Durcissement AD : Guide des Recommandations Microsoft

Guide pratique des recommandations Microsoft pour le durcissement d'Active Directory en environnement de production. Les équipes de sécurité et les professionnels du domaine y trouveront des recommandations applicables immediatement. Face a la sophistication croissante des attaques ciblant les environnements Active Directory et Entra ID, les administrateurs système et les équipes de sécurité doivent constamment renforcer leurs defenses. Cet article présente les techniques, outils et méthodologies nécessaires pour auditer, securiser et surveiller efficacement ces infrastructures critiques dans un contexte de menaces en perpetuelle evolution. Active Directory reste la cible privilégiée des attaquants en environnement Windows. Comprendre durcissement ad recommandations ms est indispensable pour les équipes offensives comme défensives.

Contexte et Enjeux

La sécurité d'Active Directory reste un enjeu majeur pour les entreprises en 2025-2026. Avec la multiplication des attaques complexees, les équipes IT doivent constamment adapter leurs defenses. Les environnements hybrides combinant AD on-premise et Entra ID (anciennement Azure AD) ajoutent une complexite supplementaire.

Pour comprendre les fondamentaux, consultez notre article sur Guide Securisation Active Directory 2025. Les techniques d'attaque evoluent rapidement, comme détaillé dans Rbcd Attaque Defense.

Votre modèle de Tiering est-il réellement appliqué ou seulement documenté ?

447
PAGES

Guide Gratuit : Sécuriser Active Directory (447 pages)

Attaques, Tiering Model, durcissement, monitoring — par Ayi NEDJIMI

Télécharger le PDF →

Analyse Technique Detaillee

L'approche technique repose sur plusieurs vecteurs d'attaque complementaires. Les pentesters et red teamers utilisent ces techniques pour identifier les failles dans les configurations AD. La comprehension de la chaine d'attaque complete est essentielle pour mettre en place des defenses efficaces.

⚡

Retour terrain

Dans mes missions de hardening Active Directory, le point le plus sous-estimé est la gestion du groupe 'Opérateurs de compte' et des délégations personnalisées créées au fil des années. Pour un groupe logistique de 1 500 utilisateurs, j'ai trouvé 312 ACL personnalisées dont 89 accordaient des permissions d'écriture sur des attributs sensibles (adminCount, memberOf sur groupes privilégiés) à des comptes d'utilisateurs standards. La dette technique en sécurité AD est souvent invisible jusqu'au premier audit sérieux.

Les outils comme BloodHound, Impacket et Rubeus permettent d'automatiser la détection des chemins d'attaque. Selon les recommandations de NVD, la surveillance des événements critiques (Event ID 4769, 4662, 4724) est indispensable. Notre guide Skeleton Key Attaque Defense détaillé les procedures d'audit.

La complexite des environnements modernes nécessite une approche en couches. Le modele de tiering recommande par Microsoft et l'ANSSI reste la référence pour segmenter les acces privilegies.

Notre avis d'expert

Le modèle de Tiering reste la meilleure défense structurelle contre la compromission totale d'un domaine Active Directory. Sans séparation stricte des niveaux de privilèges, un attaquant ayant compromis un poste de travail peut atteindre le contrôleur de domaine en quelques heures.

Stratégies de Defense et Remediation

La remediation doit etre progressive et priorisee. Commencez par les quick wins : desactiver NTLM ou possible, activer le Protected Users group, configurer le tiering. Ensuite, abordez les chantiers de fond comme la migration vers le passwordless et le renforcement du Conditional Access.

• Étape 1 : Audit complet avec les scripts recommandes — voir Dcsync Attaque Defense
• Étape 2 : Remediation des configurations critiques
• Étape 3 : Mise en place du monitoring continu
• Étape 4 : Tests de penetration reguliers

Plusieurs outils gratuits facilitent l'audit et le durcissement d'Active Directory. PingCastle, Purple Knight et ADRecon fournissent des rapports detailles. Les références de ENISA completent ces outils avec des bonnes pratiques validees. Pour approfondir, consultez Gpo Abuse Attaque Defense.

