Pentest Active Directory : sécurisez le cœur des accès de votre entreprise.

Pourquoi l’Active Directory est un enjeu de direction

L’Active Directory (AD) est l’annuaire qui authentifie les utilisateurs et attribue les droits sur les postes, les serveurs, les applications et souvent les sauvegardes. Le contrôler, c’est contrôler l’entreprise : c’est la raison pour laquelle les rançongiciels cherchent presque toujours à l’atteindre avant de se déclencher.

Un annuaire accumule des années de décisions : comptes de service créés pour un projet terminé, droits accordés à titre exceptionnel, serveurs hérités, délégations oubliées. L’audit ne cherche pas une faille unique et spectaculaire : il mesure comment ces petites faiblesses, mises bout à bout, raccourcissent le chemin vers les comptes les plus sensibles.

Ce que le pentest AD évalue

Le test part d’une position réaliste : un poste du réseau interne et un compte utilisateur ordinaire, comme après un hameçonnage réussi. À partir de là, l’auditeur dresse une cartographie des droits et identifie les points où la sécurité peut être prise en défaut. Les domaines examinés :

• Comptes et privilèges : comptes d’administration, comptes de service, comptes dormants ou génériques, et étendue réelle des droits de chacun.
• Hygiène des mots de passe : robustesse, politiques appliquées, comptes dont le mot de passe ne change jamais.
• Droits et délégations : attributions trop larges, héritées ou exceptionnelles, qui donnent à un compte plus de pouvoir qu’il n’en faut.
• Séparation des environnements : cloisonnement entre postes, serveurs et administration, segmentation du réseau.
• Configuration de l’annuaire : paramètres hérités, protocoles anciens, serveurs non maintenus.
• Protection des sauvegardes et des contrôleurs de domaine, cibles finales d’une attaque.

Chaque constat est illustré par son impact métier — ce qu’un attaquant pourrait atteindre — et non par un mode opératoire reproductible.

Comment se déroule une mission

1. Cadrage et autorisation écrite : périmètre (domaines, forêts, environnements), position de départ, dates, contraintes de production, convention signée par le propriétaire du système.
2. Cartographie de l’annuaire : inventaire des comptes, groupes, machines et relations, analysé pour repérer les expositions.
3. Évaluation de sécurité contrôlée : vérification des faiblesses sans perturber la production ni altérer les données, avec alerte immédiate en cas de risque critique.
4. Analyse des impacts : traduction des constats en risques concrets pour vos activités.
5. Rapport priorisé : synthèse pour la direction, puis pour chaque constat son niveau de gravité et une recommandation de correction.
6. Contre-audit pour vérifier que les corrections apportées sont efficaces.

Les leviers de correction durables

Les recommandations relèvent le plus souvent de la gouvernance de l’annuaire plutôt que d’un outil à acheter :

• réduire le nombre de comptes à privilèges et réserver des comptes dédiés à l’administration ;
• appliquer le principe du moindre privilège et réviser régulièrement les droits et délégations ;
• renforcer les mots de passe des comptes de service et surveiller les comptes sensibles ;
• cloisonner l’administration (modèle en niveaux) et segmenter le réseau ;
• retirer les protocoles anciens et maintenir les serveurs à jour ;
• protéger et tester les sauvegardes, afin de pouvoir se rétablir même après une compromission.

Un pentest AD annuel, puis après chaque changement majeur d’infrastructure, permet de vérifier que ces mesures tiennent dans le temps.

Questions fréquentes

Pour aller plus loin

Articles du blog

• Les faiblesses que nous retrouvons le plus souvent en pentest Active Directory