Comprendre et se défendre contre l’exploitation de ntds.dit

Par Mirko Peters · 2026-08-28

Bienvenue dans le blog d’accompagnement du podcast ! Dans l’article d’aujourd’hui, nous plongeons au cœur de l’un des fichiers les plus critiques et les plus sensibles de tout réseau d’entreprise : la base de données ntds.dit…

Traduit automatiquement par IA à partir de l'article original. Lire l'original en anglais

Bienvenue dans le blog d’accompagnement du podcast ! Dans l’article d’aujourd’hui, nous plongeons au cœur de l’un des fichiers les plus critiques et les plus sensibles de tout réseau d’entreprise : la base de données ntds.dit. Si vous gérez une infrastructure informatique ou travaillez dans la cybersécurité, vous avez sans doute entendu parler de ce fichier, mais comprenez-vous vraiment comment les attaquants le ciblent pour obtenir le contrôle total du domaine ? Dans cet article, nous explorons l’anatomie de l’exploitation de ntds.dit, les raisons pour lesquelles il reste une cible privilégiée des acteurs malveillants, et les mesures concrètes que vous pouvez prendre pour protéger ce composant essentiel d’Active Directory contre le vol d’identifiants et la réplication non autorisée. Pour aller plus loin dans la protection de votre infrastructure d’identité, n’hésitez pas à consulter notre épisode connexe sur la manière de renforcer la sécurité d’Azure AD Connect face aux compromissions d’identités hybrides.

Introduction à Active Directory et ntds.dit

Active Directory (AD) joue le rôle de système nerveux central des environnements informatiques d’entreprise modernes. Il authentifie les utilisateurs, autorise l’accès aux ressources essentielles et gère les stratégies à l’échelle de toute l’organisation. Cependant, en coulisses, toutes ces informations doivent être stockées quelque part. Ce lieu est un fichier de base de données spécialisé, connu sous le nom de ntds.dit.

Comprendre et défendre votre réseau commence par savoir où se trouvent vos joyaux de la couronne. Le fichier ntds.dit constitue en substance le cœur d’Active Directory. Sans lui, les contrôleurs de domaine ne peuvent pas fonctionner, et les utilisateurs ne peuvent pas se connecter. Parce qu’il détient les clés du royaume, il représente aussi la prise ultime pour un attaquant parvenu à franchir votre périmètre. Pour défendre correctement votre réseau, vous devez d’abord comprendre l’anatomie de ce fichier et les risques graves liés à sa compromission.

Comprendre le rôle du fichier ntds.dit

Le fichier ntds.dit (New Technology Directory Services Database) est stocké sur chaque contrôleur de domaine d’une forêt Active Directory. Il contient une base de données complète de toutes les données d’annuaire, notamment les comptes utilisateurs, les comptes d’ordinateurs, les groupes de sécurité et, surtout, les hachages de mots de passe de chaque utilisateur du domaine.

Lorsqu’un utilisateur se connecte à un poste de travail ou accède à un partage réseau, le contrôleur de domaine interroge le fichier ntds.dit pour vérifier son identité. Comme les systèmes Windows ne stockent pas les mots de passe en clair, la base conserve des représentations cryptographiques de ces mots de passe, telles que les hachages NTLM et les clés Kerberos. Si un attaquant obtient un accès non autorisé à ce fichier unique, il contourne de fait la nécessité de procéder par attaque par force brute sur chaque compte : il dispose immédiatement du matériel d’authentification de chaque utilisateur, service et administrateur de toute l’organisation.

Comment les attaquants ciblent et exploitent ntds.dit

Le fichier ntds.dit étant verrouillé par le système d’exploitation tant que le service Active Directory est en cours d’exécution, les attaquants ne peuvent pas simplement le copier-coller depuis l’Explorateur de fichiers. À la place, les adversaires expérimentés recourent à des techniques avancées pour extraire ou dupliquer le fichier sans déclencher d’alertes immédiates.

L’une des méthodes les plus courantes consiste à détourner les protocoles de réplication d’annuaire, souvent désignés sous le nom d’attaque DCSync. Dans une attaque DCSync, l’adversaire utilise des identifiants administratifs compromis pour se faire passer pour un contrôleur de domaine légitime. Il demande ensuite des données de réplication à un contrôleur de domaine cible, l’amenant à lui remettre le contenu du fichier ntds.dit, y compris l’ensemble des hachages de mots de passe.

Autre possibilité : les attaquants disposant de privilèges d’administrateur local ou de SYSTEM sur un contrôleur de domaine peuvent utiliser des utilitaires Windows natifs, comme le service de cliché instantané de volumes (VSS), ou des outils spécialisés, pour créer un instantané de la base et l’extraire vers un emplacement externe. Une fois le fichier exfiltré hors du réseau, les attaquants recourent à des outils de craquage de mots de passe hors ligne pour inverser les hachages et obtenir ainsi les mots de passe en clair des comptes à privilèges élevés.

Les conséquences d’une compromission du contrôle total du domaine

La extraction et l’exploitation réussies du fichier ntds.dit sont un désastre pour une organisation. Lorsqu’un attaquant parvient à casser les hachages de mots de passe obtenus à partir de cette base, il peut facilement cibler les comptes Administrateur de domaine. Une fois en possession des identifiants d’administrateur de domaine, l’intrusion passe d’une infection localisée à un effondrement structurel total. Correction: "extraction" should be in French "extraction" fine. Let me restate the entire output cleanly below.

