CISA : 17 techniques de compromission Active Directory à contrer

Six nations s'unissent pour documenter les attaques Active Directory les plus redoutées

Le 15 septembre 2026, un consortium de six agences nationales de cybersécurité — la CISA et la NSA américaines, l'ASD ACSC australienne, le Canadian Centre for Cyber Security (CCCS), le NCSC britannique et le NCSC néo-zélandais — a publié une mise à jour majeure de leur guide commun « Detecting and Mitigating Active Directory Compromises ». Ce document de référence identifie les 17 techniques d'attaque les plus fréquemment utilisées par les acteurs malveillants pour compromettre les environnements Active Directory en entreprise.

Active Directory reste, en 2026, l'épine dorsale de l'authentification et de l'autorisation dans la grande majorité des réseaux d'entreprise à l'échelle mondiale. Malgré l'essor des solutions cloud-native comme Microsoft Entra ID, la plupart des organisations maintiennent un AD on-premise ou un environnement hybride pour gérer leurs ressources locales. Cette omniprésence fait d'Active Directory la cible de choix des groupes APT, des opérateurs de ransomware et des acteurs étatiques : compromettre l'AD signifie contrôler la totalité du parc de machines Windows, des boîtes mail Exchange et des partages de fichiers de l'organisation.

Les 17 techniques documentées couvrent un spectre large, allant du vol de credentials jusqu'à la persistance à long terme. Parmi les plus critiques, le Kerberoasting permet à un attaquant disposant d'un accès utilisateur standard d'extraire des tickets de service Kerberos chiffrés et de les craquer hors ligne pour obtenir des mots de passe de comptes de service — souvent dotés de privilèges élevés. L'AS-REP Roasting cible les comptes configurés sans pré-authentification Kerberos, permettant l'extraction de hashes crackables sans même disposer d'un accès authentifié initial.

Le Password Spraying — tester un nombre limité de mots de passe courants contre un grand nombre de comptes pour éviter les verrouillages — reste l'une des techniques d'accès initial les plus efficaces et les plus difficiles à détecter avec les outils de surveillance standards. Une fois l'accès initial obtenu, l'abus de MachineAccountQuota (le paramètre AD autorisant les utilisateurs ordinaires à joindre jusqu'à 10 machines au domaine par défaut) permet à un attaquant de créer des comptes machine contrôlés par lui-même, utilisables pour relayer des authentifications NTLM vers des ressources sensibles.

Les techniques liées à Active Directory Certificate Services (AD CS) représentent une catégorie particulièrement préoccupante. Des recherches de SpecterOps publiées depuis 2021 ont révélé que des configurations incorrectes des autorités de certification d'entreprise permettent à des utilisateurs standards d'obtenir des certificats d'authentification pour des comptes privilégiés — parfois jusqu'au compte Domain Admin. Le DCSync, qui permet à un attaquant ayant les bons privilèges d'imiter le comportement d'un contrôleur de domaine pour répliquer les hashes de tous les comptes AD, et le dumping direct de la base NTDS.dit complètent les techniques d'exfiltration de credentials documentées.

Les techniques de persistance incluent les Golden Tickets et Silver Tickets Kerberos — des tickets forgés à partir du hash du compte KRBTGT permettant un accès illimité dans le temps au domaine — ainsi que les Golden SAML, qui permettent de forger des assertions SAML pour les applications fédérées avec Entra ID. La compromission d'Entra Connect (l'outil de synchronisation entre AD on-premise et Entra ID) est particulièrement dangereuse : elle permet à un attaquant de maintenir un accès persistant aussi bien dans l'environnement cloud que dans l'infrastructure locale, et de pivoter dans les deux sens.

Parmi les autres techniques documentées figurent : l'exploitation de la délégation Kerberos sans contrainte (Unconstrained Delegation), l'abus de SID History lors de migrations de domaines, les Skeleton Keys (malwares injectés dans les processus LSASS pour permettre l'authentification avec n'importe quel mot de passe), et les Shadow Credentials (utilisant l'attribut msDS-KeyCredentialLink pour backdoorer un compte sans modifier son mot de passe — difficile à détecter avec les contrôles classiques).

Pour chacune des 17 techniques, le guide fournit des indicateurs de compromission (IoC), des requêtes de détection adaptées aux SIEM courants, et une liste de contre-mesures concrètes : configurations AD à vérifier, paramètres de durcissement, politiques de gestion des comptes. Les agences recommandent une approche par priorité : Kerberoasting, Password Spraying et AD CS mal configurés représentent les vecteurs les plus fréquemment exploités dans les incidents traités par les équipes de réponse des agences signataires.

Pourquoi ce guide devient la référence incontournable pour les équipes sécurité

La publication de ce guide à six nations illustre une tendance de fond dans la gouvernance mondiale de la cybersécurité : face à des adversaires dont les techniques sont partagées et standardisées, la réponse défensive doit elle aussi être mutualisée. Un guide publié conjointement par la CISA, la NSA, le NCSC britannique et l'ACSC australienne dispose d'une légitimité technique et politique que peu d'organisations peuvent ignorer — que ce soit pour justifier des investissements en sécurité AD auprès de la direction générale, ou pour orienter un audit de sécurité.

L'un des apports majeurs de ce guide réside dans sa dimension hybride AD/Entra. Beaucoup d'organisations ont migré partiellement vers le cloud en pensant réduire leur exposition AD — or des techniques comme la compromission d'Entra Connect ou les Golden SAML montrent que l'environnement hybride peut être plus dangereux que les environnements purement on-premise ou purement cloud, car il crée des ponts exploitables dans les deux sens. Un attaquant compromettant l'AD local peut pivoter vers Entra ID, et vice versa.

Du point de vue réglementaire, ce guide arrive dans un contexte de renforcement des exigences de sécurité pour les entités essentielles sous NIS2. La directive NIS2, transposée en droit français depuis le 1er janvier 2025, impose aux entités concernées de mettre en place des mesures de gestion des risques couvrant explicitement la gestion des accès et des authentifications. Un RSSI qui peut démontrer que son organisation a évalué et mitigé les vecteurs documentés par la CISA et le NCSC sera en meilleure position lors d'un contrôle ANSSI.

L'analyse des incidents de ransomware traités par les agences signataires montre que la quasi-totalité des attaques de grande ampleur implique une compromission d'Active Directory à un stade ou un autre de la kill chain. Les opérateurs de ransomware ont standardisé l'utilisation du Kerberoasting, du DCSync et des Golden Tickets dans leurs playbooks d'attaque. Ce guide leur oppose une réponse technique de même niveau de sophistication, documentée et maintenue à jour par les principales agences de cybersécurité mondiales.

Ce qu'il faut retenir

• Auditer immédiatement la configuration AD de son organisation en s'appuyant sur les 17 techniques documentées, en commençant par Kerberoasting, Password Spraying et AD CS.
• Mettre en place une surveillance des événements Kerberos (ID 4769 pour le Kerberoasting) et des authentifications NTLM dans ses SIEM — le guide CISA fournit les requêtes de détection adaptées.
• Les environnements hybrides AD/Entra ID présentent des vecteurs spécifiques (Entra Connect, Golden SAML) nécessitant une attention particulière au-delà du durcissement AD classique.