Sécurité des identités

Identity Security est le SKU unifié de protection de l’identité de SentinelOne. Il couvre trois moteurs : ISPM (évaluation de la posture d’Active Directory), ISIDP (protection en temps réel des contrôleurs de domaine) et IDR (leurres sur les endpoints). L’intégration avec Microsoft Entra ID est facultative.

Tous les chemins ci-dessous se réfèrent à la barre latérale de Singularity Operations Center (Politiques et paramètres est le bouton en bas de la barre latérale).

Prérequis

Validez avant de toucher à la console.

Élément

Exigence

Licences

Endpoint (Core, Control ou Complete) + Sécurité des identités, au niveau du compte et sur chaque site

Agents Windows

≥ 25.2.3.437 sur les contrôleurs de domaine, les serveurs et le serveur AD Connector. Stations de travail (IDR) : ≥ 24.1.5.277.

Agent Identity hérité

DC déjà sous l’agent Windows 25.2 : rien à faire. Uniquement si l’agent Identity hérité est encore présent : désinstallez-le, puis redémarrez (jamais en parallèle de l’agent Windows)

Serveur AD Connector

Serveur membre du domaine (pas un DC), toujours allumé, 4 vCPU / 16 Go de RAM

Flux AD Connector → DC

53 · 88 · 389/636 · 445 · 5986 (WinRM HTTPS) · journal d’événements RPC

Flux sortants

HTTPS 443 / WebSocket vers la console S1 de votre région

Compte de service AD

Utilisateur standard avec mot de passe sans expiration, Kerberos AES 128/256, membre de Utilisateurs de gestion à distance et Lecteurs des journaux d’événements

Sur chaque DC :

winrm quickconfig -transport:https     :: WinRM HTTPS (certificat émis pour le FQDN du DC)
winrm configsddl default               :: Lecture + exécution pour le compte de service
:: Pare-feu : autoriser TCP 5986 + « Gestion à distance des journaux d’événements (RPC / RPC-EPMAP) »

Activer le moteur Identity

Politiques et paramètres > Sécurité des charges de travail Endpoint/Cloud > Stratégie > Moteurs de détection

Sélectionnez le périmètre Compte (ou Site pour un MSSP) dans le sélecteur de périmètre en haut, puis activez Détection et réponse Identity.
Conservez les paramètres Identity par défaut, avec l’intervalle de mise à jour réglé à au moins 60 min.
Dans Politiques et paramètres > Comptes, définissez Mode de posture de sécurité Identity à Complet.

AD Connector et domaine

Politiques et paramètres > Sécurité des identités > Active Directory > Connecter AD

Les exemples de cette section utilisent une forêt fictive acme.local, avec le domaine enfant corp.acme.local (NetBIOS CORP).

Créez le compte de service AD

ISPM, ISIDP et IDR n’ont besoin que d’un accès en lecture. Un compte Domain Admin est inutile et non recommandé. Les scripts de remédiation ISPM sont exécutés séparément, manuellement, par un Domain Admin.

Exigence

Pourquoi

Dédié standard utilisateur (par ex. svc-s1-identity)

La lecture seule suffit et garantit la traçabilité

Mot de passe long et aléatoire qui n’expire jamais

Si le mot de passe change dans AD, la connexion est interrompue (état Désactivé)

Créé dans la forêt domaine racine

Requis pour évaluer toute la forêt avec Surveiller les sous-domaines

Kerberos AES 128 et AES 256 cochée

Requis pour l’évaluation

Membre de Utilisateurs de gestion à distance

Accès WinRM aux DC (menaces et certaines expositions)

Membre de Lecteurs des journaux d’événements

Lit les journaux de sécurité des DC (IP source et utilisateur dans les détections)

Lecture sur adminSDHolder, KRBTGT, Administrator, Domain / Schema / Enterprise Admins, conteneur MicrosoftDNS

Sinon l’exposition « Permissions insuffisantes pour l’évaluation de l’exposition AD » est déclenchée

Lecture sur CN=Deleted Objects

Détecte la suppression massive de comptes

Exemple PowerShell, à exécuter sur un DC ou avec RSAT, en adaptant les noms si nécessaire :

# 1. Créez le compte
New-ADUser -Name "svc-s1-identity" -SamAccountName "svc-s1-identity" `
  -UserPrincipalName "svc-s1-identity@acme.local" -Path "OU=Service Accounts,DC=acme,DC=local" `
  -AccountPassword (Read-Host -AsSecureString "Password") -Enabled $true `
  -PasswordNeverExpires $true -CannotChangePassword $true `
  -KerberosEncryptionType AES128,AES256

# 2. Groupes intégrés
Add-ADGroupMember -Identity "Remote Management Users" -Members "svc-s1-identity"
Add-ADGroupMember -Identity "Event Log Readers"       -Members "svc-s1-identity"

