Sécurité d’Active Directory : guide de protection des identités

By Mirko Peters · 2025-11-23 · Updated 2026-07-18

Découvrez la sécurité d’Active Directory avec des conseils pratiques sur l’architecture, la mise en œuvre, la sécurité et la gouvernance.

Automatically translated with AI from the original post. Read the English original

Active Directory présente un intérêt majeur pour les attaquants, quelle que soit l’entreprise. Si quelqu’un en prend le contrôle, vous perdez la maîtrise des utilisateurs, des fichiers, de la messagerie et des ressources cloud. Les attaquants n’ont pas besoin de compétences de piratage particulières : ils exploitent de petites erreurs pour obtenir un accès complet. Vous devez agir vite et prendre des mesures claires pour protéger ce qui compte.

Points clés

• Active Directory contrôle qui peut utiliser votre réseau. Le sécuriser empêche les attaquants d’accéder aux données et systèmes importants.

• Vérifiez régulièrement les comptes d’administration et supprimez ceux dont vous n’avez pas besoin. Vous compliquez ainsi l’usage de comptes puissants par les attaquants.

• Mettez en place un modèle à niveaux (tiering) et une segmentation de votre réseau. Vous limitez les déplacements latéraux des attaquants et contribuez à enrayer les incidents majeurs.

• Activez l’authentification multifacteur (MFA) pour tous les comptes d’administration. Elle offre une protection supplémentaire contre les personnes qui ne devraient pas accéder au système.

• Surveillez les journaux et utilisez des outils de sécurité pour détecter les activités anormales. Repérer les problèmes tôt vous permet de réagir rapidement pour stopper les menaces.

Pourquoi les attaquants ciblent Active Directory

Un rôle central dans l’authentification

Active Directory détermine qui peut accéder à votre réseau, à vos fichiers et à vos applications. C’est le principal verrou de la plupart des entreprises, et les attaquants le savent. S’ils prennent le contrôle d’Active Directory, ils peuvent contrôler presque tout.

Le tableau suivant explique pourquoi les attaquants visent Active Directory :

Active Directory vous permet de gérer tous les utilisateurs, ordinateurs et règles depuis un point unique. Vous pouvez définir des stratégies de groupe pour appliquer des règles à tous. Cela simplifie votre travail. Mais si un attaquant s’introduit, il peut accéder à tout depuis ce seul point.

Conséquences d’une compromission

Si quelqu’un prend le contrôle d’Active Directory, les conséquences peuvent être graves. Vous pouvez perdre l’accès aux fichiers ou aux services. Les attaquants peuvent vous bloquer l’accès, voler vos données ou paralyser votre activité.

Voici quelques scénarios possibles :

• Les utilisateurs ne peuvent plus accéder aux ressources ou aux services.

• Les systèmes informatiques peuvent tomber en panne et cesser de fonctionner.

• Les tâches métier peuvent s’interrompre, entraînant des pertes financières et de temps.

Astuce : protéger Active Directory ne consiste pas seulement à bloquer les pirates. Cela permet aussi de maintenir votre activité et de préserver vos données.

Une fois les risques identifiés, on comprend pourquoi les attaquants visent Active Directory. Il faut rechercher les points faibles et les corriger avant eux.

Chemins d’attaque sur Active Directory

Les attaquants n’ont pas besoin d’outils sophistiqués pour entrer. Ils commencent modestement et cherchent à obtenir davantage de contrôle. Il faut connaître chaque étape pour les arrêter au plus tôt.

Accès initial et déplacement latéral

Les attaquants commencent souvent par des techniques simples. Ils envoient de faux courriels pour voler des mots de passe. Parfois, ils utilisent des mots de passe qui n’ont jamais été modifiés. Ils peuvent aussi tester des mots de passe courants sur de nombreux comptes. Si votre réseau présente des failles, ils peuvent les repérer à l’aide d’outils.

Après être entrés, les attaquants se déplacent vers d’autres ordinateurs. Ils utilisent le pass-the-hash pour voler des hachages de mots de passe. Ensuite, ils utilisent ces hachages pour se connecter ailleurs. Le Kerberoasting cible les comptes de service dotés de mots de passe faibles. Les attaquants utilisent BloodHound pour cartographier votre réseau et trouver des moyens d’obtenir davantage de privilèges.

Les chemins d’attaque courants comprennent :

• Le Kerberoasting, pour casser les mots de passe des comptes de service.

• L’empoisonnement LLMNR/NBT-NS, pour récupérer des hachages de mots de passe.

• L’utilisation de mots de passe codés en dur dans des scripts.

• La reconnaissance LDAP, pour découvrir les utilisateurs et les ordinateurs.

Remarque : la plupart de ces actions ressemblent à un travail d’administration normal. Vous devez être attentif aux petits signes indiquant qu’un problème se pose.

Techniques d’élévation de privilèges

Une fois à l’intérieur, les attaquants veulent davantage de pouvoir. Ils utilisent différentes méthodes pour obtenir des privilèges plus élevés. Voici un tableau présentant quelques méthodes courantes :

Méthodes de domination du domaine

Lorsqu’ils disposent de privilèges élevés, les attaquants veulent un contrôle total. Ils peuvent fabriquer de faux tickets appelés « golden tickets ». Ceux-ci leur permettent d’accéder à tout pendant longtemps. Certains utilisent des attaques DCSync pour copier tous les hachages de mots de passe depuis les contrôleurs de domaine. D’autres dérobent le fichier NTDS.dit, qui contient chaque mot de passe de votre réseau.

Les signes d’une domination du domaine comprennent :

• Un rançongiciel effaçant chaque contrôleur de domaine.

• Des sauvegardes qui réintroduisent des logiciels malveillants lors de leur restauration.

• Aucune sauvegarde propre utilisable pour la récupération.

• Les attaquants restent présents même après vos tentatives de correction.

• De grosses erreurs qui verrouillent tout le monde.

Si les attaquants arrivent jusque-là, ils contrôlent l’ensemble de votre réseau. Vous devez les arrêter avant qu’ils n’atteignent ce stade.

Faiblesse liée au rayon d’impact des comptes administrateurs

Risques liés à des privilèges excessifs

Si trop de comptes disposent d’un accès élevé, le risque est important. Les attaquants recherchent ces comptes. Une seule erreur peut leur donner le contrôle. Parfois, des comptes conservent leur accès alors qu’il n’est plus nécessaire. Ces anciens comptes sont faciles à repérer pour les attaquants. Des administrateurs fantômes (Shadow Admins) peuvent se cacher dans votre système. Ils peuvent provenir de solutions rapides ou de comptes de service. Ces comptes rejoignent des groupes puissants. Vous ne les voyez peut-être pas. L’imbrication de groupes dans Active Directory rend leur détection difficile.

• Les attaquants utilisent des comptes puissants pour atteindre les ressources importantes.

• Si un compte administrateur est compromis, les attaquants peuvent modifier des paramètres, voler des données ou installer des logiciels malveillants.

• Les anciens comptes administrateurs non surveillés aident les attaquants à rester discrets.

Conseil : vérifiez régulièrement les comptes administrateurs et supprimez ceux dont vous n’avez pas besoin.

Tiering et segmentation

Vous pouvez réduire les risques en répartissant votre réseau en plusieurs niveaux. C’est ce qu’on appelle le tiering et la segmentation. Cela vous aide à contrôler qui peut accéder aux ressources sensibles. Lorsque vous créez des segments distincts, les attaquants ne peuvent pas se déplacer facilement. La segmentation empêche également les logiciels malveillants de se propager rapidement.

• Isoler les différentes parties limite la portée de l’attaquant.

• La segmentation contrôle qui accède aux systèmes clés.

• Une bonne segmentation ralentit les rançongiciels et les autres menaces.

Actions rapides pour contrôler les comptes administrateurs

Vous pouvez prendre des mesures simples pour renforcer votre sécurité. Commencez par repérer et supprimer les anciens comptes administrateurs. Ces comptes sont souvent oubliés et peuvent être utilisés par les attaquants. Désactivez les comptes administrateurs globaux créés pour d’anciens projets ou outils. Cela renforce rapidement la sécurité de votre réseau.

• Vérifiez et supprimez les anciens comptes administrateur.

• Désactivez les comptes d’administrateur global utilisés pour d’anciens outils.

Remarque : de petites modifications contribuent fortement à protéger votre réseau.

Risques liés aux PKI et aux modèles de certificats

Dangers des erreurs de configuration

Les mots de passe ne sont pas le seul point à surveiller. Les modèles de certificats peuvent permettre à des attaquants de s’introduire. Des modèles mal sécurisés permettent aux attaquants de créer des certificats qui fonctionnent comme des clés universelles. Ces certificats peuvent accorder des droits d’administrateur à quelqu’un sans mot de passe. Les attaquants appellent ces administrateurs « invisibles ». Ils n’apparaissent pas dans les journaux habituels.

Voici un tableau qui présente les dangers courants liés aux erreurs de configuration :

Remarque : les attaquants recherchent les failles. Ils veulent obtenir des droits d’administrateur sans que personne ne s’en aperçoive.

Sécurisation des modèles de certificats

Vous pouvez bloquer de nombreuses attaques en renforçant vos modèles de certificats. Commencez par vérifier qui peut s’inscrire dans chaque modèle. Supprimez ou désactivez les modèles que vous n’utilisez pas. Limitez l’accès aux modèles importants, comme ceux des cartes à puce.

Voici un tableau présentant les étapes pour sécuriser vos modèles :

Astuce : examinez vos modèles tous les trimestres environ. Cela vous aide à protéger votre système contre les nouveaux problèmes.

Actions concrètes sur la PKI

Vous pouvez mettre en œuvre des mesures simples pour renforcer votre PKI. Utilisez une autorité de certification racine hors ligne pour protéger votre ancre de confiance. Utilisez une autorité de certification d’entreprise jointe au domaine pour n’attribuer des certificats qu’aux utilisateurs de confiance. Configurez l’inscription automatique par le biais de la stratégie de groupe pour gérer facilement les certificats.

Voici un tableau présentant les actions concrètes sur la PKI :

Rappel : une configuration PKI solide empêche les attaquants de créer des comptes administrateur invisibles. Vérifiez souvent vos modèles et vos autorisations.

Synchronisation hybride et exposition dans le cloud

Les configurations d’identité hybride relient votre Active Directory aux services cloud. Cela vous permet de gérer les utilisateurs aux deux endroits. Mais cela introduit aussi de nouveaux risques. Si des attaquants accèdent à votre AD local, ils peuvent atteindre les comptes cloud. Le même phénomène peut se produire dans l’autre sens : un compte cloud faible peut permettre à des attaquants d’accéder à votre AD local.

Vulnérabilités d’Azure AD Connect

Azure AD Connect constitue un pont entre votre AD local et le cloud. Les attaquants veulent contrôler ce pont, car il dispose de comptes puissants. Si quelqu’un obtient le compte du connecteur AD DS ou le compte ordinateur Seamless SSO, il peut modifier les mots de passe ou les autorisations aux deux endroits.

Les attaquants utilisent des outils réseau pour s’en prendre à l’ensemble de votre environnement. Ils peuvent utiliser le compte AZUREADSSOACC pour passer de l’AD à Entra ID. Si les attaquants obtiennent des droits d’administrateur sur le serveur Entra Connect, ils contrôlent le compte de synchronisation. Ils peuvent modifier les identités aux deux endroits. Certains attaquants utilisent le SyncJacking pour obtenir des comptes cloud à privilèges élevés en modifiant des comptes à faibles privilèges.

Astuce : utilisez le compte de synchronisation disposant du niveau de privilège le plus bas. Surveillez Azure AD Connect pour détecter toute activité inhabituelle.

Accès conditionnel et MFA

Conditional Access et MFA contribuent à protéger les configurations hybrides. Les règles d’accès conditionnel imposent aux utilisateurs des étapes supplémentaires, comme le MFA, avant d’accéder aux ressources. Ces règles évaluent notamment votre identité, votre appareil et votre localisation. Elles déterminent si vous devez obtenir l’accès.

