Active Directory compromis : anatomie des attaques

Un Active Directory compromis désigne un annuaire Windows dans lequel un attaquant a obtenu un accès non autorisé, souvent avec des privilèges élevés. Active Directory est le service central d'authentification et d'autorisation dans les environnements Windows. Il gère les comptes utilisateurs, les stratégies de groupe (GPO), les relations d'approbation entre domaines et les ressources partagées. Sa compromission est critique : contrôler l'AD revient à contrôler l'ensemble du système d'information. Les attaquants ciblent typiquement les comptes à hauts privilèges, notamment les membres du groupe Domain Admins ou Enterprise Admins. Les vecteurs d'entrée courants incluent l'exploitation de vulnérabilités Kerberos (AS-REP Roasting, Kerberoasting), les attaques sur le protocole NTLM (Pass-the-Hash, Pass-the-Ticket), ou encore l'abus de délégations Kerberos mal configurées. Une fois un accès initial obtenu, l'attaquant progresse latéralement jusqu'à atteindre le contrôleur de domaine. Il peut alors extraire la base NTDS.dit, créer des backdoors persistantes via des Golden Tickets ou des SID History, et maintenir un accès durable même après une réinitialisation partielle des mots de passe.

La détection d'un Active Directory compromis repose sur l'analyse fine des journaux d'événements Windows et des flux réseau. L'événement 4769 (demande de ticket de service Kerberos) en volume anormal signale un Kerberoasting en cours. L'événement 4768 avec des codes d'erreur inhabituels indique un AS-REP Roasting. Un DCSync déclenche l'événement 4662 sur les objets sensibles du domaine, notamment avec les droits 'Replicating Directory Changes'. L'événement 4624 avec le type de connexion 3 ou 9 peut trahir un mouvement latéral via Pass-the-Hash. Les outils SIEM comme Microsoft Sentinel, Splunk ou Elastic permettent de corréler ces événements. BloodHound couplé à SharpHound aide à cartographier les chemins d'attaque existants avant qu'ils ne soient exploités. L'activation de l'audit avancé (Advanced Audit Policy) est indispensable : l'audit des changements dans DS, des connexions Kerberos et des accès aux objets sensibles doit être activé explicitement. Les indicateurs réseau incluent des flux LDAP volumineux depuis des postes inattendus, des requêtes DRSUAPI vers le contrôleur de domaine hors des serveurs autorisés, et des connexions SMB en cascade sur plusieurs hôtes en peu de temps.

Côté Red Team, la compromission d'un Active Directory suit généralement une kill chain structurée. L'outil BloodHound permet d'identifier les chemins de privilèges courts entre un compte standard et Domain Admins. Impacket fournit des scripts pour DCSync (secretsdump.py), l'abus de délégations ou l'extraction de hachages NTLM. Rubeus automatise les attaques Kerberos : Kerberoasting, AS-REP Roasting, overpass-the-hash et forgeage de tickets. Un Golden Ticket, forgé avec le hachage KRBTGT, permet de générer des TGT valides pour n'importe quel compte, même inexistant. Un Silver Ticket cible un service spécifique sans passer par le KDC. La persistance peut aussi s'appuyer sur l'ajout d'un AdminSDHolder backdoor ou la modification du dsHeuristics. Pour le durcissement, les contre-mesures prioritaires incluent : segmenter les tiers d'administration (modèle Tier 0/1/2), activer Protected Users sur les comptes sensibles, désactiver NTLM là où c'est possible, surveiller le groupe KRBTGT et effectuer une double rotation de son mot de passe. L'activation du mode 'Credential Guard' sous Windows 10 et supérieur réduit fortement l'exposition aux attaques mémoire comme le dump LSASS. Un audit régulier des ACL sur les objets AD est indispensable pour détecter les permissions abusives.