:: 3. Droits de lecture (Lister le contenu + Lire la propriété), hérités
dsacls "DC=acme,DC=local" /I:T /g ACME\svc-s1-identity:LCRP
dsacls "CN=Deleted Objects,DC=acme,DC=local" /takeownership
dsacls "CN=Deleted Objects,DC=acme,DC=local" /I:T /g ACME\svc-s1-identity:LCRP

:: 4. Sur CHAQUE DC : accès WinRM et lecture du journal Sécurité pour Network Service
winrm configsddl default                       :: ajouter le compte, vérifier Lecture + exécution
wevtutil gl security                           :: la sortie doit contenir (A;;0x1;;;S-1-5-20)
wevtutil sl security /ca:"<current SDDL>(A;;0x1;;;S-1-5-20)"

Avec Surveiller les sous-domaines, répétez les dsacls commandes dans chaque domaine où les permissions par défaut ont été restreintes.

Choisissez le serveur AD Connector

Domaine membre serveur, pas un DC. Exemple : srv-s1adc01.corp.acme.local.
Toujours allumé et non mis en quarantaine réseau, agent Windows ≥ 25.2.3.437.
Il doit être résolu via DNS et atteindre chaque domaine déclaré sur les ports 53, 88, 389/636, 445 et 5985/5986.
Une seule forêt, même avec plusieurs domaines : un connecteur suffit. Forêts isolées sans relation d’approbation : un connecteur par forêt.

Vérifications rapides à exécuter depuis ce serveur :

Resolve-DnsName corp.acme.local
Test-NetConnection dc01.corp.acme.local -Port 636     # LDAPS
Test-NetConnection dc01.corp.acme.local -Port 5986    # WinRM HTTPS

Terminez l’assistant Connect AD

AD Connector: tapez au moins 3 caractères du nom d’hôte (par ex. srv), sélectionnez l’endpoint avec un statut vert, puis Suivant. Une bannière confirme la connexion après quelques minutes.
Domaine: renseignez les champs du tableau ci-dessous, puis Suivant. La console exécute un test LDAP, et le domaine n’est enregistré que si le test réussit.
Leurres: configurez les leurres (voir ci-dessous), puis Terminer.

Champ

Quoi saisir

Exemple

Site

Au périmètre Compte : les sites qui héritent de ce domaine (utile pour IDR et ISIDP). « All » ne couvre pas les sites créés ultérieurement.

Paris, Lyon

Nom de domaine

Du FQDN DNS, jamais le nom NetBIOS. Pour couvrir toute la forêt, saisissez le domaine racine.

acme.local ou corp.acme.local, pas CORP

Surveiller les sous-domaines

Évalue chaque domaine de la forêt (même arbre et autres arbres). Sans cette case, les sous-domaines sont découverts mais non évalués.

Cochée

FQDN du contrôleur de domaine

Le FQDN de un DC du domaine, résolu par l’AD Connector. Un RODC est accepté. Aucune adresse IP. Les autres DC sont découverts automatiquement (PDC en premier).

dc01.corp.acme.local, pas 10.0.0.10

Nom d’utilisateur du domaine

Le compte de service, au format UPN, NetBIOS ou nom simple

svc-s1-identity@acme.local, ACME\svc-s1-identity, ou svc-s1-identity; pas ACME.LOCAL\svc-s1-identity

Mot de passe du domaine

Saisissez-le avec soin : un mauvais mot de passe verrouille le compte après des tentatives répétées

Planification du rafraîchissement (jour, heure, fuseau horaire)

Rafraîchissement des données AD, à planifier en dehors des heures de pointe. Il ne déclenche pas l’évaluation ISPM, qui reste fixée au samedi à 04:00 UTC.

