Analyses Active Directory

L'Active Directory est la cible n°1 des attaquants. La page Sécurité → Analyses AD (/ad/analyses) réunit en une seule liste les signaux d'hygiène et de sécurité que le connecteur Active Directory lit déjà.

Elle fonctionne comme les analyses AWS, Azure et Entra ID :

constats classés par gravité ;
filtres ;
Accepter le risque ;
compteurs ;
export de rapport (Exporter un rapport).

Lecture seule, et aucun secret

La page ne modifie rien dans l'annuaire. Elle ne contient ni mot de passe, ni condensat, ni valeur cpassword : pour une stratégie de groupe qui porte un mot de passe, elle indique seulement « mot de passe récupérable dans la GPP nom de la GPO ».

Le score de l'annuaire

En haut de l'onglet Constats, trois indicateurs résument l'annuaire : un score sur 100 (100 = rien à corriger), la note de A à E qui en découle et la couverture. « 72 / 100 — couverture 25 % » signifie que 19 points de contrôle sur 76 sont évalués.

Le calcul est celui de tous les rapports (Exporter un rapport) ; le filtre de la liste ne le change pas.

Les points non évalués ne changent pas le score

Quand InfraRiver évalue de nouveaux points après une mise à jour, le score peut baisser sans que votre annuaire se soit dégradé.

Le niveau ANSSI, affiché plus bas, est une mesure distincte : il dit quels niveaux du guide sont atteints, pas combien de constats existent.

Plusieurs domaines

Quand le connecteur lit plusieurs domaines, chaque domaine est jugé sur ses propres réglages, ses propres comptes et ses propres ordinateurs. Un même signal peut donc apparaître dans chacun, avec son domaine dans la colonne Domaine AD ; le filtre de la liste permet de n'en regarder qu'un.

Un point de contrôle n'est évalué que si tous les domaines ont pu être lus pour lui : un réglage illisible dans un seul domaine suffit à le laisser « non évalué ».

L'onglet Approbations montre tous les domaines et leurs partenaires sur la même carte. L'inventaire additionne les contrôleurs de tous les domaines.

Les trois onglets

La page a trois onglets : Constats (la liste décrite plus bas), Approbations et Inventaire. Les deux derniers décrivent l'annuaire entier : ils ne sont pas montrés à un rôle dont le périmètre est limité à ses serveurs.

Approbations

Une carte montre le domaine et chaque domaine ou forêt avec lequel il a une approbation. Une flèche va du domaine qui approuve vers le domaine approuvé ; elle est rouge quand l'approbation porte un constat.

Le tableau dessous donne, pour chaque approbation :

le type (forêt, interne à la forêt, domaine externe) ;
le sens ;
la transitivité ;
les protections (filtrage, historique de SID, délégation Kerberos) ;
l'âge du mot de passe de l'approbation ;
les constats.

Quatre points de l'ANSSI en dépendent :

approbation sortante non filtrée ;
approbation de forêt avec historique de SID ;
approbation entrante qui autorise la délégation ;
compte d'approbation de plus d'un an ou sans approbation.

Un annuaire sans approbation l'affiche en toutes lettres. Des approbations non lues ne sont jamais présentées comme « aucune approbation ».

Inventaire

L'onglet rassemble :

les comptes : actifs, désactivés, inactifs depuis 90 jours, jamais connectés, verrouillés, mot de passe sans expiration, privilégiés, comptes de service ;
les ordinateurs actifs par système, avec l'état du support de l'éditeur ;
la liste des contrôleurs de domaine (système, rôle, âge du mot de passe machine) ;
la taille des groupes privilégiés ;
la couverture LAPS et BitLocker.

Pour LAPS, la page dit d'abord si le schéma de l'annuaire le définit (sinon : « non déployé »), puis combien de serveurs et de postes portent un mot de passe géré. Pour BitLocker, elle indique combien d'ordinateurs ont une clé de récupération lisible. Seule la présence est lue, jamais un mot de passe ni une clé.

Clés BitLocker et droits du compte de service

Par défaut, seuls les administrateurs du domaine peuvent lire les clés de récupération BitLocker. Avec un compte de service sans ce droit, le chiffre est zéro sans que cela signifie une absence de chiffrement.

Le dernier démarrage d'un contrôleur n'est pas lu.

Les points de contrôle de l'ANSSI

Le CERT-FR (ANSSI) publie une liste de 76 points de contrôle de l'Active Directory, répartis en niveaux de 1 (problèmes critiques) à 5 (état de l'art). Seuls les niveaux 1 à 3 sont publiés à ce jour.

Les constats de cette page sont rangés selon ces points. La colonne Point de contrôle ANSSI indique le point que le constat met en échec, ou « Hygiène complémentaire » quand aucun point publié ne correspond (mot de passe récupérable dans une GPP, compte sans mot de passe obligatoire, adminCount orphelin…).

Inspiré des points de l'ANSSI — pas un outil de l'ANSSI

Cette page s'inspire des points de contrôle publiés par l'ANSSI (CERT-FR, source, Licence ouverte v2.0). Ce n'est ni une évaluation ni un outil de l'ANSSI : l'outil officiel lit beaucoup plus de détails que ce connecteur.

Le tableau Points de contrôle ANSSI liste les 76 points, du niveau 1 au niveau 4, avec leur identifiant officiel (vuln_…) et le niveau (ou les niveaux) où ils interviennent. Deux filtres, Niveau et Statut, restreignent la liste. Chaque point a un statut :

Statut	Sens
Non satisfait	au moins un constat prouve que le point est en échec ; le nombre d'objets concernés ouvre la liste filtrée
Satisfait	le point a été évalué en entier, sur des données réellement lues, et rien n'a été trouvé
Partiel	soit des objets sont « à vérifier » (le constat ne suffit pas à prouver l'échec, par exemple une délégation dont on ignore si la cible est privilégiée), soit l'évaluation ne couvre qu'une partie du point — la note sous le titre dit laquelle
Non évalué	InfraRiver ne lit pas encore ce point, ou la donnée dont il a besoin n'est pas collectée ; la raison est affichée. Ce n'est jamais un succès
Hors de votre périmètre	pour un rôle restreint : le point concerne l'annuaire entier, pas ses serveurs

La colonne Couverture précise si InfraRiver évalue le point complètement (« exacte ») ou en partie (« partielle »). Un risque accepté laisse le point en échec : accepter un constat n'est pas le corriger.

Le niveau de l'annuaire

La règle de l'ANSSI est que, pour obtenir un niveau, l'annuaire doit passer tous les points des niveaux inférieurs. La carte Niveau ANSSI (indicatif) applique cette règle : le niveau est borné par le point en échec le plus grave (au pire quand un point intervient à plusieurs niveaux), avec sa définition officielle, le détail par niveau et la liste « Pour passer au niveau N+1, corrigez ces points ».

Le niveau est affiché « au plus N » tant que des points d'un niveau inférieur ne sont pas évalués ou ne le sont qu'en partie : ils pourraient être en échec.
Si aucun point évalué n'est en échec mais que beaucoup ne sont pas évalués, le niveau est non établi.
Le niveau reste indicatif : l'outil de l'ANSSI affine selon des détails que ce connecteur ne lit pas.

Un rôle à périmètre restreint ne voit pas le niveau (il concerne l'annuaire entier) : seuls les points qui portent un constat de son périmètre sont indiqués.

