Test actif de l'audit Active Directory

L'audit Active Directory d'InfraRiver est passif : il lit l'annuaire, les stratégies de groupe et vos inventaires, sans parler aux machines. Quatre vérifications n'ont pas d'équivalent passif : les partages ouverts, les utilisateurs étrangers (comptes d'un domaine approuvé), la résolution OXID et les interfaces SMB3 (les interfaces réseau qu'une machine annonce). Le test actif est l'option qui les prendra en charge.

Les quatre mesures sont disponibles : les partages ouverts (M1), les utilisateurs étrangers (M2), la résolution OXID (M3) et les interfaces SMB3 (M4).

Les mesures disponibles

Elles sont écrites dans InfraRiver même : aucun programme externe, aucun paquet à ajouter (en particulier pas samba-client), aucun fichier temporaire. Le mot de passe du compte de test ne quitte jamais la mémoire du service.

Mesure	Ce qu'elle demande à la machine	Port	Compte
M1 — Partages ouverts	La liste des partages qu'elle publie, puis, pour chacun, si une connexion au partage est acceptée : avec le compte de test, et sans compte (essai anonyme, désactivable).	445	compte de test, et anonyme
M2 — Utilisateurs étrangers	Le nom des comptes d'autres domaines (et des identités prédéfinies) que votre annuaire contient déjà (conteneur ForeignSecurityPrincipals), à un contrôleur de domaine de leur propre domaine.	445	compte de test
M3 — Résolution OXID	La liste de ses interfaces réseau (adresses et nom), par l'appel ServerAlive2 de DCOM.	135	aucun
M4 — Interfaces SMB3	La même liste, sur une session SMB 3 ouverte avec le compte de test : adresse, vitesse, capacités (RSS, RDMA).	445	compte de test

Aucune ne lit un fichier, ne liste un répertoire ni n'essaie un autre mot de passe. M1 se contente de demander « puis-je me connecter à ce partage ? » : elle ne dit pas ce que le partage contient, seulement qu'il faut y regarder.

L'essai « sans compte » ouvre une session au nom d'un compte qui n'existe pas (INFRARIVER-PROBE, mot de passe vide). Un serveur Samba ou un NAS réglé pour traiter les inconnus en « invité » l'accepte : c'est exactement ce que le constat « ouvert à une session anonyme » repère. Une machine Windows la refuse (la réponse reste « inconnu ») : une vraie session nulle Windows n'est pas testée.

Les partages qu'une machine Windows ouvre par construction ne sont jamais signalés ni même testés : ADMIN$, IPC$, print$, C$ et les autres partages de disque, et sur un contrôleur de domaine NETLOGON et SYSVOL.

Une machine fermée à l'une répond souvent à l'autre : elles s'activent séparément dans l'autorisation. Pour M3 et M4, les adresses annoncées sont comparées à votre inventaire : voir Analyses Active Directory.

Réponse de la machine	Résultat noté
Ne répond pas (port fermé, délai dépassé)	« injoignable »
Session refusée (mauvais mot de passe, compte verrouillé ou désactivé)	« refusé » ; compte pour l'arrêt après trois échecs

M2 ne parcourt jamais un domaine : elle ne demande que les identifiants (SID) déjà présents dans votre annuaire, pas de plage, pas d'énumération.

Elle s'adresse à un contrôleur de domaine : pour un compte d'un domaine approuvé, le contrôleur de ce domaine, s'il figure à votre inventaire (par exemple parce que ce domaine est aussi configuré dans InfraRiver) ; les identités prédéfinies sont nommées par n'importe quel contrôleur. Un compte étranger dont le domaine n'a aucun contrôleur connu reste sans nom (le résultat le compte).

Le compte de test doit pouvoir ouvrir une session sur ce contrôleur ; une machine qui n'est pas un contrôleur de domaine répond « non applicable ».

Sur le serveur, les mesures qui utilisent le compte de test sont faites une à la fois, pour qu'un mauvais mot de passe ne puisse pas brûler plusieurs essais en parallèle et verrouiller le compte.

Avant de commencer

Ce test contacte des machines de votre réseau. Il peut déclencher des alertes de votre antivirus, de votre EDR ou de votre supervision de sécurité : prévenez votre équipe de sécurité avant de le lancer et autorisez, si vous le souhaitez, l'adresse du collecteur.

Il ne lit aucun fichier, ne teste aucun mot de passe et n'exploite aucune faille.

Votre responsabilité

N'autorisez ce test que sur des machines dont vous êtes responsable : vous restez responsable de l'autorisation d'accès aux machines testées.

Les machines contactées voient une station nommée INFRARIVER-PROBE : votre équipe de sécurité peut reconnaître les mesures. InfraRiver ne cherche jamais à passer inaperçu.

Où le trouver

Le test actif a deux endroits.

• Configuration du connecteur (Connecteurs → Active Directory, carte Sécurité offensive — test actif, en bas de la page) : seulement l'interrupteur (le bouton Désactiver est à côté du titre quand le test est activé) et le compte de test offensif, toujours affiché.
• Section « Sécurité offensive » du menu Sécurité, avec trois pages : Exécution (autorisations, plan, séries, arrêt d'urgence), Résultats (ce que chaque mesure a répondu, machine par machine, avec un lien vers les constats des analyses AD) et Réglages (double contrôle, plafonds, essai anonyme, conservation). Cette section dépend du connecteur Active Directory : elle disparaît du menu si le connecteur est désactivé. Tant que le test est désactivé, la page Exécution l'indique et renvoie vers l'interrupteur.

