Password Spraying dans AD et Entra ID : détection

Qu'est-ce que le Password Spraying ?

Le password spraying est une technique de brute force qui teste un seul mot de passe, ou une très petite liste de mots de passe courants, contre de nombreux comptes plutôt que d'essayer de nombreux mots de passe contre un seul compte. MITRE la classe sous T1110.003, dans la catégorie Brute Force.

Ce mode opératoire compte, car il est conçu pour éviter les effets secondaires les plus visibles du brute force classique. Plutôt que de verrouiller un seul compte après une série d'échecs, l'attaquant répartit quelques tentatives sur de nombreuses identités et attend de tomber sur la plus faible.

Le périmètre de cet article est l'identité hybride : Active Directory, Microsoft Entra ID, et les chemins cloud ou d'accès distant qui acceptent encore une authentification par mot de passe. Le password spraying n'est pas seulement un problème on-premises. La CISA et Microsoft le décrivent l'une comme l'autre comme un schéma d'accès initial courant contre les services d'identité fédérés, cloud et exposés sur Internet.

Comment fonctionne le Password Spraying

La définition de MITRE est le bon point de départ : les adversaires utilisent un mot de passe unique, ou une petite liste de mots de passe fréquemment utilisés, contre de nombreux comptes différents, afin d'éviter les verrouillages de compte qui surviendraient normalement s'ils bruteforçaient un seul compte de façon répétée.

En pratique, les attaquants construisent d'abord une liste de cibles, puis appliquent ensuite les mots de passe candidats les plus faibles.

Sources courantes de cibles :

noms d'utilisateur ou adresses e-mail visibles publiquement
conventions de nommage déduites de LinkedIn, du site de l'entreprise ou de carnets d'adresses compromis
Global Address Lists une fois qu'un premier compte cloud est compromis
identités hybrides synchronisées, présentes à la fois dans AD et dans Microsoft Entra ID

Chemins d'attaque courants :

points de connexion Microsoft 365 / Entra
flux d'authentification fédérés
portails VPN
Outlook Web ou d'autres interfaces mail exposées à l'extérieur
RDP ou d'autres flux d'accès distant publiés vers l'extérieur
LDAP, Kerberos, SMB ou d'autres protocoles internes, une fois l'attaquant déjà présent dans le réseau

MITRE souligne également une nuance importante côté détection : les attaquants peuvent préférer des tentatives d'authentification LDAP et Kerberos, car elles sont parfois moins visibles que les échecs SMB qui déclenchent le plus souvent l'événement 4625.

Pourquoi le Password Spraying fonctionne encore

Le password spraying reste efficace parce qu'il exploite l'échelle et la prévisibilité, pas seulement une faiblesse technique isolée.

Des mots de passe faibles existent encore à l'échelle de l'entreprise

La documentation Microsoft Entra Password Protection est explicite sur ce point : Microsoft bloque des mots de passe faibles sur la base d'une télémétrie réelle de spraying, précisément parce que les mots de passe faibles et leurs variantes restent encore suffisamment répandus pour poser un problème opérationnel.

Des chemins password-only restent exposés

L'alerte de la CISA sur le brute force et les rapports plus récents de Microsoft sur les intrusions cloud pointent tous deux vers la même faiblesse : si une cible expose encore une authentification à facteur unique fondée sur le mot de passe, une seule réussite peut suffire à amorcer de la reconnaissance, de la persistance ou des mouvements latéraux.

Les chemins legacy et fédérés élargissent la surface d'attaque

La CISA prévient explicitement que les campagnes de password spraying ciblent fréquemment les applications SSO et cloud utilisant une authentification fédérée. Les rapports plus récents de Microsoft montrent également le password spraying utilisé comme étape initiale avant une reconnaissance plus large du tenant Entra et des activités de persistance.

Le mode low-and-slow évite les verrouillages les plus bruyants

L'objectif du spraying n'est pas la vitesse contre un seul compte. L'objectif est la fiabilité sur de nombreux comptes, sans franchir trop vite les seuils de verrouillage propres à chaque compte.

Préconditions pour qu'une attaque de Password Spraying réussisse

Le password spraying réussit généralement lorsque plusieurs problèmes se cumulent.

1. L'attaquant peut énumérer des noms d'utilisateur valides

Une campagne de spraying est bien plus simple lorsque les noms d'utilisateur suivent des schémas prévisibles ou sont découvrables depuis l'extérieur. Formats d'e-mail publics, alias d'administration prévisibles et noms d'identités réutilisés entre cloud et on-premises aident tous l'attaquant.

