Auditer Active Directory : PingCastle, Purple Knight et l'ANSSI

Auditer Active Directory, c'est lire la configuration de l'annuaire pour mesurer son niveau de sécurité et dresser la liste des écarts à corriger, par ordre de priorité. Des outils gratuits font l'essentiel du travail : PingCastle, le plus utilisé en France et celui des sujets d'examen, Purple Knight, et les points de contrôle de l'ANSSI avec leur outil de collecte ORADAD. Ce chapitre montre comment lancer un audit, lire un rapport et transformer ses constats en plan d'action.

Ce qu'est un audit d'annuaire, et ce qu'il n'est pas

Un audit de configuration lit l'annuaire : comptes, groupes, attributs, délégations, GPO, approbations, niveaux fonctionnels. Il compare ce qu'il trouve à des règles tirées des recommandations de l'ANSSI, de Microsoft et de l'expérience des incidents. Il ne modifie rien et n'exploite rien.

Il ne remplace ni un test d'intrusion (mené par des spécialistes, sur mandat écrit), ni la surveillance des journaux : un domaine bien configuré peut quand même être attaqué, et l'audit ne voit pas une attaque en cours. Il répond à une question simple : « où sont nos faiblesses, et par quoi commencer ? »

PingCastle : l'outil des sujets d'examen

PingCastle a été créé par Vincent Le Toux et appartient aujourd'hui à l'éditeur Netwrix. La version 3.5 est sortie en février 2026. L'édition Community, gratuite, sert à auditer son propre environnement, sans support ni droit d'usage commercial ; auditer le domaine d'un client demande une licence payante. Les sujets de 2024 et de 2025 la présentaient ainsi : un programme autonome, sans installation, qui contrôle l'annuaire au regard des recommandations de l'ANSSI, utilisable sans être administrateur du domaine.

Lancer un bilan de santé, depuis le poste d'administration de Sorbier, avec un compte du domaine :

1. Télécharger l'archive depuis le site officiel de PingCastle ou le dépôt GitHub de Netwrix, vérifier qu'elle provient bien de l'éditeur, puis la décompresser dans un dossier de travail.
2. Lancer PingCastle.exe. Un menu en mode texte s'affiche ; choisir 1-healthcheck (bilan de santé du domaine).
3. Indiquer le domaine à analyser (ad.sorbier.example, proposé par défaut si le poste est membre du domaine).
4. L'analyse dure de quelques secondes à quelques minutes. Elle produit deux fichiers dans le dossier : un rapport HTML ad_hc_ad.sorbier.example.html à lire, et un fichier XML qui sert à comparer les audits successifs.

On peut aussi le lancer sans menu, ce qui permet de le planifier chaque mois :

.\PingCastle.exe --healthcheck --server ad.sorbier.example

Lire le rapport PingCastle

Le rapport commence par des scores de risque. Plus un score est élevé, plus le risque est grand : 0 correspond à un domaine sans défaut détecté, 100 est le maximum par catégorie. Chaque règle en défaut ajoute des points, d'autant plus que la faiblesse est grave.

Le score global du domaine n'est pas une moyenne : c'est le plus élevé des quatre scores de catégorie. Un domaine parfait sur trois catégories et catastrophique sur la quatrième a un mauvais score global, et c'est voulu : un attaquant n'a besoin que d'un chemin.

Sous les scores, le rapport liste chaque règle en défaut avec son nombre de points, une explication du risque, la manière de corriger et des liens vers la documentation (ANSSI, Microsoft). Clique sur une règle : la description dit précisément quels objets sont concernés.

Purple Knight

Purple Knight, de l'éditeur Semperis, est un autre outil gratuit d'évaluation. Il analyse Active Directory (et, selon la version, Microsoft Entra ID et Okta), regroupe ses contrôles par catégories (sécurité des comptes, délégation, GPO, infrastructure, Kerberos) et produit un score sur 100 par catégorie, où un score élevé est bon, à l'inverse de PingCastle. Ses indicateurs sont rattachés aux tactiques de MITRE ATT&CK et au référentiel de l'ANSSI. Lancer les deux outils et comparer leurs résultats est une bonne pratique : ils ne voient pas exactement les mêmes choses.