Cas concret

La vulnérabilité PrintNightmare (CVE-2021-34527) a exposé la fragilité du service Print Spooler de Windows, permettant l'exécution de code à distance avec des privilèges SYSTEM. Son exploitation triviale a contraint des milliers d'organisations à désactiver en urgence le service d'impression sur leurs contrôleurs de domaine.

Questions frequentes

Comment securiser un environnement Active Directory ?

La sécurisation d'Active Directory repose sur plusieurs piliers : l'implementation du modele de tiering, la restriction des privileges administratifs, la surveillance des événements critiques, le déploiement du Protected Users group, la desactivation des protocoles obsoletes comme NTLM et la mise en place d'audits reguliers.

Qu'est-ce que le modele de tiering Active Directory ?

Le modele de tiering est une architecture de sécurité recommandee par Microsoft et l'ANSSI qui segmente les acces privilegies en trois niveaux : Tier 0 pour les controleurs de domaine, Tier 1 pour les serveurs membres et Tier 2 pour les postes de travail, empechant ainsi la propagation laterale des attaquants.

Pourquoi les attaques Active Directory sont-elles si frequentes ?

Les attaques Active Directory sont frequentes car AD reste le système d'authentification central de la majorite des entreprises. Les configurations par defaut sont souvent permissives, les privileges excessifs repandus et les techniques d'exploitation bien documentees, ce qui en fait une cible privilegiee pour les attaquants.

La mise en pratique de ces concepts nécessite une approche methodique et structuree. Les équipes techniques doivent d'abord evaluer leur niveau de maturite actuel sur le sujet, identifier les lacunes prioritaires et definir un plan d'action realiste. L'implementation progressive, avec des jalons mesurables, garantit une adoption durable et efficace des pratiques recommandees.

Les organisations qui reussissent le mieux dans ce domaine adoptent une culture d'amelioration continue. Cela implique des revues regulieres des processus, une veille technologique active et une formation permanente des équipes. Les indicateurs de performance doivent etre definis des le depart pour mesurer objectivement les progres realises et ajuster la stratégie si necessaire.

L'integration de ces pratiques dans les processus existants de l'organisation est un facteur cle de succes. Plutot que de creer des workflows paralleles, il est recommande d'enrichir les procedures actuelles avec les controles et les verifications necessaires. Cette approche reduit la resistance au changement et facilite l'adoption par les équipes operationnelles.

Recommandations de durcissement

La sécurisation d'un environnement Active Directory passe par une approche méthodique. Le modèle de tiering proposé par Microsoft — avec une séparation stricte des comptes administrateurs Tier 0, Tier 1 et Tier 2 — reste la fondation de toute architecture sécurisée. Pourtant, dans la majorité des audits, on constate que ce modèle n'est que partiellement appliqué.

LAPS (Local Administrator Password Solution) est un autre pilier souvent négligé. Sans LAPS, un seul mot de passe administrateur local compromis peut ouvrir la voie à un mouvement latéral massif. La documentation Microsoft détaille la mise en œuvre, mais l'implémentation sur un parc hétérogène prend du temps et de la planification.

Points de contrôle prioritaires

Les chemins d'attaque les plus courants dans un AD passent par : les délégations Kerberos non contraintes, les comptes de service avec des SPN et des mots de passe faibles (cible du Kerberoasting), les GPO mal configurées qui exposent des credentials, et les ACL permissives sur des objets sensibles comme AdminSDHolder.

BloodHound permet de cartographier ces chemins en quelques minutes. Si vous ne l'avez jamais lancé sur votre environnement de production, la découverte risque d'être instructive. La réalité est souvent plus complexe que ce que les schémas théoriques laissent supposer.

Consultez les recommandations de l'ANSSI et le référentiel MITRE ATT&CK TA0004 (Privilege Escalation) pour structurer votre approche défensive.

Contexte et enjeux actuels

Impact opérationnel

Pour approfondir ce sujet, consultez notre outil open-source kerberos-toolkit qui facilite l'analyse et le test des mécanismes Kerberos.

