Durcir un Active Directory de bout en bout.

Un Active Directory compromis, c'est une organisation entière compromise. Ce n'est pas une formule : l'annuaire est le service qui décide qui a le droit de se connecter à quoi, avec quels privilèges. Un attaquant qui obtient les droits d'administration du domaine n'a plus besoin de chercher d'autre faille - il a déjà les clés de tout le reste. C'est pour cette raison qu'un AD est presque toujours l'objectif final d'une intrusion, même quand le point d'entrée était un simple poste utilisateur sans rien de sensible dessus.

Ce guide couvre le durcissement d'un AD de bout en bout : pas une astuce isolée, mais l'ensemble des chantiers qui, mis bout à bout, transforment un annuaire par défaut en annuaire réellement défendable. Il s'appuie sur le guide de référence de l'ANSSI (ANSSI-PA-099, octobre 2023) et sur le modèle de paliers documenté par Microsoft. Chaque section explique le pourquoi avant le comment : appliquer une mesure sans comprendre ce qu'elle empêche produit une fausse sécurité, cochée sur un audit mais contournable en pratique.

1. Ce que vous protégez, exactement

Le premier réflexe est souvent de modifier des dizaines de stratégies de groupe. C'est l'ordre inverse. Il faut d'abord savoir ce que l'on protège et contre quel enchaînement.

Active Directory est le plan de contrôle des identités de l'entreprise. Microsoft en tire une séparation en niveaux de confiance, qui est la structure de tout ce qui suit :

• Palier 0 - les contrôleurs de domaine, le compte krbtgt, les autorités de certification AD CS, AD FS, les connecteurs d'annuaire vers le cloud, les groupes Domain Admins et Enterprise Admins, et tout système capable d'administrer l'un de ces éléments. Qui contrôle le palier 0 contrôle tout le reste, sans exception.
• Palier 1 - les serveurs métier (bases de données, applications, fichiers) et leurs administrateurs. Un administrateur de palier 1 ne doit jamais pouvoir remonter au palier 0.
• Palier 2 - les postes de travail, leurs utilisateurs et le support de proximité, y compris les comptes d'administration locale des postes.

Cette séparation existe pour empêcher une chose précise : qu'une compromission de poste utilisateur permette de récupérer, de proche en proche, de quoi administrer un contrôleur de domaine.

2. Cartographier avant de toucher à quoi que ce soit

On ne durcit pas un environnement qu'on ne connaît pas. Cette étape n'a l'air de rien : c'est pourtant elle qui évite de couper un protocole dont dépend encore une application de paie dont plus personne ne se souvient.

Get-ADForest
Get-ADDomain

Get-ADDomainController -Filter * |
    Select-Object HostName,Site,OperatingSystem,IPv4Address

Get-ADTrust -Filter *

Get-ADGroupMember "Domain Admins"    -Recursive
Get-ADGroupMember "Enterprise Admins" -Recursive
Get-ADGroupMember "Schema Admins"     -Recursive

Complétez cet inventaire technique par la liste de ce qui dépend de l'annuaire, car c'est cette liste qui décidera de votre rythme : comptes de service, comptes sans expiration de mot de passe, applications utilisant LDAP, systèmes utilisant encore NTLM, certificats et autorités de certification, relations d'approbation, solution de sauvegarde, hyperviseurs, supervision, EDR, gestion des correctifs.

3. Les chemins de compromission

Un durcissement efficace ne se pense pas en mesures, mais en chaînes. L'attaquant n'a pas besoin que tout soit vulnérable : il lui faut un maillon par étape.

Les questions à se poser sont donc des questions de chemin, pas de conformité :

• Un administrateur de serveur peut-il, directement ou par rebond, administrer un contrôleur de domaine ?
• Un compte de service possède-t-il des privilèges sans rapport avec son usage ?
• Un utilisateur ordinaire peut-il modifier une liste de contrôle d'accès sur une unité d'organisation sensible ?
• Des applications font-elles encore du LDAP simple non chiffré ? Des systèmes s'authentifient-ils encore en NTLM ?
• Des comptes à privilèges se connectent-ils sur des postes bureautiques ?
• Un utilisateur standard peut-il obtenir un certificat permettant une authentification privilégiée ?
• Les sauvegardes des contrôleurs de domaine sont-elles accessibles depuis le réseau de production, avec les mêmes identifiants ?

4. L'ordre dans lequel avancer

Le plus gros risque d'un projet de durcissement AD n'est pas de mal faire une mesure : c'est de vouloir tout activer en même temps, de casser trois applications le même matin, et de tout annuler sous la pression - en revenant à un état pire que le point de départ, parce que plus personne n'osera y retoucher.

Ce découpage en neuf phases répartit le risque. Les premières apportent beaucoup pour un risque fonctionnel faible ; les suivantes touchent aux protocoles, donc à la production.

Une règle traverse les phases 3 à 6, et c'est probablement le conseil le plus utile de ce guide : chaque étape produit une liste d'exceptions. Une exception documentée est un risque connu et suivi ; une exception non écrite est un durcissement qu'on croira fait.

5. La checklist

À utiliser dans les deux sens : comme état des lieux au démarrage, puis comme contrôle de recette à la fin de chaque phase. Chaque bloc renvoie à la partie qui explique le pourquoi et donne les commandes.

6. Vérifier, plutôt que croire

Aucune de ces mesures ne se vérifie « à l'œil », et une GPO activée n'est pas une GPO appliquée. Des outils gratuits d'audit AD (PingCastle, Purple Knight) passent l'annuaire au crible de dizaines d'indicateurs et produisent un rapport priorisé. Faites-en tourner un avant de commencer, pour prioriser sur des faits plutôt que sur des impressions, et après chaque phase, pour mesurer le progrès réel.

Un cran au-dessus : rejouer, dans un environnement de laboratoire, les chemins d'attaque que vous venez de couper. C'est la seule manière de savoir si la mesure empêche vraiment quelque chose, si elle est détectée, et en combien de temps.

Ce que ce guide ne remplace pas

Un durcissement suivi à la lettre reste une posture déclarative : il dit ce qui devrait être vrai, pas ce qui l'est réellement dans votre environnement, avec ses exceptions historiques et ses applications métier fragiles. Un audit de sécurité ou un test d'intrusion ciblé sur l'AD - voir notre comparatif audit / pentest / red team - reste le seul moyen de vérifier qu'aucun chemin de compromission oublié ne subsiste.

Et le durcissement n'est pas un projet qui se termine : inventorier, auditer, durcir, tester, surveiller, corriger, savoir restaurer - puis recommencer, parce que l'environnement, lui, continue de bouger.

Sources

• ANSSI - Recommandations de sécurité relatives à Active Directory (ANSSI-PA-099)
• Microsoft Learn - Meilleures pratiques pour la sécurisation d'Active Directory
• Microsoft Learn - Modèle de niveaux AD DS
• Kenawek - Kerberoasting : ce que c'est, comment ça marche, comment s'en protéger