Active Directory
Audit et durcissement d'Active Directory : Kerberos, NTLM, comptes privilégiés, délégations, contrôleurs de domaine et chemins d'attaque, point par point.
Chaque article part de ce que nous constatons lors de nos audits d'annuaires et se termine par la liste des vérifications à mener.
Comptes de service : migrer vers les gMSA et les dMSA, sans ouvrir de nouvelles failles
Mots de passe gérés automatiquement, droits de récupération, limites, étapes de migration, et vigilance sur les dMSA de Windows Server 2025 depuis la recherche « BadSuccessor ».
Active DirectoryDélégations Active Directory : repérer et nettoyer les droits excessifs sur les OU et les objets
GenericAll, WriteDacl, réinitialisation de mot de passe déléguée : comment les ACL accumulées sur les OU créent des chemins d'attaque, et comment les analyser puis les assainir.
Active DirectoryMachineAccountQuota : pourquoi tout utilisateur peut encore ajouter dix ordinateurs à votre domaine
La valeur par défaut de ms-DS-MachineAccountQuota permet à tout compte de créer des comptes ordinateurs. Pourquoi cela facilite de nombreuses attaques et comment déléguer proprement la jonction.
Active DirectoryLes 48 premières heures d'une compromission Active Directory : contenir, préserver, reprendre la main
Confinement, préservation des preuves, réinitialisation des comptes privilégiés, double renouvellement du krbtgt et son calendrier, décision de reconstruction et communication : une trame pour les premières heures.
Active DirectoryDNS intégré à Active Directory : sécuriser les zones, les mises à jour et le groupe DnsAdmins
Mises à jour dynamiques, création d'enregistrements par tout utilisateur authentifié, WPAD, enregistrements génériques et groupe DnsAdmins : les angles morts du DNS intégré à AD.
Active DirectoryComptes de service administrés de groupe (gMSA) : en finir avec les mots de passe statiques
Les gMSA remplacent les comptes de service à mot de passe fixe par des secrets longs et renouvelés automatiquement. Encore faut-il contrôler qui peut les récupérer.
Active DirectoryMachineAccountQuota : pourquoi tout utilisateur peut joindre des machines au domaine, et comment l'empêcher
Par défaut, chaque utilisateur authentifié peut créer jusqu'à dix comptes d'ordinateur. Un réglage hérité qui facilite plusieurs chemins d'attaque et se corrige simplement.
Active DirectoryLe groupe Protected Users : des protections fortes pour les comptes privilégiés, à déployer avec méthode
Pas de NTLM, pas de délégation, pas de RC4, des TGT courts : Protected Users durcit les comptes sensibles sans aucun outil supplémentaire. Mode d'emploi et pièges à éviter.
Active DirectoryStratégies et silos d'authentification : limiter l'endroit où les comptes de niveau 0 peuvent se connecter
Les silos d'authentification permettent au contrôleur de domaine de refuser un ticket Kerberos à un compte privilégié qui se connecte depuis une machine non autorisée.
Active DirectoryACL dangereuses dans Active Directory : les délégations oubliées qui mènent aux Admins du domaine
GenericAll, WriteDACL, WriteOwner, réinitialisation de mot de passe : certaines permissions sur des objets sensibles valent appartenance aux groupes privilégiés.
Active DirectoryShadow credentials : comprendre et contrôler l'attribut msDS-KeyCredentialLink
Conçu pour Windows Hello Entreprise, l'attribut msDS-KeyCredentialLink permet à qui peut l'écrire de s'authentifier à la place d'un compte. Qui en a le droit chez vous ?
Active DirectorySecrets dans SYSVOL : cpassword, scripts et mots de passe en clair lisibles par tous
Plus de dix ans après MS14-025, nous trouvons encore des mots de passe de préférences de stratégie de groupe et des identifiants en clair dans SYSVOL. Comment les rechercher et les éliminer.
Active DirectoryProtéger LSASS : protection LSA et Credential Guard, ce qu'ils bloquent et ce qu'ils ne bloquent pas
Le vol d'identifiants en mémoire reste au cœur des compromissions Active Directory. Deux protections intégrées à Windows le compliquent fortement, à condition de les déployer correctement.
Active DirectoryInterdire aux comptes privilégiés de se connecter aux niveaux inférieurs avec les droits utilisateur
Les droits « Interdire l'ouverture d'une session » appliqués par stratégie de groupe matérialisent le modèle en niveaux : un administrateur du domaine ne doit jamais laisser ses identifiants sur un poste utilisateur.
Active DirectoryPostes d'administration dédiés (PAW) : administrer Active Directory depuis une source propre
Administrer le domaine depuis le poste qui sert aussi à lire ses courriels revient à exposer les comptes les plus sensibles au premier hameçonnage réussi. Principes et architecture d'un poste d'administration dédié.
Active DirectoryNiveaux fonctionnels de forêt et de domaine : ce que chaque niveau apporte réellement à la sécurité
Protected Users, stratégies d'authentification, chiffrement LAPS, niveau Windows Server 2025 : les protections qui dépendent du niveau fonctionnel, et comment le relever sans risque.
Active DirectoryContrôleurs de domaine sur des versions de Windows Server non prises en charge : sortir proprement de l'impasse
Un contrôleur de domaine sans correctifs expose toute la forêt. Inventaire, choix entre mise à niveau sur place et nouveau DC, rétrogradation et nettoyage des métadonnées.