Les constats

Signal	Gravité
Compte privilégié actif sans mot de passe obligatoire / exposé à l'AS-REP / à délégation non contrainte / portant un SPN (Kerberoasting) ; mot de passe récupérable dans une GPP	Critique
Mot de passe de `krbtgt` de plus d'un an ; compte sans mot de passe obligatoire ; AS-REP ; chiffrement réversible ; DES seul ; SPN avec mot de passe ancien ; mot de passe sans expiration d'un compte privilégié ; compte privilégié inactif ; ordinateur en fin de support	Élevée
Délégation avec transition de protocole ou basée sur les ressources ; `adminCount` orphelin ; groupe à hauts privilèges très peuplé ; `krbtgt` de plus de six mois	Moyenne
Compte inactif ; mot de passe inchangé depuis trois ans ; délégation contrainte ; compte désactivé encore membre d'un groupe privilégié ; ordinateur inactif	Faible

| Opérations anonymes autorisées (dSHeuristics) ; « Anonymous Logon » dans le groupe de compatibilité ; contrôleur de domaine incohérent ; DES déclaré par un contrôleur ou un compte de service ; historique de SID reprenant un groupe d'administration ; réplication de SYSVOL par FRS ; contrôleur en lecture seule qui a copié un compte privilégié | Élevée | | Ajout de machines au domaine ouvert à tous (ms-DS-MachineAccountQuota ≠ 0) ; compte Invité activé ; membre inattendu du groupe de compatibilité ; compte privilégié hors du groupe Protected Users ; politique de mot de passe faible pour un compte privilégié ; mot de passe machine d'un contrôleur ou d'un serveur ancien ; groupe de réplication refusée des contrôleurs en lecture seule incomplet | Moyenne | | Compte privilégié sans adminCount ; groupe principal modifié ; historique de SID présent ; politique de mot de passe granulaire sans cible | Faible |

La gravité d'un même signal monte quand le compte est privilégié. Chaque constat porte l'objet (compte, groupe, ordinateur, GPO), le point de contrôle ANSSI, le domaine, ce qui a été observé, pourquoi c'est un risque et une recommandation.

Paramètres du domaine lus par le connecteur

À chaque synchronisation, le connecteur lit en plus des réglages qui concernent le domaine entier :

quota de machines ;
dSHeuristics ;
niveaux fonctionnels ;
compte Invité ;
groupe « Pre-Windows 2000 Compatible Access » ;
groupe Protected Users ;
historiques de SID ;
contrôleurs de domaine, dont ceux en lecture seule et leurs listes de révélation ;
comptes de service managés ;
mode de réplication de SYSVOL ;
politique de mot de passe du domaine et objets de paramètres de mot de passe (PSO).

Si l'un d'eux ne peut pas être lu, la page l'indique dans les angles morts et les points qui en dépendent restent non évalués : un réglage non lu n'est jamais pris pour un réglage correct.

Un droit de lecture à vérifier

Par défaut, seuls les administrateurs du domaine peuvent lire le conteneur des objets de paramètres de mot de passe (CN=Password Settings Container,CN=System). Avec un compte de service sans ce droit, un compte privilégié visé par une politique granulaire est signalé « à vérifier » (politique non lisible) au lieu d'être jugé sur la politique du domaine.

Pour que le point mot de passe des comptes privilégiés soit évalué complètement, accordez au compte de service le droit de lecture sur ce conteneur.

Permissions des objets sensibles et DNS

Le connecteur lit aussi qui a quels droits sur les objets dont la compromission vaut celle de l'annuaire :

racine du domaine, de la configuration et des partitions DNS : c'est là que se joue le DCSync, la copie des secrets ;
schéma ;
AdminSDHolder ;
unité Domain Controllers et objets des contrôleurs ;
comptes et groupes privilégiés ;
unités d'organisation qui contiennent un compte privilégié ;
paramètres DFSR de SYSVOL ;
clés DPAPI et clés des comptes de service de groupe ;
conteneur MicrosoftDNS.

Il signale tout principal qui n'est pas un détenteur attendu (Domain Admins, Enterprise Admins, Administrators, SYSTEM…) et qui détient un droit dangereux :

contrôle total ;
écriture générique ;
modification des permissions ou du propriétaire ;
écriture de toutes les propriétés ;
tous les droits étendus ;
réplication des secrets ;
réinitialisation du mot de passe ;
ajout à un groupe ;
écriture de gPLink sur une unité d'organisation…

Il signale aussi les propriétaires inattendus. Seuls les droits et leurs titulaires sont conservés, jamais le descripteur de sécurité entier.

