Cas E7 corrigé : auditer et sécuriser un annuaire

Ce chapitre rassemble tout le cours dans un cas du type de l'écrit E7 SISR : un rapport d'audit d'Active Directory à lire, des risques à relever, des mesures à proposer et à justifier. Il reprend le format des sujets de 2024 (Clinique Martin) et 2025 (Everest), appliqué au domaine de Sorbier. Traite chaque mission toi-même avant de lire le corrigé : c'est l'exercice d'examen le plus proche de ce qui t'attend.

Le contexte

Après l'alerte de son assureur, Sorbier Logistique a lancé un audit de son domaine ad.sorbier.example avec PingCastle (édition Community). Le domaine compte deux contrôleurs sous Windows Server 2025, une centaine de postes sous Windows 11 et quelques serveurs membres. Tu es chargé d'analyser le rapport et de proposer un plan de remédiation. Les documents fournis au candidat sont ci-dessous.

Document 1 — Extrait des scores PingCastle

Document 2 — Extraits des règles en défaut (les plus pénalisantes)

Les règles S- relèvent de la catégorie Objets obsolètes, les P- des Comptes privilégiés, les A- des Anomalies.

Document 3 — Politique de mots de passe du domaine

Longueur minimale 7 ; complexité activée ; historique 24 ; durée de vie maximale 42 jours ; seuil de verrouillage 0 ; chiffrement réversible désactivé.

Document 4 — Note du responsable

« Nos administrateurs utilisent chacun un seul compte, membre de Admins du domaine, pour tout : messagerie, Internet et dépannage des postes. Les postes ont tous le même mot de passe d'administrateur local depuis leur installation. Les journaux ne sont pas centralisés. »

Mission A — Analyser l'audit

Question A.1. Donne le score global du domaine et explique comment il est calculé. Que conclus-tu de la catégorie Approbations ?

Question A.2. Relève trois risques majeurs, en relation avec l'authentification, présents dans le rapport. Justifie chacun.

Question A.3. Analyse la politique de mots de passe (document 3) : au moins trois éléments judicieux et deux éléments discutables.

Mission B — Proposer des mesures

Question B.1. Pour le mot de passe d'administrateur local identique sur tous les postes (document 4), rédige la partie du rapport d'audit : au moins un problème de sécurité et la solution.

Question B.2. Pour la solution que tu proposes, donne et justifie les principaux paramètres de la GPO.

Question B.3. Explique pourquoi les administrateurs ne doivent pas utiliser un compte de Admins du domaine pour leur messagerie et le dépannage des postes, en suivant le chemin d'une attaque. Propose une organisation des comptes.

Mission C — Détecter et prioriser

Question C.1. Choisis six identifiants d'événements à collecter en priorité sur les contrôleurs, et justifie.

Question C.2. Classe les constats en trois échéances (sous une semaine, sous un mois, sous trois mois) et justifie l'ordre.

---

Corrigé

A.1. Le score global est le maximum des quatre catégories, chacune plafonnée à 100 : ici 75 (comptes privilégiés). Ce n'est pas une moyenne, car un attaquant n'a besoin que d'un seul chemin. La catégorie Approbations à 0 signifie qu'aucune règle n'est en défaut : c'est normal pour un domaine unique, sans relation avec d'autres domaines ou forêts. On commence donc par les comptes privilégiés.

A.2. Trois risques liés à l'authentification :

1. svc-sauvegarde, compte de service privilégié avec SPN et vieux mot de passe (P-Kerberoasting). N'importe quel utilisateur du domaine peut demander un ticket de service pour ce compte et casser hors ligne son mot de passe (Kerberoasting) ; comme il est membre de Admins du domaine, le casser donne le contrôle du domaine. Mesure : le remplacer par un gMSA aux droits limités.
2. Mot de passe de krbtgt jamais changé (A-Krbtgt). Quiconque a obtenu un jour la clé de krbtgt (ancien prestataire, sauvegarde volée) peut fabriquer des tickets valides pour n'importe quel compte (golden ticket). Mesure : changer le mot de passe (deux fois en cas de doute), puis tous les 180 jours.
3. Comptes d'administration hors de Protected Users et mot de passe d'administrateur local partagé (P-ProtectedUsers, et document 4). Les identifiants des administrateurs sont mis en cache sur les postes où ils se connectent et peuvent y être volés (pass-the-hash), et un poste compromis ouvre tous les autres. Mesures : Protected Users, modèle en tiers, Windows LAPS.

(On pouvait aussi citer S-NoPreAuth : deux comptes exposent une réponse Kerberos cassable hors ligne.)

A.3. Politique de mots de passe :

• Judicieux : la complexité activée ; l'historique de 24, qui empêche de réutiliser un ancien mot de passe ; le chiffrement réversible désactivé, qui évite de stocker des mots de passe récupérables en clair.
• Discutable : la longueur de 7 caractères, en dessous des 12 recommandés par la CNIL pour un mot de passe seul facteur ; le seuil de verrouillage à 0, qui n'arrête pas la force brute ; la durée de vie de 42 jours, moins grave, mais ce renouvellement imposé n'est plus recommandé sans raison et pousse à des mots de passe prévisibles. Corrections : 12 caractères au moins, verrouillage à 10 échecs pendant 15 minutes, stratégie affinée plus stricte (16 caractères) pour les administrateurs.

B.1. Constat : les postes partagent le même compte Administrateur local et le même mot de passe depuis leur installation. Risque : les comptes locaux de même mot de passe ont la même empreinte ; un attaquant qui obtient l'administration d'un poste l'extrait et s'authentifie sur tous les autres, sans trace sur les contrôleurs (déplacement latéral), jusqu'à trouver un poste où un administrateur du domaine a une session. Solution : déployer Windows LAPS, intégré à Windows, qui donne à chaque poste un mot de passe d'administrateur local aléatoire, unique, renouvelé automatiquement, chiffré dans l'annuaire et lisible seulement par le support autorisé.

