Active Directory (AD)
AD · AD DS · annuaire Active Directory · contrôleur de domaine · annuaire Microsoft · Entra ID
Annuaire de Microsoft qui centralise les comptes, les mots de passe et les droits de la plupart des réseaux d’entreprise sous Windows : qui le contrôle contrôle tout le réseau.
En pratique
Active Directory authentifie les utilisateurs et les machines (protocoles Kerberos et NTLM), diffuse les stratégies de groupe et décide qui accède à quoi. C’est la cible prioritaire des opérateurs de rançongiciels : une fois administrateurs du domaine, ils peuvent désactiver les protections et chiffrer tous les postes en une nuit. Les faiblesses classiques sont connues : comptes de service aux mots de passe anciens, administrateurs qui se connectent sur des postes ordinaires, délégations héritées de vieilles migrations. Entra ID (ex-Azure AD), son pendant dans le cloud, est souvent synchronisé avec lui et doit être protégé avec le même soin.
Cas fictif : lors d’un audit, une ETI découvre que 60 comptes appartiennent à des groupes d’administration, dont un compte de service créé en 2011 pour une imprimante, au mot de passe jamais changé. Après le ménage et la mise en place d’une administration cloisonnée par niveaux, il en reste 6.
Comment s’en protéger
- Réduire au strict minimum les membres des groupes d’administration du domaine.
- Cloisonner l’administration par niveaux : un administrateur du domaine ne se connecte jamais sur un poste bureautique.
- Donner aux comptes de service des mots de passe longs, gérés et renouvelés automatiquement.
- Contrôler régulièrement l’annuaire avec les points de contrôle publiés par l’ANSSI.
