Pourquoi Active Directory est la cible n° 1 des attaquants

Active Directory est la cible n° 1 des attaquants parce qu'il détient les clés de tout le système d'information : les comptes, les groupes, les droits d'administration et les stratégies appliquées à chaque machine. Un attaquant qui devient administrateur du domaine peut se connecter partout, lire tout et déployer un rançongiciel sur tout le parc à la fois. Ce chapitre montre le chemin type d'une attaque, définit le tier 0 et présente l'état de départ du domaine de Sorbier Logistique, que la suite du cours va corriger.

Ce que l'annuaire contrôle

Active Directory (AD DS, Active Directory Domain Services) n'est pas un simple carnet d'adresses. Dans un domaine Windows, il décide :

• qui est qui : chaque utilisateur, chaque ordinateur et chaque compte de service a un compte dans l'annuaire ;
• qui a le droit de quoi : les groupes donnent accès aux partages, aux applications, aux serveurs ;
• qui administre quoi : le groupe Admins du domaine est membre du groupe local Administrateurs de chaque machine jointe au domaine ;
• comment chaque machine est configurée : les stratégies de groupe (GPO) s'appliquent à toutes les machines à chaque démarrage et toutes les 90 minutes environ.

Ce dernier point explique la gravité d'une compromission. Une GPO peut créer une tâche planifiée qui lance un programme sur tous les postes et tous les serveurs du domaine. C'est un outil d'administration légitime ; entre les mains d'un attaquant, c'est un outil de déploiement de rançongiciel. Les rapports d'incident publiés par le CERT-FR décrivent régulièrement ce scénario : l'attaquant prend le contrôle de l'annuaire, puis s'en sert pour distribuer la charge de chiffrement.

Le chemin d'une attaque, du poste piégé au contrôleur de domaine

Les attaquants n'entrent presque jamais directement sur un contrôleur de domaine. Ils entrent par la porte la moins gardée, puis progressent. Le chemin ci-dessous revient dans les rapports d'incident comme dans les sujets d'examen.

1. Accès initial. Un salarié ouvre une pièce jointe piégée, ou un accès distant (VPN, bureau à distance) est protégé par un mot de passe deviné. L'attaquant exécute du code sur un poste, avec les droits de l'utilisateur.
2. Reconnaissance. N'importe quel compte du domaine peut lire la quasi-totalité de l'annuaire : la liste des comptes, les membres des groupes d'administration, les comptes de service et leurs SPN, les ordinateurs et leur système d'exploitation. L'attaquant dresse la carte des chemins vers le tier 0. Ce n'est pas une faille : c'est le fonctionnement normal de LDAP.
3. Vol d'identifiants. S'il obtient les droits d'administrateur local du poste, il lit dans la mémoire du processus LSASS les secrets des comptes qui s'y sont connectés. Il peut aussi demander des tickets Kerberos chiffrés avec le mot de passe d'un compte de service et les casser hors ligne (chapitre 3).
4. Déplacement latéral. Avec l'empreinte du mot de passe d'administrateur local, souvent identique sur tous les postes, il se connecte aux autres machines. Il cherche celle où un administrateur du domaine a ouvert une session, par exemple pour un dépannage.
5. Domination du domaine. Il vole les identifiants de cet administrateur, se connecte à un contrôleur de domaine, copie la base de l'annuaire ou ses secrets, crée des accès cachés, puis déploie sa charge.

Le point clé : chaque étape s'appuie sur une faiblesse précise, et chaque faiblesse a sa parade. Un mot de passe d'administrateur local unique par machine (Windows LAPS, chapitre 6) bloque l'étape 4. Un administrateur du domaine qui ne se connecte jamais sur un poste ordinaire (modèle en tiers, chapitre 5) ne laisse rien à voler à l'étape 5. Un compte de service géré (chapitre 7) rend inutile le cassage de l'étape 3. La défense ne consiste pas à trouver la mesure miracle, mais à couper le chemin à plusieurs endroits : c'est la défense en profondeur.

