Audit IAM : méthodes et outils techniques

Un audit IAM (Identity and Access Management) consiste à analyser rigoureusement les mécanismes de gestion des identités et des droits d'accès au sein d'un système d'information. L'objectif est de vérifier que chaque compte dispose uniquement des permissions nécessaires à ses fonctions, selon le principe du moindre privilège. En pratique, un audit IAM couvre plusieurs périmètres : comptes utilisateurs actifs ou orphelins, groupes d'appartenance, comptes de service, délégations Active Directory, politiques de mots de passe et mécanismes d'authentification forte. Les failles IAM figurent parmi les vecteurs d'attaque les plus exploités lors des compromissions. Un compte avec des droits excessifs ou un compte de service dont le mot de passe n'a pas été renouvelé depuis plusieurs années constituent des points d'entrée privilégiés pour un attaquant cherchant à élever ses privilèges. L'audit IAM s'inscrit aussi bien dans une démarche de conformité (ISO 27001, SOC 2, NIS2) que dans une logique de réduction de la surface d'attaque. Il doit être conduit périodiquement et systématiquement après tout changement organisationnel majeur.

Côté Blue Team, la détection des anomalies IAM repose sur la corrélation d'événements Windows et la supervision des journaux d'audit Active Directory. Les événements clés à surveiller sont : 4720 (création de compte), 4732 et 4728 (ajout dans un groupe local ou global), 4756 (ajout dans un groupe universel), 4672 (attribution de privilèges sensibles à la connexion) et 4625 (échecs d'authentification répétés). Un SIEM comme Splunk, Microsoft Sentinel ou Elastic SIEM permet de croiser ces événements pour détecter des comportements suspects : escalade de privilèges non planifiée, réactivation de comptes dormants ou modification de groupes à hauts privilèges en dehors des plages de maintenance. Des outils spécialisés comme PingCastle ou BloodHound permettent de cartographier les chemins d'attaque dans Active Directory. Les indicateurs de compromission typiques incluent des comptes de service utilisés en connexion interactive, des SPN exposés sans rotation de mot de passe, et des comptes membres du groupe Domain Admins sans justification documentée. La mise en place d'alertes sur les modifications des GPO sensibles et des ACL Active Directory est également indispensable pour maintenir une visibilité continue sur l'état des identités.

En Red Team et pentest, l'audit IAM offre une surface d'attaque riche. Les premières techniques consistent à énumérer les utilisateurs et groupes via des requêtes LDAP ou l'outil ldapdomaindump, puis à identifier les comptes Kerberoastables avec un SPN défini. L'attaque Kerberoasting permet de demander un ticket TGS pour ces comptes et de tenter un craquage offline du hash NTLM associé. BloodHound reste l'outil de référence pour identifier des chemins de compromission via des relations d'appartenance à des groupes, des ACL mal configurées (droits GenericAll, WriteDACL, DCSync) ou des délégations Kerberos non contraintes. Les comptes de service avec des mots de passe anciens ou faibles, souvent découverts lors d'un audit IAM, sont des cibles prioritaires. Côté contre-mesures, le durcissement passe par l'application stricte du modèle de tiers (Tier Model) Microsoft, la suppression des comptes orphelins, la rotation régulière des mots de passe des comptes de service via gMSA (Group Managed Service Accounts), et la restriction des connexions interactives pour les comptes de service. L'implémentation de Privileged Access Workstations (PAW) limite l'exposition des comptes à hauts privilèges. Enfin, une revue régulière des ACL Active Directory avec des outils comme ADACLScanner permet de détecter toute dérive de configuration avant qu'un attaquant ne l'exploite.