Dimanche · 02:00 · Europe/Paris

Protocoles et options

Option	Choix	Prérequis et conséquences
Méthode LDAP	LDAPS (636), recommandé	Chiffre le trafic entre le connecteur et les DC. Nécessite un certificat serveur valide sur les DC (AD CS ou un certificat « Kerberos / Domain Controller Authentication ») et le port 636 ouvert. Vérifiez : `ldp.exe`, connexion SSL à `dc01.corp.acme.local:636`.
Méthode LDAP	LDAP (389)	Canal non chiffré, réservé aux DC sans certificat ou au dépannage. L’erreur « La connexion LDAPS a échoué » vous invite à réessayer via LDAP. Ports fixes, non configurables.
Méthode WinRM	HTTPS (5986), recommandé	Nécessite un écouteur HTTPS sur chaque DC, avec un certificat dont le Subject est le FQDN du DC (le certificat LDAPS convient), et le port 5986 ouvert : `winrm quickconfig -transport:https`.
Méthode WinRM	HTTP (5985)	Si les DC n’ont pas de certificat. L’authentification reste Kerberos, mais `AllowUnencrypted=true` est requis côté client et côté service. Sans WinRM sur tous les DC, la Détection des menaces échoue et certaines expositions deviennent Ignorées.
Référence LDAP	Coché si la forêt comporte des sous-domaines	Suit les références vers les sous-domaines : les stratégies ISIDP et IDR s’appliquent alors aussi aux domaines enfants, qui deviennent visibles dans la configuration des protocoles. Le compte doit pouvoir interroger ces sous-domaines. Si vous l’activez ensuite, exécutez Actualiser les données AD.
Synchronisation AD	Cochée	Synchronise les attributs des utilisateurs et des groupes. Requis pour la Détection des menaces, CCP, l’analyse des comptes compromis et l’inventaire des actifs. La première synchronisation peut prendre un certain temps.
Détection des menaces	Cochez (nécessite la synchronisation AD)	Menaces ISPM en temps réel : password spray, verrouillages et réinitialisations massifs, etc. S’appuie sur une connexion LDAP persistante au PDC et sur WinRM. Le désactiver supprime les objets synchronisés.
Accès via relation d’approbation	Uniquement pour une autre forêt approuvée	Pour évaluer un domaine dans une autre forêt à l’aide du compte de la forêt principale. Deux champs supplémentaires : Nom du domaine de confiance et Contrôleur de domaine de confiance (FQDN, pas d’IP). Ne peut pas être modifié par la suite : supprimez-le puis recréez-le.

Exemple d’accès via relation d’approbation: la filiale.local la forêt fait confiance à acme.local. Saisissez Nom de domaine = filiale.local, Nom d’utilisateur = svc-s1-identity@acme.local, Accès via relation d’approbation = coché, Nom du domaine de confiance = acme.local, Contrôleur de domaine de confiance = dc01.acme.local. Le connecteur doit résoudre et atteindre les filiale.local DC.

Leurres (utilisés par IDR)

Champ

Conseil

Exemple

Pays pour le générateur de noms

Pays cohérent avec vos utilisateurs

France

Préfixe de service (SPN)

Le préfixe de vos vrais comptes de service, le cas échéant

svc

Format du nom

Même format que vos vrais noms d’utilisateur. Variables : %FN% (prénom), %LN% (nom de famille), %FNI% et %LNI% (initiales), %#n% (n chiffres aléatoires).

%FNI%.%LN% → j.dupont

Format du nom d’hôte

Inspiré du nommage de vos postes de travail et DC

Personnalisé : PC- + chiffres

Format d’adresse IP

Plage ou CIDR de plus de 250 adresses, jamais utilisé en production (sinon faux positifs)

10.250.0.0/24

Les leurres ne peuvent plus être modifiés tant qu’une stratégie active de protection de l’identité couvre le domaine.

Après validation

Le statut du domaine passe à Activé. Il revient à Désactivé si le connecteur tombe en panne ou si le mot de passe du compte change.
La console exécute l’apprentissage AD, la synchronisation, puis l’évaluation ISPM (environ 30 min). Plusieurs domaines ajoutés en même temps sont traités les uns après les autres.
Des stratégies par défaut sont créées, inactives.
Chaque domaine peut être déclaré seulement une fois par organisation. Après en avoir supprimé un, attendez 120 s avant de le recréer. Après avoir ajouté un DC, cliquez sur Actualiser les données AD, sinon des faux positifs DCSync apparaissent.

Erreur d’enregistrement

Action

Échec de l’authentification

Vérifiez le compte et le mot de passe (ainsi qu’un éventuel verrouillage)

Échec de la connexion LDAPS

Vérifiez le certificat du DC et le port 636, ou revenez à LDAP

Le compte utilisateur n’a pas les autorisations…

Revoyez les droits dans « Créez le compte de service AD » ci-dessus

Contrôleur de domaine hors ligne / indisponible / occupé

Vérifiez le DNS et les flux depuis l’AD Connector, puis réessayez

ISPM : posture AD

Politiques et paramètres > Sécurité des identités > Paramètres de posture Identity

Rien d’autre à faire : l’évaluation démarre dès que le domaine est enregistré (environ 30 min), puis s’exécute chaque samedi à 04:00 UTC.

Pour une analyse immédiate : Analyser maintenant.
Pour consulter les résultats : Mauvaises configurations > Identité. Traitez d’abord les expositions Critiques et Élevées (cliquez sur la mauvaise configuration, puis Actions > Atténuer > Télécharger le script).