Le tier 0 : ce qui donne le contrôle du domaine

Le tier 0 (on dit aussi « niveau 0 » ou « cœur de confiance ») regroupe tout ce qui, s'il était compromis, donnerait directement le contrôle de l'annuaire. Le guide de l'ANSSI Recommandations relatives à l'administration sécurisée des systèmes d'information reposant sur Microsoft Active Directory (2023) et le modèle d'accès de Microsoft partent tous les deux de cette notion. Chez Sorbier, le tier 0 comprend :

Le tier 0 déborde donc largement des deux contrôleurs. Le cas de l'hyperviseur surprend souvent : quand les contrôleurs de domaine sont des machines virtuelles, l'administrateur de l'hyperviseur est, de fait, un administrateur du domaine. Le cours Virtualisation détaille l'administration de Proxmox VE ; ici, retiens que ses comptes d'administration et son interface web doivent être protégés au même niveau que l'annuaire. Le chapitre 5 construit le modèle complet, avec le tier 1 (les serveurs) et le tier 2 (les postes).

L'état de départ du domaine de Sorbier

Le domaine ad.sorbier.example a été monté il y a cinq ans, vite, par un prestataire. Il fonctionne, les utilisateurs sont contents, et personne ne l'a jamais audité. En novembre 2026, après une alerte de l'assureur de l'entreprise sur les rançongiciels, Antoine Mercier te demande de faire le point. Voici ce que tu relèves en interrogeant les collègues et l'annuaire, avant même de lancer un outil d'audit :

Aucun de ces constats n'est exotique : on les retrouve dans la plupart des domaines audités, et plusieurs figuraient tels quels dans les sujets de cybersécurité SISR de 2024 (épreuve alors appelée E6) et de 2025 (E7). Garde ce tableau sous la main : chaque chapitre en corrige une partie, et le chapitre 11 reprend l'ensemble sous la forme d'un sujet d'examen.

Les trois familles de mesures

Les mesures de ce cours se rangent en trois familles, qu'une bonne réponse d'examen combine :

• Prévenir : réduire les privilèges et la surface d'attaque (modèle en tiers, LAPS, comptes de service gérés, protocoles anciens désactivés, politique de mots de passe).
• Détecter : activer l'audit sur les contrôleurs, centraliser les journaux, alerter sur les événements qui trahissent une attaque (chapitre 9, et le SIEM Wazuh installé sur srv-journaux).
• Réparer : sauvegarder l'annuaire hors de portée de l'attaquant et savoir le restaurer ou le reprendre en main (chapitre 10, et le cours Sauvegarde et PRA).

L'audit (chapitre 4) sert à mesurer où l'on en est et à choisir par où commencer. Il se répète : un annuaire se dégrade avec le temps, au rythme des créations de comptes, des délégations ajoutées « pour dépanner » et des départs mal traités.

Ce que ce cours ne fait pas

Ce cours n'enseigne aucune technique d'attaque opérationnelle. Les attaques y sont décrites par leur principe, leurs conditions, leurs traces et leurs parades, ce qui suffit pour les détecter, les expliquer dans un rapport et les empêcher. Utiliser des outils offensifs contre un système sans autorisation écrite de son propriétaire est un délit (articles 323-1 et suivants du Code pénal) ; même dans ton entreprise, un audit se fait sur mandat, avec un périmètre écrit. Les outils d'audit présentés au chapitre 4 (PingCastle, Purple Knight, ORADAD) sont des outils de défenseur : ils lisent la configuration de l'annuaire, sans rien exploiter.

Exercices

Exercice 1 sur 4 Placer les constats sur le chemin d'attaque Réussi À revoir

Pour chaque constat de Sorbier, indique l'étape du chemin d'attaque (1 accès initial, 2 reconnaissance, 3 vol d'identifiants, 4 déplacement latéral, 5 domination du domaine) qu'il facilite le plus directement.

(a) constat A ; (b) constat B ; (c) constat C ; (d) constat D ; (e) constat E.

Voir la réponseMasquer la réponse de l'exercice 1

• (a) A, administrateur du domaine connecté sur les postes et sur Internet : étapes 1 (une pièce jointe ouverte par Antoine s'exécute directement avec les droits d'administrateur du domaine) et 5 (ses identifiants restent dans la mémoire des postes qu'il dépanne, prêts à être volés).
• (b) B, même mot de passe d'administrateur local : étape 4, le déplacement latéral. Une empreinte volée sur un poste ouvre tous les autres.
• (c) C, compte de service privilégié avec SPN et vieux mot de passe : étape 3, puis 5. Le Kerberoasting permet de casser son mot de passe hors ligne, et comme le compte est Admins du domaine, c'est un raccourci direct vers le tier 0.
• (d) D, mots de passe courts sans verrouillage : étape 1 (un accès distant protégé par un mot de passe deviné) et étape 3 (des mots de passe faciles à deviner ou à casser).
• (e) E, krbtgt jamais changé : étape 5, et surtout la persistance après l'attaque. Quiconque a obtenu un jour la clé de krbtgt (ancien prestataire, ancienne sauvegarde volée) peut fabriquer des tickets valides tant qu'elle n'a pas été changée deux fois.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Délimiter le tier 0 Réussi À revoir

