Top 5 des Outils d'Audit Active Directory 2025 : Analyse Technique Approfondie

Publié le 28 septembre 2025 | Temps de lecture : 30 minutes | Par Ayi NEDJIMI Consultants

L'audit de sécurité Active Directory est une discipline technique qui nécessite une expertise pointue et des outils spécialisés. Dans cet article, nous analysons en profondeur les 5 outils d'audit AD les plus puissants utilisés par les experts en sécurité offensive : PingCastle, Purple Knight, BloodHound, Adalanche et ADRecon. Chaque outil est décortiqué avec ses fonctionnalités avancées, ses cas d'usage, ses forces et ses limites.

#1PingCastle : L'Audit Automatisé de Référence

PingCastle est sans conteste l'outil d'audit Active Directory le plus reconnu et utilisé par les professionnels de la sécurité. Développé par Vincent Le Toux (@mysmartlogon), cet outil open-source offre une analyse complète de la posture de sécurité AD avec un système de scoring basé sur les risques.

1. Architecture et Fonctionnement Technique

PingCastle fonctionne entièrement en lecture seule via des requêtes LDAP et des appels RPC. Il ne nécessite pas de privilèges d'administrateur de domaine pour son exécution, un compte utilisateur authentifié suffit pour la plupart des analyses.

Modes d'Exécution

• Mode Healthcheck (--healthcheck) : Analyse complète de la sécurité du domaine avec génération d'un rapport HTML détaillé
• Mode Scanner (--scanner) : Scan réseau pour identifier les contrôleurs de domaine et analyser les configurations
• Mode Export (--export) : Export des données AD dans différents formats pour analyse externe
• Mode Advanced (--advanced-live) : Collecte de données avancées en temps réel

2. Analyse du Score de Risque PingCastle

Le cœur de PingCastle est son système de scoring basé sur un modèle de maturité allant de 0 à 100+. Le score se décompose en 4 grandes catégories :

3. Détection des Vulnérabilités Critiques

1. Détection Zerologon (CVE-2020-1472)

PingCastle vérifie si les DC sont vulnérables à Zerologon en analysant les patches installés et les logs d'événements.

2. Comptes avec SPN et Mots de Passe Faibles

Identifie automatiquement les comptes de service Kerberoastables avec des attributs suspects (userAccountControl, pwdLastSet).

3. Délégations Contraintes et Non Contraintes

Liste tous les comptes avec des délégations Kerberos, un vecteur d'escalade de privilèges majeur.

4. Chemins d'ACLs Dangereux

Identifie les permissions GenericAll, WriteDACL, WriteOwner sur des objets critiques.

4. Utilisation Avancée en Pentest

PingCastle.exe --healthcheck --server dc.contoso.com --user pentester@contoso.com --password P@ssw0rd

PingCastle.exe --scanner aclcheck --server dc.contoso.com

PingCastle.exe --advanced-live --explore-trust --explore-exception --explore-delegation

#2Purple Knight : L'Outil de Semperis pour l'Évaluation AD

Purple Knight est l'outil gratuit développé par Semperis, société spécialisée dans la protection et la récupération d'Active Directory. Lancé en 2020, Purple Knight s'est rapidement imposé comme un concurrent sérieux de PingCastle grâce à son interface moderne et ses détections avancées.

5. Architecture et Positionnement

Purple Knight se positionne comme un outil d'évaluation de la sécurité ET de la résilience Active Directory. Contrairement à PingCastle qui se concentre sur les vulnérabilités de sécurité, Purple Knight évalue aussi la capacité de récupération après un incident (ransomware, compromission DC).

6. Fonctionnalités Clés

1. Détection des Indicateurs de Compromission (IOC)

Purple Knight intègre des signatures d'IOCs basées sur les recherches de Semperis et les dernières campagnes d'attaques :

• DCShadow artifacts : Détecte les traces de DCShadow (faux DC enregistrés)
• AdminSDHolder tampering : Modifications suspectes de l'objet AdminSDHolder
• GPO malicieuses : Analyse des GPOs pour détecter des scripts ou tâches planifiées malveillantes
• Backdoors AD : SID History injection, ACLs cachées, Golden Ticket artifacts

2. Évaluation de la Résilience

Purple Knight évalue la capacité de l'organisation à récupérer après une attaque :

• Qualité des sauvegardes AD (System State backups)
• Procédures de restauration documentées
• Isolation des DC critiques
• Monitoring et détection en place

3. Indicateurs de Sécurité MITRE ATT&CK

Chaque vulnérabilité détectée est mappée aux tactiques et techniques du framework MITRE ATT&CK, facilitant la priorisation basée sur les TTP des attaquants réels.