Les sujets techniques en cybersécurité exigent une approche rigoureuse, fondée sur l'expérimentation et la validation en conditions réelles. Les environnements de laboratoire — qu'ils soient construits avec Proxmox, VMware Workstation ou des services cloud éphémères — sont indispensables pour tester les techniques, les outils et les contre-mesures avant tout déploiement en production.

L'un des écueils les plus fréquents dans la mise en œuvre de solutions techniques de sécurité est le gap entre la documentation officielle et la réalité du terrain. Les guides de déploiement supposent souvent un environnement propre et standardisé, là où la plupart des organisations gèrent un patrimoine applicatif hétérogène, avec des dépendances croisées et des configurations héritées.

Approche méthodique recommandée

Pour chaque implémentation technique, la méthodologie suivante a fait ses preuves : audit de l'existant, définition des prérequis, déploiement en environnement de test, validation fonctionnelle et sécurité, déploiement progressif en production avec rollback plan, puis monitoring post-déploiement. Chaque étape doit être documentée.

Les référentiels MITRE ATT&CK et MITRE D3FEND fournissent un cadre structuré pour aligner les mesures techniques sur les menaces réelles. D3FEND, en particulier, cartographie les contre-mesures défensives face aux techniques d'attaque, ce qui facilite la priorisation des investissements en sécurité.

La documentation interne — runbooks, playbooks, procédures d'exploitation — est le maillon souvent manquant. Sans elle, la connaissance reste dans la tête des experts, et chaque départ ou absence crée un risque opérationnel. Avez-vous documenté vos procédures critiques de manière à ce qu'un nouveau membre de l'équipe puisse les exécuter de manière autonome ?

Sources et références : MITRE ATT&CK Privilege Escalation · ADSecurity.org

Conclusion

La sécurisation d'Active Directory est un processus continu qui nécessite une vigilance constante. Les nouvelles menaces de 2026 renforcent la nécessite d'adopter une approche proactive, combinant audit regulier, monitoring en temps reel et formation des équipes.

Article suivant recommandé

Entra ID : Fin des Service Principals Legacy : Guide Complet →

Microsoft deprecie les Service Principals legacy dans Entra ID. Guide de migration vers les Managed Identities et Worklo

Kerberoasting : Technique d'attaque ciblant les Service Principal Names (SPN) dans Active Directory pour extraire et craquer hors ligne les tickets de service Kerberos.

Les techniques d'attaque Active Directory décrites nécessitent une autorisation écrite préalable. Testez uniquement sur des environnements de lab ou dans le cadre d'un audit mandaté.

Utilisez BloodHound Community Edition pour cartographier les chemins d'attaque Active Directory avant un audit. La visualisation graphique révèle des vecteurs invisibles à l'analyse manuelle.

Votre Active Directory est-il compromis ?

Audit AD complet, détection de chemins d'attaque, durcissement Tier Model — intervention sous 48h.

Audit AD — Devis gratuit [email protected]

Microsoft Secure Score pour Active Directory : les 10 contrôles critiques

Microsoft Secure Score intègre depuis 2023 des recommandations spécifiques pour Active Directory, permettant aux équipes sécurité de mesurer objectivement leur posture. Ces contrôles couvrent les vecteurs d'attaque les plus fréquemment exploités lors des compromissions AD documentées par Microsoft DART (Detection and Response Team) dans des centaines d'incidents réels.

