1. À propos d'Active Directory en cybersécurité

Active Directory occupe une place centrale dans de nombreux réseaux d'entreprise utilisant les technologies Microsoft. Il permet notamment de gérer de manière centralisée les utilisateurs, les ordinateurs, les groupes, les ressources et les droits d'accès.

Cette position centrale en fait également une infrastructure particulièrement importante du point de vue de la cybersécurité. Lorsqu'un environnement Active Directory est compromis, un attaquant peut parfois obtenir progressivement des privilèges importants et accéder à de nombreuses ressources du réseau.

Comprendre Active Directory est donc utile aussi bien pour les administrateurs système que pour les analystes SOC, les spécialistes de la défense informatique et les pentesters.

2. Qu'est-ce qu'Active Directory ?

Active Directory, souvent abrégé AD, désigne le service d'annuaire de Microsoft utilisé principalement dans les environnements Windows d'entreprise.

Un annuaire peut être comparé à une grande base organisée contenant des informations sur les différents objets d'un réseau.

Active Directory peut notamment gérer :

• les comptes utilisateurs ;
• les groupes ;
• les ordinateurs ;
• les serveurs ;
• certaines ressources partagées ;
• les politiques de sécurité ;
• les permissions et droits d'accès.

Au lieu de gérer séparément les comptes sur chaque ordinateur, l'organisation peut ainsi mettre en place une gestion centralisée des identités et des accès.

Dans la pratique, lorsqu'on parle d'Active Directory dans un réseau Windows, on fait très souvent référence à Active Directory Domain Services, ou AD DS, qui fournit les fonctions de domaine et d'annuaire.

3. Comment fonctionne Active Directory ?

Active Directory organise les ressources d'un réseau selon une structure hiérarchique et permet aux utilisateurs de s'authentifier auprès d'un domaine.

Un fonctionnement simplifié peut être représenté ainsi :

Utilisateur → Authentification → Contrôleur de domaine → Vérification de l'identité → Accès aux ressources autorisées

Lorsqu'un utilisateur ouvre une session sur un ordinateur appartenant au domaine, ses informations d'authentification sont utilisées pour vérifier son identité.

Une fois authentifié, ses permissions déterminent les ressources auxquelles il peut accéder.

Active Directory s'appuie sur plusieurs technologies et protocoles importants, notamment LDAP, Kerberos et DNS.

LDAP

LDAP est utilisé pour interroger et manipuler les informations présentes dans l'annuaire.

Kerberos

Kerberos joue un rôle majeur dans l'authentification des utilisateurs et des services dans un domaine Active Directory moderne.

DNS

DNS permet notamment aux machines de localiser les services et contrôleurs de domaine nécessaires au fonctionnement d'Active Directory.

4. Les principaux composants d'Active Directory

Pour comprendre Active Directory, il est nécessaire de connaître plusieurs notions fondamentales.

Domaine

Un domaine regroupe des utilisateurs, ordinateurs et autres objets administrés dans un environnement Active Directory.

Une organisation peut par exemple utiliser un domaine interne correspondant à son infrastructure informatique.

Contrôleur de domaine

Le contrôleur de domaine, ou Domain Controller, est un serveur exécutant AD DS qui participe notamment à l'authentification et conserve une copie de l'annuaire du domaine.

Il constitue donc un élément particulièrement sensible de l'infrastructure.

Unité d'organisation

Une OU, ou Organizational Unit, est un conteneur permettant d'organiser logiquement les objets du domaine.

Une organisation peut par exemple créer :

• OU Enseignants ;
• OU Étudiants ;
• OU Administration ;
• OU Ordinateurs ;
• OU Serveurs.

Forêt

Une forêt Active Directory constitue une structure logique pouvant contenir un ou plusieurs domaines partageant notamment le schéma et certaines informations de configuration.

Arbre

Un arbre peut regrouper plusieurs domaines liés dans une structure hiérarchique et partageant un espace de noms DNS contigu.

5. Utilisateurs, groupes et ordinateurs dans Active Directory

Active Directory manipule différents types d'objets. Les utilisateurs, groupes et ordinateurs font partie des plus importants.

Utilisateurs

Un compte utilisateur représente généralement une personne autorisée à utiliser certaines ressources du domaine.

