Durcissement AD : sécuriser Active Directory

Le durcissement AD désigne l'ensemble des mesures techniques appliquées à Active Directory pour réduire sa surface d'attaque. Active Directory est le service d'annuaire Microsoft central dans la quasi-totalité des infrastructures Windows en entreprise. Il gère l'authentification Kerberos et NTLM, les autorisations sur les ressources, et les stratégies de groupe (GPO). Sa position centrale en fait la cible prioritaire des attaquants cherchant à élever leurs privilèges ou à se déplacer latéralement. Un AD mal configuré expose des vecteurs d'attaque classiques : délégations Kerberos non contraintes, ACL abusives sur des objets sensibles, comptes de service avec des mots de passe statiques, absence de séparation des tiers d'administration. Le durcissement AD repose sur plusieurs axes fondamentaux : le modèle de tiering (séparation des niveaux Tier 0, Tier 1, Tier 2), la restriction des droits de délégation, la protection des comptes privilégiés via le groupe Protected Users, le déploiement de LAPS pour les comptes locaux, et la suppression des protocoles d'authentification obsolètes comme NTLMv1 ou RC4.

La détection des tentatives de compromission d'un Active Directory repose sur une surveillance fine des journaux d'événements Windows. L'événement 4768 trace les demandes de tickets Kerberos (AS-REQ) et permet de repérer des tentatives de Kerberoasting ou d'AS-REP Roasting lorsque les comptes ciblés n'exigent pas de pré-authentification. L'événement 4769 enregistre les demandes de tickets de service (TGS-REQ) et révèle des demandes anormalement nombreuses en peu de temps. L'événement 4662 signale les accès aux attributs sensibles d'objets AD, notamment sur les objets AdminSDHolder ou le conteneur Domain Controllers. L'événement 4728 ou 4732 indique un ajout de membre dans un groupe privilégié comme Domain Admins. Les outils SIEM comme Microsoft Sentinel, Splunk ou Elastic SIEM permettent de corréler ces événements. BloodHound Enterprise ou Purple Knight analysent les chemins d'attaque dans l'annuaire. Les indicateurs de compromission incluent des modifications d'ACL sur des GPO critiques, des comptes Tier 0 utilisés depuis des postes Tier 2, ou des connexions interactives sur un contrôleur de domaine depuis un compte de service.

Côté Red Team, le durcissement AD insuffisant se traduit par des chemins d'attaque exploitables rapidement. La délégation Kerberos non contrainte permet à un attaquant compromettant un serveur délégué de capturer des tickets TGT d'autres utilisateurs, y compris des comptes Domain Admins. La délégation contrainte basée sur les ressources (RBCD) est abusable via l'attribut msDS-AllowedToActOnBehalfOfOtherIdentity. Des ACL mal configurées sur des objets AD (WriteDACL, GenericWrite, ForceChangePassword) permettent une escalade de privilèges sans exploitation de CVE. L'outil BloodHound identifie ces chemins automatiquement. Impacket, PowerView et ADModule sont couramment utilisés pour énumérer et exploiter ces vecteurs. Pour durcir, il faut activer Credential Guard et Protected Users sur les comptes Tier 0, supprimer toutes les délégations non contraintes, auditer les ACL avec Purple Knight ou PingCastle, forcer SMB Signing et LDAP Signing, désactiver NTLMv1, et déployer des Authentication Policies Silos pour les contrôleurs de domaine. La mise en place du modèle ESAE ou d'un PAW (Privileged Access Workstation) limite drastiquement les vecteurs d'élévation de privilèges.