La sécurité Active Directory est rarement mise en défaut par une faille exotique. Dans la très grande majorité des incidents, c’est une configuration laissée par défaut, un groupe privilégié trop peuplé ou un mot de passe administrateur local identique sur deux cents postes qui ouvre la voie.
Dans un établissement scolaire comme dans une PME, l’annuaire concentre les comptes, les droits, les stratégies et l’authentification au réseau. Le compromettre revient à prendre le contrôle du système d’information entier. Voici les sept erreurs de configuration Active Directory les plus exploitées par les attaquants, et surtout les correctifs concrets à appliquer.
Temps de lecture : 9 minutes
Sécurité Active Directory, 7 erreurs à corriger en 2026
- Pourquoi l’annuaire est la cible numéro un
- Les 7 erreurs de configuration qui ouvrent la porte aux attaquants
- Comment détecter qu’un Active Directory a été compromis
- Que faire en cas de compromission avérée
- Des compétences qui s’apprennent en conditions réelles
- Sécuriser l’annuaire et construire une carrière en cybersécurité
- FAQ
Pourquoi l’annuaire est la cible numéro un
Active Directory centralise les comptes utilisateurs, les groupes, les ordinateurs, les serveurs, les droits d’accès et les politiques de sécurité appliquées via les objets de stratégie de groupe, ou GPO. Ces GPO sont elles-mêmes stockées dans la base de l’annuaire. Cette centralisation fait sa force opérationnelle et sa fragilité. Un attaquant qui obtient un compte à privilèges n’a plus besoin de chercher ailleurs, il dispose de la clé maîtresse.
Le contexte scolaire accentue encore le problème. Une école gère des populations mouvantes, des comptes créés et supprimés chaque rentrée, des postes partagés entre plusieurs promotions, du matériel parfois ancien, des accès à distance et des utilisateurs peu sensibilisés au phishing. Ajoutez des équipes informatiques réduites et des contraintes budgétaires, et vous obtenez un terrain propice aux vulnérabilités Active Directory. Les mêmes constats valent pour les collectivités et les structures industrielles, ce qui explique pourquoi l’ANSSI publie des recommandations de durcissement spécifiques à l’annuaire.
Les 7 erreurs de configuration qui ouvrent la porte aux attaquants
Dans la grande majorité des intrusions, les mêmes sept erreurs reviennent. Le tableau suivant résume les risques et les correctifs prioritaires avant le détail de chaque point.
| Erreur de configuration | Risque principal | Correctif prioritaire |
|---|---|---|
| Groupes privilégiés trop larges | Prise de contrôle du domaine | Moindre privilège et délégation par OU |
| Compte admin utilisé au quotidien | Pass-the-hash, mouvement latéral | Comptes adm- dédiés, MFA, Protected Users |
| Admin local partagé | Propagation sur tout le parc | Windows LAPS |
| GPO par défaut, OU plate | Postes non durcis | Arborescence OU et GPO testées |
| Contrôleur de domaine exposé | Vol de secrets de domaine | Server Core, BitLocker, TPM, correctifs |
| NTLM et signatures désactivées | Relais et interception | LDAP signing, SMB signing, Kerberos |
| Pas d’audit ni de sauvegarde isolée | Détection tardive, perte de l’annuaire | auditpol, SIEM, sauvegarde hors ligne |
Erreur 1, des groupes à privilèges obèses
C’est l’erreur fondatrice. Les groupes Domain Admins et Enterprise Admins finissent par accueillir des prestataires partis depuis trois ans, un compte de service applicatif et deux techniciens qui n’en avaient besoin qu’une fois. Microsoft recommande de réduire ces appartenances au strict minimum et d’appliquer le principe du moindre privilège à chaque compte. Concrètement, chaque identité ne doit porter que les droits nécessaires à sa fonction, ni plus ni moins. La délégation de droits sur une unité organisationnelle précise remplace avantageusement l’ajout dans un groupe global.
Erreur 2, l’absence de séparation entre compte quotidien et compte d’administration
Un administrateur qui consulte ses courriels et navigue sur Internet avec son compte privilégié laisse ses identifiants en mémoire sur un poste exposé. C’est le scénario type du pass-the-hash et du mouvement latéral. La règle est simple : un compte nominatif pour le quotidien de type prenom.nom, un compte dédié aux opérations sensibles de type adm-prenom.nom, et des comptes de service nommés svc-application avec des droits limités à une seule fonction.
L’authentification multifacteur doit couvrir en priorité les comptes d’administration, et le groupe Protected Users ainsi que Credential Guard viennent limiter l’exposition des secrets en mémoire sur les systèmes compatibles.