Active DirectoryContrôleurs de domaine en lecture seule : maîtriser la stratégie de réplication des mots de passe
Un RODC n'est sûr que si sa stratégie de réplication des mots de passe l'est. Groupes autorisés et refusés, comptes krbtgt dédiés, administrateurs délégués et risques en agence.
Active DirectoryDNS intégré à Active Directory : mises à jour sécurisées, droits de création et enregistrements piégés
Mises à jour dynamiques, droits des utilisateurs authentifiés, enregistrements génériques et WPAD, groupe DnsAdmins, nettoyage : les réglages DNS qui comptent pour la sécurité d'AD.
Active DirectoryLLMNR, NBT-NS et mDNS : couper les résolutions de secours qui divulguent vos condensats NTLM
Quand le DNS ne répond pas, Windows interroge le réseau local et croit la première réponse. Comprendre l'empoisonnement, désactiver ces protocoles par GPO et DHCP, anticiper ce qui peut casser.
Active DirectoryUsurpation DHCPv6 et WPAD : quand un réseau « sans IPv6 » devient une porte d'entrée
Windows privilégie IPv6 même là où personne ne l'a déployé. Comment un faux serveur DHCPv6 détourne le DNS et WPAD vers le relais NTLM, et les bonnes contre-mesures.
Active DirectoryChiffrement Kerberos : sortir de RC4 et généraliser AES sans interrompre les services
RC4 facilite le Kerberoasting et Microsoft prépare sa fin. msDS-SupportedEncryptionTypes, comptes sans clés AES, journaux de tickets : la méthode pour migrer sans casse.
Active DirectoryDrapeaux userAccountControl à risque : les repérer et les corriger avant un attaquant
Mot de passe non requis, chiffrement réversible, DES, délégation non contrainte : ces bits discrets affaiblissent vos comptes. Comment les rechercher et les supprimer proprement.
Active DirectorySIDHistory : l'héritage des migrations qui peut cacher des privilèges
Indispensable pendant une migration, SIDHistory devient un risque s'il subsiste. Usage légitime, détournement pour la persistance, audit, nettoyage et filtrage des SID sur les approbations.
Active DirectoryCorbeille Active Directory : l'activer, restaurer des objets et connaître ses limites
Une suppression accidentelle d'OU ne devrait jamais imposer une restauration de contrôleur. Activation, durées de vie, restauration des objets et des appartenances, et ce qu'une sauvegarde reste seule à couvrir.
Active DirectoryMicrosoft Defender for Identity : ce que les capteurs détectent vraiment, et ce qu'ils ne remplacent pas
Capteurs sur les contrôleurs de domaine, AD FS, AD CS et Entra Connect, détections, évaluations de posture et réglages : comment tirer parti de Defender for Identity sans en attendre des miracles.
Active DirectoryIsolation réseau des contrôleurs de domaine : pas d'Internet, des flux maîtrisés et un pare-feu actif
Un contrôleur de domaine ne navigue pas sur Internet, n'accepte l'administration que depuis des postes dédiés et filtre ses flux : les règles réseau qui protègent le cœur de l'annuaire.
Active DirectorySynchronisation de l'heure dans Active Directory : l'émulateur PDC, Kerberos et les pièges de la virtualisation
Une horloge décalée bloque Kerberos, fausse les journaux et fragilise les certificats. Comment construire une hiérarchie de temps fiable, de l'émulateur PDC jusqu'aux contrôleurs virtualisés.
Active DirectoryMots de passe dans les attributs Active Directory : le champ Description lisible par tous
Description, info, comment, userPassword : des mots de passe dorment dans des attributs que tout utilisateur authentifié peut lire. Comment les trouver, les supprimer et éviter qu'ils reviennent.
Active DirectoryConcevoir ses OU pour déléguer l'administration sans créer de chemins d'attaque
Séparer les niveaux, déléguer à des groupes plutôt qu'à des personnes, maîtriser l'héritage et documenter : les principes d'une arborescence d'OU qui sert la sécurité au lieu de la contourner.
Active DirectoryAdministrateurs du schéma et Administrateurs de l'entreprise : des groupes qui doivent rester vides
Les deux groupes les plus puissants de la forêt n'ont besoin de membres que quelques heures par an. Appartenance temporaire, durcissement du compte Administrateur intégré et surveillance des modifications.
Active DirectoryPolitique de mot de passe du domaine : privilégier la longueur, repenser le verrouillage
Longueur plutôt que complexité, phrases de passe, seuil de verrouillage face à la pulvérisation de mots de passe et stratégies affinées : remettre la politique du domaine au goût des recommandations actuelles.
Active DirectoryAccès compatible pré-Windows 2000 et accès anonyme : fermer l'énumération de l'annuaire
Un groupe hérité, un paramètre dSHeuristics et quelques options de sécurité suffisent parfois à ouvrir l'annuaire à des requêtes anonymes. Comment le vérifier et durcir sans casser les applications.
Active DirectoryWDigest, hachages LM et NTLMv1 : éliminer les héritages qui exposent les identifiants
Mots de passe en clair en mémoire, hachages LM stockés, authentification NTLMv1 acceptée : trois héritages encore rencontrés en audit, et les paramètres de stratégie de groupe qui les corrigent.
Active DirectoryCoercition d'authentification et relais NTLM : comprendre PetitPotam et ses cousins pour s'en protéger
PetitPotam, DFSCoerce, bogue de l'imprimante : forcer un contrôleur de domaine à s'authentifier, puis relayer cette authentification. Le principe, et les mesures qui cassent la chaîne.