Active Directory : détecter les comptes à privilèges excessifs et réduire les risques d’intrusion

Dans presque tous les rançongiciels qui paralysent une entreprise, il y a une étape décisive : le moment où l’attaquant obtient les droits d’administrateur du domaine Active Directory. À partir de là, il peut déployer son logiciel sur toutes les machines en quelques minutes. Or, dans beaucoup de PME, ces droits sont distribués bien trop largement : anciens prestataires, comptes de service, techniciens, utilisateurs « dépanneurs ». Voici comment identifier précisément qui détient trop de pouvoir, avec des outils gratuits, et comment réduire ce risque.

L’essentiel en 30 secondes

• Un compte à privilèges n’est pas seulement membre de « Admins du domaine » : droits délégués, droits de réplication, contrôle des GPO ou délégation Kerberos en font aussi.
• Des outils gratuits font l’essentiel du travail : PingCastle, BloodHound Community Edition, ORADAD de l’ANSSI, et quelques requêtes PowerShell.
• Objectif : moins de cinq comptes d’administration du domaine dans une PME, nominatifs, séparés des comptes du quotidien.
• Les comptes de service à privilèges élevés sont la cible favorite des attaquants (attaque « Kerberoasting »).

Les privilèges à rechercher

Étape 1 : un premier bilan avec PingCastle

PingCastle produit en quelques minutes un rapport HTML qui note la sécurité de votre domaine et liste les anomalies : comptes à privilèges trop nombreux, mots de passe qui n’expirent jamais, délégations dangereuses, protocoles obsolètes. Lancé depuis un poste du domaine avec un simple compte utilisateur, il ne modifie rien. C’est le meilleur point de départ pour une PME. L’ANSSI met également à disposition l’outil de collecte ORADAD et publie une liste de points de contrôle Active Directory pour ses audits.

Étape 2 : visualiser les chemins d’attaque avec BloodHound

BloodHound Community Edition collecte les relations entre comptes, groupes, machines et permissions, puis les affiche sous forme de graphe. Sa force : répondre à la question « quels comptes peuvent, par un enchaînement de droits, devenir administrateur du domaine ? ». Un stagiaire membre d’un groupe qui a le droit de réinitialiser le mot de passe d’un technicien lui-même administrateur : ce type de chemin, invisible dans la console Active Directory, saute aux yeux. Utilisez-le uniquement sur votre propre domaine, avec autorisation écrite de la direction.

Étape 3 : les requêtes PowerShell utiles

Comptes marqués comme protégés (adminCount)

Get-ADUser -Filter 'adminCount -eq 1' -Properties adminCount, LastLogonDate, Enabled |
  Select-Object SamAccountName, Enabled, LastLogonDate

Ce marqueur reste souvent sur d’anciens administrateurs retirés des groupes : vérifiez chaque compte.

Comptes de service exposés au Kerberoasting

Get-ADUser -Filter 'ServicePrincipalName -like "*"' -Properties ServicePrincipalName, PasswordLastSet, MemberOf |
  Select-Object SamAccountName, PasswordLastSet, @{n='Groupes';e={($_.MemberOf | ForEach-Object { ($_ -split ',')[0] }) -join '; '}}

Un compte avec SPN, membre d’un groupe d’administration et dont le mot de passe date de plusieurs années est une priorité absolue.

Machines en délégation non contrainte

Get-ADComputer -Filter 'TrustedForDelegation -eq $true' -Properties TrustedForDelegation |
  Where-Object { $_.Name -notin (Get-ADDomainController -Filter *).Name } |
  Select-Object Name

Administrateurs qui ne sont pas dans « Protected Users »

$proteges = (Get-ADGroupMember 'Protected Users').SamAccountName
Get-ADGroupMember 'Admins du domaine' -Recursive |
  Where-Object { $_.SamAccountName -notin $proteges } |
  Select-Object SamAccountName

D’autres requêtes d’audit figurent dans nos 12 scripts PowerShell pour administrateurs.

Étape 4 : réduire les privilèges

1. Séparer les comptes : chaque administrateur dispose d’un compte quotidien sans droits et d’un compte d’administration dédié, jamais utilisé pour la messagerie ou la navigation.
2. Vider les groupes : retirer les comptes inutiles des groupes à privilèges et des groupes « opérateurs », supprimer les anciens prestataires.
3. Appliquer le modèle en tiers : les comptes qui administrent les contrôleurs de domaine (tier 0) ne se connectent jamais aux postes de travail.
4. Protéger les comptes sensibles : groupe Protected Users, option « le compte est sensible et ne peut pas être délégué », double authentification sur les accès d’administration.
5. Remplacer les comptes de service par des comptes de service gérés (gMSA) aux mots de passe longs et changés automatiquement.
6. Corriger les délégations : supprimer la délégation non contrainte, revoir les permissions sur les OU et les GPO.
7. Déployer Windows LAPS pour les comptes administrateurs locaux.
8. Surveiller toute modification des groupes à privilèges (événements 4728, 4732, 4756). Voir les événements Windows à surveiller.

Pour comprendre comment les attaquants exploitent ces faiblesses, lisez Active Directory sous attaque.

Questions fréquentes

Combien d’administrateurs du domaine faut-il dans une PME ?

Le moins possible : deux ou trois comptes nominatifs, plus un compte de secours protégé et rangé sous clé. Les tâches courantes (réinitialiser un mot de passe, créer un utilisateur) se délèguent sans droits d’administration du domaine.

PingCastle est-il gratuit ?

Une édition gratuite permet d’auditer son propre domaine. Les usages commerciaux, comme l’audit de clients par un prestataire, relèvent d’une licence payante.

Ces outils sont-ils dangereux pour la production ?

PingCastle, ORADAD et BloodHound ne font que lire l’annuaire. Ils génèrent un peu de trafic de requêtes LDAP, sans risque pour un petit domaine. Prévenez néanmoins vos équipes : certains outils de sécurité les détectent comme suspects.

À quelle fréquence refaire l’audit ?

Un rapport PingCastle par trimestre et après chaque changement important (arrivée d’un prestataire, migration, fusion) permet de suivre l’évolution.

Sources

• CERT-FR (ANSSI), points de contrôle Active Directory.
• ANSSI, outil ORADAD.
• PingCastle.
• SpecterOps, BloodHound Community Edition.
• Microsoft Learn, modèle d’accès privilégié.

Besoin d’un accompagnement ?

MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous réalisons des audits Active Directory avec plan de remédiation. Demandez un devis gratuit ou appelez le 05 32 42 99 98.