Un rançongiciel qui chiffre plusieurs centaines de serveurs en une nuit n’a presque jamais forcé chaque machine une par une. Il a d’abord pris le contrôle de l’annuaire qui les administre toutes. Dans un système d’information Windows, cet annuaire porte un nom : Active Directory. Il décide qui peut se connecter, à quoi, avec quels droits. Le compromettre, c’est obtenir un interrupteur unique qui commande l’ensemble du parc.
C’est pourquoi Active Directory occupe une place à part dans la cartographie des risques d’une entreprise. Ce n’est pas un système parmi d’autres : c’est le point de convergence de toute l’authentification, et par conséquent le point où un attaquant cherche à arriver avant de déclencher son action finale. Les analyses de menace de l’ENISA classent année après année le rançongiciel parmi les premières menaces pesant sur les organisations européennes [8], et la trajectoire d’une attaque aboutie passe presque systématiquement par la prise de contrôle de l’annuaire.
Cet article propose une lecture opérationnelle du durcissement d’Active Directory. Il explique pourquoi l’annuaire concentre le risque, décrit les techniques d’attaque les plus courantes, détaille le modèle d’administration en tiers qui structure toute la défense, puis déroule les mesures de configuration, de surveillance et de reconstruction qui permettent de tenir dans la durée. Le fil conducteur suit les recommandations de l’ANSSI [1][2] et le modèle d’accès à privilèges publié par Microsoft [3].
Pourquoi Active Directory concentre le risque
Active Directory est l’annuaire d’identités et de droits des environnements Windows d’entreprise. Il gère l’authentification via le protocole Kerberos, la structure des comptes et des groupes, les stratégies de groupe qui configurent des milliers de postes, et les relations d’approbation entre domaines. Presque tout ce qui se connecte au système d’information dépend de lui, directement ou indirectement.
Cette centralité en fait un actif dont la valeur pour l’attaquant est disproportionnée. Compromettre un poste bureautique donne un point d’appui. Compromettre l’annuaire donne le domaine tout entier. Le rapport entre l’effort investi et l’impact obtenu est sans commune mesure, ce qui explique que les groupes d’attaquants aient professionnalisé les techniques d’élévation de privilèges vers le domaine.
Le déroulé d’une attaque typique éclaire ce point. L’accès initial se fait souvent par hameçonnage ou par exploitation d’un service exposé. L’attaquant obtient alors les droits d’un utilisateur ordinaire. À partir de là, il cherche à progresser latéralement et à collecter des identifiants, jusqu’à mettre la main sur un compte à privilèges. Une fois les droits du domaine acquis, il désactive les protections, supprime ou chiffre les sauvegardes, puis déploie sa charge finale sur l’ensemble du parc en s’appuyant précisément sur les mécanismes de distribution centralisée que fournit l’annuaire. Le rançongiciel n’est que le dernier acte d’une pièce dont l’avant-dernier acte s’est joué dans Active Directory.
Le rapport d’activité de Cybermalveillance.gouv.fr documente chaque année la prépondérance du rançongiciel parmi les incidents traités pour les entreprises et les collectivités [9], et les retours d’incident convergent sur un constat : la maîtrise de l’annuaire est le facteur qui distingue une attaque contenue d’une attaque généralisée.
Comment les attaquants compromettent un annuaire
Les techniques employées contre Active Directory ne reposent presque jamais sur des vulnérabilités inédites. Elles exploitent des faiblesses de configuration connues, documentées, et pour la plupart détectables. Les connaître est la première étape pour les fermer.
Le Kerberoasting cible les comptes de service. Tout utilisateur authentifié peut demander un ticket de service Kerberos pour un compte associé à un service, puis tenter de casser hors ligne le mot de passe à partir de ce ticket [5]. Les comptes de service ayant historiquement des mots de passe faibles, statiques et rarement changés, cette technique reste redoutablement efficace. La parade tient en un mot : des secrets longs, aléatoires et à rotation automatique.