Côté DNS : les membres non privilégiés de DnsAdmins (le groupe équivaut à un groupe d'administration) et les zones qui acceptent les mises à jour dynamiques non sécurisées.

La définition de « dangereux » ne couvre pas : les seuils par niveau de l'ANSSI, les droits sur chaque classe ou attribut du schéma, les sites.

Un compte de service en lecture seule lit presque tous ces objets. Trois cas lui échappent souvent, et le point concerné reste alors non évalué :

Objet	Ce qui se passe
Clés DPAPI	objets invisibles pour lui
Conteneur MicrosoftDNS	un constat « à vérifier » l'explique
Comptes privilégiés : tout objet dont le descripteur est restreint	constat « descripteur illisible »

Accordez au compte de service le droit de lire les permissions (Read permissions) sur ces objets pour les évaluer.

Certificats de l'annuaire (ADCS)

Quand l'annuaire héberge des services de certificats Microsoft, le connecteur lit les modèles de certificats, les conteneurs de certificats et les certificats d'autorité publiés. Quatre signaux en découlent :

un modèle publié, utilisable pour s'authentifier, dont le demandeur fournit lui-même le nom, sans approbation d'un gestionnaire ni signature autorisée, et que des utilisateurs non privilégiés peuvent demander : ils peuvent alors obtenir un certificat au nom de n'importe qui, administrateur compris ;
un droit dangereux sur un modèle ;
un droit dangereux sur un conteneur de certificats ;
un certificat d'autorité faible (RSA de moins de 2048 bits, exposant public de 65536 ou moins, DSA) ou expiré.

Les droits par défaut des groupes d'administration et de Cert Publishers (propriétaire des conteneurs AIA) ne sont pas signalés. Un modèle dont le créateur garde des droits d'écriture l'est : c'est le cas fréquent d'un modèle dupliqué à la main.

Sans service de certificats, rien n'est signalé. Les autorités qui acceptent un nom alternatif dans la requête sont contrôlées par l'agent de CertManager, pas ici.

Paramètres de sécurité des contrôleurs de domaine

Quand GpoRiver a importé un rapport de GPO, la page lit les options de sécurité des GPO liées à l'unité Domain Controllers (à défaut, au domaine). Elle signale :

signature LDAP non exigée ;
liaison de canal LDAP non exigée ;
signature SMB non exigée ;
niveau d'authentification qui accepte encore LM ou NTLMv1 ;
empreinte LM stockée.

C'est une approximation de la stratégie résultante : le niveau le plus proche l'emporte (l'unité, puis le domaine), puis l'ordre de liaison. Le blocage d'héritage et le mode « appliqué » ne sont pas évalués ; GpoRiver calcule la stratégie exacte sur sa propre page.

Une option qu'aucune GPO importée ne définit n'est pas un constat : elle est nommée dans les angles morts, et le défaut du système s'applique.

Autres réglages du domaine et des comptes

Le connecteur signale aussi :

mots de passe du domaine stockés de façon réversible (pwdProperties) ;
renouvellement du mot de passe des comptes à carte à puce non activé ;
boucles d'imbrication de groupes ;
mot de passe de plus de trois ans d'un compte de cluster de basculement ;
comptes privilégiés hors d'un silo d'authentification appliqué ;
quota de machines, compte Invité, accès anonymes, historique de SID, contrôleurs en lecture seule et politique de mot de passe des comptes privilégiés.

Mesures du test actif (réseau des machines)

Si vous utilisez le test actif, cinq constats s'ajoutent.

