Audit et durcissement Active Directory
Active Directory concentre une grande partie des identités, des droits et des mécanismes d’administration d’une infrastructure Windows.
RUBIMAX analyse les faiblesses de l’annuaire, les replace dans leur contexte réel et prépare un plan de durcissement compatible avec les contraintes de l’entreprise.
Active Directory est souvent une fondation négligée
Un serveur peut être à jour. Les postes peuvent disposer d’un EDR. Le pare-feu peut être correctement configuré.
Si l’annuaire permet à un compte compromis d’obtenir rapidement des privilèges élevés ou de se déplacer facilement dans l’infrastructure, une partie importante de ces protections peut être contournée.
Les faiblesses Active Directory résultent souvent d’années d’évolution : comptes anciens, privilèges accordés temporairement puis oubliés, délégations historiques, GPO devenues incohérentes ou mécanismes d’authentification conservés pour d’anciennes applications.
L’objectif n’est pas d’obtenir un meilleur score. Il est de réduire les possibilités de compromission et de propagation tout en conservant un environnement exploitable.
Ce que nous analysons
Le périmètre est adapté à l’environnement et aux objectifs de la mission.
L’analyse ne repose pas sur un score unique ni sur un seul outil. RUBIMAX croise plusieurs méthodes d’analyse, des vérifications directes et la connaissance du contexte afin de distinguer les alertes théoriques des risques réellement significatifs.
Comptes et privilèges
Nous examinons notamment :
- les comptes disposant de privilèges élevés ;
- les membres des groupes d’administration ;
- les comptes administrateurs utilisés au quotidien ;
- les droits accordés localement sur les postes et serveurs ;
- les comptes anciens ou inutilisés ;
- les comptes de service ;
- les privilèges qui ne correspondent plus au besoin réel.
L’objectif est de réduire le nombre de comptes capables d’administrer l’environnement et de limiter les chemins permettant d’obtenir des privilèges élevés.
Groupes et délégations
Une délégation Active Directory peut être parfaitement légitime lorsqu’elle est créée.
Le problème apparaît lorsqu’elle subsiste plusieurs années après la disparition du besoin initial.
L’audit examine les groupes, leurs membres, les délégations et les droits hérités afin d’identifier les permissions excessives ou difficiles à justifier.
Une attention particulière est portée aux droits susceptibles de permettre une modification indirecte d’un compte ou d’un groupe privilégié.
Stratégies de groupe et paramètres de sécurité
Les stratégies de groupe participent directement au niveau de sécurité des postes et des serveurs.
Nous vérifions notamment :
- les politiques de mot de passe ;
- les paramètres de sécurité distribués aux machines ;
- les stratégies appliquées aux comptes privilégiés ;
- les paramètres devenus inutiles ou contradictoires ;
- l’application réelle des stratégies sur les systèmes concernés.
Une GPO existante n’est utile que si elle est correctement définie, liée au bon périmètre et effectivement appliquée.
Authentification et protocoles historiques
Certaines configurations anciennes restent présentes uniquement parce qu’elles n’ont jamais été remises en question.
Le but n’est pas de désactiver brutalement un protocole historique parce qu’il est considéré comme faible.
Il faut d’abord comprendre qui l’utilise, pourquoi, quelle application en dépend, quelles conséquences aurait sa désactivation et quelle solution peut permettre de le supprimer proprement.
Durcir un annuaire ne consiste pas à appliquer une liste de paramètres sans regarder les dépendances.
Contrôleurs de domaine et services essentiels
Les contrôleurs de domaine constituent des systèmes particulièrement sensibles.
Selon le périmètre, l’audit vérifie notamment leur rôle, leur exposition, leur niveau de mise à jour, la cohérence de leur configuration, les dépendances DNS et les mécanismes de réplication.
L’objectif est de s’assurer que les fondations de l’annuaire sont cohérentes avant de travailler sur des sujets plus spécifiques.
Administration locale et administration du domaine
L’un des objectifs du durcissement consiste à éviter qu’un même niveau de privilège soit utilisé partout.
Un compte destiné à administrer l’annuaire n’a pas vocation à servir à la navigation Web, à la messagerie ou à l’administration quotidienne d’un poste utilisateur.
L’audit examine la séparation des usages et des privilèges afin de réduire les possibilités de récupération d’identifiants administratifs depuis un système moins critique.
