Audit Active Directory : chemins d’attaque et modèle d’administration
Savoir qui peut devenir administrateur du domaine, et par quel chemin.
Réponse courte
Audit Active Directory : de quoi s’agit-il, pour qui, à quel prix ?
Revue de configuration et exploitation contrôlée de votre annuaire : droits en cascade, comptes à privilèges, services de certificats, délégations, modèle d’administration en tiers et passerelles vers Entra ID. Durée indicative : 3 à 10 jours selon la taille de la forêt. Prix d’entrée : à partir de 2 400 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Le test d’intrusion interne part d’un poste de travail et regarde tout ce qu’il peut atteindre sur le réseau. Cette mission se concentre sur l’annuaire lui-même, parce qu’une fois qu’un attaquant détient les droits d’administration du domaine, il peut lire tous les secrets, déployer ce qu’il veut sur le parc et neutraliser les sauvegardes. Un annuaire ancien, passé de migration en migration, cumule des décisions de configuration que plus personne ne sait justifier.
Nous travaillons de deux façons complémentaires. La première est une revue avec un compte en lecture : collecte de la configuration, graphe des relations, analyse des groupes, des délégations, des modèles de certificats, des comptes de service et de la politique de mots de passe. La seconde est l’exploitation des défauts trouvés, dans un cadre fixé par écrit, pour distinguer un chemin théorique d’un chemin praticable et mesurer le temps qu’il faut pour aller d’un compte ordinaire au contrôle du domaine.
Le modèle d’administration est évalué à part. Un administrateur de domaine qui ouvre sa messagerie sur un poste ordinaire expose ses identifiants à n’importe quel poste compromis. Le cloisonnement en tiers (contrôleurs et identités d’un côté, serveurs de l’autre, postes ensuite) est l’une des mesures les plus efficaces, et aussi l’une des plus longues à déployer, d’où un plan par vagues plutôt qu’un grand soir.
En résumé
- Durée indicative
- 3 à 10 jours selon la taille de la forêt
- Prix
- à partir de 2 400 € HTà partir de, pour un domaine et un compte standard ; plusieurs domaines, forêts ou un annuaire hybride sur devis après cadrage
- Référentiels appliqués
- MITRE ATT&CKANSSI, recommandations de sécurité relatives à Active DirectoryModèle d’accès d’entreprise de MicrosoftCIS BenchmarksPTES
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Audit Active Directory : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Comptes et groupes à privilèges
Appartenances imbriquées, comptes d’administration oubliés, comptes de service sur-dotés, comptes jamais désactivés, utilisation réelle des privilèges.
Droits et délégations
Listes de contrôle d’accès sur les objets sensibles, délégations Kerberos contraintes et non contraintes, droits de réinitialisation de mots de passe, permissions sur les GPO.
Services de certificats (AD CS)
Modèles de certificats permissifs, droits d’inscription, possibilité d’obtenir un certificat au nom d’un autre compte, sécurité de l’autorité de certification.
Authentification et mots de passe
Comptes de service attaquables hors ligne (Kerberoasting), protocoles hérités, gestion des mots de passe administrateur local, politique de mots de passe et de verrouillage.
Contrôleurs de domaine et sauvegardes
Durcissement des contrôleurs, exposition des services d’administration, accès aux sauvegardes de l’annuaire, capacité à reconstruire le domaine après compromission.
Modèle d’administration et hybridation
Cloisonnement en tiers, postes d’administration dédiés, passerelles vers Microsoft Entra ID (synchronisation, comptes à privilèges hybrides).
Audit Active Directory : que livre la mission ?
- Graphe des chemins d’attaque vers l’administration du domaine, avec leur praticabilité
- Liste des constats ordonnée par rapport effet sur effort de correction
- Évaluation du modèle d’administration et trajectoire de cloisonnement par vagues
- Inventaire des comptes à privilèges et des comptes de service à risque
- Fiches de correction avec l’impact attendu sur les applications dépendantes
- Une passe de vérification des correctifs incluse
Qu’est-ce que cela change pour vous ?
- La liste exacte des chemins qui mènent à l’administration du domaine, et leur ordre de fermeture
- Des corrections qui ne cassent pas les applications, parce que leurs dépendances sont identifiées avant
- Un annuaire que l’on sait expliquer à un auditeur, un assureur ou un successeur
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Audit Active Directory : pour qui est-ce utile ?
- Organisations dont l’annuaire date de plus de dix ans et n’a jamais été audité à fond
- Entreprises qui ont subi un rançongiciel et veulent vérifier que les chemins sont refermés
- Structures avec plusieurs domaines, des filiales rachetées ou des approbations héritées
- Équipes qui préparent une migration, une fusion ou un raccordement à Entra ID
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Audit Active Directory : combien de temps dure la mission ?
Durée indicative : 3 à 10 jours selon la taille de la forêt. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (2 400 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Audit Active Directory : ce qu’on nous demande
Quelle différence entre cet audit et un test d’intrusion interne ?
Le test d’intrusion interne part d’un poste standard et regarde tout le réseau : postes, serveurs, partages, segmentation. L’audit Active Directory se concentre sur l’annuaire et va plus loin dedans, avec une revue de configuration en lecture, l’analyse des services de certificats, du modèle d’administration et de l’hybridation. Les deux se complètent et peuvent être menés ensemble. Si l’annuaire est votre première inquiétude, commencez par cet audit.
Faut-il nous fournir un compte à privilèges pour auditer l’annuaire ?
Non. La collecte de configuration se fait avec un compte de domaine ordinaire, sans droit d’administration, car la plupart des informations de l’annuaire sont lisibles par tous les comptes authentifiés. C’est d’ailleurs ce que verrait un attaquant. Nous demandons seulement un poste ou une machine virtuelle dans le domaine et, pour les services de certificats, un accès à la liste des modèles.
Que faire si nous n’avons jamais mis en place de modèle d’administration en tiers ?
Ne pas viser le cloisonnement complet d’emblée. Nous proposons une trajectoire en trois temps : d’abord des comptes d’administration distincts des comptes quotidiens, ensuite des postes dédiés à l’administration du domaine, enfin le cloisonnement des serveurs et des identités. Chaque étape réduit le risque mesurable et se déploie sans arrêter l’exploitation. Le rapport indique, pour chacune, ce qu’elle empêche.
Pourquoi ne pas simplement lancer un outil de cartographie Active Directory en interne ?
Vous pouvez, et nous le recommandons comme hygiène régulière : ces outils dressent un graphe des relations de l’annuaire et révèlent des chemins que l’on ne verrait pas à l’œil nu. Leur limite est l’interprétation. Un graphe brut contient des milliers de relations, dont la plupart sont normales, et il ignore ce qui se passe hors de l’annuaire : mot de passe en clair dans un partage, service héritant de droits par une machine mal protégée, relais d’authentification possible sur un segment réseau. L’audit combine la cartographie avec l’exploitation réelle de ces défauts, ce qui permet de distinguer un chemin théorique d’un chemin praticable, et de désigner le maillon à corriger en premier.
Pour comprendre avant de décider
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
Quelles prestations s’y associent ?
Pentest interne
Simuler ce qui se passe après l’ouverture de la première pièce jointe.
3 à 12 joursdès 2 400 €
Purple team
Rejouer des techniques d’attaque devant vos équipes de détection, jusqu’à ce que l’alerte sonne.
2 à 5 jours d’atelier, plus une préparationsur devis
Audit Microsoft 365
Vérifier que votre tenant résiste à un compte compromis, pas seulement à un mot de passe faible.
3 à 8 jours selon la taille du tenantsur devis
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Audit Active Directory » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse