Un pentest interne ne ressemble pas toujours à ce que les équipes imaginent. On attend l'attaque sophistiquée, le zero-day, l'exploit sur-mesure. Ce qu'on obtient, la plupart du temps, c'est une série de mauvaises configurations parfaitement banales qui se combinent avec une logique implacable. Individuellement, chacune serait classée en « criticité faible » ou « moyenne » dans un rapport d'audit standard. Enchaînées, elles donnent à un attaquant un accès complet au domaine Active Directory en moins de deux jours.
Ce scénario type, observé régulièrement lors d'exercices sur des infrastructures réelles, mérite d'être décrit dans le détail — non pas pour alarmer, mais pour changer la façon dont les équipes priorisent leurs remédiations.
Étape 1 : le poisoning réseau, un accès initial sans bruit
Tout commence par une position sur le réseau local, souvent obtenue via un poste compromis, un accès physique ou simplement un accès visiteur mal cloisonné. L'attaquant lance un outil de poisoning LLMNR/NBT-NS : en l'absence de signature SMB et de DNS strictement configuré, les postes du réseau répondent à des requêtes de résolution de noms falsifiées. En quelques minutes, des hachages Net-NTLMv2 tombent.
Ce vecteur est connu depuis des années. Il est documenté, il existe des contre-mesures précises, et pourtant il fonctionne dans la grande majorité des environnements testés. La raison est simple : désactiver LLMNR ou activer la signature SMB nécessite un changement de GPO qui peut perturber certains services legacy — alors on reporte.
Étape 2 : absence de signature SMB et relais d'authentification
Les hachages capturés peuvent être soumis à une attaque par dictionnaire hors ligne. Mais même sans casser le mot de passe, l'absence de signature SMB ouvre une autre voie : le relais NTLM. L'attaquant redirige l'authentification d'une machine vers une autre cible du réseau — un serveur de fichiers, un partage administratif, parfois directement un contrôleur de domaine secondaire dont la signature n'est pas imposée.
À ce stade, l'attaquant n'a toujours pas utilisé le moindre exploit. Il a juste profité de deux protocoles qui fonctionnent exactement comme prévu, mais dans un contexte où personne n'a configuré les gardes-fous correspondants.
Étape 3 : identifiants par défaut sur un équipement oublié
Avec un premier accès authentifié sur un segment du réseau, le scan latéral commence. On trouve systématiquement, dans ce type de scénario, au moins un équipement dont les identifiants n'ont jamais été changés : une imprimante réseau, un switch d'accès, une appliance de supervision, parfois un hyperviseur de test jamais mis en production officiellement mais toujours actif.
Les identifiants par défaut donnent ici un accès à un équipement avec des privilèges élevés sur un segment réseau critique. Ce n'est pas spectaculaire, mais c'est suffisant pour pivoter. L'attaquant dispose maintenant d'une visibilité sur des VLAN auxquels il n'aurait pas dû avoir accès depuis sa position initiale.
Étape 4 : absence de NAC et mouvement latéral libre
L'absence de contrôle d'accès réseau (NAC) est la dernière pièce du puzzle. Sans vérification d'identité ou de conformité des endpoints au moment de la connexion, rien n'empêche l'attaquant de déplacer sa session ou de brancher une machine de rebond sur un port libre. Le réseau interne est plat, ou presque : les VLAN existent sur le papier, mais les ACL entre eux sont permissives.
À partir de là, l'accès au contrôleur de domaine principal n'est plus qu'une question de minutes. Les techniques classiques — Pass-the-Hash, Kerberoasting, DCSync — peuvent s'enchaîner librement. En moins de 48 heures depuis le début de l'exercice, le testeur dispose des clés du royaume : hash du compte krbtgt, accès à tous les serveurs, capacité à créer des comptes persistants indétectables.
Pour les équipes qui souhaitent confronter leur infrastructure à ce type de scénario enchaîné, les labs de simulation d'attaque interne du catalogue CyberAct reproduisent exactement ces chaînes d'exploitation dans un environnement contrôlé.
Prioriser les remédiations par impact cumulé, pas par criticité isolée
Le problème avec les rapports de pentest classiques, c'est qu'ils notent chaque vulnérabilité de façon indépendante. Le poisoning LLMNR reçoit une note « moyenne ». L'absence de signature SMB aussi. Les identifiants par défaut sur l'imprimante : « faible ». L'absence de NAC : « à planifier ».
Résultat : les équipes traitent d'abord la vulnérabilité CVE avec le score CVSS le plus élevé, et ces quatre points restent en bas de la pile pendant des mois.
Une grille de priorisation basée sur l'impact cumulé renverse cette logique. Elle pose la question différemment : si cette faille est exploitée en combinaison avec les autres failles présentes dans l'environnement, quelle est la surface de compromission maximale atteignable ? Voici une approche en trois niveaux :
- Niveau critique (traiter sous 72h) : toute faille qui, combinée à au moins une autre faille déjà présente, permet un mouvement latéral vers un système d'autorité (DC, PKI, hyperviseur central). C'est ici que tombent la signature SMB et le relais NTLM dans un environnement sans NAC.
- Niveau élevé (traiter dans le sprint suivant) : toute faille qui élargit significativement la surface d'accès même sans exploiter un système d'autorité — les identifiants par défaut sur un équipement avec visibilité inter-VLAN entrent dans cette catégorie.
- Niveau standard (backlog priorisé) : les failles dont l'impact reste contenu même en cas d'enchaînement, parce qu'elles ne donnent pas accès à des segments critiques ou que des contrôles compensatoires existent réellement.
Cette grille oblige à cartographier les dépendances entre failles avant d'établir un plan de remédiation. C'est plus de travail en amont, mais c'est la seule façon de ne pas se retrouver à corriger des CVE cosmétiques pendant que la chaîne d'attaque la plus simple reste intacte.
Si vous voulez évaluer dans quelle mesure votre infrastructure est exposée à ce type de chaîne, commencer par un diagnostic de maturité cyber permet d'identifier rapidement les maillons faibles avant un exercice complet.
Questions fréquentes
Pourquoi des failles « mineures » peuvent-elles mener à une compromission totale ?
Parce que la criticité d'une faille ne s'évalue pas dans l'absolu, mais dans le contexte de l'environnement. Une mauvaise configuration qui donne accès à un segment réseau devient critique si ce segment permet d'atteindre un contrôleur de domaine. C'est la combinaison qui crée le risque réel, pas la faille prise isolément.
Combien de temps faut-il à un attaquant pour enchaîner ces étapes ?
Dans un environnement typique sans contrôles compensatoires actifs, le scénario décrit peut se dérouler en moins de 48 heures. Certaines phases — comme le poisoning et la capture de hachages — peuvent aboutir en quelques minutes si le réseau est actif.
Comment prioriser les remédiations quand les ressources sont limitées ?
En évaluant chaque faille non pas seule, mais en combinaison avec les autres présentes dans l'environnement. Les correctifs à traiter en priorité sont ceux qui brisent la chaîne d'attaque la plus courte vers un système d'autorité, indépendamment de leur score CVSS individuel.
La signature SMB et la désactivation de LLMNR suffisent-elles à bloquer ce type d'attaque ?
Elles cassent les deux premières étapes du scénario, ce qui est déjà significatif. Mais une défense en profondeur reste nécessaire : NAC, segmentation réseau effective, audits réguliers des identifiants sur les équipements périphériques, et surveillance des mouvements latéraux au niveau EDR/SIEM.