DFSR

Définition

DFSR (Distributed File System Replication) est le mécanisme de réplication multi-maître utilisé par Active Directory, depuis Windows Server 2008, pour synchroniser le contenu du dossier SYSVOL entre l'ensemble des contrôleurs de domaine d'une forêt, notamment les objets de stratégie de groupe (GPO) et les scripts de connexion. DFSR remplace le protocole historique FRS (File Replication Service), devenu obsolète et retiré des versions récentes de Windows Server, en offrant de meilleures performances via un algorithme de compression différentielle appelé RDC (Remote Differential Compression), qui ne transfère que les blocs de données réellement modifiés plutôt que des fichiers entiers. Sur le plan de la sécurité, DFSR constitue un vecteur d'attaque notable : un attaquant disposant de droits d'écriture sur SYSVOL peut y déposer une GPO malveillante répliquée automatiquement sur l'ensemble des contrôleurs de domaine et appliquée à tous les postes du domaine, ce qui en fait une technique de mouvement latéral et de persistance à grande échelle. La surveillance des modifications SYSVOL, la restriction des droits d'écriture au groupe Domain Admins et l'audit des GPO nouvellement créées ou modifiées figurent parmi les recommandations prioritaires de l'ANSSI pour limiter ce risque. La migration de FRS vers DFSR s'effectue via l'outil dfsrmig et les niveaux de fonctionnalité de domaine associés.

Fonctionnement technique

DFSR utilise le protocole MS-FRS2 via RPC pour la réplication. Chaque DC maintient un journal de réplication et une base de données des fichiers répliqués. La réplication est déclenchée automatiquement lors de modifications. Les partenaires de réplication sont définis dans la topologie AD (Sites and Services). Get-DfsrBacklog permet de vérifier l'état de la réplication.

Sécurité SYSVOL

GPP Passwords : Mots de passe dans les fichiers GPO de SYSVOL
Scripts logon : Souvent avec credentials hardcodés
SYSVOL Staging : Répertoire temporaire potentiellement accessible

Dépannage

dfsrdiag.exe ReplicationState : état de réplication
Event ID 4004/4102 DFSR : erreurs de réplication
repadmin /showrepl : état réplication AD globale

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis