Active Directory : Surface d'Attaque Invisible de Votre SI

Active Directory (AD) constitue le système nerveux central du système d'information de 95 % des entreprises dans le monde. Conçu par Microsoft dans les années 1990 et déployé massivement depuis Windows 2000, ce service d'annuaire orchestre l'authentification, l'autorisation et la configuration de millions de postes de travail et de serveurs. Sa position centrale en fait pourtant une cible privilégiée : une attaque Active Directory réussie offre à l'adversaire les clés de l'ensemble du parc, des données métier aux sauvegardes. Les groupes de ransomware l'ont bien compris et exploitent systématiquement des faiblesses héritées de vingt ans de configurations accumulées : délégations excessives, comptes de service obsolètes, protocoles d'authentification anciens maintenus par souci de compatibilité. Cette surface d'attaque, largement invisible depuis les outils d'administration standards, s'étend silencieusement à chaque nouvelle intégration. La comprendre est le préalable indispensable à toute stratégie de défense crédible.

Pourquoi Active Directory est la cible prioritaire

Active Directory est le Saint Graal de tout attaquant pour une raison simple : qui contrôle AD contrôle tout. Un Domain Admin peut créer des comptes, modifier les GPO, accéder à tous les fichiers, déployer du code sur tous les postes, extraire tous les mots de passe, et créer des backdoors persistantes (Golden Ticket) valables 10 ans.

Statistiques de Microsoft DART (Detection and Response Team) : 80% des engagements IR impliquent une compromission d'AD. Le temps médian entre l'accès initial et la compromission du Domain Admin est de 48 heures dans les organisations sans tiering model.

Phase 1 : Reconnaissance AD

BloodHound : la cartographie des chemins d'attaque

BloodHound est l'outil qui a révolutionné les attaques (et la défense) AD. Il collecte les relations entre objets AD (utilisateurs, groupes, machines, GPO, ACL) et visualise les chemins d'attaque — les séquences d'étapes permettant d'atteindre Domain Admin depuis n'importe quel point d'entrée. Le collecteur SharpHound (C#) ou BloodHound.py (Python) énumère le domaine via LDAP et SMB en quelques minutes.

Requêtes BloodHound critiques :

• "Find shortest path to Domain Admin" — le classique
• "Find principals with DCSync rights" — qui peut répliquer l'annuaire
• "Find computers where Domain Users are local admin" — quick wins
• "Find Kerberoastable users with path to DA" — combinaison mortelle

Autres outils de reconnaissance

• PingCastle — Audit automatisé de la sécurité AD avec scoring et rapport détaillé. Identifie les misconfigurations les plus critiques
• Purple Knight — Scanner de vulnérabilités AD de Semperis, 150+ indicateurs de sécurité
• ADRecon — Extraction et rapport complet de la configuration AD
• PowerView (PowerSploit) — Module PowerShell d'énumération AD offensif

Phase 2 : Attaques sur les credentials

Kerberoasting (T1558.003)

Principe : Tout utilisateur authentifié du domaine peut demander un ticket de service Kerberos (TGS) pour n'importe quel service account. Le TGS est chiffré avec le hash NTLM du service account. L'attaquant demande des TGS pour tous les service accounts et les cracke offline.

Mode opératoire :

1. Énumération des service accounts avec SPN : Get-DomainUser -SPN (PowerView) ou setspn -T domain -Q */*
2. Demande de TGS : Rubeus.exe kerberoast /outfile:hashes.txt ou GetUserSPNs.py -request
3. Cracking offline : hashcat -m 13100 hashes.txt wordlist.txt

Détection : Event ID 4769 (Kerberos Service Ticket) avec encryption type 0x17 (RC4-HMAC) au lieu de AES (0x12). Un volume élevé de 4769 depuis un seul compte est suspect.

Défense : Mots de passe de 25+ caractères pour les service accounts, utiliser des gMSA (Group Managed Service Accounts) avec rotation automatique, activer AES uniquement (désactiver RC4).

AS-REP Roasting (T1558.004)

Cible les comptes avec l'attribut DONT_REQUIRE_PREAUTH activé. L'attaquant demande un AS-REP sans fournir de preuve d'authentification, puis cracke le hash offline. Plus rare que le Kerberoasting mais souvent fructueux.