• Conditional Access s’appuie sur le MFA pour renforcer la sécurité.

• Les règles exploitent des signaux pour prendre des décisions pertinentes.

• Cette approche suit le modèle Zero Trust et vérifie les utilisateurs à chaque accès.

Remarque : l’utilisation du MFA pour l’ensemble des comptes d’administration bloque de nombreuses attaques.

Sécurité unifiée des identités

Vous devez considérer les identités locales et cloud comme un système unique. Une sécurité unifiée vous permet de détecter les menaces plus rapidement et d’agir sans délai. Suivez ces étapes pour renforcer vos défenses :

1. Déployez les capteurs Defender for Identity sur vos contrôleurs de domaine.

2. Connectez Defender for Identity à Microsoft 365 Defender pour la surveillance.

3. Activez l’accès conditionnel basé sur les risques dans Entra pour une protection en temps réel.

4. Utilisez Entra ID Governance pour appliquer le principe du moindre privilège à tous les comptes.

5. Reliez ces deux solutions à Microsoft Sentinel pour améliorer la détection des menaces.

Retenez ceci : une sécurisation solide des identités hybrides empêche les attaquants de se déplacer entre les systèmes locaux et cloud.

Liste de contrôle de sécurité Active Directory

Une liste de contrôle solide vous aide à protéger rapidement votre réseau. Vous pouvez utiliser ce guide pour identifier et corriger les risques les plus importants de votre environnement. Commencez par les étapes de tri rapide, puis maintenez vos défenses grâce à une maintenance régulière.

Étapes de tri en 60 minutes

Vous pouvez faire une réelle différence en une seule heure. Suivez ces étapes pour réduire rapidement vos risques :

1. Vérifiez les correctifs urgents. Installez la dernière mise à jour de Microsoft pour CVE-2025-59287 sur chaque serveur WSUS. Ce correctif comble une faille de sécurité majeure.

2. Bloquez les ports réseau à risque. Si vous ne pouvez pas appliquer le correctif immédiatement, bloquez les ports TCP 8530 et 8531 entrants sur vos pare-feu. Cela empêche les attaquants d’atteindre vos serveurs WSUS. Il peut être nécessaire de vous coordonner avec le service informatique, car cette action peut suspendre les mises à jour.

3. Arrêtez et désactivez les services WSUS. Si vous ne pouvez ni appliquer le correctif ni bloquer les ports, arrêtez les services WSUS jusqu’à la résolution du problème.

4. Isolez les serveurs WSUS exposés à Internet. Considérez ces serveurs comme à haut risque et tenez-les à l’écart de votre réseau principal.

5. Conservez les preuves en cas de suspicion d’attaque. Sauvegardez la mémoire, les images disque et les journaux d’événements. Contactez votre équipe de réponse aux incidents.

6. Consultez les journaux d’événements pour détecter les modifications apportées à AdminSDHolder. Recherchez le code d’événement 5136. Il indique si quelqu’un a modifié les autorisations d’administration.

7. Identifiez l’auteur des modifications. Repérez le compte utilisateur associé à ces modifications. Examinez son activité pour détecter tout comportement anormal.

8. Comparez les autorisations. Vérifiez que l’objet AdminSDHolder correspond à votre référentiel de sécurité.

9. Recherchez les nouveaux comptes privilégiés. Contrôlez les changements dans les appartenances aux groupes ou les autorisations.

10. Travaillez avec votre équipe de sécurité. Confirmez si les modifications ont été approuvées.

11. Isolez les systèmes concernés. Déconnectez-les du réseau pour empêcher la propagation de l’attaque.

12. Annulez les modifications non autorisées. Rétablissez toute modification apportée à AdminSDHolder que vous n’avez pas approuvée.

13. Examinez l’ensemble des comptes privilégiés. Vérifiez qu’ils respectent vos règles de sécurité.

14. Réinitialisez les mots de passe des comptes à risque. Concentrez-vous sur les comptes d’administration et de service.

