Tier 0 : protection des actifs AD critiques

Le Tier 0 désigne, dans le modèle de segmentation des privilèges Active Directory, l'ensemble des actifs dont la compromission entraîne une prise de contrôle totale du domaine ou de la forêt. Ces actifs critiques incluent les contrôleurs de domaine, les serveurs ADCS (Active Directory Certificate Services), les comptes membres de Domain Admins, Enterprise Admins ou Schema Admins, ainsi que les systèmes de sauvegarde et de synchronisation d'identité comme ADFS ou Azure AD Connect. La protection des actifs AD critiques repose sur un principe fondamental : aucun flux d'authentification ou de délégation ne doit permettre à un compte ou à un poste de niveau inférieur d'influencer un objet Tier 0. Ce cloisonnement strict empêche les attaques de type pass-the-hash, Kerberoasting ou DCSync de progresser latéralement vers le coeur du domaine. Le modèle ESAE (Enhanced Security Admin Environment), publié par Microsoft, formalise cette approche en isolant les comptes et les postes d'administration Tier 0 dans une forêt dédiée, appelée 'forêt d'administration bastion', distincte du reste de l'infrastructure.

La détection des accès et des mouvements anormaux ciblant le Tier 0 s'appuie sur l'audit fin des contrôleurs de domaine et des objets sensibles Active Directory. L'événement Windows 4742 (modification d'un compte machine) et l'événement 4728 (ajout d'un membre à un groupe de sécurité global) signalent des changements critiques sur des groupes comme Domain Admins. L'événement 4662 indique un accès aux propriétés d'un objet AD, notamment la lecture des attributs 'ms-DS-ManagedPassword' ou 'servicePrincipalName', souvent précurseurs d'une attaque Kerberoasting ou GMSA abuse. L'événement 4769 permet de surveiller les demandes de tickets Kerberos pour des comptes de service Tier 0. Côté DCSync, la requête DsGetNCChanges (événement 4662 avec GUID '1131f6aa-...') depuis un compte non-contrôleur de domaine constitue un indicateur de compromission fort. Les outils SIEM comme Microsoft Sentinel disposent de règles analytiques dédiées à ces patterns. L'audit de l'objet AdminSDHolder (modifications de son ACL) est également indispensable, car un attaquant peut s'en servir pour persister discrètement dans le Tier 0 via le processus SDProp.

Côté Red Team, la compromission du Tier 0 est l'objectif ultime d'une opération d'intrusion interne. Les vecteurs les plus utilisés incluent DCSync (via les droits Replicating Directory Changes sur la partition de domaine), la forge de Golden Ticket après extraction du hash krbtgt, et l'abus de délégations Kerberos non contraintes positionnées sur des serveurs Tier 0. L'outil Mimikatz permet d'exécuter DCSync avec la commande 'lsadump::dcsync /user:krbtgt'. BloodHound identifie les chemins d'attaque vers les actifs Tier 0 en analysant les ACL et les relations de délégation. Les contre-mesures de durcissement passent par l'activation du mode 'Protected Users' sur tous les comptes Tier 0, la désactivation de la délégation Kerberos sur ces comptes, et le déploiement de Privileged Access Workstations (PAW) dédiés. La clé de registre HKLM/System/CurrentControlSet/Control/Lsa/RunAsPPL doit être activée sur les contrôleurs de domaine pour protéger LSASS. La rotation régulière du mot de passe krbtgt (deux fois consécutives pour invalider les tickets existants) et la surveillance continue des ACL via des outils comme Ping Castle ou Purple Knight complètent ce dispositif.