Active Directory : attaques et défense AD

Active Directory (AD) est le service d'annuaire de Microsoft, déployé dans la quasi-totalité des infrastructures Windows d'entreprise. Il centralise l'authentification, l'autorisation et la gestion des objets réseau : utilisateurs, groupes, machines et stratégies de groupe (GPO). Son protocole d'authentification principal est Kerberos, complété par NTLM pour la compatibilité descendante. Active Directory repose sur une structure hiérarchique : forêts, domaines, unités d'organisation (OU). Les relations d'approbation entre domaines (trusts) permettent l'accès croisé aux ressources, mais introduisent des chemins d'attaque latéraux difficiles à maîtriser. Chaque objet AD possède des attributs de sécurité critiques : ACL, délégations, SPN (Service Principal Name), membership de groupes privilégiés. La compromission d'Active Directory équivaut généralement à la compromission totale du système d'information. C'est pourquoi AD est la cible privilégiée des acteurs malveillants dans les attaques de type ransomware ou espionnage. Comprendre son fonctionnement interne, ses protocoles et ses mécanismes de délégation est indispensable pour tout praticien SOC, Red Team ou Blue Team.

La détection des attaques Active Directory repose sur l'analyse fine des journaux d'événements Windows. L'événement 4768 (demande TGT Kerberos) et l'événement 4769 (demande de ticket de service) permettent de détecter le Kerberoasting via des demandes massives de tickets RC4 (type de chiffrement 0x17). L'événement 4624 avec le type de connexion 3 ou 9 révèle des mouvements latéraux Pass-the-Hash ou Pass-the-Ticket. L'événement 4662 trace les accès aux attributs sensibles de l'objet domaine, notamment lors d'attaques DCSync simulant la réplication DRSUAPI. L'événement 4728 ou 4732 signale l'ajout non autorisé à un groupe privilégié (Domain Admins, Enterprise Admins). Côté outils, Microsoft Defender for Identity (MDI) corrèle ces événements nativement. Un SIEM comme Splunk ou Elastic, alimenté par les logs du contrôleur de domaine, permet de construire des règles de détection sur les comportements anormaux : pics de requêtes LDAP, énumération de SPN, modification d'ACL critiques. L'outil BloodHound en mode collecte passive génère du bruit détectable dans les logs LDAP (EventID 1644 sur les DC).

Côté Red Team, Active Directory offre une surface d'attaque étendue. L'énumération initiale s'effectue avec BloodHound et SharpHound : ils cartographient les chemins d'attaque vers Domain Admin via les délégations, ACL abusables et memberships de groupes. Le Kerberoasting cible les comptes avec SPN pour extraire des tickets TGS et les cracker hors ligne avec Hashcat. L'AS-REP Roasting exploite les comptes sans pré-authentification Kerberos requise. Le Pass-the-Hash utilise des hachages NTLM capturés (via Mimikatz ou lsass dump) pour s'authentifier sans mot de passe en clair. L'attaque DCSync, réalisée avec Mimikatz ('lsadump::dcsync'), permet d'extraire les hachages de tous les comptes du domaine en usurpant les droits de réplication. Les délégations Kerberos non contraintes (Unconstrained Delegation) permettent de capturer des TGT arbitraires. Côté durcissement, les contre-mesures essentielles incluent : l'activation de la pré-authentification Kerberos sur tous les comptes, la restriction des comptes de service à des mots de passe longs (25+ caractères), l'usage du groupe 'Protected Users', le tiering de l'administration (modèle à trois niveaux), et la supervision continue des ACL critiques via des outils comme PingCastle ou Purple Knight.