B.2. Paramètres de la GPO LAPS :

B.3. Un compte de Admins du domaine utilisé pour la messagerie, Internet et le dépannage expose le domaine à chaque étape du chemin d'attaque : un courriel piégé ouvert avec ce compte s'exécute directement avec les droits d'administrateur du domaine (étape 1) ; et en se connectant aux postes, l'administrateur y laisse ses identifiants, qu'un attaquant ayant compromis un poste récupère pour prendre le contrôle du domaine (étape 5). Organisation proposée : pour chaque administrateur, un compte de bureautique sans privilège (messagerie, Internet), un compte de tier 2 pour les postes, un compte de tier 1 pour les serveurs, un compte de tier 0 pour le domaine, utilisé seulement depuis un poste d'administration dédié ; des GPO interdisant à chaque compte de se connecter à un tier inférieur ; les comptes d'administration dans Protected Users.

C.1. Six événements : 4625/4771 (échecs d'authentification : force brute, pulvérisation) ; 4728/4732/4756 (ajouts aux groupes de sécurité : élévation) ; 4769 (tickets de service avec leur type de chiffrement : Kerberoasting) ; 4720 (création de comptes : persistance) ; 4662 avec le droit de réplication (DCSync) ; 1102 (effacement du journal : dissimulation). On centralise vers le SIEM srv-journaux pour que l'effacement local n'efface pas la preuve.

C.2. Priorisation :

• Sous une semaine (gravité élevée, effort faible) : retirer stagiaire2023 et les comptes inutiles de Admins du domaine ; changer le mot de passe de svc-sauvegarde pour un mot de passe très long en attendant le gMSA ; décocher la pré-authentification sur les deux comptes ; désactiver SMBv1 sur srv-ad2 ; activer la corbeille AD et lancer une sauvegarde de l'état du système.
• Sous un mois (gravité élevée, effort moyen) : déployer Windows LAPS ; créer les comptes par tier et ajouter les administrateurs à Protected Users ; porter la politique à 12 caractères avec verrouillage, PSO 16 pour les administrateurs ; activer l'audit des contrôleurs et le transfert vers le SIEM ; premier changement du mot de passe de krbtgt.
• Sous trois mois (effort élevé, préparation) : remplacer les comptes de service par des gMSA ; GPO d'interdiction entre tiers ; migrer ou isoler les 8 postes Windows 10 ; second changement de krbtgt si un doute subsiste ; appliquer la baseline de sécurité Windows Server 2025 aux contrôleurs.

L'ordre suit la règle : d'abord ce qui coupe un chemin direct vers le tier 0 sans risque de casse, puis ce qui demande des tests et une communication, enfin les projets structurants.

Pour t'entraîner davantage

Les sujets officiels et leurs corrigés sont la meilleure préparation : le corrigé 2024 de la Clinique Martin traite un dossier d'audit d'annuaire très proche de ce cas. Le chapitre Active Directory, journaux, certificats, supervision et sauvegardes du cours sur l'épreuve E7 SISR replace ces questions dans l'ensemble de l'épreuve, et le cours Réponse à incident donne un incident de bout en bout.

Exercices

Exercice 1 sur 2 Rédiger un plan en une page Réussi À revoir

À partir des neuf constats de Sorbier (chapitre 1, A à I), rédige un plan de remédiation d'une page destiné à la direction : pour chaque échéance, les mesures, le risque couvert en une phrase, et l'effort estimé (faible, moyen, élevé). Reste compréhensible par un non-technicien.

Voir la réponseMasquer la réponse de l'exercice 1

Un plan acceptable tient en trois blocs (sous une semaine, sous un mois, sous trois mois), chaque mesure en une ligne « ce qu'on fait → ce que ça évite ». Exemple pour le deuxième bloc (sous un mois) : « Donner à chaque poste un mot de passe d'administrateur unique (Windows LAPS) → un poste piraté n'ouvre plus tous les autres ; effort moyen. » Les critères d'une bonne copie : le risque est exprimé en conséquences concrètes (arrêt de production, fuite de données), pas en jargon ; les mesures les plus urgentes sont celles qui coupent un chemin direct vers le contrôle du domaine ; l'effort est réaliste. La direction doit pouvoir décider d'un budget et d'un calendrier à partir de ce document.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 2 Défendre une priorité Réussi À revoir

Un collègue veut commencer par supprimer les 14 comptes utilisateurs inactifs, « parce qu'il y en a beaucoup ». Toi, tu veux commencer par retirer stagiaire2023 de Admins du domaine et par svc-sauvegarde. Défends ta priorité en deux arguments.

Voir la réponseMasquer la réponse de l'exercice 2

1. La gravité prime sur le nombre. Quatorze comptes inactifs sans privilège peuvent servir à une pulvérisation de mots de passe, mais ne donnent pas, seuls, le contrôle du domaine. stagiaire2023 et svc-sauvegarde, eux, sont dans Admins du domaine : chacun est un chemin direct vers le tier 0, donc vers le chiffrement de tout le parc. On traite d'abord ce qui rapproche le plus un attaquant du contrôle total.
2. L'effort est comparable, le gain non. Retirer deux comptes d'un groupe et changer un mot de passe prend quelques minutes, sans risque de casse, pour un gain de sécurité majeur. Supprimer 14 comptes demande de vérifier avec chaque service qu'ils sont bien inutiles (effort plus élevé) pour un gain moindre. On garde cette tâche pour « au fil de l'eau », sans l'abandonner.

Tu avais trouvé ?

Oui, j'avais bonPas encore