ADACLScanner

Définition

ADACLScanner est un outil PowerShell open source, développé par Robin Granberg, dédié à l'audit et à la documentation des listes de contrôle d'accès (ACL) sur les objets Active Directory, incluant les objets de domaine, les unités d'organisation, les GPO et les objets individuels comme les utilisateurs ou les groupes. Il permet de générer des rapports détaillés au format HTML ou CSV recensant l'ensemble des permissions accordées, avec la possibilité de comparer l'état actuel des ACL à une base de référence (baseline) préalablement établie, afin de détecter les dérives de configuration ou les modifications suspectes apportées dans le temps, comme l'ajout discret d'un droit GenericAll ou WriteDACL par un attaquant en phase de persistance. L'outil offre également une interface graphique facilitant l'exploration interactive des permissions objet par objet, utile lors d'un audit manuel approfondi sur un périmètre restreint. Contrairement à BloodHound, qui privilégie une vue orientée chemins d'attaque exploitables, ADACLScanner adopte une approche exhaustive et documentaire, plus adaptée à la production de preuves d'audit de conformité ou à la comparaison différentielle périodique d'une configuration de référence. Il est fréquemment recommandé en complément des outils d'analyse de graphe dans le cadre des audits de sécurité Active Directory menés selon les référentiels ANSSI ou lors de revues d'habilitation périodiques.