L’infrastructure invisible, mais critique
Active Directory est l’un des composants les plus répandus dans les entreprises.
Il gère les identités, les accès, les politiques de sécurité, les postes de travail, les comptes à privilèges, et parfois même des ressources sensibles comme les partages de fichiers ou les bases internes.
C’est le socle du système d’authentification pour des milliers d’organisations.
Et pourtant, c’est souvent le moins audité, le moins surveillé, et le plus sous-estimé.
Une surface d’attaque systémique
Une faille dans Active Directory ne touche pas une seule application.
Elle permet de remonter l’intégralité de la chaîne de contrôle : utilisateurs, serveurs, administrateurs, annuaires, réseaux internes.
Quelques exemples vécus :
- Dans une administration publique, un compte à privilèges mal désactivé a permis une élévation de droits jusqu’au niveau Domain Admin, offrant un accès total aux postes des directeurs.
- Une PME victime de ransomware s’est rendu compte que l’attaque ne venait pas d’un poste utilisateur, mais d’un contrôle AD compromis plusieurs mois avant via des GPO mal configurées.
- Une entreprise du secteur financier a été infiltrée par rebond AD après compromission d’un simple compte de stagiaire, dont les permissions avaient été étendues sans contrôle.
Les 10 failles les plus critiques liées à Active Directory
1. Absence d’analyse des chemins d’attaque
Trop peu d’organisations savent qui peut devenir admin à partir de quels droits.
Les chemins d’élévation sont rarement cartographiés, ce qui permet aux attaquants de pivoter silencieusement dans l’annuaire.
2. Comptes à privilèges mal isolés
Des comptes Domain Admins utilisés pour des tâches quotidiennes ou des connexions à des postes utilisateurs.
Un mot de passe capturé, et l’ensemble du domaine est à risque.
3. Services hérités jamais supprimés
Des applications obsolètes intégrées à l’AD restent actives, avec des droits trop élevés.
Elles deviennent des points d’entrée exploitables depuis l’extérieur ou l’intérieur.
4. GPO mal configurées
Certaines stratégies de groupe ouvrent des accès trop larges ou installent des outils en automatique.
Mal utilisées, elles deviennent des vecteurs d’attaque internes.
5. Partages de fichiers ouverts
De nombreux chemins réseau partagés sont liés à l’AD et mal sécurisés.
On y trouve parfois des mots de passe en clair, des scripts d’installation, ou des données sensibles.
6. Failles dans les protocoles internes
Des attaques comme Pass-the-Hash, Kerberoasting, ou NTLM Relay exploitent les faiblesses natives des protocoles AD.
Ce ne sont pas des failles logicielles, mais des usages non maîtrisés.
7. Délégations d’accès incontrôlées
Les délégations d’administration locale ou de groupes spécifiques ne sont souvent pas documentées, ni révoquées après usage.
Ce sont des failles dormantes prêtes à être exploitées.
8. Absence de journalisation utile
Les logs AD existent, mais sont rarement exploités.
Sans corrélation ni supervision, les signaux faibles sont ignorés.
9. Mots de passe partagés et anciens
Des mots de passe identiques sur plusieurs comptes, ou inchangés depuis des années, facilitent les attaques par dictionnaire ou les rebonds après fuite.
10. Objets AD orphelins
Des utilisateurs ou ordinateurs qui ne sont plus actifs mais encore présents dans l’annuaire.
Ces comptes fantômes peuvent être réactivés ou utilisés sans alerter personne.
AD, la clé de voûte… ou de défaillance
Une compromission d’Active Directory, ce n’est pas une simple faille.
C’est une perte de contrôle de toute l’organisation.
Les attaquants le savent.
Ils cherchent la voie la plus rapide vers le contrôle de l’annuaire, puis rebondissent vers les ressources critiques.
Et dans beaucoup d’environnements, cette voie n’est ni protégée, ni surveillée.
Que faire concrètement ?
Active Directory doit être traité comme un système critique à part entière, pas comme un outil d’authentification parmi d’autres.
Cela implique :
- Une cartographie précise des comptes et privilèges
- Des revues régulières des chemins d’élévation possibles
- Une journalisation active, exploitable et corrélée
- Des scans dédiés à l’analyse de configuration AD
- Une attention permanente portée à l’hygiène des mots de passe, aux délégations et aux GPO
