Pourquoi l'AD reste la cible n°1
Dans la majorité des incidents post-intrusion 2024-2026 que nous voyons en France, l'attaquant pivote vers l'Active Directory dans les premières heures. Du coup, l'AD concentre les enjeux : compromettre l'AD, c'est compromettre l'organisation entière.
Les vecteurs récurrents :
- Kerberoasting sur des comptes de service avec des SPN exposés et des mots de passe faibles.
- ASREProast sur des comptes sans pré-authentification.
- Comptes admin actifs depuis 2008 avec des privilèges accumulés sur 15 ans.
- Pas de tier model : les comptes Tier 0 (DA) accèdent à des postes Tier 2 (workstations utilisateurs), ce qui propage le credential theft.
- GPO mal configurées : SeDebugPrivilege à des groupes trop larges, Restricted Groups permissifs, AllowReversiblePasswordEncryption activé sur des OU.
- DCSync attribué à des comptes hors Domain Admins (oversight classique).
Un audit AD bien mené remonte typiquement 30 à 80 findings par environnement de taille moyenne (PME 100-500 postes). Les findings critiques se chiffrent à 5-15.
Périmètre d'audit WeeSec
L'audit couvre 7 axes alignés sur le référentiel ANSSI ADS (Active Directory Security) et le tier model Microsoft :
Axe 1 — Comptes privilégiés. Inventaire des comptes admin (Domain Admins, Enterprise Admins, Schema Admins, Account Operators, Server Operators, Backup Operators, Print Operators), comptes Tier 0/1/2, comptes de service, dormant accounts, comptes avec adminSDHolder.
Axe 2 — Contrôleurs de domaine. Hardening OS, DNS, NTP, audit log, RDP exposé, services superflus, comptes locaux, BitLocker, Defender for Identity / Sentinel.
Axe 3 — GPO et politiques. Mots de passe, lockout, audit, privileges, fine-grained password policies, Restricted Groups, scripts logon, GPO obsolètes.
Axe 4 — Tier model et LAPS. Implémentation effective du tier model, séparation Tier 0/1/2, LAPS sur tous les postes, PAW (Privileged Access Workstations) pour les admins.
Axe 5 — Délégations et ACL. AdminSDHolder, ACL non-standard, GenericAll/GenericWrite/WriteDACL/WriteOwner, propriétaires d'objets, héritages d'autorisations.
Axe 6 — Tests post-exploitation contrôlés. Kerberoasting, ASREProast, énumération SPN, énumération des comptes admins potentiels, vérification BloodHound (avec votre accord, sans modification de l'environnement).
Axe 7 — Hygiène et processus. Procédures de provisioning, de offboarding, de rotation des mots de passe service, gestion des certificats, audit log centralisé, tests de continuité (restauration AD).
Méthode et outillage
L'audit s'appuie sur des outils éprouvés en environnement client réel :
- PingCastle (Vincent Le Toux) — référence audit AD, scoring complet, exécution non-intrusive.
- PurpleKnight (Semperis) — alternative complémentaire.
- BloodHound (en mode read-only avec votre accord) — cartographie des paths d'attaque.
- Active Directory Risk Assessment (ANSSI ADS) si vous y êtes éligible.
- Group Policy Settings Reference + outils PowerShell custom pour la revue GPO fine.
- Microsoft Defender for Identity revue, si déjà en place.
Pas d'agent persistant. Pas de modification de l'environnement. Lecture seule sauf accord explicite et tracé pour les tests post-exploitation contrôlés.
Livrables
À l'issue de l'audit (3 à 5 semaines selon ampleur) :
- Rapport d'audit (50-100 pages) : findings classifiés par criticité (Critique / Élevé / Moyen / Faible), preuves concrètes (captures, extraits de configuration, paths d'attaque BloodHound).
- Plan d'action 6-12 mois : 30 à 60 actions priorisées avec effort, dépendances, indicateurs de succès. Aligné sur le tier model Microsoft et le référentiel ANSSI ADS.
- Architecture cible documentée : tier model implémentable, PAW, LAPS, segmentation, monitoring.
- Restitution exécutive (slides 15-20 pages) pour COMEX/Board.
- Atelier de transfert d'une demi-journée avec votre équipe sysadmin/sécurité.
Combien ça coûte ?
Audit AD standard (PME 100-500 postes, 1 forêt, 1-3 domaines) : 12 à 22 K€ HT, 3-5 semaines.
Audit AD étendu (multi-forêts, multi-domaines, M&A, intégration Azure AD / Entra ID) : 22 à 50 K€ HT, 5-8 semaines.
Audit éclair (PingCastle + revue privilégiée + plan d'action 1 semaine) : 5 à 8 K€ HT.
Audit + accompagnement remédiation (audit + 3 mois de mise en œuvre) : 35 à 80 K€ HT.
Une scope-call gratuite de 20 minutes pour cadrer le périmètre exact et fournir un devis ferme.
Articulation avec ISO 27001, NIS2 et CRA
Un AD durci sert directement plusieurs référentiels :
- ISO 27001 Annexe A 2022 : contrôles A.5.15 (gestion des accès), A.8.2 (privilèges), A.8.5 (authentification sécurisée), A.5.16 (gestion des identités). Un audit AD couvre 70% de ces exigences.
- NIS2 Article 21 : gestion des accès, MFA renforcé, gestion des comptes privilégiés. Élément du tronc commun obligatoire pour EE/EI.
- CRA : indirect — un AD compromis = supply chain compromise.
Du coup, un audit AD bien mené est un investissement leveraged sur 2-3 référentiels en parallèle.