Pendant une série, un bandeau Tout arrêter reste visible sur les pages Résultats et Réglages.

Ces pages n'apparaissent qu'aux utilisateurs qui ont le droit Test actif AD — Activer le test, autoriser des mesures, régler les plafonds (ad_active.manage) ou Test actif AD — Lancer une série de mesures dans une autorisation valide (ad_active.run). Ces droits sont accordés par défaut au rôle Administrateur seulement, et à personne dont le périmètre « mes serveurs » est restreint.

Les trois verrous

1. Le test est désactivé à l'installation : il faut l'activer, sur la configuration du connecteur Active Directory, en cochant « Je comprends que ce test contacte les machines ». L'activer ne lance rien. Ensuite il reste comme vous l'avez réglé : une mise à jour du paquet ne l'active ni ne le désactive (une série en cours que le redémarrage de la mise à jour coupe est seulement interrompue).
2. Une autorisation datée : un motif obligatoire, les mesures permises, la liste des machines (figée à la création), une durée de sept jours au plus après laquelle l'autorisation expire d'elle-même, et une fenêtre horaire facultative (heures UTC). Sans autorisation valable, aucune mesure ne part. On peut la révoquer à tout moment.
3. Un plan confirmé : pour une autorisation, Préparer le plan établit la liste « machine × mesure » : l'adresse, ce que fait la mesure en une phrase, le port, le compte utilisé et qui la fera (le collecteur ou le serveur InfraRiver). Vous pouvez l'exporter en PDF ou CSV pour l'archiver ou le transmettre à votre équipe de sécurité. La série ne part que si vous saisissez le nombre de machines du plan.

Quelles machines ?

Uniquement des machines déjà connues d'InfraRiver, saisies par leur nom (ou leur nom complet), un par ligne, ou les contrôleurs de domaine connus (case à cocher). Une adresse ou une plage est refusée : le test ne découvre rien, il ne balaie aucun réseau. Les hyperviseurs sont refusés. Une machine rattachée à un collecteur est mesurée par ce collecteur ; les autres le sont par le serveur InfraRiver.

Double contrôle

Par défaut, la personne qui autorise n'est pas celle qui lance la série. Un administrateur unique peut désactiver cette règle dans les réglages ; une justification est alors obligatoire, l'action est inscrite au journal d'audit et chaque série lancée par la personne qui l'a autorisée porte l'avertissement « Autorisation et lancement par la même personne ».

Pendant une série

• Avant chaque machine, l'autorisation, la fenêtre horaire et l'interrupteur sont relus. Une autorisation révoquée ou expirée arrête la série à la machine suivante ; les machines non mesurées sont notées « interrompu ».
• Trois échecs d'ouverture de session consécutifs arrêtent la série : le compte de test est peut-être verrouillé, et une rafale d'échecs ressemblerait à une attaque.
• Tout arrêter révoque l'autorisation de la série et l'interrompt.
• Une machine qui ne répond pas dans le délai est notée « injoignable » : c'est un angle mort, jamais un « tout va bien ».
• La page Exécution se rafraîchit toute seule tant qu'une série est en cours. Si le serveur InfraRiver redémarre pendant une série dont il mesurait lui-même des machines, la série est interrompue.

Réglages

Page Sécurité offensive → Réglages (droit ad_active.manage) :

Réglage	Valeur par défaut	Borne
Machines par série	50	500 au plus
Machines en parallèle	4	16 au plus
Délai entre deux machines	2 s	0,5 s au moins
Durée maximale d'une mesure	30 s	de 5 à 300 s
Durée maximale d'une autorisation	7 jours	7 jours au plus
Conservation des résultats	90 jours	de 7 à 730 jours
Essai anonyme pour les partages ouverts	activé	—

Les plafonds se règlent dans les deux sens, dans leurs bornes ; chaque modification est au journal d'audit.

Compte de test offensif — il se saisit sur la configuration du connecteur Active Directory, pas sur la page Réglages : enregistrer l'un ne modifie jamais l'autre.

Créez dans votre domaine un compte dédié (par exemple svc-infrariver-probe), membre de Domain Users seulement et jamais le compte de lecture de l'audit passif. Il représente « n'importe quel utilisateur de l'entreprise », donc ce qu'un utilisateur ordinaire voit de vos machines.

Le mot de passe est conservé chiffré et n'est jamais réaffiché ; laissé vide, il garde la valeur enregistrée.

Utiliser le collecteur

Le module est absent de la configuration par défaut du collecteur. Pour qu'il mesure les machines qui lui sont rattachées, ajoutez dans son fichier de configuration (mode serveur, avec le jeton du collecteur) :

ad_active:
  enabled: true

Le collecteur ne mesure alors que ce que le serveur lui remet, sous une autorisation valable. Sans ce bloc, ou test désactivé côté serveur, il ne fait rien. Le serveur InfraRiver n'a rien à installer.

M3 n'a besoin de rien de plus. M1, M2 et M4 ont besoin de deux choses :

• le mot de passe du compte de test, que le serveur ne remet qu'à travers la passerelle mTLS ;
• la bibliothèque Python smbprotocol sur le collecteur (elle est déjà dans le serveur InfraRiver, pas dans le paquet du collecteur).

Sans l'un ou l'autre, ces mesures sont notées « non applicable » pour les machines de ce collecteur. Voir Modules disponibles.

Traçabilité

Chaque activation, autorisation, révocation, plan, confirmation, arrêt d'urgence, export du plan et changement de réglage est inscrit au journal d'audit (module ad_active). Le collecteur tient en plus une ligne par mesure dans son propre journal.