Le DCSync consiste à se faire passer pour un contrôleur de domaine et à demander la réplication de la base de comptes, y compris les empreintes de mots de passe [6]. Un attaquant disposant des droits de réplication peut ainsi extraire les secrets de tous les comptes, dont ceux d’administration, sans jamais toucher physiquement un contrôleur. Cette technique explique pourquoi les droits de réplication doivent être considérés comme des privilèges de Tier 0 et surveillés comme tels.
Le Pass-the-Ticket et les techniques apparentées reposent sur le vol et la réutilisation de tickets Kerberos valides récupérés en mémoire sur une machine compromise [7]. Un ticket dérobé permet de s’authentifier sans connaître le mot de passe. C’est cette mécanique qui rend si dangereuse la connexion d’un compte à privilèges sur un poste de niveau inférieur : l’identifiant laissé en mémoire devient une clé réutilisable.
À ces trois techniques s’ajoutent l’exploitation des délégations Kerberos mal configurées, l’abus des ACL trop permissives sur des objets sensibles, et le détournement des mécanismes liés aux autorités de certification intégrées à l’annuaire. Le point commun de tous ces vecteurs est qu’ils tirent parti d’une configuration héritée, accumulée au fil des années, que personne n’a réévaluée. Le durcissement consiste précisément à reprendre le contrôle de cette configuration.
Le modèle d’administration en tiers
La mesure structurante du durcissement d’Active Directory est le modèle en tiers. Son principe est simple à énoncer et exigeant à mettre en oeuvre : séparer les actifs selon leur niveau de sensibilité et empêcher qu’un identifiant de haut niveau ne s’expose jamais sur un actif de niveau inférieur.
Les trois niveaux
Le Tier 0 regroupe ce qui contrôle le domaine : contrôleurs de domaine, comptes d’administration du domaine et de la forêt, serveurs de gestion des identités, autorités de certification liées à l’annuaire, et postes d’administration de ces éléments. C’est le coeur du réacteur. Quiconque contrôle un actif de Tier 0 contrôle le domaine.
Le Tier 1 couvre les serveurs et les applications : serveurs de fichiers, bases de données, applications métier, hyperviseurs. Ces systèmes hébergent des données importantes mais ne commandent pas l’annuaire.
Le Tier 2 rassemble les postes de travail et les périphériques des utilisateurs finaux, ainsi que leurs comptes d’assistance. C’est le niveau le plus exposé, celui où arrivent les courriels et où se produisent la plupart des compromissions initiales.
La règle d’or
Le modèle repose sur une interdiction stricte : un compte d’un tier donné ne doit jamais s’authentifier sur un actif d’un tier inférieur. Un administrateur du domaine (Tier 0) ne se connecte jamais sur un serveur applicatif (Tier 1) ni sur un poste bureautique (Tier 2). La raison est directement liée aux techniques vues plus haut : dès qu’un identifiant s’authentifie sur une machine, un secret réutilisable subsiste en mémoire. Si cette machine est compromise, le secret l’est aussi. Autoriser un compte de Tier 0 à se connecter sur un poste de Tier 2, c’est offrir à un attaquant présent sur ce poste un chemin direct vers le domaine.
Cette séparation se matérialise par des comptes distincts pour chaque niveau, des groupes d’administration cloisonnés, et des restrictions techniques d’ouverture de session qui empêchent, par stratégie, les connexions transverses. Le modèle d’accès à privilèges de Microsoft formalise cette approche et la relie à une logique de plans de contrôle, de gestion et de données [3].
Comptes et accès à privilèges
La séparation en tiers n’a de valeur que si les comptes à privilèges sont eux-mêmes protégés. C’est le second pilier du durcissement.
Le poste d’administration dédié, ou PAW pour Privileged Access Workstation, est la pièce maîtresse. Il s’agit d’une machine durcie, réservée aux tâches d’administration sensibles, dépourvue de messagerie et de navigation Internet, isolée du reste du parc [4]. Administrer le domaine depuis un poste bureautique ordinaire revient à exposer les identifiants les plus critiques à la surface d’attaque la plus large. Le PAW referme cette porte. C’est l’une des mesures dont les retours d’incident montrent le meilleur rendement.
