Gouvernance AD : contrôle et sécurité Active Directory

La gouvernance AD désigne l'ensemble des processus, règles et contrôles techniques qui encadrent la gestion du contrôle et la sécurité Active Directory au sein d'une organisation. Active Directory centralise l'authentification et les autorisations de millions d'objets : comptes utilisateurs, groupes, ordinateurs, GPO et unités organisationnelles. Une gouvernance défaillante crée des chemins d'attaque directs vers le domaine. Les principaux leviers sont le modèle de tiering (séparation des comptes Tier 0, Tier 1, Tier 2), la délégation fine des droits d'administration, la maîtrise des ACL sur les objets sensibles, et le cycle de vie rigoureux des comptes privilégiés. Sans gouvernance structurée, des droits excessifs s'accumulent progressivement : des comptes de service obtiennent des privilèges Domain Admin, des groupes imbriqués créent des élévations involontaires, et des GPO héritées exposent des paramètres de sécurité obsolètes. La gouvernance AD s'appuie sur des revues de droits périodiques, des politiques de mot de passe différenciées via Fine-Grained Password Policies, et une cartographie continue des chemins d'attaque au sein du domaine.

Côté Blue Team et SOC, la surveillance de la gouvernance AD repose sur plusieurs sources de logs critiques. L'événement Windows 4728 (ajout à un groupe à privilèges) et le 4756 (ajout à un groupe universel) signalent des modifications de membership sensibles. L'événement 5136 trace les modifications d'attributs sur les objets AD, notamment les changements d'ACL via adminSDHolder ou les modifications de AdminCount. Les événements 4670 et 4663 couvrent les changements de permissions sur les objets du domaine. L'audit des GPO s'appuie sur les logs SYSVOL et l'événement 5136 filtré sur les objets groupPolicy. Microsoft Defender for Identity (MDI) détecte les énumérations massives de droits, les modifications d'ACL suspectes et les attaques de type DCSync. Un SIEM doit corréler les comptes Tier 0 qui se connectent hors de leur périmètre autorisé. Purple Knight et PingCastle génèrent des rapports de posture AD exploitables par le SOC. Les indicateurs de compromission incluent l'apparition d'un SPN sur un compte à hauts privilèges, une délégation Kerberos non contrainte sur un contrôleur de domaine secondaire, ou un objet dans AdminSDHolder modifié hors fenêtre de maintenance.

En Red Team et pentest, les failles de gouvernance AD constituent les vecteurs d'élévation les plus fréquents. BloodHound avec SharpHound cartographie automatiquement les chemins d'attaque : GenericAll, WriteProperty, WriteDACL ou ForceChangePassword sur des comptes à privilèges permettent une élévation directe sans exploiter une CVE. Une délégation Kerberos non contrainte (unconstrained delegation) sur un serveur Tier 1 permet de capturer le TGT d'un compte Domain Admin via une coercition d'authentification (PrintSpooler, PetitPotam). Les ACL héritées sur l'objet AdminSDHolder permettent à un attaquant de persister en injectant un ACE qui se propage toutes les heures sur les comptes protégés. Côté contre-mesures, la remédiation passe par une revue trimestrielle des ACL critiques avec l'outil ADACLScanner, le déploiement du modèle d'administration en couches (PAW), la suppression des délégations non contraintes au profit de la délégation basée sur les ressources (RBCD), et l'activation de Protected Users sur tous les comptes Tier 0. Les mots de passe de comptes de service doivent être gérés via gMSA pour éliminer les secrets statiques rotés manuellement.