Identité hybride : sécurité AD et Azure AD

L'identité hybride désigne le modèle dans lequel une organisation synchronise ses comptes Active Directory on-premise vers Azure AD, créant un plan d'identité unifié entre infrastructure locale et cloud. Ce mécanisme repose principalement sur Azure AD Connect, un agent installé sur un serveur Windows membre du domaine. Il opère selon trois modes distincts : Password Hash Sync (PHS), Pass-through Authentication (PTA) et Federation via ADFS. En PHS, un hash dérivé du mot de passe NTLM est transmis et stocké dans Azure AD. En PTA, l'authentification cloud est redirigée vers un agent on-premise qui valide les credentials localement. En mode fédéré, un STS comme ADFS émet des tokens SAML ou OAuth. La pertinence sécurité est immédiate : compromettre un seul composant du pipeline de synchronisation permet d'atteindre à la fois l'environnement local et le tenant Azure. Le serveur Azure AD Connect héberge des credentials à très haute sensibilité, notamment le compte AD DS Connector utilisé pour lire et écrire des attributs dans l'annuaire, et le compte Azure AD Connector disposant de droits Global Admin ou Hybrid Identity Administrator sur le tenant.

Côté SOC, la surveillance de l'identité hybride commence par le serveur Azure AD Connect lui-même. Tout accès interactif ou RDP sur ce serveur doit déclencher une alerte immédiate. Les Event ID Windows 4624 (ouverture de session) et 4648 (ouverture de session avec credentials explicites) sont à corréler avec le contexte du compte source. L'Event ID 4662 trace les accès aux objets Active Directory, utile pour détecter une lecture anormale des attributs de synchronisation comme 'ms-DS-ConsistencyGuid'. Côté Azure AD, les logs de connexion (Sign-in logs) et les Audit logs doivent être ingérés dans un SIEM. Les connexions provenant du Service Principal lié à Azure AD Connect en dehors des plages horaires habituelles sont suspectes. Le mode PTA expose un journal spécifique dans l'observateur d'événements sous 'AAD/Operational'. Les modifications du compte AD DS Connector, comme un ajout de droits DCSync (Replicating Directory Changes All), constituent un IOC critique. Sur ADFS, les Event ID 1200 et 1202 tracent les émissions de tokens et permettent de détecter des token forgeries ciblant des RP trusts internes.

Les attaquants ciblant l'identité hybride exploitent plusieurs vecteurs à fort impact. L'extraction des credentials depuis Azure AD Connect est réalisable via des outils comme AADInternals (cmdlet 'Get-AADIntSyncCredentials'), qui lit les secrets stockés dans la base de données locale ADSync, accessible sous 'C:/Program Files/Microsoft Azure AD Sync/Data/'. En PHS, un attaquant disposant d'un accès suffisant peut extraire les hashes synchronisés directement depuis Azure AD via 'Sync-AADIntHashes', permettant des attaques offline. En mode PTA, il est possible d'installer un agent PTA malveillant qui accepte toute authentification, créant une backdoor universelle sur le tenant. Contre ces risques, le durcissement commence par isoler le serveur Azure AD Connect sur un VLAN dédié, avec accès Tier 0 exclusif. Le compte AD DS Connector ne doit jamais disposer de droits supplémentaires au-delà du minimum requis. La rotation régulière des credentials de synchronisation, activée via le portail Entra ID, limite la fenêtre d'exploitation. Microsoft Entra ID Protection et Defender for Identity doivent être couplés pour corréler les signaux on-premise et cloud. Enfin, l'activation du mode Staged Rollout permet de tester les changements de configuration sans impacter la totalité du plan d'identité.