Active Directory sécurité : durcissement et attaques

L'Active Directory sécurité désigne l'ensemble des pratiques, contrôles et mécanismes visant à protéger l'annuaire Microsoft Active Directory (AD). L'Active Directory est le service d'annuaire central dans la grande majorité des environnements Windows d'entreprise. Il gère l'authentification Kerberos, les autorisations NTLM, les stratégies de groupe (GPO) et les relations d'approbation inter-domaines (trusts). Sa position centrale en fait la cible prioritaire de tout attaquant cherchant à obtenir une persistance ou une élévation de privilèges. Compromettre un contrôleur de domaine (DC) équivaut à compromettre l'intégralité du système d'information. Les vecteurs d'attaque principaux exploitent les délégations Kerberos non contraintes, les ACL mal configurées, les comptes de service avec des SPN exposés, et les droits excessifs accordés aux comptes utilisateurs standards. La compréhension des protocoles sous-jacents — LDAP, Kerberos, NTLM, SMB — est indispensable pour évaluer correctement la surface d'attaque d'un domaine Active Directory.

La détection des attaques ciblant Active Directory repose sur l'analyse fine des journaux Windows et des événements de sécurité du contrôleur de domaine. L'Event ID 4769 signale une demande de ticket de service Kerberos : un volume élevé de requêtes TGS pour un même compte trahit une tentative de Kerberoasting. L'Event ID 4624 (logon réussi) combiné au type de logon 3 et à l'utilisation de hash NTLM indique un Pass-the-Hash potentiel. L'Event ID 4662 surveille les accès aux attributs sensibles de l'annuaire, notamment la réplication de credentials via DCSync (attribut '1131f6aa-9c07-11d1-f79f-00c04fc2dcd2'). L'outil Microsoft Defender for Identity (anciennement ATA) corrèle ces événements nativement. Les outils SIEM comme Splunk ou Elastic permettent de créer des règles de détection basées sur les requêtes LDAP anormales, les modifications d'ACL critiques (Event ID 5136) et les changements d'appartenance aux groupes privilégiés (Event ID 4728, 4732, 4756). La surveillance des comptes membres de Domain Admins, Enterprise Admins et Schema Admins est prioritaire.

Côté Red Team, l'énumération Active Directory débute généralement avec BloodHound et SharpHound pour cartographier les chemins d'attaque vers Domain Admin via les ACL, les délégations et les appartenances de groupes. Le Kerberoasting cible les comptes de service ayant un SPN déclaré : l'outil Rubeus extrait les tickets TGS chiffrés, qui sont ensuite craqués hors ligne avec Hashcat. Le Pass-the-Hash exploite les hashes NTLM récupérés via Mimikatz (lsadump::sam ou sekurlsa::logonpasswords) pour s'authentifier latéralement sans connaître le mot de passe en clair. L'attaque DCSync simule le comportement d'un contrôleur de domaine répliquant pour extraire tous les hashes de l'annuaire, y compris le compte KRBTGT. Les contre-mesures prioritaires incluent : l'activation de Protected Users Security Group, le déploiement du modèle de délégation en tiers (Tier 0/1/2), la désactivation de NTLM v1, la rotation régulière du compte KRBTGT, le durcissement des ACL via l'outil AD ACL Scanner, et l'activation de la journalisation avancée des audits via les GPO d'audit (Advanced Audit Policy Configuration).