Les comptes de service demandent une attention particulière
Les comptes de service sont fréquemment à l’origine de difficultés de durcissement.
Un mot de passe ancien ou un privilège excessif peut représenter un risque important, mais une modification précipitée peut également arrêter une application métier.
RUBIMAX identifie les dépendances avant de proposer une correction. Lorsqu’une évolution est nécessaire, elle doit être préparée, testée et documentée.
Du diagnostic au durcissement
L’analyse n’a d’intérêt que si elle permet de décider quelles corrections engager, dans quel ordre et avec quelles précautions. Le durcissement doit tenir compte du risque observé, des dépendances techniques et des contraintes de production.
Du constat au plan de correction
Toutes les alertes ne présentent pas la même importance.
Les constats sont classés selon leur niveau de risque, leur exposition et les contraintes de l’environnement.
- corrections urgentes ;
- corrections rapides ;
- changements nécessitant une préparation ;
- dépendances applicatives ;
- exceptions temporaires à documenter.
L’objectif est d’obtenir une feuille de route applicable, et non une liste de centaines d’alertes sans ordre ni contexte.
Durcir Active Directory sans casser la production
Certaines recommandations de sécurité sont faciles à écrire et beaucoup plus difficiles à appliquer sur un environnement qui fonctionne depuis plusieurs années.
Modifier une authentification, retirer un privilège ou changer une stratégie peut avoir des conséquences sur une application métier, un service Windows, une tâche planifiée, un équipement ancien ou un compte de service.
Avant les changements importants, RUBIMAX cherche à identifier les dépendances, les conséquences possibles et, lorsque cela est pertinent, une possibilité de retour arrière.
Une correction n’est terminée que lorsqu’elle est vérifiée
Modifier une stratégie ou retirer un droit ne suffit pas.
Après application, il faut vérifier que la modification est effective, que le risque initial est réellement réduit et que les services continuent de fonctionner.
Il faut également s’assurer que l’ancienne configuration n’est pas réintroduite quelques jours plus tard.
Les urgences sont traitées comme des urgences
Lorsqu’une faiblesse critique présente un risque immédiat pour l’entreprise, RUBIMAX n’attend pas la rédaction finale du rapport pour la signaler.
Le dirigeant ou le responsable concerné est informé afin qu’une décision puisse être prise rapidement.
Lorsque la correction peut être réalisée immédiatement et sans risque disproportionné pour la production, elle peut être appliquée avec l’accord du client puis consignée dans le rapport.
Comment se déroule la mission
De l’analyse initiale à la restitution, chaque étape permet de transformer les constats techniques en corrections compréhensibles, préparées et vérifiables.
Après l’audit : trois possibilités
L’entreprise reste libre de la manière dont elle souhaite appliquer les recommandations et organiser le durcissement de son annuaire.
Un annuaire sécurisé doit le rester
Active Directory continue d’évoluer après l’audit : nouveaux comptes, changements d’administrateurs, applications supplémentaires et exceptions modifient progressivement l’environnement.
Des contrôles réguliers permettent de vérifier que les améliorations restent en place et que les nouveaux changements ne recréent pas progressivement les mêmes risques.
Définir le bon périmètre d’intervention
Selon les difficultés rencontrées, l’analyse peut rester centrée sur Active Directory ou s’inscrire dans un audit plus large de l’infrastructure. Le premier échange permet de définir le périmètre pertinent et les modalités d’intervention.
Audit Active Directory ou audit de sécurité global ?
Un audit Active Directory se concentre sur l’annuaire, les identités, les privilèges et les mécanismes qui lui sont directement liés.
Lorsque les interrogations concernent également le réseau, les postes, les serveurs, les VPN ou les solutions de protection, un audit de sécurité global de l’infrastructure est généralement plus approprié.
Dans le Loiret et partout en France selon la mission
RUBIMAX accompagne les TPE et PME du bassin de Montargis, d’Orléans, du Loiret et de Centre-Val de Loire.
Les audits Active Directory et certaines opérations de durcissement peuvent également être réalisés à distance ou ailleurs en France lorsque les conditions techniques et organisationnelles le permettent.
Faire le point sur votre Active Directory
Vous souhaitez connaître le niveau de sécurité réel de votre annuaire, comprendre les risques liés aux privilèges ou préparer un durcissement sans perturber la production ?
Le premier échange permet de préciser votre environnement, les problématiques connues et le périmètre de l’analyse.