Pourquoi auditer son Active Directory ?

Dans la majorité des entreprises, Active Directory contrôle qui accède à quoi. C'est aussi, de loin, la cible privilégiée des cyberattaquants. Un audit régulier n'est pas un luxe : c'est la meilleure façon de savoir où sont vos failles avant qu'un attaquant ne les trouve à votre place.

Active Directory, le cœur névralgique du SI

Active Directory (AD) est l'annuaire qui gère les comptes utilisateurs, les ordinateurs, les groupes et les droits d'accès dans un environnement Windows. Concrètement, il décide qui peut ouvrir une session, accéder à un dossier partagé, installer un logiciel ou administrer un serveur.

Cette position centrale en fait un point unique de défaillance : qui contrôle Active Directory contrôle l'ensemble du système d'information. C'est précisément pour cette raison que les attaquants le visent en priorité. Lors d'une attaque par rançongiciel, prendre le contrôle de l'AD permet de diffuser le malware sur toute l'infrastructure en quelques minutes.

Pourquoi un AD se dégrade avec le temps

Un annuaire est rarement compromis parce qu'il a été mal conçu au départ. Le problème vient de l'accumulation, année après année, de petites négligences :

• Comptes inactifs jamais désactivés (anciens salariés, prestataires partis).
• Privilèges excessifs : des utilisateurs qui sont administrateurs « parce que c'était plus simple ».
• Mots de passe faibles ou qui n'expirent jamais sur des comptes de service.
• Groupes imbriqués dont plus personne ne comprend la logique.
• Délégations oubliées qui donnent des droits insoupçonnés.

Chacun de ces points, pris isolément, semble bénin. Mis bout à bout, ils dessinent des chemins d'attaque qu'un intrus peut exploiter pour passer d'un simple poste utilisateur au contrôle total du domaine.

Ce que révèle concrètement un audit

Un audit d'Active Directory ne se limite pas à cocher une liste. Il cartographie les faiblesses réelles et les hiérarchise. Voici ce qu'il met généralement en lumière :

Les comptes à risque

Détection des comptes vulnérables à des techniques comme le Kerberoasting ou l'AS-REP Roasting, qui permettent à un attaquant de récupérer et de casser des mots de passe hors ligne.

Les chemins d'escalade de privilèges

À l'aide d'outils comme BloodHound, l'audit cartographie les enchaînements de droits qui mènent, étape par étape, jusqu'aux comptes administrateurs. On visualise ainsi la « distance » réelle entre un poste lambda et le contrôle du domaine.

La configuration et les stratégies

Revue des stratégies de groupe (GPO), des politiques de mot de passe, des délégations et des ACL, pour identifier les réglages qui affaiblissent l'ensemble.

Un audit ne produit pas une simple liste de problèmes : il livre un plan d'action priorisé, où chaque recommandation est classée selon son impact et son urgence.

À quelle fréquence auditer ?

Pour une PME, un audit complet une fois par an constitue une bonne base, complété par une revue après tout changement majeur (fusion, migration, nouvel outil critique). Les organisations plus exposées, collectivités, santé, secteurs réglementés, ont intérêt à l'intégrer dans un cycle plus régulier, notamment dans la perspective de la conformité NIS 2.

En résumé

Auditer son Active Directory, c'est se donner une longueur d'avance : identifier les failles pendant qu'elles sont encore théoriques, plutôt que de les découvrir le jour où elles sont exploitées. C'est un investissement modeste au regard du coût d'une compromission, arrêt d'activité, perte de données, atteinte à la réputation.