PKI Trust Auditor : guide d’administration pour évaluer la sécurité ADCS

PKI Trust Auditor découvre et évalue l’infrastructure Active Directory Certificate Services (ADCS), puis produit des preuves et rapports sur son état de sécurité. Cette page récapitule les fonctions et le processus d’audit ; pour la référence complète des contrôles et paramètres, consultez le guide utilisateur PKI Trust Auditor.

Fonctionnalités principales

• Découverte automatique des autorités de certification Active Directory.
• Audits de connectivité, configuration, modèles, cryptographie, exploitation et autorisations.
• Rapports JSON, CSV, Web et console.
• Menu console interactif avec sortie colorée.
• Configuration via `parameters.json` et preuves détaillées par contrôle.
• Application Web interactive avec visualisations.

Prérequis

• Runtime .NET 9.0 ou version ultérieure.
• Environnement Windows connecté à Active Directory.
• Compte de domaine disposant des autorisations minimales documentées pour lire Active Directory et interroger les CA via WMI/PowerShell remoting.
• Connectivité aux serveurs CA. Les ports TCP cités incluent 135 (WMI) et 5985/5986 (WinRM).

Appliquez le principe du moindre privilège ; n’exécutez pas les audits avec Domain Admin ou Enterprise Admin sauf nécessité approuvée.

Prise en main

Exécutez `PKI_Trust_Auditor.exe` pour ouvrir le menu interactif. Les options comprennent un audit complet, un résumé CLI, le rapport WebUI, la découverte des CA et des tests ciblés de connectivité, configuration, exploitation, cryptographie et modèles.

Vous pouvez aussi lancer des opérations depuis la ligne de commande :

• Aide : PKI_Trust_Auditor.exe --help
• Audit complet : PKI_Trust_Auditor.exe --tests full
• Audit de configuration : PKI_Trust_Auditor.exe --tests config
• Audit cryptographique : PKI_Trust_Auditor.exe --tests crypto
• Audit des modèles : PKI_Trust_Auditor.exe --tests templates
• Tests de connectivité : PKI_Trust_Auditor.exe --tests connectivity
• Rapport Web : PKI_Trust_Auditor.exe --report
• Vider le cache : PKI_Trust_Auditor.exe --clear
• Version : PKI_Trust_Auditor.exe --version

Configuration via parameters.json

Utilisez `parameters.json` pour ajuster les audits. Les paramètres documentés comprennent :

• `DomainOverride` : DN de domaine, par exemple `DC=yourdomain,DC=com`.
• `CA-CRYPTO-001` : taille minimale de clé ; l’exemple utilise 2048 bits.
• `CA-CRYPTO-002` : liste d’algorithmes interdits, tels que MD5, SHA1, DES, RC4 et 3DES.
• `CA-TEMPLATE-001` : activation de la validation des restrictions de modèles.
• `CA-OPS-002` : limites d’expiration des certificats.

Examinez les exemples et adaptez-les aux exigences cryptographiques et de conformité de votre organisation.

Domaines d’audit

Connectivité

Teste WMI/SMB, PowerShell remoting et les privilèges utilisateur (PKI-TEST-001 à PKI-TEST-003).

Configuration

Examine le registre CA, les modèles, Authority Information Access (AIA), les points CRL, CAPolicy.inf et l’exportation de modèles PowerShell (CA-CONFIG-001 à CA-CONFIG-006).

Exploitation

Vérifie le service CertSvc, l’expiration et les extensions des certificats CA, l’accessibilité AIA/CDP/CRL, les téléchargements et le filtre d’audit (CA-OPS-001 à CA-OPS-009).

Modèles et cryptographie

Valide les restrictions et indicateurs des modèles, les tailles de clés, les versions de schéma et les CSP ; examine la taille des clés, les algorithmes faibles, EKU et Basic Constraints des certificats CA (CA-TEMPLATE-001 à CA-TEMPLATE-005 ; CA-CRYPTO-001 à CA-CRYPTO-004).

Autorisations

Compare les administrateurs CA aux principaux autorisés (CA-PERM-001).

Lancer un audit complet

Dans le menu interactif, choisissez l’option d’audit complet ou exécutez PKI_Trust_Auditor.exe --tests full. L’audit valide les privilèges, découvre les CA, teste la connectivité et exécute les contrôles de configuration, exploitation, modèles, cryptographie et autorisations.

Résultats et rapports

Les résultats sont enregistrés dans `Audit-Results/`. La sortie comprend `PKI-Audit.json`, `PKI-Audit.csv`, des fichiers `.cer` et `.crl` téléchargés, ainsi que des preuves individuelles `.txt` ou `.json`. Les rapports comprennent les métadonnées des contrôles, horodatages, résultats, preuves, état de conformité et recommandations.

Le rapport Web propose un résumé visuel, des détails par contrôle, des filtres, une recherche et l’exportation. Les filtres peuvent porter sur Certificate Authority, l’état, la gravité ou le Control ID.

Dépannage

• WMI : vérifiez le réseau et le port 135, le service WMI et les autorisations.
• PowerShell remoting : vérifiez WinRM, l’activation de PowerShell remoting, les certificats HTTPS et la connectivité.
• Active Directory : confirmez l’accès en lecture au conteneur Configuration, le DNS et la connectivité au contrôleur de domaine.
• Autorisations CA : confirmez uniquement les droits administratifs nécessaires.
• parameters.json : validez le format JSON, les noms et les valeurs des paramètres.
• Performances : lancez des audits ciblés, planifiez-les hors des heures de pointe et surveillez les ressources.

Sécurité et traitement des données

L’article indique que les résultats sont stockés localement dans `Audit-Results` et que l’outil utilise les identifiants de l’utilisateur actuel sans les stocker ni les mettre en cache. Les méthodes de communication comprennent WMI/DCOM-RPC (135), WinRM (5985/5986), LDAP (389/636) et HTTP/HTTPS. Utilisez des comptes d’audit dédiés, la segmentation réseau, des canaux chiffrés et une revue régulière des autorisations. Les preuves peuvent contenir des informations sensibles sur l’infrastructure et doivent être protégées.

Ressources

• Guide complet : PKI Trust Auditor - User Guide
• Assistance : [email protected]
• Produit : PKI Trust Auditor