BUILTIN Groups

Définition

Les BUILTIN Groups sont des groupes de sécurité prédéfinis, créés automatiquement lors de l'installation d'Active Directory et stockés dans le conteneur CN=Builtin de l'annuaire, distinct du conteneur Users où résident les groupes globaux comme Domain Admins. Ces groupes disposent de privilèges spécifiques attribués nativement par le système d'exploitation et ne peuvent être supprimés, bien que leur composition — la liste de leurs membres — reste modifiable par un administrateur. Parmi les plus significatifs figurent Administrators, qui accorde un contrôle total sur les contrôleurs de domaine ; Account Operators, qui permet de créer et modifier la plupart des comptes utilisateurs et groupes sans être Domain Admin ; Backup Operators, qui autorise la sauvegarde et restauration de fichiers y compris le fichier NTDS.dit, offrant de facto un chemin de compromission complète de l'annuaire ; et Print Operators, historiquement associé à des vecteurs d'escalade via le service Spouleur. L'appartenance à ces groupes BUILTIN est systématiquement analysée par les outils d'audit comme BloodHound, car des ajouts non documentés ou hérités d'anciennes délégations constituent une source fréquente de privilèges excessifs invisibles lors d'un audit superficiel limité aux groupes globaux classiques. La revue périodique de la composition de ces groupes fait partie des contrôles de base recommandés dans toute démarche de durcissement Active Directory et de conformité ISO 27001.