BloodHound

Définition

BloodHound est un outil open-source de cartographie et d'analyse des relations de permissions au sein d'un environnement Active Directory et, dans ses versions récentes, Entra ID, développé initialement par les chercheurs de SpecterOps. Il collecte, via des composants de récolte de données (SharpHound pour l'écosystème .NET, ou des collecteurs Python équivalents) interrogeant LDAP, SMB et les sessions actives, l'ensemble des relations existant entre principals de sécurité et objets de l'annuaire : appartenances à des groupes, permissions ACL comme GenericAll ou WriteDACL, sessions de connexion actives, délégations Kerberos configurées, et relations de confiance inter-domaines. Ces données sont ensuite représentées sous forme de graphe orienté au sein d'une base Neo4j, permettant d'appliquer la théorie des graphes pour identifier automatiquement le chemin d'attaque le plus court, ou le moins coûteux, entre un point d'entrée compromis et un compte à privilèges élevés cible, typiquement Domain Admin ou Enterprise Admin. Cette approche a profondément transformé la pratique du pentest et de l'audit Active Directory, en rendant visibles des chaînes d'escalade de privilèges combinant plusieurs droits en apparence anodins, totalement invisibles à une analyse manuelle objet par objet dans un annuaire de taille conséquente. BloodHound Community Edition, distribuée gratuitement, coexiste aujourd'hui avec une version d'entreprise offrant des fonctionnalités de suivi continu et de remédiation guidée.