Constat	Gravité	Ce qu'il signifie
Compte d'un domaine approuvé membre d'un groupe privilégié	élevée	le constat nomme le compte, par exemple `FILIALE\jdupont`, et le groupe ; il ne vient que de la mesure Utilisateurs étrangers, jamais d'un SID sans nom
Partage ouvert à une session anonyme	élevée	n'importe qui sur le réseau peut se connecter, sans compte
Partage ouvert à tout utilisateur authentifié	moyenne	le compte de test, simple membre de Domain Users, a pu s'y connecter
Interface réseau annoncée par une machine et absente de l'inventaire	moyenne	l'adresse annoncée par la machine ne figure ni dans son adresse principale ni dans ses interfaces d'inventaire
Machine présente sur plusieurs réseaux	faible	plusieurs réseaux annoncés ; le réseau d'une adresse est pris pour son /24 en IPv4 ou son /64 en IPv6, c'est une approximation

Pour les partages, aucun contenu n'est lu : le constat dit qu'il faut regarder ce partage, pas ce qu'il contient. Les partages attendus d'une machine Windows ne sont jamais signalés.

Ces constats sont des instantanés : le détail indique « mesuré le … », et au-delà de 30 jours « mesure ancienne, à refaire ». Ils ne se résolvent jamais seuls et ne changent pas le niveau ANSSI. La carte Mesures actives ouvre la liste filtrée.

Techniques MITRE ATT&CK

Sous le libellé de chaque constat, la ligne MITRE ATT&CK donne la ou les techniques de la matrice publique MITRE ATT&CK® Enterprise auxquelles la règle se rattache (par exemple T1558.003, le Kerberoasting). C'est un repère dans le vocabulaire des équipes de défense.

Chaque identifiant est un lien vers la fiche de la technique sur le site de MITRE ; le lien ne s'ouvre que si votre poste a accès à Internet.

Les identifiants figurent aussi dans l'annexe du rapport PDF et dans la colonne Techniques ATT&CK des exports Excel et CSV. Seuls les identifiants sont repris, pas les textes de MITRE.

Compteurs, filtres, raccourcis

Les cartes du haut comptent les constats à traiter par gravité, plus les risques acceptés.
La seconde rangée ouvre la liste filtrée : Comptes privilégiés à risque, Kerberoasting / AS-REP, Délégations dangereuses, Comptes inactifs, Mots de passe sans expiration, Systèmes en fin de support.
Filtres : gravité, point de contrôle ANSSI, règle, objet, domaine Active Directory, statut.
Accepter le risque (droit ad_findings.accept) : justification d'au moins cinq caractères, durée (30 jours, 90 jours, 6 mois ou 1 an : une date de fin est obligatoire) et motif (« Risque accepté » ou « Objet de test ») ; le constat passe sous « Acceptés » et revient à l'échéance ; chaque acceptation est au journal d'audit.
Dossier d'audit : une archive ZIP pour un auditeur (rapport PDF, constats avec leurs dates, exceptions, historique de la note, empreintes SHA-256) — voir Tableaux de bord.
Un bandeau « Ce que cette analyse ne regarde pas » signale ce qui n'a pas pu être lu (SYSVOL inaccessible, balayage partiel…) avec la date de la dernière synchronisation réussie.
Le rapport exporté (Exporter un rapport) reprend :
- le niveau indicatif ;
- le nombre de points non satisfaits / satisfaits / non évalués ;
- les constats rangés par point (identifiant officiel et titre) ;
- la liste des points non évalués parmi les angles morts ;
- en annexe, les définitions officielles des niveaux, la source, la date de la liste et la mention « ni évaluation ni outil de l'ANSSI ».

Qui voit quoi

La page demande le droit Analyses AD — lecture (ad_findings.read), accordé par défaut aux rôles Administrateur et Auditeur : ces constats décrivent comment attaquer l'annuaire.
Un rôle à périmètre restreint ne voit que les constats des ordinateurs de ses serveurs et des comptes qui y sont rattachés ; jamais les constats de domaine, de groupes privilégiés ou de GPO.
Sur la fiche d'un contrôleur de domaine, un bloc « Analyses AD » liste les constats qui le concernent ; sur la fiche d'un compte, un lien renvoie vers ses constats. La page de configuration du connecteur ne garde qu'un résumé et un lien « Voir les analyses AD ».