Parmi ces éléments de Sorbier, lesquels appartiennent au tier 0 ? Justifie chaque réponse en une phrase.

(a) le poste de Julie Lefèvre, comptable ; (b) les hôtes Proxmox VE qui font tourner srv-ad et srv-ad2 ; (c) srv-fichiers ; (d) le stockage TrueNAS qui reçoit les sauvegardes de l'état du système des contrôleurs ; (e) le compte svc-sauvegarde tel qu'il est configuré aujourd'hui ; (f) le poste d'administration 192.168.10.209 ; (g) l'imprimante de l'accueil.

Voir la réponseMasquer la réponse de l'exercice 2

• Tier 0 :
  • (b) les hôtes Proxmox VE : leur administrateur peut copier ou démarrer à part le disque d'un contrôleur de domaine, donc lire la base de l'annuaire ;
  • (d) le stockage des sauvegardes des contrôleurs : une sauvegarde de l'état du système contient la base de l'annuaire et ses secrets ;
  • (e) svc-sauvegarde : il est membre de Admins du domaine, donc tier 0 de fait (c'est justement le problème : un compte de service n'a rien à faire là, voir chapitre 7) ;
  • (f) le poste d'administration, s'il sert à administrer les contrôleurs : ce qui y est saisi ouvre le tier 0.
• Hors tier 0 : (a) le poste de Julie (tier 2), (c) srv-fichiers (tier 1, serveur membre), (g) l'imprimante (tier 2).

Remarque : si srv-fichiers stockait aussi les sauvegardes des contrôleurs, il passerait en tier 0. Un élément appartient au tier le plus élevé des ressources qu'il permet de contrôler.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Rédiger un constat d'audit Réussi À revoir

Rédige, en trois phrases (constat, risque, mesure), le paragraphe du rapport d'audit consacré au constat I : « le groupe Admins du domaine compte six membres, dont un compte stagiaire2023 toujours actif ».

Voir la réponseMasquer la réponse de l'exercice 3

Constat. Le groupe Admins du domaine contient six comptes, dont stagiaire2023, un compte nominatif d'ancien stagiaire resté actif depuis 2023. Risque. Chaque membre de ce groupe peut administrer tous les postes, serveurs et contrôleurs du domaine ; un compte oublié, dont le mot de passe est peut-être connu de plusieurs personnes et n'est plus surveillé par personne, est une porte d'entrée directe vers le contrôle total du système d'information. Mesure. Désactiver immédiatement stagiaire2023 et le retirer du groupe, vérifier dans les journaux qu'il n'a pas servi récemment, puis limiter Admins du domaine à deux ou trois comptes d'administration nominatifs dédiés, réservés au tier 0, et alerter sur tout ajout au groupe (événement 4728).

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Prévenir, détecter, réparer Réussi À revoir

Classe ces mesures dans la bonne famille : (a) activer la corbeille AD ; (b) déployer Windows LAPS ; (c) alerter sur les événements 4728 qui concernent Admins du domaine ; (d) désactiver LLMNR ; (e) copier chaque nuit une sauvegarde de l'état du système des contrôleurs sur un stockage immuable ; (f) lancer PingCastle chaque mois et comparer le score.

Voir la réponseMasquer la réponse de l'exercice 4

• Prévenir : (b) LAPS, (d) LLMNR désactivé.
• Détecter : (c) l'alerte sur les ajouts au groupe ; (f) l'audit mensuel détecte la dérive de la configuration (un nouveau compte avec SPN, une délégation ajoutée), c'est une détection au sens large, qui sert surtout à prévenir la prochaine attaque.
• Réparer : (a) la corbeille AD et (e) la sauvegarde immuable.

Tu avais trouvé ?

Oui, j'avais bonPas encore