de signature utilisateur
      5. e. Déployer le certificat d’AC
      6. f. Déployer le certificat utilisateur
      7. g. Usage de XCA pour une PKI d’entreprise
   3. 3. Exemple de code signing
      1. a. Signer un script
      2. b. Timestamping
   4. 4. Bilan
5. AMSI
   1. 1. Présentation
   2. 2. AMSI : banc de test
   3. 3. Observateur d’événements
   4. 4. Bilan
6. Conclusion

Restreindre PowerShell

1. Introduction
2. Remote PowerShell
   1. 1. PSSessions, WS-Management et WinRM
      1. a. Sessions
      2. b. Sécurité des communications réseau
      3. c. Activer WinRM
   2. 2. Sécurisation de WinRM
      1. a. Pare-feu
      2. b. Contrôle d’accès par groupe AD etGPO
      3. c. Contrôle d’accès SDDL
      4. d. HTTPS
      5. e. Authentification par certificats
   3. 3. WMI
      1. a. Firewall
      2. b. Contrôle d’accès
      3. c. Démarrer un processus à distance
      4. d. Bilan
3. PowerShell JEA : Just Enough Administration
   1. 1. Présentation
   2. 2. Stratégie de mise en œuvre
   3. 3. Capacité de rôle
   4. 4. Configuration de sessions
   5. 5. Activer et désactiver la configuration JEA
   6. 6. Tester JEA
   7. 7. Bilan
4. Constrained Language Mode et AppLocker
   1. 1. Language Mode
   2. 2. AppLocker
      1. a. Bloquer l’exécution de scripts avec AppLocker
      2. b. AppLocker et les journaux d’événements
   3. 3. Langage contraint avec WDAC
      1. a. Configuration
      2. b. Contournement partiel
   4. 4. Bilan
5. Conclusion

Défendre son SI avec PowerShell

1. Introduction
2. Durcissement
   1. 1. RDP : Remote Desktop Protocol
      1. a. Authentification, NLA et gestion des accès
      2. b. Pare-feu
   2. 2. Configurer TLS
   3. 3. SMB
      1. a. Server Message Block - Présentation
      2. b. Forcer SMB v3
      3. c. Bilan
3. Windows Firewall
   1. 1. Qu’est-ce qu’un pare-feu déjà ?
   2. 2. Appliquer une politique No-inbound
   3. 3. Tracer les connexions réseau
   4. 4. Bilan
4. Défendre et contrôler son AD
   1. 1. Les comptes de service managés
   2. 2. AdminSDHolder
5. Live-forensics et PowerShell
   1. 1. WinRM et le live-forensics
   2. 2. WMI : abonnements aux événementssystème
      1. a. Exemples de requêtes WQL
      2. b. Filtres, consommateur et binding
   3. 3. Quelques exemples d’abonnements WMI
      1. a. Abonnement permanent : détectiondes nouveaux périphériques
      2. b. Abonnement temporaire : détectiond’un démarrage de processus dans PowerShell
   4. 4. Persistance pour les attaquants
6. Conclusion

Superviser PowerShell

1. Introduction
2. Collecter les logs Windows et Sysmon
   1. 1. Surveiller les logs Windows avec PowerShell
   2. 2. Mettre en place Sysmon
   3. 3. Transférer les logs Sysmon vers un serveurSyslog
      1. a. WinEventForwarding
      2. b. Retransmettre vers un serveur syslog
   4. 4. Bilan
3. Les logs PowerShell
   1. 1. Logs PowerShell
   2. 2. Transcript
   3. 3. Script Block Logging
   4. 4. Protected Event Logging
   5. 5. Bilan
4. Surveiller avec un SIEM
   1. 1. Installer une instance Splunk
   2. 2. Indexer les premiers logs
      1. a. Injecter un fichier de log et créer le sourcetype
      2. b. Surveiller un dossier
   3. 3. Quelques règles de détections simplespour PowerShell
      1. a. Observer les événements bruts
      2. b. Travailler et filtrer sur les champs
      3. c. Faire des statistiques
      4. d. Mettre en place une alerte
      5. e. Pour aller plus loin avec Splunk…
5. Conclusion

Conclusion

1. Conclusion