ISIDP : protection des DC

Politiques et paramètres > Sécurité des identités > Stratégies d’identité (Stratégie du fournisseur d’identité / Stratégie d’accès conditionnel onglets)

Deux stratégies par défaut ont été créées à l’étape précédente, inactives et en lecture seule. Dupliquez-les :

Stratégie d’accès conditionnel: dupliquer Default_policy_account_ca, ajoutez un Basé sur les attaques règle couvrant toutes les attaques avec la Audit action, puis activez-la.
Stratégie du fournisseur d’identité: dupliquer Default_policy_account_idp et vérifiez ce qui suit :
- Tous les domaines sont sélectionnés et Appliquer aux serveurs Windows est cochée.
- La validation PAC reste activée, sauf si une solution PAM ou JIT est en place. Mode d'apprentissage : activé, 4 jours.
- Protocoles Kerberos, LDAP, SAMR et LSARPC cochés. Complément : Épingler la version à N-1.
- Recommandé : Configuration des identifiants compromis activée (bases de données compromises, aucune mitigation au départ).
- La stratégie d'accès conditionnel de l'étape 1 est sélectionnée.
Actions > Activer la stratégie. Pour appliquer immédiatement : barre latérale Sentinelles > Points de terminaison, sélectionnez les contrôleurs de domaine, puis Actions > Actions de l'agent > Appliquer les modifications de la stratégie d'identité.

Après quelques jours sans faux positifs, basculez les règles d'attaque de Audit à Bloquer.

IDR : leurres sur les points de terminaison

Politiques et paramètres > Sécurité des identités > Stratégies d’identité > Stratégie de protection de l'identité

Cliquez sur Nouvelle stratégie de protection de l'identité, avec la réponse PowerShell AD définie sur Alerte.
Ajoutez 4 règles : Administrateurs privilégiés, comptes de service, contrôleurs de domaine, administrateurs délégués. Sélectionnez les objets réels, puis cochez Ajouter des leurres et Masquer les objets réels.
Créer, puis Actions > Activer la stratégie.

Testez depuis un poste de travail joint au domaine : net group "Domain Admins" /domain doit renvoyer un compte leurre. Avec un agent 25.2.3+, la détection apparaît comme un indicateur dans Recherche d'événements (requête : indicator.name = 'IdentityDeceptivePing'). Les autres alertes se trouvent dans Alertes.

Microsoft Entra ID (optionnel)

Uniquement si le client utilise Entra ID : Politiques et paramètres > Comptes cloud > Microsoft Azure

Connectez un tenant Entra ID

Obligatoire: un tenant Administrateur général compte Administrateur général et l'ID de tenant. Facultatif : l'ID d'objet d'un groupe « utilisateurs à risque ».

Connecter le compte: type tenant, cochez Activer la sécurité de l'identité.
Nom de la connexion, ID de tenant et Synchroniser les comptes utilisateur Microsoft Entra ID activé.
Dans Azure : Propriétés du tenant > Gestion des accès pour les ressources Azure = Oui, puis déconnectez-vous et reconnectez-vous.
Téléchargez le modèle Terraform et exécutez-le dans Azure Cloud Shell :

terraform init && terraform apply -auto-approve

Collez application_id et client_secret, puis Tout sélectionner et l'onboarding automatique, et Terminer.

Le secret expire après un an : planifiez son renouvellement.

Les résultats apparaissent dans Mauvaises configurations > Identité.

Vérifiez qu'une alerte est déclenchée

Depuis un poste de travail joint au domaine, avec un compte de domaine, de préférence dans un environnement pilote.

Pour voir les résultats immédiatement : dans la stratégie du fournisseur d'identité, désactivez temporairement le mode d'apprentissage (pendant l'apprentissage, seules les alertes de niveau High sont déclenchées). Puis appliquez la stratégie aux contrôleurs de domaine.
Exécutez les commandes :

net group "Domain Admins" /domain      :: ISIDP (SAMR) + IDR (leurre dans la réponse)
dsquery * -filter "(admincount=1)"      :: ISIDP (LDAP), nécessite RSAT AD Tools

Vérifiez la Alertes barre latérale (période Dernière heure), Moteur de détection filtre :
- ADSecure-DC, -SAMR ou -LDAP pour ISIDP (énumération des comptes privilégiés).
- ADSecure-EP pour IDR. Avec un agent 25.2.3+, recherchez l'indicateur dans Recherche d'événements à la place.
Réactivez le mode d'apprentissage une fois le test validé.

Vérification finale

Le connecteur AD affiche un statut actif dans Politiques et paramètres > Sécurité des identités > Active Directory.
Les mauvaises configurations ISPM apparaissent dans la Mauvaises configurations barre latérale, onglet Identité.
La stratégie d'accès conditionnel et la stratégie du fournisseur d'identité sont actives.
La stratégie de protection de l'identité est active.
Le Tableaux de bord > Identité tableau de bord affiche des données, et les alertes sont visibles dans Alertes > Identité.
Les actifs AD et Entra sont visibles dans Inventaire > Identité.

PrécédentModules complémentaires

SuivantExigences réseau

Mis à jour il y a 17 jours

Ce contenu vous a-t-il été utile ?