Durcissement Active Directory en PME : les priorités, dans l’ordre

La réponse courte : dans la plupart des attaques par rançongiciel contre une entreprise équipée de Windows, l’objectif de l’attaquant est l’Active Directory. Une fois administrateur du domaine, il pousse son logiciel sur tous les postes par stratégie de groupe, désactive les protections et chiffre les serveurs. Le durcissement d’un Active Directory de PME suit un ordre simple : d’abord les comptes à privilèges et les contrôleurs de domaine, ensuite les protocoles faibles (signature SMB et LDAP, NTLM, RC4), puis les comptes de service, la sauvegarde de l’annuaire et un audit régulier. Ce guide détaille chaque priorité, avec ce qui casse et ce qu’il faut tester avant.

Chez ALLSAFE SOLUTIONS, infogérant à Casablanca, nous auditons et durcissons des annuaires Active Directory dans le cadre de notre offre de cybersécurité des entreprises au Maroc. Les réglages cités proviennent de la documentation Microsoft Learn (Windows Server, Defender for Identity) ; les recommandations de l’ANSSI sur Active Directory sont une bonne lecture complémentaire.

Pourquoi l’Active Directory est la cible n° 1

L’annuaire concentre tout ce qu’un attaquant cherche : les comptes de tous les salariés, les droits sur tous les serveurs et la capacité de pousser une configuration sur tout le parc. Dans une PME, il a souvent grandi sans plan : un serveur installé il y a des années, des comptes d’anciens salariés toujours actifs, un compte de service « sauvegarde » administrateur du domaine avec un mot de passe qui n’a jamais changé, et des contrôleurs de domaine qui servent aussi de serveur de fichiers et d’impression.

Rien de tout cela n’est visible au quotidien, tout fonctionne. Mais chaque point raccourcit le chemin entre un poste piégé par un e-mail et le contrôle complet du domaine. Nous décrivons ce déroulé dans rançongiciel : les 7 mesures pour une PME.

Priorité 1 : réduire et isoler les comptes à privilèges

C’est la mesure qui a le plus d’effet, et elle ne casse presque rien.

• Vider le groupe « Admins du domaine » : seuls les comptes d’administration nominatifs y restent, jamais les comptes quotidiens, jamais un compte de service.
• Séparer les comptes : chaque administrateur a un compte quotidien sans droit et un compte d’administration sans messagerie ni navigation. Nous détaillons cette règle et Windows LAPS dans notre guide sur la gestion des comptes administrateurs.
• Vérifier les autres groupes puissants : « Administrateurs de l’entreprise », « Administrateurs du schéma », « Opérateurs de compte », « Opérateurs de sauvegarde », « Opérateurs de serveur ». Ils doivent être vides ou presque.
• Désactiver les comptes inutilisés : anciens salariés, anciens prestataires, comptes de test. Un compte désactivé ne sert plus à personne, y compris à un attaquant.

Le modèle en tiers, version PME

Microsoft décrit dans son modèle d’accès d’entreprise une séparation des comptes selon ce qu’ils administrent. Pour une PME, trois niveaux suffisent :

Niveau	Ce qu’il contient	Règle
Tier 0	Contrôleurs de domaine, comptes « Admins du domaine », serveur de synchronisation Entra Connect, autorité de certification	Ces comptes ne se connectent que sur le Tier 0
Tier 1	Serveurs métiers, serveurs de fichiers, ERP, sauvegarde	Comptes d’administration serveurs dédiés
Tier 2	Postes de travail et ordinateurs portables	Mot de passe administrateur local unique par poste (Windows LAPS)

La règle à retenir : un compte « Admins du domaine » ne se connecte jamais à un poste utilisateur. Si ce poste est compromis, les identifiants laissés en mémoire ouvrent tout le domaine. On l’applique par stratégie de groupe, avec les droits « Interdire l’ouverture de session » sur les postes pour les groupes du Tier 0.

Le groupe Protected Users

Windows Server fournit un groupe de sécurité intégré, Protected Users, qui applique d’un coup plusieurs protections à ses membres. Selon Microsoft :

• l’authentification NTLM est bloquée auprès des contrôleurs de domaine ;
• Kerberos n’utilise plus que le chiffrement AES, sans DES ni RC4 ;
• le compte ne peut pas être délégué ;
• aucun identifiant n’est conservé en cache sur le poste, donc pas de connexion hors ligne ;
• les tickets Kerberos ont une durée de vie de quatre heures.

On y place les comptes d’administration, après un test : un administrateur qui se connecte en bureau à distance par adresse IP plutôt que par nom passe par NTLM et sera refusé. On n’y met jamais les comptes de service ni les comptes d’ordinateurs, ce que Microsoft déconseille expressément.

