Active Directory : Surface d'Attaque Invisible de Votre SI

Active Directory (AD) est le système nerveux central de 95% des entreprises dans le monde. Ce service d'annuaire de Microsoft, conçu dans les années 1990 et déployé massivement depuis Windows 2000, gère l'authentification, l'autorisation et la configuration de millions de postes de travail et de serveurs. Paradoxalement, AD est aussi le maillon le plus ciblé et le plus exploité par les attaquants : une compromission d'Active Directory donne le contrôle total du système d'information. Cet article décortique les techniques offensives les plus utilisées contre AD — du Kerberoasting au Golden Ticket en passant par le DCSync et les abus d'ACL — avec pour chaque attaque le mode opératoire détaillé, les outils, les logs à surveiller et les défenses spécifiques. Nous couvrons aussi les architectures de sécurisation modernes (tiering model, PAW, ESAE) et les outils d'audit essentiels comme BloodHound, PingCastle et Purple Knight.

Pourquoi Active Directory est la cible prioritaire

Active Directory est le Saint Graal de tout attaquant pour une raison simple : qui contrôle AD contrôle tout. Un Domain Admin peut créer des comptes, modifier les GPO, accéder à tous les fichiers, déployer du code sur tous les postes, extraire tous les mots de passe, et créer des backdoors persistantes (Golden Ticket) valables 10 ans.

Statistiques de Microsoft DART (Detection and Response Team) : 80% des engagements IR impliquent une compromission d'AD. Le temps médian entre l'accès initial et la compromission du Domain Admin est de 48 heures dans les organisations sans tiering model.

Phase 1 : Reconnaissance AD

BloodHound : la cartographie des chemins d'attaque

BloodHound est l'outil qui a révolutionné les attaques (et la défense) AD. Il collecte les relations entre objets AD (utilisateurs, groupes, machines, GPO, ACL) et visualise les chemins d'attaque — les séquences d'étapes permettant d'atteindre Domain Admin depuis n'importe quel point d'entrée. Le collecteur SharpHound (C#) ou BloodHound.py (Python) énumère le domaine via LDAP et SMB en quelques minutes.

Requêtes BloodHound critiques :

• "Find shortest path to Domain Admin" — le classique
• "Find principals with DCSync rights" — qui peut répliquer l'annuaire
• "Find computers where Domain Users are local admin" — quick wins
• "Find Kerberoastable users with path to DA" — combinaison mortelle

Autres outils de reconnaissance

• PingCastle — Audit automatisé de la sécurité AD avec scoring et rapport détaillé. Identifie les misconfigurations les plus critiques
• Purple Knight — Scanner de vulnérabilités AD de Semperis, 150+ indicateurs de sécurité
• ADRecon — Extraction et rapport complet de la configuration AD
• PowerView (PowerSploit) — Module PowerShell d'énumération AD offensif

Phase 2 : Attaques sur les credentials

Kerberoasting (T1558.003)

Principe : Tout utilisateur authentifié du domaine peut demander un ticket de service Kerberos (TGS) pour n'importe quel service account. Le TGS est chiffré avec le hash NTLM du service account. L'attaquant demande des TGS pour tous les service accounts et les cracke offline.

Mode opératoire :

1. Énumération des service accounts avec SPN : Get-DomainUser -SPN (PowerView) ou setspn -T domain -Q */*
2. Demande de TGS : Rubeus.exe kerberoast /outfile:hashes.txt ou GetUserSPNs.py -request
3. Cracking offline : hashcat -m 13100 hashes.txt wordlist.txt

Détection : Event ID 4769 (Kerberos Service Ticket) avec encryption type 0x17 (RC4-HMAC) au lieu de AES (0x12). Un volume élevé de 4769 depuis un seul compte est suspect.

Défense : Mots de passe de 25+ caractères pour les service accounts, utiliser des gMSA (Group Managed Service Accounts) avec rotation automatique, activer AES uniquement (désactiver RC4).

AS-REP Roasting (T1558.004)

Cible les comptes avec l'attribut DONT_REQUIRE_PREAUTH activé. L'attaquant demande un AS-REP sans fournir de preuve d'authentification, puis cracke le hash offline. Plus rare que le Kerberoasting mais souvent fructueux.

DCSync (T1003.006)

Principe : L'attaquant simule un contrôleur de domaine et utilise le protocole MS-DRSR (Directory Replication Service) pour demander la réplication de tous les hashes de mots de passe de l'annuaire, incluant le hash du compte krbtgt.

Prérequis : Droits "Replicating Directory Changes" et "Replicating Directory Changes All" — détenus par les Domain Admins, les DC machine accounts et certains comptes de service.

Commande Mimikatz : lsadump::dcsync /domain:corp.local /user:krbtgt

Détection : Event ID 4662 avec les GUIDs de réplication DS (1131f6aa-9c07-11d1-f79f-00c04fc2dcd2). Alertez si la source n'est pas un contrôleur de domaine.

Phase 3 : Persistence dans AD

Golden Ticket (T1558.001)

Avec le hash du compte krbtgt (obtenu via DCSync), l'attaquant peut forger des TGT (Ticket Granting Tickets) Kerberos arbitraires avec n'importe quelle identité et n'importe quels privilèges. Un Golden Ticket est valide même après un changement de mot de passe de l'utilisateur cible, car il est signé par le hash krbtgt. Durée de validité par défaut : 10 ans.

Remédiation : Double reset du mot de passe krbtgt (le hash précédent reste valide). Procédure délicate à planifier car elle invalide tous les tickets Kerberos existants.

Silver Ticket (T1558.002)

Forgery d'un TGS (ticket de service) en utilisant le hash NTLM du service account cible. Moins puissant qu'un Golden Ticket (limité à un service spécifique) mais plus discret (pas de communication avec le KDC).

Skeleton Key

Injection d'un master password dans le processus LSASS du contrôleur de domaine, permettant de s'authentifier avec n'importe quel compte en utilisant un mot de passe universel. Ne survit pas à un reboot du DC.

AdminSDHolder et SDProp

Modification de l'objet AdminSDHolder pour injecter des ACL qui seront propagées automatiquement par le processus SDProp (toutes les 60 minutes) à tous les groupes protégés (Domain Admins, Enterprise Admins, etc.). Backdoor ACL persistante et discrète.

Phase 4 : Abus d'ACL et délégation

Les ACL Active Directory sont un terrain de jeu offensif souvent négligé :

Défenses : architecture de sécurisation AD

Tiering Model (modèle en tiers)

Le tiering model de Microsoft segmente l'administration en 3 niveaux d'isolation :

• Tier 0 — Contrôleurs de domaine, PKI, Azure AD Connect. Les comptes Tier 0 ne se connectent JAMAIS aux systèmes Tier 1 ou Tier 2
• Tier 1 — Serveurs applicatifs, bases de données. Administration séparée
• Tier 2 — Postes de travail utilisateurs. Les administrateurs Tier 2 n'ont aucun accès aux serveurs

PAW (Privileged Access Workstation)

Postes d'administration dédiés et durcis, utilisés exclusivement pour l'administration des systèmes Tier 0 et Tier 1. Pas d'accès internet, pas d'email, pas de navigation web. Protégés par Credential Guard, Device Guard et des politiques de sécurité restrictives.

LAPS (Local Administrator Password Solution)

Rotation automatique des mots de passe administrateur local de chaque poste, stockés chiffrés dans AD. Élimine le risque de Pass-the-Hash latéral via un mot de passe admin local commun.

FAQ