7. Système de Scoring Purple Knight

Le score Purple Knight va de 0 à 100% et évalue 3 dimensions :

8. Utilisation en Environnement de Production

Purple Knight propose deux modes d'exécution :

Purple Knight en mode GUI (interface graphique)
- Lance l'application
- Sélectionne le domaine cible
- Configure les options d'analyse
- Exécute le scan
- Exporte le rapport HTML/PDF

Purple Knight en mode CLI (silencieux)
PurpleKnight.exe -Domain contoso.com -Report HTML -Output C:\Reports\

#3BloodHound : Visualisation des Chemins d'Attaque

BloodHound est l'outil révolutionnaire développé par SpecterOps (Andy Robbins, Will Schroeder, Rohan Vazarkar) qui a transformé le pentest Active Directory. En utilisant la théorie des graphes, BloodHound révèle instantanément les chemins d'escalade de privilèges invisibles à l'œil nu.

9. Architecture Neo4j et Graph Theory

BloodHound repose sur Neo4j, une base de données orientée graphes. Les objets AD (utilisateurs, groupes, ordinateurs, GPOs) sont représentés comme des nœuds (nodes) et leurs relations (MemberOf, AdminTo, GenericAll, etc.) comme des arêtes (edges).

Collecteurs de Données (Ingestors)

BloodHound ne se connecte pas directement à AD. Il utilise des collecteurs qui énumérent les données et les exportent en JSON :

• SharpHound (C#) : Collecteur officiel, version Windows
• BloodHound.py : Collecteur Python pour Linux/macOS
• AzureHound : Collecteur pour Azure AD et Entra ID
• SharpHound (PowerShell) : Version legacy PowerShell (déconseillée)

Exemple de collecte avec SharpHound :

SharpHound.exe -c All --zipfilename output.zip

SharpHound.exe -c All,GPOLocalGroup --Domain contoso.com --LdapUsername pentester --LdapPassword P@ssw0rd

SharpHound.exe -c DCOnly --OutputDirectory C:\Temp\ --NoSaveCache

10. Requêtes Cypher Avancées

La puissance de BloodHound réside dans son langage de requête Cypher (langage de Neo4j). Exemples de requêtes critiques :

1. Trouver tous les chemins vers Domain Admins

MATCH p=shortestPath((u:User)-[*1..]->(g:Group {name:"DOMAIN ADMINS@CONTOSO.COM"}))
RETURN p

2. Comptes avec GenericAll sur Domain Admins

MATCH p=(u)-[:GenericAll]->(g:Group {name:"DOMAIN ADMINS@CONTOSO.COM"})
RETURN p

3. Utilisateurs Kerberoastables avec chemin vers DA

MATCH (u:User {hasspn:true})
MATCH p=shortestPath((u)-[*1..]->(g:Group {name:"DOMAIN ADMINS@CONTOSO.COM"}))
WHERE u.enabled=true
RETURN p

4. Ordinateurs avec Unconstrained Delegation

MATCH (c:Computer {unconstraineddelegation:true})
RETURN c.name, c.operatingsystem

11. BloodHound 4.x : Nouvelles Fonctionnalités

La version 4 de BloodHound (Community Edition) introduit des améliorations majeures :

• Analyse des GPOs : Détection des GPOs qui accordent des privilèges locaux
• Azure AD Integration : Support complet d'Azure AD et des hybrides
• Container Support : Analyse des OUs et de l'héritage de permissions
• Certified Pre-Owned : Détection des vulnérabilités AD CS (intégré)

12. Analyse des ACLs Critiques

BloodHound excelle dans la détection des abus d'ACLs. Les permissions dangereuses détectées :

#4Adalanche : Graph Analysis Engine Nouvelle Génération

Adalanche est un outil open-source récent (2021) développé par Lars Karlslund qui se positionne comme une alternative moderne à BloodHound avec des fonctionnalités uniques.

13. Architecture et Design

Adalanche est écrit en Go et utilise une architecture différente de BloodHound :

• Analyse locale : Pas besoin de Neo4j, analyse directement les dumps LDAP
• Interface web intégrée : Serveur web Go avec visualisation interactive
• Performance : Optimisé pour les grands domaines (100k+ objets)
• Multi-domaines natif : Analyse simultanée de plusieurs domaines/forêts

14. Fonctionnalités Distinctives

1. Analyse des Relations Transitives

Adalanche calcule automatiquement les relations transitives : si Alice peut réinitialiser le mot de passe de Bob, et Bob est admin de Serveur1, alors Alice contrôle indirectement Serveur1.