Les conséquences d’un contrôle total du domaine sont les suivantes :

• Prise de contrôle complète du réseau : les attaquants peuvent créer des tickets dorés, modifier les stratégies de groupe et déployer des logiciels malveillants ou des rançongiciels sur chaque machine connectée au domaine, simultanément.
• Exfiltration et extorsion de données : avec un accès sans restriction aux partages de fichiers internes et aux bases de données, les acteurs malveillants peuvent voler la propriété intellectuelle, les dossiers clients et les données financières.
• Accès persistant : les attaquants peuvent installer des portes dérobées, comme des comptes administrateurs fantômes, pour conserver leur accès même si les vulnérabilités initiales sont corrigées.

L’impact pour l’entreprise se traduit directement par des interruptions prolongées, des pertes financières catastrophiques, des sanctions réglementaires et une atteinte sévère à la réputation, dont la réparation peut prendre des années.

Mesures concrètes pour sécuriser Active Directory et ntds.dit

Sécuriser le fichier ntds.dit exige une approche de défense en profondeur, qui renforce vos contrôleurs de domaine, limite les privilèges administratifs et surveille les vecteurs d’accès. Vous ne pouvez pas vous appuyer sur un seul contrôle de sécurité pour tenir les attaquants à distance de cet actif critique.

Commencez par appliquer le principe du moindre privilège. Veillez à ce que seules les personnes strictement nécessaires disposent de droits d’administration, et séparez rigoureusement les comptes utilisateur standard des comptes administrateur. N’utilisez jamais de comptes administrateur de domaine pour vous connecter à des postes de travail quotidiens ou pour naviguer sur le web.

Ensuite, mettez en place des contrôles d’authentification robustes. L’authentification multifacteur (MFA) doit être obligatoire pour tous les accès administratifs et toutes les sessions de gestion à distance. Par ailleurs, imposez des normes de complexité des mots de passe rigoureuses, en exigeant des phrases de passe longues et des mises à jour régulières, afin de rendre le craquage hors ligne des mots de passe exponentiellement plus difficile pour les attaquants susceptibles d’obtenir des données de hachage.

Enfin, renforcez vos contrôleurs de domaine tant sur le plan physique que virtuel. Restreignez l’accès administratif local aux contrôleurs de domaine, appliquez rapidement les derniers correctifs de sécurité et veillez à ce que les salles serveurs soient surveillées et protégées contre toute altération physique non autorisée.

Détecter la réplication non autorisée et le vol d’identifiants

La prévention est essentielle, mais des mécanismes de détection robustes garantissent que, si un attaquant franchit votre périmètre, vous le repérez avant qu’il n’exfiltre le fichier ntds.dit. Comme les abus de DCSync et de VSS laissent des traces forensiques spécifiques, les équipes de sécurité doivent configurer une surveillance et une journalisation continues.

Les principales stratégies de détection sont les suivantes :

• Surveiller les événements de réplication de l’annuaire : surveillez de près l’ID d’événement de sécurité Windows 4662, qui consigne les opérations effectuées sur les objets du service d’annuaire. Recherchez en particulier les droits de réplication demandés ou exercés par des comptes d’ordinateur ou d’utilisateur inattendus.
• Suivre l’utilisation de VSS : auditez la création de clichés instantanés de volumes sur les contrôleurs de domaine, en particulier lorsqu’elle est initiée par des processus ou des comptes utilisateur non standard.
• Déployer des outils SIEM et de détection des menaces liées à l’identité : utilisez des solutions de gestion des informations et des événements de sécurité (SIEM) associées à des outils de surveillance dédiés à Active Directory, afin de signaler en temps réel les comportements anormaux.

En établissant une référence de l’activité normale des contrôleurs de domaine, votre centre opérationnel de sécurité (SOC) peut repérer immédiatement les tentatives de réplication non autorisées et stopper les attaques dès leur origine.

Bonnes pratiques pour la sécurité d’Active Directory à long terme

Sécuriser Active Directory et défendre le fichier ntds.dit n’est pas un projet ponctuel, mais un engagement opérationnel continu. À mesure que les acteurs malveillants font évoluer leurs tactiques, votre dispositif de défense doit s’adapter en conséquence.

Intégrez des évaluations et des audits réguliers de la sécurité d’Active Directory à votre calendrier de routine. Des outils comme PingCastle et Purple Knight peuvent vous aider à identifier les mauvaises configurations, les comptes obsolètes et l’accumulation d’autorisations (permission creep) avant que les acteurs malveillants ne les exploitent. Par ailleurs, veillez à ce que votre plan de réponse aux incidents traite spécifiquement les compromissions liées à l’identité et qu’il comprenne des procédures d’intervention répétées pour isoler les contrôleurs de domaine attaqués.

Comme nous l’avons évoqué dans notre épisode de podcast associé, Harden Azure AD Connect Against Hybrid Identity Breaches, les réseaux d’entreprise modernes s’étendent souvent sur Active Directory sur site et sur des plateformes cloud comme Azure AD. Sécuriser le pont entre votre annuaire local et le cloud est tout aussi important que protéger le fichier ntds.dit lui-même, car les attaquants exploitent fréquemment les mauvaises configurations hybrides pour rebondir d’un environnement à l’autre.

En adoptant une approche proactive et globale de la sécurité d’Active Directory, qui combine les principes du moindre privilège, la surveillance continue, une authentification forte et des audits réguliers, vous pouvez défendre avec succès le bien numérique le plus précieux de votre organisation contre les menaces d’identité avancées.