Tombstone vs Deleted Object

Définition

Un Tombstone est l'état intermédiaire dans lequel bascule un objet Active Directory après sa suppression, avant sa disparition définitive de l'annuaire, un mécanisme conçu pour permettre la propagation correcte de cette suppression à l'ensemble des contrôleurs de domaine via la réplication, tout en offrant une fenêtre de récupération limitée en cas de suppression accidentelle. Lorsqu'un objet est supprimé, il n'est pas immédiatement effacé mais déplacé vers le conteneur spécial CN=Deleted Objects, la plupart de ses attributs étant vidés à l'exception de quelques-uns nécessaires à son identification, et un compteur de durée de vie du tombstone (Tombstone Lifetime), fixé par défaut à cent quatre-vingts jours dans les versions récentes de Windows Server, détermine la période durant laquelle cet état persiste avant la suppression physique et irréversible de l'objet lors du processus de garbage collection. Cette distinction entre un objet réellement supprimé de façon définitive et un objet en état de Tombstone présente un intérêt en investigation forensique : un objet tombstoné peut encore révéler des informations résiduelles sur sa configuration antérieure, notamment son ancien SID ou certains attributs partiellement conservés, une donnée précieuse pour reconstituer une chronologie d'attaque impliquant la suppression délibérée d'un compte ou d'un objet malveillant par un attaquant cherchant à effacer ses traces après une opération de persistance ou d'escalade de privilèges.