Les points de contrôle de l'ANSSI et ORADAD

L'ANSSI publie en ligne un recueil de points de contrôle Active Directory, régulièrement enrichi. Chaque point vérifie l'absence d'une pratique qui affaiblit l'annuaire, et le domaine se voit attribuer un niveau de 1 à 5 :

Chaque point de contrôle est rattaché à un niveau, et pour obtenir un niveau, l'annuaire doit passer tous les points des niveaux inférieurs. Par exemple, le point « mot de passe du compte krbtgt inchangé depuis plus d'un an » est rattaché au niveau 2 : un domaine où il est en défaut reste au niveau 2 au mieux, puisque le niveau 3 exige de passer tous les points de niveau 1 et 2.

ORADAD (Outil de récupération automatique des données de l'Active Directory) est l'outil de collecte libre de l'ANSSI, publié sur GitHub sous licence GPL. Il extrait par LDAP les données de l'annuaire, sur toute une forêt. L'analyse de ces données et l'attribution du niveau sont faites par le service ADS (Active Directory Security) de l'ANSSI, réservé aux opérateurs régulés et à la sphère publique (ministères, opérateurs d'importance vitale, collectivités). Une PME comme Sorbier ne peut pas bénéficier de ce service, mais elle peut lire les points de contrôle publics et s'en servir comme référentiel, avec PingCastle comme outil de mesure.

Compléter l'audit avec PowerShell

Quelques requêtes du module ActiveDirectory, lancées depuis le poste d'administration, vérifient les points les plus fréquents et permettent de suivre la correction. Elles ne font que lire.

# Membres (directs et imbriqués) des groupes d'administration du domaine
Get-ADGroupMember -Identity "Admins du domaine" -Recursive | Select-Object Name, SamAccountName
Get-ADGroupMember -Identity "Administrateurs de l'entreprise" -Recursive | Select-Object Name

# Comptes utilisateurs portant un SPN, avec la date de leur mot de passe
Get-ADUser -LDAPFilter "(servicePrincipalName=*)" -Properties servicePrincipalName, PasswordLastSet |
    Select-Object SamAccountName, PasswordLastSet, servicePrincipalName

# Comptes sans pré-authentification Kerberos (doit être vide)
Get-ADUser -Filter 'DoesNotRequirePreAuth -eq $true' | Select-Object SamAccountName

# Comptes actifs dont le mot de passe n'expire jamais
Get-ADUser -Filter 'PasswordNeverExpires -eq $true -and Enabled -eq $true' | Select-Object SamAccountName

# Comptes utilisateurs inactifs depuis plus de 90 jours
Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly | Select-Object SamAccountName, LastLogonDate

# Ordinateurs en délégation non contrainte (seuls les contrôleurs de domaine devraient apparaître)
Get-ADComputer -Filter 'TrustedForDelegation -eq $true' | Select-Object Name

# Date du dernier changement de mot de passe de krbtgt
Get-ADUser -Identity krbtgt -Properties PasswordLastSet | Select-Object PasswordLastSet

# Nombre de comptes d'ordinateur qu'un utilisateur ordinaire peut créer (10 par défaut)
Get-ADObject -Identity (Get-ADDomain).DistinguishedName -Properties ms-DS-MachineAccountQuota |
    Select-Object ms-DS-MachineAccountQuota

Prioriser : du rapport au plan d'action

Un premier audit relève souvent trente ou quarante écarts. On ne peut pas tout corriger en une semaine, et certains changements cassent des applications s'ils sont faits sans préparation. On classe donc chaque constat selon deux critères : la gravité (à quel point il rapproche un attaquant du tier 0) et l'effort (temps, risque de casse, coût).

Un plan d'action réaliste pour Sorbier, construit à partir des constats du chapitre 1 :

Ce que les sujets d'examen demandent

Le corrigé du site pour l'épreuve 2024 de la Clinique Martin traite le dossier B en détail.

Exercices

$limite = (Get-Date).AddYears(-1)
Get-ADUser -LDAPFilter "(servicePrincipalName=*)" -Properties servicePrincipalName, PasswordLastSet |
    Where-Object { $_.Enabled -and $_.PasswordLastSet -lt $limite } |
    Select-Object SamAccountName, PasswordLastSet