En bref
Un audit Active Directory mesure la distance entre un compte utilisateur ordinaire et l’administration du domaine. Il examine les comptes à privilèges, les comptes de service, les droits délégués, les protocoles d’authentification, les stratégies de groupe, les partages exposés et la séparation entre sauvegardes et domaine. Chez Reconmind, il démarre à 2 400 € pour un domaine, avec un compte standard, sur 3 à 4 jours.
Pourquoi Active Directory est-il la cible centrale ?
Dans la plupart des organisations, Active Directory décide de qui peut faire quoi sur les postes, les serveurs et les applications intégrées à l’annuaire. Qui contrôle l’annuaire contrôle le parc. C’est pourquoi les opérateurs de rançongiciel : définition cherchent presque toujours à en prendre l’administration avant de chiffrer : une fois les droits du domaine obtenus, le déploiement du chiffrement sur tous les postes devient une opération ordinaire.
La plupart des compromissions d’annuaire n’exploitent pas de faille logicielle spectaculaire. Elles suivent un chemin fait de configurations héritées : un compte de service au mot de passe devinable, un droit délégué jamais revu, un administrateur connecté sur un poste ordinaire. La technique de MITRE ATT&CK : définition nommée Kerberoasting : définition, qui consiste à demander des tickets de service pour en casser le mot de passe hors ligne, en est un exemple documenté.
Que vérifie un audit Active Directory ?
- Les comptes à privilèges : combien de comptes sont membres des groupes d’administration, lesquels ne sont plus utilisés, et si les administrateurs utilisent un compte distinct pour leur travail quotidien.
- Les comptes de service : ancienneté et solidité des mots de passe, droits excessifs, exposition au Kerberoasting.
- Les droits délégués et les listes de contrôle d’accès (ACL) : un droit d’écriture sur un objet sensible suffit parfois à prendre le contrôle d’un groupe d’administration, sans qu’aucun compte ne soit administrateur en apparence.
- Les protocoles d’authentification : protocoles anciens encore actifs, signature SMB et LDAP non imposée, résolution de noms permettant un relais d’authentification.
- Les stratégies de groupe et les scripts : identifiants en clair dans des fichiers lisibles par tous les utilisateurs du domaine.
- Les partages et les postes : mots de passe d’administrateur local identiques sur plusieurs machines, partages accessibles trop largement.
- Les sauvegardes : si un compte du domaine peut les atteindre ou les effacer, un rançongiciel les chiffrera avec le reste.
Que contient le périmètre d’entrée, et que contient un audit complet ?
Le prix d’entrée de 2 400 € couvre un domaine Active Directory et un compte utilisateur standard : revue de la configuration de l’annuaire, comptes à privilèges et comptes de service, délégations, chemins d’élévation vers l’administration du domaine. Un environnement plus large, par exemple plusieurs forêts, des relations de confiance complexes ou un annuaire hybride relié à Microsoft Entra ID : définition, demande davantage de jours et se chiffre au cadrage.
Les autres éléments qui font monter la durée sont le nombre de sites, l’ancienneté de l’annuaire, car un annuaire de quinze ans accumule des héritages, et la présence de plusieurs niveaux d’administration à tester.
Quelles corrections apportent le plus de résultat ?
Les corrections qui réduisent le plus l’exposition ne sont pas des produits supplémentaires. Ce sont des changements de pratique : séparer les comptes d’administration des comptes de travail et limiter les postes sur lesquels ils se connectent, remplacer les mots de passe des comptes de service par des comptes gérés ou des secrets longs, supprimer les droits délégués inutiles, imposer la signature des protocoles d’authentification, et rendre les sauvegardes injoignables depuis le domaine.
Microsoft publie des bonnes pratiques de sécurisation d’Active Directory qui vont dans ce sens, et l’ANSSI diffuse un guide de points de contrôle de l’annuaire : un audit s’appuie sur ces références et les adapte à votre architecture.
À quelle fréquence faut-il auditer son annuaire ?
Un annuaire se dégrade avec le temps, sans qu’aucun événement ne le signale : des comptes d’anciens prestataires restent actifs, un groupe reçoit un droit « provisoire » qui devient définitif, un serveur migré garde ses privilèges. Un audit complet tous les ans ou tous les deux ans, et après toute transformation majeure (fusion, migration vers le cloud, changement d’hébergement), est un rythme raisonnable pour la plupart des organisations.
Entre deux audits, une hygiène régulière limite la dérive : revue trimestrielle des membres des groupes d’administration, détection des comptes inactifs, contrôle des mots de passe des comptes de service, et surveillance des modifications des groupes sensibles. Cette dernière est aussi un signal de détection : un compte ajouté au groupe des administrateurs du domaine en pleine nuit est exactement ce qu’une supervision doit remonter.
Si vous venez de subir un incident, l’audit change de nature : il ne s’agit plus seulement de réduire l’exposition, mais de vérifier que l’attaquant n’a laissé aucun accès persistant dans l’annuaire. Cette recherche relève de la réponse à incident.
À retenir
- 1Un audit Active Directory mesure la distance entre un compte ordinaire et l’administration du domaine.
- 2Le danger vient de chemins faits de configurations héritées, rarement d’une faille logicielle.
- 3Séparer les comptes d’administration et isoler les sauvegardes réduit l’exposition au rançongiciel plus sûrement qu’un outil de plus.
- 4Le prix d’entrée couvre un domaine et un compte standard ; un annuaire hybride ou multi-forêts se chiffre au cadrage.
Sources citées
- Best practices for securing Active Directory, Microsoft Learn
- Steal or Forge Kerberos Tickets: Kerberoasting (T1558.003), MITRE ATT&CK
- Valid Accounts (T1078), MITRE ATT&CK
Comment se déroule un audit Active Directory ?