2. L'authentification par mot de passe reste exposée

Si le tenant ou l'environnement autorise encore un accès par mot de passe sur des chemins à forte valeur, l'attaquant dispose de quelque chose à asperger. Cela inclut la connexion cloud, le VPN, l'accès distant, la fédération et certaines surfaces d'authentification internes.

3. La base de mots de passe est assez faible pour qu'une petite liste de candidats fonctionne

C'est précisément le problème de contrôle que traite Sécurité des mots de passe Active Directory : erreurs critiques. Un spray fonctionne parce que certains utilisateurs choisissent encore des mots de passe faibles, devinables ou thématiques pour l'organisation.

4. La couverture MFA est incomplète ou contournable sur le chemin visé

Même lorsque le spraying ne fait que révéler un mot de passe valide, le compte devient beaucoup moins exploitable si une MFA forte ou des contrôles résistants au phishing sont en place sur ce chemin. La CISA cite explicitement l'absence de MFA parmi les caractéristiques fréquentes des environnements compromis.

5. Le monitoring est trop faible pour relier le motif global

Quelques tentatives ratées sur un seul compte sont faciles à ignorer. Le vrai signal, ce sont de nombreux échecs sur de nombreux comptes, depuis la même source, la même famille d'infrastructure ou le même motif temporel. Sans cette corrélation, le password spraying reste facile à manquer.

La chaîne d'attaque

Une chaîne d'intrusion type fondée sur le password spraying ressemble à ceci.

Étape 1 - Construire la liste de comptes

L'attaquant collecte des noms d'utilisateur à partir de sources publiques, de fuites antérieures, de carnets d'adresses ou de boîtes mail déjà compromises.

Étape 2 - Choisir une petite liste de mots de passe

Les mots de passe retenus sont généralement saisonniers, liés à l'entreprise, ou par ailleurs assez courants pour respecter les règles de complexité tout en restant prévisibles.

Étape 3 - Asperger de nombreux comptes

Plutôt que de s'acharner sur un seul utilisateur, l'attaquant teste un petit ensemble de mots de passe sur de nombreux utilisateurs et espace les tentatives pour éviter les seuils de verrouillage les plus évidents.

Étape 4 - Utiliser le premier compte compromis pour la reconnaissance

Le reporting Microsoft sur Peach Sandstorm illustre bien le risque réel ici : un seul compte compromis peut suffire pour de la découverte de tenant, des tentatives de persistance ou de la reconnaissance cloud complémentaire.

Étape 5 - Étendre l'accès

À partir de là, l'attaquant peut :

collecter davantage de noms d'utilisateur et de rôles
télécharger des mails ou la Global Address List
viser ensuite des utilisateurs privilégiés
pivoter vers des applications, abonnements ou éléments d'infrastructure liés à l'identité compromise

C'est pourquoi le password spraying n'est pas seulement un problème d'échecs de connexion. C'est un problème d'accès initial qui devient fréquemment un problème de privilèges et de persistance.

Password Spraying vs autres techniques de brute force

Ces termes sont souvent confondus, mais ils ne désignent pas la même chose.

Password spraying = un ou quelques mots de passe testés contre de nombreux comptes
Password guessing = des tentatives plus directes contre un seul compte
Credential stuffing = réutilisation de paires identifiant / mot de passe déjà connues, issues d'autres fuites
Brute force classique = de nombreuses tentatives sur une seule identité ou un seul secret, jusqu'à ce qu'il cède

Cette distinction compte sur le plan opérationnel, car les stratégies de détection et de verrouillage diffèrent.

Détection

Il n'existe pas de détecteur universel unique pour le password spraying, car la technique traverse les chemins cloud, fédérés et on-premises. Le modèle de détection utile reste, encore une fois, la corrélation.

Signaux orientés cloud et Entra

Pour Microsoft Entra ID, les signaux les plus utiles incluent :

des échecs de connexion répétés contre de nombreux utilisateurs depuis la même IP, le même cluster d'infrastructure ou le même user agent
le même motif de mot de passe candidat testé sur de nombreux comptes au fil du temps
des comportements répétés de Smart Lockout ou de blocage de connexion sur de nombreux comptes depuis la même source
une activité de risque de connexion moyen ou élevé associée à des échecs de mot de passe répétés ou à une infrastructure suspecte
l'usage d'une authentification legacy sur des chemins d'identité exposés sur Internet

La documentation Smart Lockout de Microsoft ajoute plusieurs faits importants :

Smart Lockout est toujours actif pour les tenants Microsoft Entra et ne peut pas être désactivé — seuls ses seuils et sa durée peuvent être ajustés, ce qui nécessite Microsoft Entra ID P1 ou supérieur
le seuil par défaut est de 10 tentatives ratées pour les tenants Azure Public et de 3 pour les tenants Azure US Government
la durée de verrouillage par défaut démarre à 60 secondes et augmente en cas d'échecs répétés
Smart Lockout suit les trois derniers hashes de mot de passe erroné, de sorte que la répétition du même mauvais mot de passe n'incrémente pas indéfiniment le compteur
ce suivi par hash n'est pas disponible pour les scénarios de pass-through authentication, car l'authentification s'effectue on-premises

Ces détails comptent, car les défenseurs surestiment souvent ce qu'un verrouillage seul peut apporter dans un environnement hybride.

Signaux AD et on-premises

Pour la supervision Windows on-premises, les signaux utiles incluent :

des pics d'échecs 4625 depuis une même source contre de nombreux comptes, lorsque SMB ou des chemins similaires sont impliqués
des échecs de pré-authentification Kerberos 4771 sur de nombreux utilisateurs en peu de temps
des échecs LDAP ou Kerberos qui s'alignent sur un motif multi-comptes, même lorsqu'ils ne ressemblent pas à une séquence de brute force SMB classique
la même source ou le même chemin de relais touchant de nombreuses identités selon une cadence low-and-slow

MITRE prévient explicitement que les tentatives LDAP et Kerberos sont susceptibles de moins déclencher les motifs d'échec de connexion Windows les plus visibles sur lesquels s'appuient les défenseurs, ce qui rend la supervision de sécurité Active Directory : événements clés directement pertinente ici.

À quoi ressemble une bonne corrélation

Une détection solide du password spraying se formule généralement ainsi :

une IP, un ASN, un user agent ou un petit ensemble d'infrastructures
de nombreux noms d'utilisateur ciblés
très peu de tentatives par compte
un motif répétitif de mot de passe candidat ou de timing
un ou deux comptes réussis, suivis de découverte ou d'activité orientée privilèges

Pourquoi Smart Lockout et les logs ne suffisent pas à eux seuls

Smart Lockout réduit le risque, mais Microsoft précise clairement qu'il ne garantit pas qu'un utilisateur légitime ne sera jamais verrouillé, et qu'il ne remplace ni une authentification plus forte ni une meilleure politique de mot de passe. Une détection solide dépend toujours de la revue des logs, de l'alerting et de la connaissance précise des chemins exposés.

Remediation

La remédiation du password spraying ne se résume pas à un exercice de politique de mot de passe. C'est la combinaison de mots de passe plus robustes, de moins de chemins password-only exposés, de contrôles post-mot-de-passe plus forts et d'une meilleure protection des points de jonction de l'authentification hybride.

1. Imposer une MFA forte sur les chemins d'identité exposés

La CISA et Microsoft recommandent toutes deux la MFA comme mesure d'atténuation centrale. Pour les systèmes d'identité exposés publiquement, en particulier Microsoft 365, les portails d'administration, le VPN et l'accès distant, un mot de passe obtenu par spraying ne doit pas suffire à poursuivre.

C'est aussi pourquoi Sécurité des identités Azure : pourquoi le MFA seul ne suffit pas et Failles d'accès conditionnel Azure : contournement du MFA sont directement liés à ce sujet. La MFA doit être présente sur les bons chemins et correctement appliquée.

2. Utiliser correctement Smart Lockout dans Entra

Microsoft documente Smart Lockout comme protection par défaut contre le brute force et le password spraying, mais les équipes hybrides doivent le paramétrer avec soin :

garder le seuil Microsoft Entra plus bas que le seuil on-premises AD DS
garder la durée de verrouillage Microsoft Entra plus longue que la durée AD DS
comprendre que la pass-through authentication modifie une partie du comportement de Smart Lockout
vérifier si votre politique de verrouillage de compte on-premises génère surtout des problèmes de disponibilité sans réduire réellement le risque de spraying

3. Déployer Microsoft Entra Password Protection

Microsoft Entra Password Protection est l'un des contrôles anti-spraying les plus clairs disponibles, car il est construit autour d'une télémétrie réelle de spraying et bloque les mots de passe faibles connus ainsi que leurs variantes.

Points d'implémentation importants d'après la documentation Microsoft :

les tenants cloud bénéficient par défaut de la liste globale de mots de passe bannis
des mots de passe bannis personnalisés peuvent être ajoutés pour les termes faibles propres au tenant
AD DS on-premises peut utiliser la même famille de contrôles via les agents Microsoft Entra Password Protection
Microsoft recommande de démarrer le déploiement on-premises en mode Audit avant de basculer en mode Enforced

Ce point compte dans les environnements hybrides, où l'attaquant est tout aussi disposé à asperger des mots de passe on-premises que des mots de passe cloud.