Le compte peut être associé à différentes informations et permissions.

Groupes

Les groupes facilitent l'administration des autorisations. Au lieu d'attribuer individuellement une permission à plusieurs dizaines d'utilisateurs, l'administrateur peut attribuer cette permission à un groupe puis ajouter les utilisateurs concernés à ce groupe.

Par exemple :

Groupe Enseignants → accès au dossier Ressources pédagogiques

Ordinateurs

Les machines intégrées au domaine disposent également d'objets Active Directory. Cela permet leur administration centralisée et l'application de politiques de sécurité.

Cette organisation simplifie considérablement la gestion des grandes infrastructures.

6. Authentification et autorisation dans Active Directory

Deux concepts doivent être distingués : authentification et autorisation.

Authentification

L'authentification consiste à vérifier l'identité d'un utilisateur ou d'un système.

La question est :

Qui êtes-vous ?

Dans un environnement Active Directory, Kerberos est généralement le protocole d'authentification privilégié. NTLM peut encore être rencontré dans certains scénarios, notamment pour des raisons de compatibilité.

Autorisation

L'autorisation intervient après l'identification de l'utilisateur et détermine ce qu'il est autorisé à faire.

La question devient :

À quelles ressources avez-vous le droit d'accéder ?

Un utilisateur correctement authentifié ne doit donc pas nécessairement avoir accès à toutes les ressources du domaine.

Les groupes, les permissions, les ACL et différentes politiques contribuent à déterminer ses droits.

7. Les stratégies de groupe GPO

Les GPO, ou Group Policy Objects, permettent aux administrateurs de définir et d'appliquer de nombreux paramètres aux utilisateurs et aux ordinateurs d'un environnement Active Directory.

Une organisation peut utiliser les stratégies de groupe pour configurer ou imposer certains paramètres de sécurité, par exemple :

• certaines politiques de mots de passe ;
• des paramètres de verrouillage des comptes ;
• des restrictions utilisateur ;
• des paramètres du pare-feu Windows ;
• des configurations de sécurité des postes ;
• certains paramètres système ;
• le déploiement de configurations ou de logiciels dans certains environnements.

Les GPO jouent donc un rôle important dans la sécurisation centralisée d'un parc informatique Windows.

Une mauvaise configuration d'une stratégie de groupe peut cependant créer des problèmes de sécurité ou perturber le fonctionnement de nombreuses machines. Leur administration doit donc être rigoureuse.

8. Pourquoi Active Directory est-il important en cybersécurité ?

Active Directory centralise une grande partie des identités, des permissions et des mécanismes d'administration d'une infrastructure Windows.

Il constitue donc une cible particulièrement importante lors de nombreuses cyberattaques contre des organisations.

Un attaquant ayant compromis un simple poste utilisateur peut chercher à progresser progressivement dans le réseau afin d'obtenir des privilèges supplémentaires.

Son objectif peut être d'atteindre des comptes fortement privilégiés ou des systèmes critiques.

La compromission d'un compte disposant de privilèges élevés peut permettre, selon les droits obtenus et la configuration du réseau, d'accéder à un grand nombre de ressources.

La sécurité d'Active Directory est donc directement liée à plusieurs notions fondamentales :

• gestion des identités ;
• contrôle d'accès ;
• authentification ;
• gestion des privilèges ;
• segmentation ;
• journalisation ;
• surveillance des activités suspectes.

9. Les principales menaces contre Active Directory

Les environnements Active Directory peuvent être exposés à différentes techniques d'attaque lorsqu'ils sont mal configurés, insuffisamment surveillés ou lorsqu'un compte est compromis.

Vol d'identifiants

Un attaquant peut chercher à récupérer les identifiants d'un utilisateur afin d'usurper son identité.

Attaques contre les mots de passe

Les mots de passe faibles, réutilisés ou compromis augmentent le risque d'accès non autorisé.

Élévation de privilèges

Après avoir compromis un compte disposant de peu de droits, un attaquant peut rechercher des erreurs de configuration ou d'autres possibilités lui permettant d'obtenir davantage de privilèges.

Mouvement latéral

Le mouvement latéral consiste pour un attaquant déjà présent dans le réseau à tenter d'accéder à d'autres machines, comptes ou services.