15. Renforcez la surveillance. Surveillez AdminSDHolder et les autres objets clés pour détecter de nouvelles modifications.

16. Informez votre centre opérationnel de sécurité. Signalez-lui toute activité suspecte.

17. Mettez à jour vos stratégies de contrôle d’accès. Apportez les modifications nécessaires pour empêcher des attaques similaires à l’avenir.

Astuce : vous pouvez imprimer cette liste de contrôle et la garder à proximité de votre poste de travail. Utilisez-la lorsque vous devez agir rapidement.

Maintenance continue

Vous devez maintenir vos défenses dans le temps. De bonnes habitudes vous permettent de détecter les problèmes tôt et de récupérer rapidement.

• Appliquez les mises à jour régulièrement. Assurez-vous que chaque correctif s’installe correctement.

• Sauvegardez vos données selon un calendrier régulier. Testez vos sauvegardes pour vous assurer que vous pouvez les restaurer.

• Surveillez l’état de santé de votre domaine chaque jour. Recherchez les signes de problème, comme les échecs de connexion ou les nouveaux comptes administrateur.

• Examinez chaque mois les comptes administrateur et les appartenances aux groupes. Supprimez ceux dont vous n’avez pas besoin.

• Vérifiez vos modèles de certificats et vos paramètres PKI chaque trimestre. Supprimez les anciens modèles et renforcez les autorisations.

• Surveillez vos outils de synchronisation hybride, comme Azure AD Connect. Recherchez les activités suspectes ou les nouvelles autorisations.

• Formez votre équipe à repérer les tentatives d’hameçonnage et les techniques d’ingénierie sociale.

• Planifiez des revues de sécurité régulières. Utilisez votre liste de contrôle pour rester sur la bonne voie.

Remarque\u00a0: les petites actions régulières protègent votre réseau. Intégrez ces étapes à votre routine.

En suivant cette liste de contrôle, vous construisez une solide défense autour de vos systèmes les plus importants. Vous rendez beaucoup plus difficile la tâche des attaquants, qui cherchent à s’introduire ou à rester discrets.

Outils de surveillance et de détection

Identifiants d’événements clés et journaux

Vous devez surveiller de près votre Active Directory. Les attaquants essaient de dissimuler leurs actions. Vous pouvez les repérer si vous savez quoi vérifier. Commencez par examiner les journaux importants et les ID d’événements. Ces journaux consignent les modifications et vous aident à détecter rapidement les problèmes.

• Modifications d’appartenance aux groupes : surveillez les changements suspects dans les groupes d’administration. L’ID d’événement 4728 indique qu’un utilisateur a été ajouté à un groupe. L’ID d’événement 4729 indique qu’il a été retiré.

• Création et suppression de comptes : l’ID d’événement 4720 signale la création d’un utilisateur. L’ID d’événement 4726 signale la suppression d’un utilisateur.

• Requêtes de réplication : l’ID d’événement 4662 peut révéler une activité de réplication anormale. Les attaquants l’utilisent pour copier des données de mots de passe.

• Événements d’authentification : l’ID d’événement 4624 journalise les connexions réussies. Surveillez les connexions à des heures inhabituelles ou depuis de nouveaux emplacements.

• Modifications des stratégies de groupe : l’ID d’événement 4739 suit les modifications apportées aux stratégies de groupe. Les attaquants peuvent les modifier pour prendre le contrôle.

Vous devez également surveiller les signes d’attaques Kerberoasting ou Golden Ticket. Ces attaques laissent des traces dans vos journaux, comme des demandes de tickets inhabituelles ou de nouveaux comptes de service.

Astuce\u00a0: vérifiez vos journaux chaque jour. Des contrôles rapides vous permettent de détecter les problèmes avant qu’ils ne s’aggravent.

Outils de sécurité recommandés

Vous pouvez utiliser des outils spécialisés pour surveiller et protéger votre Active Directory. Ces outils facilitent la visualisation de ce qui se passe et la détection des points faibles.

