Configuration

Prérequis :

• Version de Windows :

  • Windows 10 ou version ultérieure sur une station de travail

  • Windows Server 2016 ou version ultérieure sur un serveur (doit disposer des correctifs de sécurité récents appliqués)

• Accès Internet : HTTPS sortant (port 443), sans inspection SSL, vers :

  • api.prod.ad-scan.cyber.stoik.io

  • ad-scan-prod-pingcastle-zip.s3.eu-west-1.amazonaws.com

  • ad-scan-prod-reports.s3.eu-west-1.amazonaws.com

• Inscrit dans Active Directory et connecté au contrôleur de domaine

• Connecté à un compte administrateur de domaine

• Exécution de scripts non signés autorisée :

  • Option A : Set-ExecutionPolicy Unrestricted -Scope LocalMachine

  • Option B : ajoutez le fichier binaire à la liste d'exclusion dans Defender ou une solution similaire, puis exécutez Set-ExecutionPolicy Bypass -Scope Process et exécutez le script.

• Script téléchargé au cours des 24 dernières heures

• Dernière version de PowerShell installée, vérifiez avec : $PSVersionTable.PSVersion

1

Ouvrir AD Scan

Cliquez sur AD Scan.

2

Téléchargez le script

Cliquez sur Téléchargez le script.

Si le script de scan AD ne se télécharge pas, vos paramètres de sécurité peuvent le bloquer. Vérifiez si le fichier apparaît dans l' Téléchargements onglet de votre explorateur de fichiers. Si le problème persiste, modifiez vos paramètres de sécurité pour autoriser les téléchargements.

3

Exécutez le script

Exécutez le script dans une console PowerShell depuis un point de terminaison qui remplit les prérequis ci-dessus.

Relancer le scan

La mise à jour du scan AD est manuelle : chaque nouvelle exécution doit être lancée manuellement. Le script téléchargé n'est valable que pendant 24 heures : passé ce délai, vous devez le télécharger à nouveau.

Le scan peut être relancé autant de fois que nécessaire :

• En fonctionnement normal, nous recommandons de l'exécuter tous les mois.

• Pendant les phases de durcissement de la sécurité de l'infrastructure, il peut être exécuté plus fréquemment pour vérifier que les mauvaises configurations ont été corrigées.

Le scan AD est automatiquement relancé chaque mois pour les clients Stoïk MDR.

Débogage du scan AD

Fermeture du script après exécution

Cela signifie que l'exécution des scripts est restreinte dans le terminal. Voici une solution en trois étapes :

1. Téléchargez le script et allez dans Téléchargements, puis tapez powershell -ep bypass dans la barre de recherche.

2. La console PowerShell devrait s'ouvrir automatiquement. Une fois cela fait, tapez & et appuyez sur Tab jusqu'à ce que le bon fichier de script soit visible.

3. Appuyez sur Entrée.

Interruption de PingCastle

Dans ce cas, assurez-vous que toutes ces conditions sont remplies :

• Vous disposez d'une connexion Internet vers votre contrôleur de domaine.

• Votre pare-feu ou proxy ne bloque pas l'accès à api.prod.ad-scan.cyber.stoik.io, ad-scan-prod-pingcastle-zip.s3.eu-west-1.amazonaws.com, et ad-scan-prod-reports.s3.eu-west-1.amazonaws.com.

• L'inspection SSL est désactivée pour ces hôtes. Un proxy qui inspecte ou réécrit le trafic HTTPS vers les buckets S3 casse l'URL de téléchargement pré-signée et provoque l'échec ou le délai d'attente du téléchargement PingCastle, même lorsque la connectivité DNS et TCP semble correcte.

Supprimer les données après exécution du script

Si vous souhaitez supprimer les données après l'exécution du script, exécutez la commande suivante :

Enfin {
    Remove-Item -Recurse -Force -ErrorAction SilentlyContinue "$Directory", "ad_hc_*"
    }
}