4. Réduire l'authentification legacy et les surfaces password-only exposées

L'authentification legacy reste attrayante, car elle peut préserver des chemins d'accès plus anciens fondés sur le mot de passe et contourner une partie des contrôles plus solides présents dans les flux de connexion modernes. Si l'authentification legacy reste activée, les défenseurs laissent aux attaquants des chemins moins coûteux à emprunter.

Ce point est directement lié à Durcissement du tenant Azure : corriger les configurations à risque et, plus largement, à votre revue d'accès conditionnel.

5. Protéger les identités privilégiées différemment du reste de la population

Un spraying réussi contre un utilisateur à faible valeur est déjà problématique. Un spraying réussi contre un compte privilégié est souvent le véritable incident. Cela implique :

des exigences MFA plus strictes pour les rôles privilégiés
des restrictions de connexion plus fortes pour les identités administratives
une revue active des utilisateurs privilégiés obsolètes et des comptes d'urgence
une réinitialisation rapide et une investigation dès qu'un compte privilégié est ciblé ou verrouillé

C'est là que Azure Identity Protection : bloquer les identifiants divulgués et Comptes obsolètes et sur-privilégiés dans Active Directory s'inscrivent dans la même démarche de mitigation.

6. Traiter un compte compromis par spraying comme une compromission, pas seulement comme un mot de passe faible

Le reporting Microsoft sur les menaces est utile ici : une fois qu'un compte visé par spraying est compromis, l'acteur pivote souvent rapidement vers la reconnaissance, la persistance et les mouvements latéraux. Réinitialisez le mot de passe, mais révoquez également les sessions, passez en revue les changements MFA, examinez l'activité qui a suivi, et vérifiez si le compte compromis a exposé davantage de données de ciblage.

Validation après durcissement

Ne clôturez pas la remédiation du password spraying simplement parce que Smart Lockout est activé ou qu'une nouvelle politique de mot de passe a été annoncée. Validez directement les chemins exposés.

vérifiez quels chemins exposés sur Internet acceptent encore une authentification password-only
confirmez que la MFA est imposée sur ces chemins, en particulier pour les comptes admin et à forte valeur
testez le comportement de Smart Lockout et comparez-le aux paramètres de verrouillage AD on-premises dans les environnements hybrides
passez en revue les logs de connexion à la recherche de motifs d'échec larges, multi-utilisateurs, plutôt que de simples verrouillages isolés
confirmez que Microsoft Entra Password Protection est actif dans le cloud et, si c'est prévu, on-premises
vérifiez si des termes faibles propres au tenant, comme le nom de l'entreprise, le nom du produit ou des motifs saisonniers, sont couverts par la liste personnalisée de mots de passe bannis

Le vrai critère de succès est simple : une petite liste de mots de passe courants ne doit plus produire de point d'appui utile dans le cloud ou on-premises.

Comment EtcSec détecte les expositions liées

EtcSec n'a pas besoin d'un faux tag de taxonomie password spraying pour être utile ici. La valeur réside dans les contrôles environnants qui déterminent si une campagne de password spraying réussit ou échoue.

Les findings sous-jacents les plus proches sont ceux qui rendent une campagne de spraying praticable dès le départ : une politique de mot de passe faible côté AD et l'absence d'exigence MFA sur des chemins de connexion Entra exposés. Ce n'est pas la même chose que la technique d'attaque elle-même, mais ce sont ces défaillances de contrôle qui transforment un spraying large en point d'appui exploitable.

Les contrôles liés les plus pertinents sont :

Ensemble, ces findings indiquent si l'environnement se présente encore comme une cible facile pour une campagne de spraying.

Contrôles liés

Le password spraying se traite au mieux conjointement avec l'hygiène des mots de passe, l'application de la MFA, Smart Lockout, la réponse au risque d'identité et le monitoring. Pour réduire réellement le taux de succès des campagnes de spraying, et pas seulement le volume d'échecs visibles, examinez ce sujet avec Sécurité des mots de passe Active Directory : erreurs critiques, Sécurité des identités Azure : pourquoi le MFA seul ne suffit pas, Azure Identity Protection : bloquer les identifiants divulgués, Failles d'accès conditionnel Azure : contournement du MFA, Comment auditer la sécurité Microsoft Entra ID (Azure AD) : guide pratique, et Durcissement du tenant Azure : corriger les configurations à risque.