DCSync (T1003.006)

Principe : L'attaquant simule un contrôleur de domaine et utilise le protocole MS-DRSR (Directory Replication Service) pour demander la réplication de tous les hashes de mots de passe de l'annuaire, incluant le hash du compte krbtgt.

Prérequis : Droits "Replicating Directory Changes" et "Replicating Directory Changes All" — détenus par les Domain Admins, les DC machine accounts et certains comptes de service.

Commande Mimikatz : lsadump::dcsync /domain:corp.local /user:krbtgt

Détection : Event ID 4662 avec les GUIDs de réplication DS (1131f6aa-9c07-11d1-f79f-00c04fc2dcd2). Alertez si la source n'est pas un contrôleur de domaine.

Phase 3 : Persistence dans AD

Golden Ticket (T1558.001)

Avec le hash du compte krbtgt (obtenu via DCSync), l'attaquant peut forger des TGT (Ticket Granting Tickets) Kerberos arbitraires avec n'importe quelle identité et n'importe quels privilèges. Un Golden Ticket est valide même après un changement de mot de passe de l'utilisateur cible, car il est signé par le hash krbtgt. Durée de validité par défaut : 10 ans.

Remédiation : Double reset du mot de passe krbtgt (le hash précédent reste valide). Procédure délicate à planifier car elle invalide tous les tickets Kerberos existants.

Silver Ticket (T1558.002)

Forgery d'un TGS (ticket de service) en utilisant le hash NTLM du service account cible. Moins puissant qu'un Golden Ticket (limité à un service spécifique) mais plus discret (pas de communication avec le KDC).

Skeleton Key

Injection d'un master password dans le processus LSASS du contrôleur de domaine, permettant de s'authentifier avec n'importe quel compte en utilisant un mot de passe universel. Ne survit pas à un reboot du DC.

AdminSDHolder et SDProp

Modification de l'objet AdminSDHolder pour injecter des ACL qui seront propagées automatiquement par le processus SDProp (toutes les 60 minutes) à tous les groupes protégés (Domain Admins, Enterprise Admins, etc.). Backdoor ACL persistante et discrète.

Phase 4 : Abus d'ACL et délégation

Les ACL Active Directory sont un terrain de jeu offensif souvent négligé :

Défenses : architecture de sécurisation AD

Tiering Model (modèle en tiers)

Le tiering model de Microsoft segmente l'administration en 3 niveaux d'isolation :

• Tier 0 — Contrôleurs de domaine, PKI, Azure AD Connect. Les comptes Tier 0 ne se connectent JAMAIS aux systèmes Tier 1 ou Tier 2
• Tier 1 — Serveurs applicatifs, bases de données. Administration séparée
• Tier 2 — Postes de travail utilisateurs. Les administrateurs Tier 2 n'ont aucun accès aux serveurs

PAW (Privileged Access Workstation)

Postes d'administration dédiés et durcis, utilisés exclusivement pour l'administration des systèmes Tier 0 et Tier 1. Pas d'accès internet, pas d'email, pas de navigation web. Protégés par Credential Guard, Device Guard et des politiques de sécurité restrictives.

LAPS (Local Administrator Password Solution)

Rotation automatique des mots de passe administrateur local de chaque poste, stockés chiffrés dans AD. Élimine le risque de Pass-the-Hash latéral via un mot de passe admin local commun.

FAQ

# Collecte BloodHound depuis un poste Windows du domaine
# Télécharger SharpHound.exe depuis le repo BloodHound officiel

# Collecte standard (tous les objets)
.\SharpHound.exe -c All --outputdirectory C:\temp\bh_output

# Collecte avec stealth (sans requêtes LDAP agressives)
.\SharpHound.exe -c DCOnly,Session,LoggedOn `
    --stealth --outputdirectory C:\temp\bh_output

# Depuis Linux avec impacket (sans agent sur le domaine)
bloodhound-python -u user -p Password1 -d domain.local `
    -c All --dc dc01.domain.local

Besoin d'un expert cybersécurité ?

Audit, pentest, formation, IA — plus de 25 ans d'expérience, 100+ missions réalisées.

Demander un devis [email protected]

Conclusion

Ce sujet s'inscrit dans un contexte de menaces en constante évolution. La meilleure protection combine veille active, audits réguliers et sécurité by design. Pour approfondir ou évaluer votre exposition, consultez nos experts.