2. Détection des Anomalies Statistiques

Adalanche utilise des algorithmes statistiques pour détecter les comportements anormaux :

• Utilisateurs avec un nombre anormal de permissions directes
• Objets avec des ACLs inhabituelles par rapport à leur OU
• Groupes avec une croissance suspecte de membres

3. Export et Intégration

Adalanche peut exporter ses données vers BloodHound, permettant une analyse hybride : collecte avec Adalanche, visualisation avec BloodHound.

15. Utilisation Pratique

adalanche collect --domain contoso.com --username pentester@contoso.com --password P@ssw0rd

adalanche analyze --datapath ./adalanche-output/

adalanche webservice --datapath ./adalanche-output/ --port 8080

Une fois le serveur web lancé, l'interface est accessible sur http://localhost:8080.

#5ADRecon : Reconnaissance et Documentation Complète

ADRecon est un outil PowerShell développé par Prashant Mahajan qui se distingue par sa capacité à générer une documentation exhaustive de l'environnement Active Directory sous forme de rapport Excel.

16. Approche Orientée Documentation

ADRecon adopte une approche différente des autres outils : au lieu de se concentrer sur les vulnérabilités, il extrait toutes les informations AD dans un format analysable (Excel avec multiples onglets).

17. Données Collectées

ADRecon collecte plus de 50 types de données différentes :

• Utilisateurs : Tous les attributs, groupes, dernière connexion, pwdLastSet, etc.
• Groupes : Membres récursifs, groupes imbriqués, groupes à privilèges
• Ordinateurs : OS, version, dernière connexion, SPNs
• OUs : Structure, GPOs liées, délégations
• GPOs : Toutes les politiques, liens, permissions
• ACLs : Permissions sur tous les objets critiques
• Trusts : Relations de confiance, filtrage SID
• Sites et Subnets : Topologie réseau AD
• DNS Zones : Zones et enregistrements DNS intégrés AD

18. Génération de Rapports

Le rapport Excel généré contient :

• Onglet Summary : Vue d'ensemble du domaine
• Onglets par type d'objet : Utilisateurs, Groupes, Ordinateurs, GPOs, etc.
• Onglets d'analyse : Comptes inactifs, mots de passe expirés, délégations dangereuses
• Tableaux croisés dynamiques : Analyses statistiques prêtes à l'emploi

19. Utilisation

Import-Module .\ADRecon.ps1

Invoke-ADRecon

Invoke-ADRecon -DomainController dc01.contoso.com -Credential (Get-Credential)

Invoke-ADRecon -GenExcel C:\Temp\ADRecon-output\

Tableau Comparatif des 5 Outils

Méthodologie d'Audit Active Directory avec ces Outils

Dans nos missions d'audit, nous combinons ces 5 outils selon une méthodologie éprouvée :

20. Phase 1 : Évaluation Rapide (Jour 1)

1. PingCastle Healthcheck : Score global et identification des quick wins
2. Purple Knight Scan : Détection d'IOCs et vérification résilience
3. Restitution flash : Points critiques identifiés en 24h

21. Phase 2 : Analyse Approfondie (Jours 2-3)

1. BloodHound Collection : SharpHound avec toutes les options
2. Analyse Cypher : Requêtes custom pour identifier tous les chemins d'escalade
3. Adalanche : Analyse complémentaire des anomalies statistiques
4. ADRecon : Documentation exhaustive pour l'annexe du rapport

22. Phase 3 : Exploitation et Validation (Jours 4-5)

1. Tests d'exploitation : Validation manuelle des chemins identifiés
2. Priorisation : Classification CVSS des vulnérabilités
3. Roadmap de remédiation : Plan d'action priorisé

Conclusion : Choisir le Bon Outil pour le Bon Besoin

Il n'existe pas d'outil parfait qui fait tout. Chaque outil a ses forces :

• ✅ PingCastle : Votre outil de monitoring continu (mensuel)
• ✅ Purple Knight : Pour l'évaluation de résilience et la recherche d'IOCs
• ✅ BloodHound : Indispensable pour le pentest et la recherche d'escalade
• ✅ Adalanche : Alternative moderne pour les environnements complexes
• ✅ ADRecon : Pour la documentation et les audits de conformité

L'approche recommandée : combinez au minimum PingCastle + BloodHound pour couvrir à la fois les vulnérabilités de configuration et les chemins d'attaque ACL.

📚 Ressources Complémentaires

• Top 10 des Attaques Active Directory 2025
• Livre Blanc : Sécuriser Active Directory
• Nos services d'audit Active Directory
• Formations Pentest et Audit Active Directory