GPO Enumeration

Définition

La GPO Enumeration désigne les techniques de reconnaissance visant à recenser exhaustivement l'ensemble des stratégies de groupe (GPO) déployées dans un domaine Active Directory, leurs liens vers les différents conteneurs de l'annuaire, ainsi que les permissions accordées sur chacune d'elles, une étape précieuse en pentest pour identifier des chemins d'escalade de privilèges ou de mouvement latéral exploitables via une modification malveillante de ces stratégies. Cette énumération s'appuie typiquement sur des requêtes LDAP ciblant les objets Group Policy Container, la commande PowerShell Get-GPO combinée au module ActiveDirectory, ou des outils spécialisés comme PowerView (Get-DomainGPO) et BloodHound, qui restituent visuellement les GPO liées à chaque OU ainsi que les principals disposant de droits de modification sur elles. L'intérêt offensif de cette phase réside dans l'identification de deux vecteurs distincts : des permissions d'écriture excessives accordées sur une GPO sensible, permettant d'y injecter un script ou une tâche planifiée malveillante exécutée à l'échelle de tout le périmètre lié, et l'analyse du contenu même des GPO existantes, susceptible de révéler des informations sensibles comme des mots de passe résiduels dans des scripts de connexion legacy ou des configurations de sécurité incohérentes. La GPO Enumeration complète l'analyse des ACL classique en révélant une surface d'attaque souvent négligée, les permissions sur les GPO étant rarement auditées aussi rigoureusement que celles des comptes utilisateurs.