Audit de sécurité Active Directory : 10 contrôles à prioriser

Pourquoi commencer par Active Directory?

Active Directory demeure le point de passage de nombreuses identités, applications et opérations privilégiées. Une faiblesse dans l’annuaire peut donc offrir un chemin rapide vers des serveurs critiques, des sauvegardes ou des environnements infonuagiques synchronisés.

Un audit utile ne consiste pas à produire des centaines d’alertes. Il doit distinguer les chemins d’attaque réellement exploitables, les écarts de configuration et les améliorations qui réduisent rapidement le risque.

1. Comptes privilégiés et séparation des usages

Inventoriez les membres des groupes à privilèges élevés et vérifiez que les comptes administratifs ne servent ni au courriel ni à la navigation quotidienne.

• Supprimer les privilèges permanents devenus inutiles.
• Utiliser des comptes distincts pour l’administration et le travail courant.
• Protéger les postes d’administration et limiter les ouvertures de session privilégiées.

2. Protocoles et configurations hérités

NTLM, SMBv1, LDAP non signé et certains chiffrements anciens augmentent les possibilités de relais, d’interception ou de rétrogradation. Avant de désactiver un protocole, mesurez toutefois son utilisation et identifiez les applications dépendantes.

3. Mots de passe locaux et comptes de service

• Déployer Windows LAPS pour renouveler les mots de passe administrateur locaux.
• Privilégier les gMSA lorsque les applications le permettent.
• Rechercher les mots de passe qui n’expirent jamais, les SPN anormaux et les secrets présents dans les scripts ou GPO.

4. Délégations, GPO et chemins d’attaque

Les droits de modification d’une GPO, d’une unité d’organisation ou d’un groupe peuvent être aussi sensibles qu’une appartenance directe à Domain Admins. Analysez les ACL, les délégations Kerberos et les relations qui permettent une élévation indirecte.

5. Détection et journalisation

Microsoft Defender for Identity, les événements de sécurité centralisés et une plateforme comme Wazuh peuvent détecter des comportements anormaux. La valeur vient toutefois de règles adaptées, d’une rétention suffisante et d’un processus clair pour traiter les alertes.

6. Sauvegarde et capacité de récupération

Vérifiez que l’état système des contrôleurs de domaine est sauvegardé, que les copies sont isolées et que la procédure de restauration autoritaire est documentée. Un test de récupération vaut davantage qu’un rapport de sauvegarde vert.

Les quatre contrôles complémentaires

• Réduire les comptes inactifs et les ordinateurs obsolètes.
• Revoir les relations d’approbation et la synchronisation Entra ID.
• Protéger les comptes sensibles contre la délégation et renforcer l’authentification.
• Comparer régulièrement la posture avec PingCastle, Purple Knight et les recommandations Microsoft.

Transformer les constats en plan d’action

Classez chaque constat selon son impact, sa probabilité, les dépendances applicatives et l’effort de correction. Le meilleur plan combine quelques gains rapides, des changements contrôlés à moyen terme et une validation après remédiation.