Les 10 contrôles critiques classés par impact

1. Désactiver l'authentification NTLM sur les contrôleurs de domaine (impact: +8 points) : NTLM v1 est cassable offline en quelques heures avec des GPU modernes. Bloquer NTLM via GPO sur les DCs force l'utilisation de Kerberos. Commande de vérification : Get-ADDomainController -Filter * | % { Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LmCompatibilityLevel" -ComputerName $_.Name }
2. Activer Microsoft Defender for Identity (MDI) (impact: +7 points) : MDI analyse le trafic Kerberos/NTLM/LDAP en temps réel pour détecter DCSync, Pass-the-Hash, Kerberoasting et les Golden Ticket.
3. Supprimer les comptes avec des délégations Kerberos non contraintes (impact: +6 points) : la délégation non contrainte permet à un serveur compromis de s'authentifier comme n'importe quel utilisateur.
4. Activer le recycle bin AD (impact: +4 points) : permet la restauration des objets supprimés sans restauration complète, réduit l'impact des suppressions malveillantes.
5. Désactiver les comptes Administrateur built-in et renommer l'account (impact: +4 points)
6. Configurer Fine-Grained Password Policies pour les comptes à privilèges (impact: +4 points) : mots de passe de 20+ caractères pour les comptes Tier 0.
7. Activer l'audit avancé Kerberos (impact: +4 points) : événements 4769 (Kerberos Service Ticket Request) indispensables pour détecter Kerberoasting.
8. Bloquer les protocoles d'authentification legacy (LM, NTLM v1) (impact: +3 points)
9. Configurer LAPS pour tous les comptes administrateurs locaux (impact: +3 points)
10. Implémenter Privileged Access Workstations (PAW) (impact: +3 points) : stations dédiées aux tâches d'administration, sans accès Internet ni email.

Protected Users Security Group : configuration et effets

Le groupe Protected Users, introduit dans Windows Server 2012 R2, est l'une des mesures de durcissement les plus efficaces et les moins déployées des environnements Active Directory. Les membres de ce groupe bénéficient automatiquement de protections renforcées sans configuration GPO supplémentaire, appliquées par le contrôleur de domaine lui-même.

Protections automatiques apportées par Protected Users

• Élimination complète de NTLM : les membres de Protected Users ne peuvent pas s'authentifier via NTLM, WDigest ou Digest — uniquement Kerberos. Cette mesure seule élimine les attaques Pass-the-Hash sur les comptes concernés.
• Durée de vie des tickets Kerberos réduite à 4h (vs. 10h par défaut) : limite la fenêtre d'exploitation des tickets volés.
• Pas de délégation Kerberos : les comptes membres ne peuvent jamais être délégués, même avec une délégation contrainte configurée.
• DES et RC4 désactivés : uniquement AES-128 et AES-256 pour le chiffrement Kerberos, éliminant les attaques AS-REP Roasting basées sur RC4.
• Pas de mise en cache des identifiants : les mots de passe et hash ne sont pas mis en cache localement — empêche l'extraction de credentials depuis la mémoire LSASS.

# Ajouter tous les admins de domaine au groupe Protected Users
Import-Module ActiveDirectory
$admins = Get-ADGroupMember -Identity "Domain Admins" -Recursive
foreach ($admin in $admins) {
    Add-ADGroupMember -Identity "Protected Users" -Members $admin.SamAccountName
    Write-Host "Ajouté : $($admin.SamAccountName)"
}

# Vérifier les membres actuels de Protected Users
Get-ADGroupMember -Identity "Protected Users" | Select-Object Name, SamAccountName, ObjectClass

Précaution importante : avant d'ajouter des comptes de service à Protected Users, vérifier qu'ils ne dépendent pas de NTLM ou de la délégation Kerberos — ces fonctions seront désactivées et les services pourraient échouer.

Windows Defender Credential Guard : configuration et prérequis

Credential Guard, disponible depuis Windows 10 Enterprise/Server 2016, isole les secrets LSASS dans un environnement virtualisé protégé (Virtual Secure Mode - VSM) inaccessible depuis le système d'exploitation principal, même avec des privilèges SYSTEM. Cette isolation rend inefficaces les outils comme Mimikatz qui extraient les credentials depuis la mémoire LSASS.

