Sommaire de l’article
L’Active Directory (AD) gère les comptes, les postes, les serveurs et les droits de presque toutes les organisations sous Windows. C’est ce qui en fait la cible principale d’un attaquant entré sur le réseau : un poste compromis par un courriel piégé n’est qu’un point de départ, l’objectif est le domaine.
Les chemins d’attaque reposent rarement sur une vulnérabilité exotique. Ils exploitent des configurations héritées, des comptes trop privilégiés et des habitudes d’administration, accumulés au fil des années. Bonne nouvelle : ce sont des points que l’on peut mesurer et corriger.
Les faiblesses que l’on retrouve le plus souvent
Les comptes à privilèges utilisés partout
Un administrateur du domaine qui ouvre une session sur un poste de travail ou un serveur applicatif y laisse des éléments d’authentification exploitables. Si ce poste est compromis, le domaine l’est aussi. C’est le chemin d’attaque le plus fréquent.
Le même mot de passe administrateur local sur tous les postes
Sans LAPS (Local Administrator Password Solution, désormais intégré à Windows), le compte administrateur local a souvent le même mot de passe sur tout le parc. Un poste compromis donne alors accès à tous les autres.
Les comptes de service vulnérables au Kerberoasting
Tout utilisateur du domaine peut demander un ticket Kerberos pour un compte de service et tenter de casser son mot de passe hors ligne. Un compte de service avec un mot de passe faible, jamais changé et membre de groupes privilégiés, est une porte ouverte. Les comptes de service gérés (gMSA) règlent le problème.
Les délégations et les droits mal maîtrisés
Délégation Kerberos non contrainte, droits de modification sur des objets sensibles accordés il y a des années, groupes imbriqués que plus personne ne comprend : autant de chemins vers les privilèges les plus élevés, souvent invisibles sans outil.
Les services de certificats (ADCS)
Des modèles de certificats mal configurés permettent à un simple utilisateur d’obtenir un certificat au nom d’un administrateur. Ces erreurs sont fréquentes et très efficaces pour un attaquant.
Les protocoles et systèmes anciens
NTLMv1, SMBv1, contrôleurs de domaine ou serveurs sous des versions de Windows qui ne sont plus maintenues, service d’impression actif sur les contrôleurs de domaine, mots de passe stockés dans d’anciennes préférences de stratégie de groupe : chacun fournit un moyen d’attaque connu et outillé.
Mesurer l’exposition : les outils d’audit
| Outil | Ce qu’il apporte |
|---|---|
| PingCastle | Score de risque et liste de règles en écart, avec les corrections. Rapide à lancer, lisible par la direction |
| Points de contrôle de l’ANSSI | Grille de contrôles classés en cinq niveaux de sécurité, référence en France |
| BloodHound | Cartographie des chemins d’attaque : comment un compte ordinaire peut devenir administrateur du domaine |
| Test d’intrusion interne | Vérifie ce qu’un attaquant obtient réellement depuis un poste, au-delà des écarts de configuration |
Le plan de remédiation, par priorité
- Protéger les comptes à privilèges : comptes d’administration distincts des comptes de travail, appartenance aux groupes sensibles réduite au strict nécessaire, groupe Protected Users, aucune session d’administrateur du domaine sur les postes et serveurs ordinaires.
- Déployer LAPS pour des mots de passe d’administrateur local uniques et renouvelés.
- Traiter les comptes de service : passer en gMSA, ou à défaut des mots de passe longs et aléatoires, sans privilèges excessifs.
- Corriger les chemins d’attaque révélés par l’audit : délégations, droits sur les objets, modèles de certificats.
- Désactiver les protocoles anciens (NTLMv1, SMBv1) et remplacer les systèmes non maintenus.
- Organiser l’administration en niveaux (modèle de tiering) : les comptes et postes qui administrent le domaine ne servent qu’à cela, depuis des postes dédiés.
- Surveiller : journaux des contrôleurs de domaine, alertes sur les modifications de groupes sensibles, audit renouvelé chaque année.
Les premières mesures se mettent en place en quelques jours et réduisent nettement le risque. Le modèle en niveaux demande plus de temps, mais c’est lui qui rend une compromission du domaine durablement difficile.
Vos questions sur la sécurité de l’Active Directory
Combien de temps prend un audit d’Active Directory ?
L’analyse outillée d’un domaine prend quelques heures ; l’interprétation, la vérification des chemins d’attaque et le plan de remédiation priorisé demandent en général quelques jours, selon la taille et l’ancienneté du domaine.
PingCastle suffit-il ?
C’est un excellent point de départ, mais il mesure des écarts de configuration. Il ne montre pas toujours comment ils s’enchaînent, ni ce qu’un attaquant peut faire concrètement. BloodHound et un test d’intrusion interne complètent la vision.
Un Active Directory récent est-il sûr par défaut ?
Plus qu’avant, mais pas complètement. Une installation neuve garde des réglages de compatibilité, et l’essentiel des risques vient ensuite : comptes créés, droits délégués, applications installées. Une démonstration sur un AD fraîchement installé montre souvent des chemins d’attaque dès le premier jour.
Faut-il un Active Directory dans le cloud pour être en sécurité ?
Non. Entra ID (ex-Azure AD) apporte d’autres mécanismes, mais la plupart des organisations restent en mode hybride, et l’AD local reste alors la base. Il doit être sécurisé dans tous les cas.
Ce que nous faisons avec vous
Nous auditons votre Active Directory et accompagnons la remédiation : audit d’architecture et de configuration, test d’intrusion réseau et Active Directory, architecture réseau sécurisée.
Pour rendre vos équipes autonomes, la formation Sécuriser un Active Directory (2 jours, en intra) fait pratiquer l’audit automatisé, l’attaque d’un AD et sa sécurisation à partir des points PingCastle.
Vous voulez savoir où en est votre domaine ? Parlons-en.
Partager : LinkedIn Facebook E-mail
Un projet à sécuriser ?
Échangeons sur votre périmètre, vos usages et vos priorités de sécurité.
Échanger avec un expert
Expertise cybersécurité IoT, IT, OT et Web.
Découvrir notre équipe