• Lepide Auditor for Active Directory : suit les modifications en temps réel et vous alerte en cas d’actions suspectes.

• Netwrix Auditor : envoie des alertes instantanées et conserve les journaux pendant une longue durée.

• ManageEngine ADAudit Plus : surveille l’activité des utilisateurs et permet de définir des alertes personnalisées.

• SolarWinds Access Rights Manager (ARM) : vous aide à gérer qui peut accéder à quoi et vérifie la conformité.

• La solution de Quest : suit les modifications et s’intègre aux outils SIEM pour une surveillance renforcée.

• BloodHound : cartographie les chemins d’attaque pour montrer comment les attaquants pourraient progresser.

• PingCastle : analyse les risques de votre AD et attribue un score de santé.

• LAPS (Local Administrator Password Solution) : garantit que chaque ordinateur dispose d’un mot de passe administrateur local unique.

• Defender for Identity : détecte les menaces et les comportements anormaux sur vos contrôleurs de domaine.

Beaucoup de ces outils fonctionnent bien avec des systèmes SIEM comme Splunk. Ils vous aident à repérer les attaques plus rapidement et à réagir sans tarder.

Remarque\u00a0: utiliser les bons outils et surveiller les bons journaux vous offre une solide défense contre les attaquants.

Protéger Active Directory évite à votre entreprise de graves problèmes. Vous sécurisez votre réseau en limitant le rayon d’action des comptes administrateur. Vous refermez aussi les failles de PKI et améliorez la synchronisation hybride. Les attaquants progressent rapidement si vous négligez ces étapes.

• Surveillez les journaux à l’aide d’outils SIEM.

• Accordez les droits administrateur à moins de personnes et modifiez les mots de passe fréquemment.

• Utilisez l’authentification multifacteur (MFA) et séparez les ordinateurs d’administration des autres postes.

• Vérifiez régulièrement les stratégies de groupe et les appartenances aux groupes.

Appuyez-vous sur votre liste de contrôle de tri et vérifiez votre sécurité chaque mois. Commencez par un seul domaine. Effectuez de petites modifications fréquemment. Restez vigilant pour protéger vos joyaux de la couronne.

Questions fréquentes

Quelle est l’étape la plus importante pour sécuriser Active Directory ?

Vous devez limiter le nombre de comptes administrateur. Veillez à ce que chaque ordinateur dispose de son propre mot de passe. Vérifiez fréquemment qui figure dans les groupes d’administrateurs. Cela permet d’empêcher les attaquants de causer de graves problèmes.

À quelle fréquence faut-il examiner les comptes administrateur et les autorisations ?

Examinez les comptes administrateur et les autorisations chaque mois. Supprimez les comptes que vous n’utilisez pas. Cela rend votre réseau plus sûr et vous aide à détecter les problèmes plus tôt.

Pourquoi les attaquants ciblent-ils les modèles de certificats ?

Les attaquants exploitent les modèles de certificats faibles pour créer de faux accès administrateur. Ces certificats fonctionnent comme des clés secrètes. Vous devez verrouiller les modèles et vérifier qui est autorisé à les utiliser.

Une compromission du cloud peut-elle affecter Active Directory local ?

Oui. Si les attaquants accèdent à des comptes cloud, ils peuvent atteindre votre AD local. Vous devez protéger les deux et surveiller les comportements suspects.

Quels outils permettent de surveiller Active Directory pour détecter les attaques ?

Vous pouvez utiliser BloodHound, PingCastle et Defender for Identity. Ces outils vous aident à repérer les points faibles et vous alertent en cas de menace.

À écouter également

Si vous vous intéressez à la sécurité d’Active Directory, ces épisodes apportent un contexte pratique sur l’architecture, les opérations, la sécurité et la gouvernance :

• Microsoft AI Agent Harness – Simply Explained — Découvrez l’orchestration et les garde-fous.
• Azure AI Foundry – Simply Explained — Comprenez la mise en œuvre de l’IA à l’échelle de l’entreprise.
• Microsoft Defender XDR – Simply Explained — Ajoutez du contexte sur la sécurité.