Activation via GPO et vérification

# Politique GPO : Computer Configuration > Administrative Templates >
# System > Device Guard > Turn On Virtualization Based Security
# Réglages :
# - Select Platform Security Level: Secure Boot and DMA Protection
# - Virtualization Based Protection of Code Integrity: Enabled with UEFI lock
# - Credential Guard Configuration: Enabled with UEFI lock

# Vérification via PowerShell (sur le poste client)
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard |
    Select-Object VirtualizationBasedSecurityStatus, CredentialGuardRunning

# Résultat attendu pour Credential Guard actif :
# VirtualizationBasedSecurityStatus : 2 (Running)
# CredentialGuardRunning : {1} (Running)

Prérequis matériels obligatoires : processeur 64 bits avec support de la virtualisation matérielle (Intel VT-x ou AMD-V), UEFI Secure Boot activé, TPM 2.0. Les environnements sans TPM ou avec BIOS legacy ne peuvent pas bénéficier de Credential Guard. La vérification de compatibilité peut être effectuée via l'outil Device Guard and Credential Guard hardware readiness tool fourni par Microsoft.

Baseline Group Policy Objects Microsoft : implémentation des référentiels officiels

Microsoft publie des Security Baselines (anciennement Security Compliance Toolkit) pour chaque version de Windows Server et Windows 10/11, définissant les paramètres GPO recommandés pour un niveau de sécurité élevé. Ces baselines sont le résultat de l'expérience accumulée par les équipes Microsoft face aux attaques réelles.

Déploiement des baselines Microsoft

# Télécharger les Security Baselines (disponibles sur Microsoft.com)
# Package : Windows Server 2022 Security Baseline

# Importer les GPO de référence dans SYSVOL
.\LGPO.exe /parse /m ".\GPOs\{GUID-DC}\Machine
egistry.pol" >> output.txt

# Ou via Import-GPO PowerShell
$backupPath = "C:\Baselines\Windows Server 2022\GPOs"
Get-ChildItem $backupPath -Directory | ForEach-Object {
    $gpoName = $_.Name
    Import-GPO -BackupId $_.Name -Path $backupPath -TargetName "Baseline-$gpoName" -CreateIfNeeded
}

# Lier la GPO à l'OU Domain Controllers
New-GPLink -Name "Baseline-DC" -Target "OU=Domain Controllers,DC=domain,DC=local" -LinkEnabled Yes

Script PowerShell de vérification de conformité AD

Ce script vérifie les 15 points de conformité les plus critiques et génère un rapport HTML :

# AD-Compliance-Check.ps1
Import-Module ActiveDirectory

$results = @()

# 1. Comptes avec mot de passe n'expirant jamais
$neverExpire = Get-ADUser -Filter {PasswordNeverExpires -eq $true -and Enabled -eq $true} `
    -Properties PasswordNeverExpires | Where-Object {$_.DistinguishedName -notlike "*CN=Service*"}
$results += [PSCustomObject]@{
    Check = "Comptes avec PasswordNeverExpires";
    Status = if ($neverExpire.Count -eq 0) {"OK"} else {"ALERTE"};
    Detail = "$($neverExpire.Count) comptes affectés"
}

# 2. Comptes inactifs depuis 90 jours
$cutoff = (Get-Date).AddDays(-90)
$inactive = Get-ADUser -Filter {LastLogonDate -lt $cutoff -and Enabled -eq $true} `
    -Properties LastLogonDate
$results += [PSCustomObject]@{
    Check = "Comptes inactifs (90j+)";
    Status = if ($inactive.Count -lt 5) {"OK"} else {"ALERTE"};
    Detail = "$($inactive.Count) comptes inactifs"
}

# 3. Utilisateurs dans le groupe Domain Admins
$domainAdmins = Get-ADGroupMember -Identity "Domain Admins" -Recursive |
    Where-Object {$_.objectClass -eq "user"}
$results += [PSCustomObject]@{
    Check = "Membres Domain Admins";
    Status = if ($domainAdmins.Count -le 3) {"OK"} elseif ($domainAdmins.Count -le 10) {"AVERTISSEMENT"} else {"ALERTE"};
    Detail = "$($domainAdmins.Count) membres"
}

