La plupart des audits Active Directory finissent dans un tableur que personne ne relit six mois plus tard. PingCastle propose une approche différente : un score de risque calculé automatiquement, reproductible à volonté, qui transforme une photographie ponctuelle en un indicateur de suivi. Pour les équipes sécurité qui gèrent des environnements Windows en production, c'est une différence fondamentale.
Ce que mesure réellement le score PingCastle
PingCastle produit un score de risque global sur 100. Plus le score est élevé, plus le niveau de risque est important — c'est l'inverse d'une note scolaire, et c'est une source de confusion fréquente lors des premiers comptes rendus. Ce score agrège quatre grandes catégories, chacune évaluée indépendamment, ce qui permet de localiser précisément où se concentre la dette sécurité.
L'outil interroge l'annuaire via LDAP sans nécessiter d'agent ni de droits d'administration particuliers dans la plupart des cas. Un compte utilisateur standard suffit pour obtenir un rapport complet — ce qui en fait un candidat naturel pour des exécutions régulières, voire automatisées.
Les quatre catégories de risques à comprendre
Stale Objects : les comptes fantômes qui traînent
Les Stale Objects regroupent tous les objets AD devenus obsolètes : comptes utilisateurs inactifs depuis plusieurs mois, comptes d'ordinateurs dont la date de dernier contact avec le domaine remonte à plus de quarante-cinq jours, groupes vides ou sans responsable identifié. Dans un domaine vieillissant ou mal maintenu, cette catégorie peut à elle seule faire grimper le score de risque de façon significative.
Le danger est concret : un compte inactif reste un compte valide jusqu'à désactivation explicite. Si ses credentials ont été compromis à un moment quelconque — lors d'un phishing, d'une fuite de base de données — l'attaquant dispose d'un accès qui ne sera jamais révoqué spontanément.
Privileged Accounts : la surface d'attaque sur les comptes à privilèges
Cette catégorie évalue la gestion des comptes à privilèges : nombre d'administrateurs du domaine, présence de comptes de service avec des droits excessifs, utilisation de Kerberoasting-friendly service accounts, ou encore des comptes admin dont le mot de passe n'a pas changé depuis des années. PingCastle signale aussi les comptes membres de groupes privilégiés imbriqués de manière anormale, une configuration qui échappe souvent aux revues manuelles.
Dans les environnements que l'on voit régulièrement en entreprise, le groupe Domain Admins contient facilement une dizaine de comptes alors que deux ou trois suffiraient. Chaque compte excédentaire est une surface d'attaque supplémentaire, inutile et évitable.
Trusts : les relations d'approbation mal maîtrisées
Les trusts Active Directory permettent à des utilisateurs d'un domaine d'accéder aux ressources d'un autre. C'est légitime dans les architectures multi-domaines ou lors de fusions. Le problème survient quand ces relations persistent après la fin d'un projet, quand elles sont bidirectionnelles alors qu'un sens unique suffirait, ou quand le domaine de confiance a lui-même une posture de sécurité dégradée.
PingCastle cartographie ces trusts et signale les configurations à risque. Un trust vers un domaine externe non maîtrisé peut offrir un chemin de latéralisation invisible pour qui ne regarde pas à cet endroit.
Anomalies : les configurations qui ne devraient pas exister
La dernière catégorie capte tout ce qui sort du schéma nominal : protocoles d'authentification faibles encore activés (NTLMv1, RC4 pour Kerberos), absence de protections comme Protected Users ou Credential Guard, délégations Kerberos non contraintes, stratégies de mot de passe trop permissives. Ces anomalies de configuration ne déclenchent pas d'alerte dans les journaux au quotidien, mais elles constituent des conditions favorables pour des attaques comme Pass-the-Hash ou DCSync.
Passer de l'audit ponctuel au suivi continu
Un rapport PingCastle exécuté une fois est utile. Exécuté tous les mois et comparé au mois précédent, il devient un outil de pilotage. PingCastle génère nativement des rapports HTML horodatés et prend en charge une consolidation multi-domaines via son module healthcheck consolidé. La tendance du score dans le temps dit souvent plus que le score lui-même.
Concrètement, on peut intégrer l'exécution dans un script planifié, archiver les rapports HTML dans un répertoire versionné, et extraire les métriques clés vers un dashboard SIEM ou un simple fichier de suivi partagé. L'essentiel est de ne pas laisser le rapport être un document statique que l'on oublie.
Intégrer PingCastle dans un processus d'amélioration continue
Le scoring n'a de valeur que s'il pilote des actions. Une bonne pratique consiste à définir un seuil cible par catégorie — par exemple viser un score de risque inférieur à 25 sur Privileged Accounts d'ici un trimestre — et à confier chaque catégorie à un responsable technique identifié. Sans propriétaire, un indicateur ne se traduit jamais en correction.
Pour les équipes qui travaillent avec des référentiels comme ISO 27001 ou qui préparent une certification, les résultats PingCastle s'articulent bien avec les contrôles liés à la gestion des accès (A.9) et à la sécurité des opérations (A.12). Ce n'est pas un outil de conformité à proprement parler, mais ses sorties alimentent naturellement les preuves d'audit.
Enfin, PingCastle existe en version communautaire gratuite, suffisante pour la majorité des besoins d'audit et de suivi dans une PME ou une organisation publique. La version professionnelle ajoute notamment la consolidation multi-forêts et des règles supplémentaires, ce qui devient pertinent dans des périmètres plus complexes.
Questions fréquentes
PingCastle nécessite-t-il des droits d'administration pour fonctionner ?
Dans la grande majorité des cas, un compte utilisateur du domaine standard suffit pour exécuter un healthcheck complet. Certaines vérifications avancées peuvent nécessiter des droits supplémentaires, mais l'essentiel du rapport est accessible sans privilèges élevés.
À quelle fréquence faut-il exécuter PingCastle pour un suivi utile ?
Une exécution mensuelle constitue un bon équilibre entre fraîcheur des données et charge de traitement. Dans les environnements en forte évolution ou après des changements d'infrastructure importants, une fréquence bimensuelle ou hebdomadaire peut se justifier.
Un score PingCastle élevé signifie-t-il que le domaine est compromis ?
Non, un score élevé indique un niveau de risque potentiel, pas une compromission avérée. Il pointe des configurations qui facilitent les attaques si elles se produisent. C'est un indicateur préventif, pas un indicateur d'incident.
Comment prioriser les remédiations quand plusieurs catégories sont dans le rouge ?
Commencez par les Privileged Accounts et les Anomalies de configuration : ce sont généralement les vecteurs d'escalade les plus exploités lors d'une attaque réelle. Les Stale Objects, bien qu'importants, représentent souvent un risque plus passif qu'actif et peuvent être traités dans un second temps via une campagne de nettoyage planifiée.