La gestion des comptes à privilèges, ou PAM, complète le dispositif en encadrant l’usage des comptes sensibles : coffre de secrets, élévation temporaire de droits, enregistrement des sessions, rotation automatique des mots de passe. Le PAM réduit le nombre de comptes disposant en permanence de droits élevés, au profit d’un octroi juste-à-temps et traçable. Cette approche prolonge la logique de moindre privilège au coeur même de l’administration. Elle s’articule avec la démarche plus large de gestion des identités et des accès à privilèges, dont Active Directory est souvent la brique centrale.
L’authentification forte des comptes à privilèges est non négociable. Un mot de passe seul, aussi complexe soit-il, ne résiste ni à l’hameçonnage ni au vol d’empreinte. L’ajout d’un second facteur robuste sur les accès d’administration ferme une part importante des chemins d’attaque. Le sujet dépasse le seul annuaire et relève d’une politique d’ensemble d’authentification multifacteur en entreprise.
Enfin, la réduction du nombre de comptes à privilèges est un chantier permanent. Les groupes d’administration s’accumulent avec le temps, gonflés par des ajouts ponctuels jamais retirés. Un audit régulier des appartenances aux groupes sensibles, en particulier ceux de Tier 0, révèle presque toujours des comptes qui n’ont plus aucune raison d’y figurer. Chaque compte à privilèges en trop est une cible en plus.
Durcir la configuration au quotidien
Au-delà de l’architecture, le durcissement passe par un ensemble de réglages concrets que les guides de l’ANSSI détaillent point par point [1]. Ces contrôles ne sont pas spectaculaires, mais leur accumulation fait la différence entre un annuaire résistant et un annuaire poreux.
Les comptes de service doivent utiliser des secrets longs et aléatoires, idéalement des comptes de service gérés par le groupe, dont le mot de passe est géré et renouvelé automatiquement par le système. Cette mesure neutralise le Kerberoasting à la racine.
Les délégations Kerberos doivent être inventoriées et restreintes. La délégation non contrainte, qui autorise un serveur à agir au nom de n’importe quel utilisateur, est particulièrement dangereuse et devrait être éliminée au profit de la délégation contrainte, limitée à des services précis.
Les protocoles hérités affaiblissent l’ensemble. Les anciens mécanismes d’authentification, les suites de chiffrement obsolètes et les protocoles de résolution de noms vulnérables offrent des points d’appui aux attaquants. Leur désactivation progressive, après inventaire des dépendances, réduit d’autant la surface exploitable.
Les droits sur les objets sensibles méritent une revue dédiée. Les listes de contrôle d’accès qui régissent les objets de l’annuaire peuvent contenir des permissions trop larges, parfois héritées d’une migration ancienne, qui ouvrent des chemins d’élévation invisibles à l’oeil nu. Des outils d’analyse spécialisés cartographient ces chemins d’attaque et hiérarchisent les corrections.
Enfin, la gestion des correctifs sur les contrôleurs de domaine doit être prioritaire et rapide. Une vulnérabilité critique sur un contrôleur est une vulnérabilité sur le coeur du système d’information. Cette exigence s’inscrit dans la démarche plus générale de gestion des vulnérabilités, avec un niveau d’urgence rehaussé pour le Tier 0.
Détecter et surveiller
Le durcissement réduit la surface d’attaque, mais ne la supprime pas. La surveillance est le filet qui permet de repérer une tentative avant qu’elle n’aboutisse. Elle constitue le troisième pilier.
La journalisation des événements d’authentification et d’administration doit être activée finement sur les contrôleurs de domaine, puis centralisée. Les demandes de tickets de service en volume anormal signalent un Kerberoasting. Les opérations de réplication provenant d’une source inattendue trahissent un DCSync. Les modifications d’appartenance aux groupes de Tier 0 sont des événements à alerter systématiquement. Ces signaux n’ont de valeur que collectés et corrélés, ce qui suppose un dispositif de journalisation et de détection par SIEM alimenté par les bonnes sources.
