Sécurité de l'Active Directory

Questions fréquentes

Pourquoi Active Directory est-il la cible n° 1 des attaquants ?

Parce qu'il détient les clés de tout le système d'information : les comptes, les groupes, les droits d'administration et les stratégies appliquées à chaque machine. Un attaquant qui obtient un compte d'administrateur du domaine peut se connecter partout, lire toutes les données et déployer un rançongiciel sur tout le parc à la fois, par une simple GPO. C'est pourquoi les attaques par rançongiciel visent d'abord l'annuaire : contrôler l'annuaire, c'est contrôler toutes les machines.

Quelle est la différence entre Kerberos et NTLM ?

NTLM est l'ancien protocole d'authentification de Windows : un défi-réponse fondé sur l'empreinte du mot de passe, vulnérable au pass-the-hash et au relais. Kerberos, le protocole par défaut d'Active Directory, délivre des tickets chiffrés par le contrôleur de domaine : l'utilisateur prouve son identité une fois et reçoit des tickets, son mot de passe ne circule jamais. Windows retombe sur NTLM quand Kerberos est impossible (accès par adresse IP, machine hors domaine) ; Microsoft a déclaré NTLM obsolète et prévoit de le désactiver par défaut dans une prochaine version de Windows Server.

C'est quoi le Kerberoasting ?

C'est une attaque qui vise les comptes de service : tout utilisateur du domaine peut demander un ticket de service pour un compte portant un SPN, et ce ticket est chiffré avec le mot de passe de ce compte. L'attaquant l'emporte et tente de le casser hors ligne, sur sa propre machine, sans aucune limite d'essais. Elle réussit contre les comptes de service dont le mot de passe est court et ancien. La parade : des comptes de service gérés (gMSA), dont le mot de passe est long et renouvelé automatiquement, et le chiffrement AES au lieu de RC4.

C'est quoi le modèle en tiers (tiering) ?

C'est une organisation de l'administration qui classe les ressources en trois niveaux : le tier 0 (contrôleurs de domaine, hyperviseurs et sauvegardes qui les portent, comptes d'administration du domaine), le tier 1 (serveurs et applications) et le tier 2 (postes et imprimantes). La règle d'or : un compte d'administration ne se connecte jamais à une machine d'un tier inférieur au sien, pour qu'il ne laisse jamais ses identifiants sur une machine moins protégée, où ils pourraient être volés. C'est la recommandation centrale de l'ANSSI et de Microsoft.

C'est quoi Windows LAPS et à quoi ça sert ?

Windows LAPS (Local Administrator Password Solution) est une fonctionnalité intégrée à Windows qui donne à chaque ordinateur un mot de passe d'administrateur local aléatoire, unique et renouvelé automatiquement, sauvegardé dans Active Directory et lisible seulement par les personnes autorisées. Il supprime le mot de passe d'administrateur identique sur tous les postes, qui permet à un attaquant de passer d'une machine compromise à toutes les autres (pass-the-hash et déplacement latéral). C'était la mesure attendue dans le sujet E7 de 2025.

Qu'est-ce que PingCastle et comment lire son rapport ?

PingCastle est l'outil gratuit le plus utilisé en France pour auditer un annuaire Active Directory : lancé avec un simple compte du domaine, il lit la configuration et produit un rapport qui attribue un score de risque par catégorie (objets obsolètes, comptes privilégiés, approbations, anomalies). Un score élevé est mauvais, 0 signifie aucune règle en défaut, et le score global du domaine est le plus élevé des quatre. Chaque règle en défaut est expliquée avec sa correction. Les sujets de 2024 (alors E6) et de 2025 (E7) en donnaient des extraits à interpréter.

C'est quoi le groupe Protected Users ?

C'est un groupe de sécurité d'Active Directory qui applique à ses membres des protections non configurables : pas d'authentification NTLM, pas de mise en cache des identifiants sur les postes, chiffrement Kerberos AES uniquement, aucune délégation, et un ticket Kerberos limité à 4 heures. On y place les comptes d'administration humains, jamais les comptes de service ni les comptes d'ordinateur, et après avoir vérifié qu'aucune application ne leur demande NTLM. Il faut un niveau fonctionnel de domaine Windows Server 2012 R2 au moins.

Faut-il changer le mot de passe du compte krbtgt, et combien de fois ?

Oui. Le compte krbtgt porte la clé qui chiffre tous les tickets Kerberos ; son mot de passe ne change jamais tout seul. Il est recommandé de le renouveler au moins tous les 180 jours. En routine, un changement suffit. Après une compromission, on le change deux fois, en laissant au moins dix heures entre les deux (et le temps que la réplication se termine) : le compte garde son mot de passe actuel et le précédent, donc deux changements invalident tous les tickets fabriqués avec l'ancienne clé, y compris d'éventuels golden tickets.

Comment détecter une attaque contre l'annuaire ?

En activant l'audit des contrôleurs de domaine et en surveillant les identifiants d'événements qui trahissent chaque attaque : 4625 et 4771 pour la force brute et la pulvérisation, 4769 en RC4 pour le Kerberoasting, 4728 pour les ajouts aux groupes d'administration, 4662 pour DCSync, 1102 pour l'effacement du journal. On centralise ces journaux vers un SIEM (Wazuh chez nous), hors de portée de l'attaquant, et on pose des comptes leurres dont toute activité est suspecte.

Ce cours apprend-il à attaquer un annuaire ?

Non. Il est entièrement défensif : les attaques y sont décrites par leur principe, leurs conditions, leurs traces et leurs parades, ce qui suffit pour les détecter, les expliquer dans un rapport et les empêcher. Aucun outil offensif ni aucune commande d'attaque n'y figure. Les outils présentés (PingCastle, Purple Knight, ORADAD) sont des outils d'audit qui lisent la configuration sans rien exploiter, et un audit se mène toujours sur mandat écrit du responsable du système d'information.