Les faiblesses que nous retrouvons le plus souvent en pentest Active Directory

Mission après mission, les tests d'intrusion sur Active Directory font ressortir un socle de faiblesses récurrentes. Elles ne tiennent presque jamais à une vulnérabilité exotique, mais à des choix de configuration accumulés au fil des années. Les connaître, c'est pouvoir les corriger avant qu'un attaquant ne les exploite. Ce panorama reste volontairement au niveau de la défense.

Trop de comptes à privilèges

Le premier constat est presque universel : les groupes d'administration sont trop peuplés. Comptes nominatifs d'anciens administrateurs, comptes de service aux droits excessifs, appartenances héritées de projets terminés. Chaque compte à privilège supplémentaire élargit la surface d'attaque. La bonne pratique : réduire ces groupes au strict nécessaire et réserver des comptes dédiés à l'administration.

Des mots de passe anciens sur des comptes sensibles

Les comptes de service ont souvent des mots de passe qui ne changent jamais, parfois faibles et documentés dans un vieux fichier partagé. Ces comptes disposent fréquemment de droits élevés. Renforcer leur robustesse, les faire tourner et surveiller leur usage réduit nettement le risque.

Des délégations et des droits trop larges

Au fil des demandes exceptionnelles, des droits sont accordés directement sur des objets de l'annuaire et oubliés. Une revue régulière des droits et délégations, selon le principe du moindre privilège, permet de refermer ces portes.

Un cloisonnement insuffisant

Lorsque postes de travail, serveurs et administration partagent le même niveau, la compromission d'un simple poste peut se propager. Le modèle d'administration en niveaux (tiering) et la segmentation du réseau limitent cette propagation.

Des protocoles et des systèmes hérités

Protocoles anciens laissés actifs, serveurs non maintenus, systèmes d'exploitation en fin de vie : autant d'éléments qui affaiblissent l'ensemble. Les retirer ou les mettre à jour fait partie des gestes de base.

Des sauvegardes insuffisamment protégées

Enfin, les sauvegardes — dernière ligne de défense face à un rançongiciel — sont parfois accessibles depuis le domaine lui-même. Les isoler et tester régulièrement leur restauration est essentiel pour pouvoir se rétablir.

Un pentest Active Directory mesure, chez vous, la distance entre un simple poste et le contrôle du domaine, puis priorise ces corrections. En savoir plus sur notre pentest AD.