La détection comportementale complète la journalisation en repérant les écarts par rapport à la normale : un compte d’administration qui se connecte à une heure inhabituelle, depuis une machine inattendue, ou qui accède à des ressources qu’il ne touche jamais. Ces anomalies, invisibles dans une lecture ligne à ligne, ressortent d’une analyse d’ensemble.
L’inventaire continu des chemins d’attaque relève de la même logique préventive. Cartographier régulièrement les relations de privilèges au sein de l’annuaire permet de repérer les chemins qui mènent au Tier 0 avant qu’un attaquant ne les emprunte. C’est une forme de test permanent de la solidité du modèle en tiers.
Reconstruire après compromission
La dernière brique du durcissement est celle qu’on espère ne jamais utiliser : le plan de reconstruction. Il repose sur un principe difficile à accepter mais confirmé par tous les retours d’incident : après une compromission du Tier 0, on ne nettoie pas un annuaire, on le reconstruit.
La raison tient à la nature des persistances qu’un attaquant maître du domaine a pu installer. Comptes cachés, modifications discrètes de listes de contrôle d’accès, faux certificats émis par une autorité compromise, empoisonnement de la base de comptes : chacune de ces portes dérobées peut survivre à un nettoyage superficiel. Les identifier toutes avec certitude est plus coûteux et plus risqué que de restaurer une forêt saine à partir de sauvegardes fiables.
La reconstruction de forêt, ou forest recovery, est une procédure documentée qui restaure l’annuaire dans un état antérieur connu et de confiance, sur des systèmes sains. Elle exige des sauvegardes protégées, hors ligne et testées, ainsi qu’une procédure écrite et répétée. Une reconstruction improvisée sous la pression d’une crise échoue. Une reconstruction préparée et exercée se déroule en heures plutôt qu’en semaines.
Ce chantier s’inscrit naturellement dans la gestion de crise cyber et la continuité d’activité, dont Active Directory est un composant critique. Les recommandations sectorielles, notamment celles de la CISA sur la réponse aux rançongiciels, insistent sur la disponibilité de sauvegardes hors ligne et sur la préparation de la restauration comme conditions de la résilience [10]. Un plan de continuité qui n’intègre pas explicitement la reconstruction de l’annuaire laisse un angle mort au centre du dispositif.
Une feuille de route de durcissement
Aborder l’ensemble de front décourage. Une progression par étapes rend le chantier tenable et produit des gains rapides.
La première étape consiste à cartographier l’existant : inventorier les comptes de Tier 0, les appartenances aux groupes sensibles, les délégations, les droits de réplication et les chemins d’attaque. Cette photographie révèle presque toujours des privilèges oubliés et des configurations à risque.
La deuxième étape est de déployer les postes d’administration dédiés et de rediriger toute administration du Tier 0 vers eux. C’est la mesure au meilleur rendement immédiat.
La troisième étape met en place la séparation en tiers : comptes distincts par niveau, restrictions d’ouverture de session, cloisonnement des groupes. Elle demande de la rigueur mais coupe les chemins d’élévation les plus directs.
La quatrième étape corrige la configuration : secrets de service robustes, délégations restreintes, protocoles hérités désactivés, droits sensibles nettoyés, correctifs prioritaires sur les contrôleurs.
La cinquième étape active la surveillance et alimente le SIEM avec les journaux pertinents, puis définit les alertes sur les événements de Tier 0.
La sixième et dernière étape prépare la reconstruction : sauvegardes hors ligne protégées, procédure écrite, exercice de restauration. C’est l’assurance de dernier recours, et elle ne vaut que testée.
Cette trajectoire recoupe la logique d’une architecture Zero Trust, qui refuse la confiance implicite et vérifie chaque accès. Active Directory durci en est un pilier concret, puisqu’il est le lieu où se décide, pour l’essentiel, qui a le droit de faire quoi.