Erreur 3, des utilisateurs administrateurs locaux et un mot de passe partagé
Laisser les comptes élèves ou les comptes collaborateurs en administrateurs locaux revient à autoriser l’installation de n’importe quel binaire et la désactivation des protections. Pire, un mot de passe d’administrateur local identique sur l’ensemble du parc transforme la compromission d’un seul poste en compromission généralisée. Windows LAPS répond précisément à ce besoin en générant et en renouvelant automatiquement un mot de passe unique par machine, stocké dans l’annuaire et accessible uniquement aux comptes autorisés. C’est l’une des mesures de durcissement au meilleur rapport effort sur bénéfice.
Bon à savoir
Un mot de passe d’administrateur local unique par machine coupe net le mouvement latéral classique entre postes d’une même salle ou d’un même service, même si un attaquant récupère une empreinte d’authentification.
Erreur 4, une arborescence plate et des GPO laissées par défaut
Sans structure d’unités organisationnelles cohérente, impossible d’appliquer des stratégies différenciées. Une organisation lisible sépare les populations et les machines, par exemple des OU dédiées aux élèves, aux enseignants, à l’administration, à l’informatique, aux postes de chaque population, aux serveurs et aux comptes de service.
Les stratégies de groupe permettent ensuite d’imposer la complexité et la durée de vie des mots de passe, le verrouillage automatique des sessions, la désactivation des services inutiles, les restrictions applicatives, le pare-feu Windows, les paramètres d’audit et les droits de connexion locale et distante. Ces GPO doivent être documentées, testées sur une OU pilote puis déployées progressivement, afin de ne pas interrompre les cours ou les services administratifs. Dernier réflexe : attribuez les droits à des groupes plutôt qu’à des utilisateurs individuels, les arrivées et les départs deviennent alors triviaux.
Erreur 5, des contrôleurs de domaine traités comme des serveurs ordinaires
La protection du contrôleur de domaine conditionne tout le reste. Les recommandations convergent : limiter l’accès physique aux serveurs, réserver l’ouverture de session interactive aux administrateurs autorisés, proscrire la navigation Internet depuis ces machines, appliquer rapidement les correctifs, privilégier une installation minimale de type Server Core lorsque le contexte s’y prête, chiffrer les volumes avec BitLocker et s’appuyer sur un TPM pour protéger les clés. Un contrôleur de domaine qui sert aussi de serveur de fichiers ou d’hyperviseur de test est une anomalie à corriger en priorité.
Erreur 6, des protocoles d’authentification laissés en mode permissif
NTLM traîne encore dans beaucoup d’environnements pour des raisons de compatibilité applicative. Sa réduction, voire son blocage après inventaire des dépendances, élimine une large famille d’attaques de relais. Dans le même esprit, l’activation de la signature LDAP et de la signature SMB empêche la manipulation des échanges entre clients et contrôleurs de domaine. Kerberos reste le protocole privilégié, à condition de surveiller les comptes de service et la durée de vie des tickets, car la falsification d’un ticket de type Golden Ticket suppose justement la compromission préalable de secrets de domaine mal protégés.
Erreur 7, aucune journalisation exploitable et aucune sauvegarde hors ligne
Beaucoup d’organisations découvrent l’intrusion par le message de rançon. Sans politique d’audit, impossible de reconstituer la chronologie d’une attaque. La stratégie d’audit Windows se configure par GPO, via auditpol.exe, par API ou par le Registre. Les événements à collecter en priorité concernent les connexions administratives inhabituelles, les modifications des groupes privilégiés, les changements de permissions, les créations et suppressions de comptes, la désactivation de mécanismes de sécurité, les authentifications depuis des postes inattendus, les échecs répétés de connexion et les modifications de stratégies de groupe.
Centraliser ces journaux dans un SIEM, même modeste, change la donne. Côté continuité, les sauvegardes doivent être régulières, multiples, protégées contre la suppression et le chiffrement, et au moins une copie doit rester isolée du réseau.
Comment détecter qu’un Active Directory a été compromis
Signes de compromission Active Directory à surveiller
Un compte de service qui se connecte soudainement à un contrôleur de domaine, un ajout non planifié dans un groupe privilégié, une GPO modifiée en dehors des fenêtres de maintenance ou une vague d’échecs d’authentification sur des comptes inactifs font partie des signes de compromission à surveiller en priorité. Les référentiels publics de techniques d’attaque comme MITRE ATT&CK aident à relier ces observations à des modes opératoires connus, ce qui accélère la qualification de l’incident.
Une revue trimestrielle des appartenances aux groupes et une revue annuelle complète des habilitations constituent un rythme réaliste, avec un contrôle systématique à chaque rentrée et à chaque départ.
Que faire en cas de compromission avérée
Étapes de réponse à un incident Active Directory
La réaction doit être ordonnée pour préserver les preuves sans aggraver la situation. Voici la séquence à suivre en cas de suspicion sérieuse.
- Isoler le poste concerné du réseau sans l’éteindre si une analyse forensique est envisagée.
- Désactiver ou suspendre les comptes compromis et identifier les connexions récentes ainsi que les changements de groupes.
- Vérifier les modifications de GPO et la création de comptes inhabituels.
- Réinitialiser les secrets compromis selon une procédure maîtrisée, en commençant par les comptes à privilèges.
- Contrôler les contrôleurs de domaine et les postes d’administration, préserver les journaux, puis restaurer uniquement depuis des sauvegardes vérifiées.
- Documenter l’incident, corriger sa cause et informer les responsables ainsi que les parties concernées, le RGPD imposant des obligations précises en cas de violation de données personnelles.
Une sauvegarde jamais restaurée avec succès ne doit pas être considérée comme fiable. La restauration d’une forêt Active Directory est un exercice long et technique, qui se prépare par des tests périodiques et une procédure écrite, pas improvisé un dimanche soir sous pression.
À retenir
Le duo gagnant reste la réduction des privilèges et la capacité à détecter puis à restaurer. Les deux se travaillent en laboratoire bien avant le premier incident réel.
Des compétences qui s’apprennent en conditions réelles
Ces sujets ne s’acquièrent pas uniquement dans un support de cours. Chez REDSUP, nous formons des profils capables d’administrer et de durcir un domaine Windows Server, de configurer des GPO, de superviser les journaux et de répondre à un incident. Le parcours bac+3 Administrateur d’infrastructures sécurisées pose les bases de l’administration système et réseau, puis le Mastère européen Expert IT en cybersécurité et haute disponibilité de niveau 7 approfondit la défense en profondeur et la haute disponibilité.
Nos modules dédiés à la sécurité des réseaux d’entreprise et à l’analyse SOC complètent utilement cette approche, tout comme l’administration Linux avancée pour les environnements hybrides.
L’alternance reste le format le plus efficace pour transformer ces notions en réflexes professionnels, puisque vous appliquez en entreprise ce que vous venez de pratiquer en laboratoire. Nous accompagnons chaque candidat dans sa recherche de contrat, qu’il vienne d’un cursus informatique, d’une réorientation ou d’une reconversion professionnelle. Les étudiants internationaux, notamment depuis l’Afrique, intègrent nos promotions via les procédures classiques ou une rentrée décalée selon leur calendrier administratif.
Sécuriser l’annuaire et construire une carrière en cybersécurité
Sécuriser un annuaire ne demande pas d’investissement démesuré, mais de la méthode et de la constance. Réduisez les privilèges, séparez les comptes, déployez Windows LAPS, structurez vos OU et vos GPO, isolez vos contrôleurs de domaine, durcissez les protocoles, journalisez et sauvegardez hors ligne. Appliquées sérieusement, ces sept corrections éliminent la majorité des chemins d’attaque observés sur le terrain.
Si ces chantiers vous parlent et que vous souhaitez en faire un métier, nos formations en cybersécurité et infrastructures sont conçues exactement pour cela, avec un fort ancrage pratique et un accompagnement vers l’alternance.
En résumé : renforcer la sécurité Active Directory au quotidien
En appliquant ces mesures de durcissement, en documentant vos choix et en testant régulièrement vos procédures de restauration, vous consolidez durablement la sécurité Active Directory de votre établissement ou de votre entreprise.
FAQ
Faut-il désactiver ou supprimer les comptes des anciens élèves ?
La désactivation immédiate est la règle, suivie d’un archivage puis d’une suppression après la période de conservation définie par l’établissement. Les comptes inactifs laissés actifs sont des cibles idéales, car personne ne remarque leur utilisation anormale.
Un compte de service peut-il être membre de Domain Admins ?
Dans l’immense majorité des cas, non. Un compte de service doit recevoir uniquement les permissions nécessaires à son application, idéalement via une délégation fine. Les éditeurs qui exigent des droits d’administration du domaine doivent être challengés sur cette exigence.
Combien de comptes d’administration faut-il prévoir ?
Il n’existe pas de chiffre universel, mais le principe est clair : un compte nominatif par administrateur plutôt qu’un compte partagé. La traçabilité des actions repose entièrement sur cette nominativité.
Le compte invité doit-il être désactivé ?
Oui, sauf besoin explicitement justifié et encadré. C’est l’une des premières vérifications d’un audit Active Directory, au même titre que l’examen des comptes intégrés et des groupes privilégiés.
Peut-on apprendre l’administration d’Active Directory sans expérience préalable ?
Oui, à condition de disposer d’un laboratoire pour pratiquer. Nos parcours partent des fondamentaux systèmes et réseaux avant d’aborder le durcissement, ce qui permet aux profils en reconversion de progresser rapidement.