Attaques Active Directory

Audit Active Directory : PingCastle, BloodHound et remédiation

Guide complet pour auditer votre Active Directory avec PingCastle et BloodHound : méthodologie, points critiques, remédiation et outillage continu.

NTLM Relay vers LDAP : Élévation de Privilèges par RBCD et Défenses 2026

Golden SAML : Forger des Tokens SSO pour Compromettre tout le Domaine

Attaque NTLM Relay 2026 : Exploitation, Détection et Défense

L'attaque NTLM Relay est l'une des techniques les plus redoutables en Active Directory : elle permet à un attaquant de se faire passer pour un utilisateur légitime sans connaître son mot de passe. Découvrez comment fonctionne cette attaque avec Responder et NTLMRelayX, et comment s'en défendre.

Active Directory : configurer une stratégie d'audit avancée avec GPO

Repadmin : diagnostiquer et réparer la réplication Active Directory

Audit des Délégations Active Directory avec BloodHound et Adalanche 2026

Backup et Recovery Active Directory 2026 : Guide Complet Windows Server 2025

Audit des Groupes Privilégiés Active Directory : Guide Complet 2026

Audit des Permissions DNS dans Active Directory : Guide Complet 2026

NTDSUTIL : Guide Complet pour l'Administration Active Directory 2026

Honeypots Active Directory : Honey Users, Honey SPNs et Détection d'Intrusion 2026

Vérification des Mots de Passe AD avec Have I Been Pwned : Guide Complet 2026

Active Directory Forest Recovery après Ransomware : Guide Complet

Procédure complète de forest recovery Active Directory après une attaque ransomware : isolation des DC, évaluation des dommages, restauration dans l'ordre, NTDSUTIL, seizure FSMO, rotation KRBTGT obligatoire x2. Guide ANSSI avec retours terrain France.

Protected Users : Le Groupe AD le Plus Sous-Utilisé en 2026

Protected Users Active Directory : protections automatiques NTLM/Kerberos, qui ajouter, qui exclure, audit PowerShell. Guide expert RSSI 2026.

Credential Guard Windows Server 2025 : Guide Complet de Déploiement

Credential Guard Windows Server 2025 : VBS/HVCI, activation GPO/Intune, protection LSASS, compatibilité et monitoring. Bloquez Mimikatz en production.

RODC Windows Server 2025 : Déploiement Sécurisé et Durcissement

RODC Windows Server 2025 : PRP, KRBTGT isolé, attaques possibles, durcissement BitLocker. Guide complet pour sécuriser vos contrôleurs de domaine en lecture seule.

LDAP Signing et LDAP Channel Binding : Durcissement Active Directory

LDAP Signing et Channel Binding Active Directory : activation GPO, audit evenements 2886-3041, plan de deploiement sans casser les applications. Guide expert 2026.

Authentication Policies et Authentication Silos : Guide Windows Server 2025

Guide complet Authentication Policies et Authentication Silos Windows Server 2025 : déploiement, durcissement Kerberos Tier 0, PowerShell et audit ANSSI.

Rotation KRBTGT : Script PowerShell Fiable et Guide Complet 2026

Guide complet sur la rotation du compte KRBTGT avec Invoke-KrbtgtRotation.ps1, un script PowerShell open source qui corrige les lacunes du script officiel Microsoft : vérification réplication, double rotation automatisée, logs JSON structurés.

NTLM 2026 : Histoire, Vulnérabilités, Migration Kerberos

À retenir — Authentification NTLM 2026 NTLM (NT LAN Manager) est un protocole d'authentification Microsoft datant de 1993, originellement conçu pour Windows NT — toujours actif...

Golden Ticket : Attaque Kerberos Domain Admin Persiste

Golden Ticket est une attaque de persistance Active Directory (MITRE T1558.001) qui consiste a forger un Ticket Granting Ticket Kerberos arbitraire en signant celui-ci avec le hash NTLM ou les cles AES du compte krbtgt du domaine. Revelee en 2014 par Benjamin Delpy via le module kerberos::golden de Mimikatz, elle exploite le fait que le KDC ne valide que la signature cryptographique du TGT, pas l'existence des comptes encodes. Le ticket forge confere une persistance Domain Admin pouvant atteindre 10 ans, survivant aux changements de mots de passe et aux desactivations. Ce guide entity-first detaille le fonctionnement Kerberos, la fabrication avec Mimikatz, Rubeus et Impacket ticketer.py, la difference avec Silver Ticket, la detection (Event 4769, Defender for Identity) et les mitigations (double rotation krbtgt, AES-only, Tier 0).

Silver Ticket : Attaque Kerberos Service Active Directory

Le Silver Ticket (MITRE T1558.002) est une attaque post-exploitation sur Active Directory consistant a forger localement un TGS Kerberos a partir du hash NTLM ou des cles AES d'un compte de service compromis, afin d'acceder a ce service sans solliciter le KDC. Devoile en 2014 par Benjamin Delpy via Mimikatz, il cible typiquement les SPN CIFS, MSSQLSvc, HOST, LDAP ou HTTP. Sa furtivite redoutable provient de l'absence totale de contact avec le DC : aucun Event 4768 ou 4769 n'est genere. Ce guide entity-first detaille le principe cryptographique, les pre-requis (Kerberoasting, DCSync, Pass-the-Hash), la fabrication avec Mimikatz, Rubeus et Impacket ticketer, les services typiques, la detection (Event 4624, PAC validation, Defender for Identity) et les mitigations (gMSA, AES-only, rotation hashes, PAC signature stricte).

DCSync : Attaque de Réplication Active Directory 2026

DCSync est une attaque de credential dumping (MITRE T1003.006) qui exploite le protocole legitime MS-DRSR de replication Active Directory pour extraire a distance les hashes NTLM de n'importe quel compte du domaine, y compris krbtgt. Formalisee en 2015 par Benjamin Delpy et Vincent Le Toux dans Mimikatz, elle ne necessite aucune execution de code sur le DC cible et abuse une fonctionnalite documentee de Microsoft, sans CVE associe. Ce guide entity-first detaille le fonctionnement protocolaire, les outils (Mimikatz, Impacket secretsdump, Invoke-DCSync), la detection (Event 4662, Defender for Identity, Splunk ES) et les contre-mesures (audit ACL DRS, rotation krbtgt biannuelle, modele Tier 0).