# 4. Comptes Kerberoastables (SPN avec compte utilisateur)
$kerberoastable = Get-ADUser -Filter {ServicePrincipalName -ne "$null"} `
    -Properties ServicePrincipalName | Where-Object {$_.ServicePrincipalName.Count -gt 0}
$results += [PSCustomObject]@{
    Check = "Comptes Kerberoastables";
    Status = if ($kerberoastable.Count -eq 0) {"OK"} else {"ALERTE"};
    Detail = "$($kerberoastable.Count) comptes avec SPN"
}

# 5. Délégations non contraintes (hors DCs)
$unconstrained = Get-ADComputer -Filter {TrustedForDelegation -eq $true} |
    Where-Object {(Get-ADDomainController -Filter *).Name -notcontains $_.Name}
$results += [PSCustomObject]@{
    Check = "Délégations non contraintes";
    Status = if ($unconstrained.Count -eq 0) {"OK"} else {"ALERTE"};
    Detail = "$($unconstrained.Count) ordinateurs concernés"
}

# Rapport HTML
$html = "<html><body>"
$html += $results | ConvertTo-Html -Fragment
$html += "</body></html>"
$html | Out-File "AD-Compliance-$(Get-Date -Format 'yyyyMMdd').html"
$results | Format-Table -AutoSize

Ce script constitue la base d'une vérification hebdomadaire automatisée à planifier dans le Planificateur de tâches Windows ou via une runbook Azure Automation. Les résultats peuvent être intégrés dans un tableau de bord SIEM (Sentinel, Splunk) pour un suivi en temps réel de la posture de sécurité AD.

Tiering administratif et modèle de sécurité à 3 niveaux pour Active Directory

Le modèle de tiering administratif Active Directory (Tier 0, Tier 1, Tier 2) est la recommandation fondamentale de Microsoft pour éliminer les mouvements latéraux qui permettent aux attaquants de passer d'un compte compromis à la compromission complète du domaine. Ce modèle répond à une réalité statistique établie par le Microsoft DART : dans 80% des compromissions AD totales, l'attaquant a utilisé un compte de Tier 1 ou Tier 2 comme point de pivot vers le Tier 0.

Structure des trois tiers

• Tier 0 — Active Directory : contrôleurs de domaine, serveurs ADCS, ADFS, services de synchronisation (AAD Connect), outils d'administration AD. Accès autorisé uniquement depuis des Privileged Access Workstations (PAW) dédiées Tier 0. Les comptes Tier 0 ne se connectent jamais à des systèmes de niveaux inférieurs.
• Tier 1 — Serveurs d'applications : serveurs Windows/Linux de production hébergeant des applications métier. Les administrateurs Tier 1 ont des comptes dédiés distincts de leurs comptes utilisateurs quotidiens. Accès depuis des PAW Tier 1 ou via des jump servers dédiés.
• Tier 2 — Postes de travail : postes utilisateurs, laptops. Les helpdesk disposent de comptes Tier 2 spécifiques pour l'administration des postes, sans droits sur les serveurs.

La règle cardinale du tiering : un compte Tier N ne peut pas se connecter à un système de Tier < N. Cette règle empêche la capture de credentials Tier 0 depuis un serveur Tier 1 compromis. Microsoft Privileged Access Workstation Guidance et le framework Enhanced Security Admin Environment (ESAE) documentent l'architecture complète, y compris l'Active Directory dédié administré séparé du domaine de production pour les opérations les plus critiques.

Déploiement des Privileged Access Workstations (PAW)

Les PAW sont des stations Windows durcies, dédiées exclusivement aux tâches d'administration, avec accès Internet bloqué, email désactivé, et surface d'attaque minimale. Elles ne reçoivent les mises à jour que via WSUS interne. Les GPO de durcissement PAW désactivent PowerShell v2, activent AppLocker en mode whitelist, activent le Device Guard/WDAC, et bloquent tous les ports USB sauf clavier/souris. Un PAW compromis est une défaillance grave mais non catastrophique car il ne peut atteindre que les systèmes de son niveau de tier, limitant le rayon d'explosion de la compromission.