Questions fréquentes
Pourquoi Active Directory est-il la cible principale des rançongiciels ?
Parce qu’il centralise l’authentification et les droits de l’ensemble des postes et serveurs Windows. En prenant le contrôle du domaine, l’attaquant obtient un moyen unique de déployer sa charge malveillante partout à la fois, de désactiver les protections et de supprimer les sauvegardes. La compromission d’Active Directory n’est presque jamais l’objectif final : elle est l’étape qui rend le chiffrement massif possible en quelques minutes.
Qu’est-ce que le Tier 0 dans un annuaire Active Directory ?
Le Tier 0 regroupe tous les actifs capables de contrôler directement ou indirectement le domaine : contrôleurs de domaine, comptes d’administration du domaine, serveurs de gestion des identités, autorités de certification liées à l’annuaire, et les postes depuis lesquels ces éléments sont administrés. Le principe fondateur du modèle en tiers est qu’un compte de Tier 0 ne doit jamais s’authentifier sur un actif de niveau inférieur, car un identifiant exposé sur un poste compromis serait immédiatement réutilisable pour prendre le domaine.
Un poste d’administration dédié est-il vraiment nécessaire ?
Oui, c’est l’une des mesures au meilleur rapport efficacité sur effort. Un poste d’administration à privilèges, ou PAW, est une machine durcie, sans messagerie ni navigation Internet, réservée aux tâches d’administration sensibles. Elle empêche qu’un hameçonnage ou une pièce jointe piégée ouverte sur un poste bureautique ne compromette dans la foulée des identifiants d’administrateur du domaine. Sans elle, la séparation en tiers reste théorique.
Comment détecter une attaque de type Kerberoasting ?
Le Kerberoasting consiste à demander des tickets de service Kerberos pour des comptes de service, puis à casser hors ligne le mot de passe à partir du ticket. La détection repose sur la journalisation des demandes de tickets de service, en particulier les volumes anormaux d’événements associés à un même compte source, et sur le repérage des comptes de service à mot de passe faible ou ancien. La prévention passe par des mots de passe de service longs et aléatoires, idéalement des comptes de service gérés par le groupe, dont la rotation est automatique.
Peut-on nettoyer un Active Directory compromis sans le reconstruire ?
Rarement, et jamais avec certitude après une compromission du Tier 0. Un attaquant qui a obtenu les droits du domaine a pu créer des portes dérobées durables : comptes cachés, modifications d’ACL, empoisonnement de la base de comptes, faux certificats. Détecter et supprimer chacune de ces persistances est plus long et plus risqué que de repartir d’une forêt saine restaurée à partir de sauvegardes fiables. C’est pourquoi un plan de reconstruction de forêt testé fait partie des livrables attendus d’une démarche de résilience.
À retenir
Active Directory n’est pas un système parmi d’autres : c’est le point où se décide l’authentification de tout le parc Windows, et donc le point que tout attaquant cherche à atteindre avant de frapper. Sa compromission ne précède pas seulement le rançongiciel, elle le rend possible à grande échelle.
Le durcissement repose sur quatre piliers cohérents. Le modèle en tiers isole le Tier 0 et interdit aux identifiants critiques de s’exposer sur des actifs de moindre confiance. La gestion des comptes à privilèges, appuyée sur des postes d’administration dédiés et une authentification forte, protège les clés du domaine. La configuration durcie ferme les faiblesses connues qu’exploitent le Kerberoasting, le DCSync ou les délégations abusives. La surveillance et le plan de reconstruction, enfin, transforment une compromission potentielle en incident contenu et récupérable.
Aucune de ces mesures n’est hors de portée, et les guides de l’ANSSI comme le modèle d’accès à privilèges de Microsoft en fournissent le mode d’emploi détaillé. Ce qui manque le plus souvent n’est pas la connaissance, mais la décision de traiter l’annuaire pour ce qu’il est : l’actif le plus critique du système d’information, celui dont dépend la survie de tous les autres.