Abus de comptes privilégiés

Les comptes possédant des privilèges administratifs constituent des cibles particulièrement sensibles. Leur compromission peut avoir des conséquences importantes.

Mauvaises configurations

Des permissions excessives, des comptes inutilisés, des groupes mal configurés ou des politiques de sécurité insuffisantes peuvent faciliter une compromission.

10. Active Directory et les cyberattaques

Plusieurs termes apparaissent fréquemment lorsqu'on étudie la sécurité offensive et défensive d'Active Directory.

Kerberoasting

Le Kerberoasting désigne une technique visant certains comptes de service utilisant Kerberos afin de tenter d'obtenir hors ligne le secret associé à partir de données d'authentification récupérées. Des mots de passe de comptes de service faibles augmentent le risque.

Pass-the-Hash

Le Pass-the-Hash désigne une technique dans laquelle un attaquant disposant d'un condensat d'authentification NTLM exploitable tente de s'authentifier sans connaître directement le mot de passe en clair.

Password Spraying

Le Password Spraying consiste à tester un petit nombre de mots de passe contre plusieurs comptes plutôt qu'un grand nombre de mots de passe contre un seul compte.

Abus de relations de confiance

Les relations de confiance entre domaines ou environnements doivent être correctement configurées et surveillées, car une confiance trop large peut augmenter l'impact d'une compromission.

La connaissance de ces techniques est importante pour les équipes de défense afin de mettre en place des mesures de prévention, de détection et de réponse adaptées.

11. Comment sécuriser Active Directory ?

La protection d'Active Directory repose sur plusieurs mesures complémentaires. Aucune protection unique ne suffit à sécuriser l'ensemble d'un domaine.

Appliquer le principe du moindre privilège

Chaque utilisateur doit disposer uniquement des permissions nécessaires à son activité. Les droits administratifs doivent être strictement limités.

Protéger les comptes administrateurs

Les comptes fortement privilégiés doivent faire l'objet de protections renforcées et ne devraient pas être utilisés pour les activités quotidiennes ordinaires.

Renforcer l'authentification

Il convient d'utiliser des politiques d'authentification adaptées, de réduire l'utilisation de mots de passe faibles ou compromis et d'utiliser l'authentification multifacteur lorsque les services et scénarios concernés la prennent en charge.

Maintenir les systèmes à jour

Les contrôleurs de domaine, serveurs et postes de travail doivent recevoir les mises à jour de sécurité appropriées.

Surveiller les événements

La journalisation et la surveillance permettent de rechercher des comportements inhabituels tels que des authentifications anormales, des modifications de groupes privilégiés ou certaines tentatives répétées d'accès.

Auditer régulièrement les permissions

Les groupes, comptes privilégiés, ACL et délégations doivent être contrôlés régulièrement afin d'identifier les permissions devenues inutiles ou excessives.

Désactiver les comptes inutilisés

Les anciens comptes constituent une surface d'attaque supplémentaire lorsqu'ils restent actifs sans nécessité.

Sauvegarder et préparer la récupération

Une organisation doit disposer de sauvegardes adaptées et d'une stratégie de récupération permettant de réagir à une panne, une compromission ou une attaque importante contre l'infrastructure d'identité.

12. À retenir

Active Directory est une technologie Microsoft permettant de centraliser la gestion des identités, des ordinateurs, des groupes et de nombreux mécanismes d'accès dans les réseaux Windows d'entreprise.

Le contrôleur de domaine constitue un composant essentiel d'un domaine Active Directory. Les protocoles et services tels que Kerberos, LDAP et DNS participent à son fonctionnement.

Active Directory joue un rôle majeur en cybersécurité car une grande partie des identités et privilèges d'une organisation peut dépendre de cette infrastructure. Une compromission importante de l'environnement AD peut donc avoir des conséquences sur de nombreux systèmes.

Sa protection repose notamment sur le principe du moindre privilège, la sécurisation des comptes administratifs, une authentification robuste, la surveillance, l'audit des permissions, la mise à jour des systèmes et une stratégie de récupération adaptée.

Auteur : Younes Derfoufi
Lieu de travail : CRMEF OUJDA
Site Web : www.tresfacile.net
Chaine YouTube : https://www.youtube.com/user/InformatiquesFacile
Me contacter : https://www.tresfacile.net/me-contacter/