Audit Active Directory : méthode, outils et remédiation 

Un audit Active Directory évalue la sécurité de l’annuaire en confrontant sa configuration aux points de contrôle publiés par l’ANSSI, puis en cartographiant les chemins qui mènent d’un compte ordinaire aux privilèges d’administration du domaine.

Il combine deux regards complémentaires : les outils de scoring, qui indiquent où sont les faiblesses, et les outils de graphe, qui montrent comment ces faiblesses s’enchaînent. Il se conclut par un plan de remédiation hiérarchisé. 

Ce guide couvre l’exposition particulière de l’annuaire, les domaines de contrôle vérifiés, les outils disponibles et leur complémentarité, le déroulé d’une mission, la fréquence recommandée, les chantiers de remédiation prioritaires et la façon de mesurer les progrès. 

Pourquoi l’Active Directory concentre-t-il les attaques ? 

Active Directory occupe une position singulière dans un système d’information : il authentifie les utilisateurs, porte les autorisations et gouverne l’accès à l’essentiel des ressources. Compromettre l’annuaire ne donne pas accès à une machine, mais à l’organisation entière.

C’est pourquoi il constitue la cible privilégiée des attaques par rançongiciel, dont la logique de propagation passe presque systématiquement par la prise de contrôle du domaine. 

Sa vulnérabilité tient moins à des failles logicielles qu’à son histoire. Un annuaire déployé il y a quinze ans a accumulé des comptes de service oubliés, des délégations accordées pour dépanner, des relations d’approbation avec des domaines disparus et des droits hérités que plus personne ne sait justifier.

Chaque strate est légitime prise isolément ; c’est leur accumulation qui crée les chemins d’attaque. Un audit sert précisément à révéler ce que la connaissance interne ne voit plus. 

Que vérifie un audit Active Directory ? 

L’ANSSI met à disposition un recueil de points de contrôle Active Directory organisé par niveaux de sécurité, qui sert de référentiel commun à la plupart des audits menés en France.

Les outils du marché s’y réfèrent explicitement, ce qui permet de relier chaque constat à une recommandation officielle et facilite l’arbitrage face à la direction.

Pour les opérateurs réglementés et la sphère publique, l’agence propose en complément un service d’évaluation dédié, Active Directory Security.

Quels outils pour auditer son annuaire ? 

Un point de méthode mérite d’être posé d’emblée : ces outils fonctionnent en lecture seule et n’exploitent aucune vulnérabilité.

Ils analysent la configuration et les relations, sans modifier l’environnement.

Cette distinction est importante lors du cadrage avec les équipes d’exploitation, souvent réticentes à laisser intervenir un tiers sur l’annuaire.

Les tests d’exploitation réelle relèvent d’un test d’intrusion, qui suppose un accord explicite et tracé. 

PingCastle ou BloodHound : lequel utiliser ? 

La question revient systématiquement, et la réponse est qu’ils ne s’opposent pas. 

PingCastle attribue un score global à la configuration et liste les règles en échec : il indique où sont les faiblesses et donne une vue synthétique du niveau de risque, ce qui en fait la référence pour communiquer auprès d’une direction. 

BloodHound, lui, construit un graphe des relations et calcule les chemins concrets qui mènent d’un compte ordinaire à un administrateur du domaine : il montre comment les faiblesses s’enchaînent. 

Un audit sérieux combine donc au minimum ces deux approches, pour couvrir à la fois les défauts de configuration et les chemins d’attaque exploitables. On y ajoute utilement une revue manuelle des stratégies de groupe, une analyse des journaux d’événements sur le périmètre d’administration, et des vérifications ciblées que les outils automatisés ne couvrent pas, comme les comptes disposant d’un mot de passe non requis ou les identifiants de service oubliés. 

Comment se déroule une mission d’audit ? 

Une mission d’audit suit un déroulement standard. Chaque phase répond à un objectif précis et conditionne la suivante.

• Cadrage : définition du périmètre, des domaines et forêts concernés, des règles d’engagement et des accès nécessaires, tous en lecture seule. 

• Collecte : exécution des outils d’analyse et extraction des données de configuration, sans agent persistant ni modification de l’environnement. 

• Analyse : confrontation aux points de contrôle de l’ANSSI, calcul des chemins d’attaque et vérifications manuelles ciblées. 

• Qualification : classement des constats par criticité, avec preuves concrètes à l’appui plutôt que des affirmations générales. 

• Restitution : présentation en deux temps, technique pour les équipes et synthétique pour la direction, car les deux publics n’ont pas les mêmes décisions à prendre. 

• Plan de remédiation : feuille de route hiérarchisée par rapport entre effort et réduction du risque, avec des échéances et des responsables. 

Sur le marché français, une mission de ce type se déroule généralement en trois à cinq semaines selon l’ampleur du périmètre, et produit un rapport de plusieurs dizaines de pages avec des constats classés du critique au faible.

Ces ordres de grandeur varient fortement avec le nombre de domaines, l’ancienneté de l’annuaire et le niveau de documentation existant.

À quelle fréquence auditer son Active Directory ? 

Un audit ponctuel donne une photographie qui se périme vite, car un annuaire vit en permanence : créations de comptes, délégations temporaires devenues permanentes, applications qui réclament des droits. La pratique recommandée combine deux rythmes.

Un audit complet annuel constitue le socle pour la plupart des organisations. Les opérateurs les plus critiques, soumis à des obligations réglementaires renforcées, y ajoutent une surveillance continue assortie de contrôles trimestriels. 

Entre deux audits complets, l’exécution périodique des outils de scoring permet de suivre la dérive à moindre coût.

Certains événements imposent par ailleurs un contrôle hors calendrier : une fusion ou une acquisition qui ajoute une forêt, une migration majeure, le départ d’un administrateur disposant de droits étendus, ou bien sûr un incident de sécurité.

La conformité à NIS2 rend d’ailleurs cette régularité plus contraignante, puisque les entités essentielles sont tenues de réaliser des audits de sécurité réguliers. 

Sept chantiers de remédiation prioritaires 

L’audit identifie les faiblesses. La remédiation doit les traiter en ordre de priorité. Ces sept chantiers offrent le meilleur rendement : effort limité pour un risque réduit significativement.

• Réduire les groupes d’administration : chaque membre superflu est une clé du domaine ; la revue des appartenances est le geste au meilleur rapport effort sur risque. 

• Cloisonner par niveaux : séparer strictement l’administration du domaine de l’administration des serveurs et de la bureautique, pour qu’un poste compromis ne mène nulle part. 

• Traiter les délégations dangereuses : supprimer les délégations Kerberos sans contrainte et revoir les droits accordés hors des groupes standard. 

• Protéger les comptes de service : mots de passe longs et tournants, comptes gérés par le système lorsque c’est possible, suppression des identifiants dormants. 

• Abandonner les protocoles hérités : les mécanismes d’authentification anciens restent une porte d’entrée classique et se désactivent progressivement, après inventaire des dépendances. 

• Sécuriser les stratégies de groupe : restreindre les droits de modification et vérifier la portée réelle de chaque GPO. 

• Fiabiliser sauvegardes et journalisation : rne reconstruction d’annuaire testée et une collecte des journaux d’administration conditionnent la capacité à détecter et à repartir. 

Comment mesurer les progrès après l’audit ? 

Un audit qui ne débouche pas sur une mesure reste un document.

Deux indicateurs se prêtent bien au suivi dans la durée. Le premier est le score global attribué par l’outil de scoring, à condition de le rejouer dans les mêmes conditions : il donne une tendance lisible par la direction, même s’il ne dit rien de l’exploitabilité réelle. Le second, plus significatif, est le nombre de chemins existant dans le graphe entre un utilisateur standard et les administrateurs du domaine. 

Ce second indicateur a l’avantage de traduire directement l’effort de durcissement en réduction de risque.

Un objectif raisonnable après remédiation consiste à ne plus laisser subsister de chemin direct court vers les privilèges d’administration, ce qui oblige un attaquant à enchaîner davantage d’étapes et multiplie les occasions de le détecter.

On complète utilement par des indicateurs de gestion : nombre de comptes à privilèges, part de comptes dormants, ancienneté des mots de passe de service.

Quelles erreurs reviennent le plus souvent ? 

Certaines erreurs reviennent systématiquement et transforment un audit onéreux en rapport sans suite :

• Confondre scan et audit. Un rapport d’outil n’est pas un audit ; sans analyse contextuelle, la hiérarchisation des constats est faussée. 

• S’arrêter au score. Une note globale rassure la direction mais ne dit rien des chemins réellement exploitables dans votre environnement. 

• Livrer un rapport illisible. Des dizaines de pages sans priorisation ni traduction en enjeux métier ne débloquent aucun budget. 

• Négliger les relations d’approbation. Un domaine partenaire mal sécurisé expose le vôtre, et ce périmètre est régulièrement oublié du cadrage. 

• Corriger sans inventorier les dépendances. Désactiver un protocole hérité sans en connaître les usages provoque des ruptures de service et gèle la démarche. 

• Ne jamais rejouer l’audit. Sans contrôle périodique, l’annuaire retrouve son niveau d’exposition initial en quelques mois. 

Questions fréquentes sur l’audit Active Directory 

En quoi consiste un audit Active Directory ? 

Il évalue la sécurité de l’annuaire en confrontant sa configuration aux points de contrôle de l’ANSSI et en cartographiant les chemins d’attaque menant aux comptes à privilèges. Il couvre les comptes d’administration, les délégations, l’authentification, le cloisonnement, les stratégies de groupe, les relations d’approbation et la journalisation, puis débouche sur un plan de remédiation hiérarchisé. 

Quels outils sont utilisés ? 

Principalement PingCastle pour le score de configuration, BloodHound pour les chemins d’attaque, Purple Knight pour les indicateurs d’exposition, ainsi que AD Control Path publié par l’ANSSI. Ils fonctionnent en lecture seule. Une revue manuelle des stratégies de groupe et des journaux complète l’analyse automatisée. 

PingCastle suffit-il pour un audit complet ? 

Non. C’est un excellent point de départ qui identifie les mauvaises configurations les plus courantes, mais il ne visualise pas les chemins d’attaque. Un audit complet y ajoute une analyse en graphe, des vérifications manuelles, une revue des GPO et l’examen des journaux du périmètre d’administration. 

L’audit perturbe-t-il la production ? 

Non, dès lors qu’il reste en lecture seule : les outils analysent la configuration sans exploiter de vulnérabilité, sans agent persistant et sans modifier l’environnement. Les tests d’exploitation réelle relèvent d’un test d’intrusion, qui suppose un accord explicite et tracé. 

À quelle fréquence faut-il auditer ? 

Un audit complet annuel constitue le socle pour la plupart des organisations, avec des contrôles plus rapprochés pour les opérateurs les plus critiques. Certains événements imposent un contrôle hors calendrier : fusion, migration majeure, départ d’un administrateur à droits étendus ou incident de sécurité. 

Combien de temps dure une mission ? 

De trois à cinq semaines en général, selon l’ampleur du périmètre, le nombre de domaines et de forêts, l’ancienneté de l’annuaire et la qualité de la documentation existante. La remédiation, elle, s’étale sur plusieurs mois.