Priorité 2 : protéger les contrôleurs de domaine

Un contrôleur de domaine ne doit faire qu’une chose : l’annuaire et le DNS interne.

• Aucun autre rôle : pas de partage de fichiers, pas de logiciel métier, pas de navigation internet depuis la console.
• Spouleur d’impression désactivé : Microsoft recommande, dans les évaluations de sécurité de Defender for Identity, de couper le service Spouleur d’impression sur les contrôleurs de domaine et les systèmes d’administration de l’annuaire, par une stratégie de groupe liée à l’unité d’organisation « Domain Controllers ». Ce service a été la porte d’entrée de plusieurs failles graves. Vérifiez avant qu’aucune imprimante n’y est partagée.
• Correctifs appliqués en priorité : les contrôleurs de domaine font partie des premiers serveurs à mettre à jour chaque mois, voir nos alertes de sécurité.
• Accès d’administration restreint : bureau à distance limité aux comptes du Tier 0, depuis un poste d’administration identifié, jamais exposé sur internet.
• Au moins deux contrôleurs de domaine, pour qu’une panne ou une restauration n’arrête pas l’entreprise.

Priorité 3 : fermer les protocoles faibles

Cette étape demande plus de préparation, car de vieux équipements peuvent cesser de fonctionner. On active donc d’abord la journalisation, on identifie ce qui dépend encore des anciens protocoles, puis on durcit.

Réglage	Ce qu’il empêche	Ce qui peut casser
Signature SMB obligatoire	Les attaques par relais et l’altération des échanges de fichiers	Anciens NAS, copieurs qui numérisent vers un dossier, accès invité aux partages
Signature LDAP exigée sur les contrôleurs	Le relais et la modification des requêtes LDAP	Applications et équipements qui interrogent l’annuaire en LDAP simple sur le port 389
Liaison de canal LDAP (channel binding)	Le relais vers LDAPS	Clients LDAPS anciens
Restriction de NTLM	Le vol et le relais d’empreintes NTLM	Applications anciennes, accès par adresse IP
Fin de RC4 pour Kerberos	Le cassage hors ligne des tickets de comptes de service	Comptes de service très anciens ou systèmes non Windows

Les versions récentes de Windows vont dans ce sens par défaut. Selon Microsoft, Windows 11 24H2 (éditions Pro, Entreprise et Éducation) exige la signature SMB en entrée et en sortie, et Windows Server 2025 l’exige pour les connexions sortantes ; les nouveaux déploiements Active Directory sous Windows Server 2025 exigent aussi la signature LDAP. Dans un domaine existant, ces réglages ne s’appliquent pas tout seuls : il faut les configurer par stratégie de groupe, après inventaire. Les copieurs et les NAS qui envoient des numérisations vers un partage sont le cas le plus fréquent à traiter.

Priorité 4 : les comptes de service

Les comptes de service (sauvegarde, antivirus, ERP, base de données, scanner) sont souvent les plus dangereux : mot de passe jamais changé, droits trop larges, parfois membres des « Admins du domaine » par facilité lors de l’installation.

• Inventorier chaque compte de service, l’application qui l’utilise et ses droits réels.
• Retirer les droits d’administration du domaine et donner uniquement ce dont l’application a besoin.
• Passer aux comptes de service gérés de groupe (gMSA) quand l’application les prend en charge : selon Microsoft, Windows gère alors le mot de passe à la place de l’administrateur, sans qu’un humain le connaisse.
• Sinon, un mot de passe long et unique, stocké dans le coffre de l’équipe informatique, et changé selon une règle définie.

Les comptes de service dotés d’un nom de principal de service (SPN) et d’un mot de passe faible sont la cible d’une attaque connue, le « Kerberoasting » : n’importe quel utilisateur du domaine peut demander un ticket pour ce compte et tenter de casser son mot de passe hors ligne. Un mot de passe géré ou très long et la fin de RC4 rendent cette attaque inefficace.

Priorité 5 : sauvegarder l’annuaire et préparer sa restauration

Un Active Directory chiffré ou détruit arrête toute l’entreprise : plus de connexion, plus de partages, plus d’ERP.

• Sauvegarder l’état du système des contrôleurs de domaine avec votre solution de sauvegarde, avec au moins une copie hors ligne ou immuable, selon la règle décrite dans notre guide sauvegarde 3-2-1 immuable.
• Activer la corbeille Active Directory, qui permet de restaurer un objet supprimé (utilisateur, groupe, unité d’organisation) avec ses attributs. Microsoft précise qu’une fois activée, elle ne peut pas être désactivée.
• Documenter et tester la restauration d’un contrôleur de domaine, au moins une fois, sur un environnement isolé.
• Prévoir la réinitialisation du compte krbtgt : ce compte signe tous les tickets Kerberos du domaine. Microsoft indique de réinitialiser son mot de passe deux fois, en attendant entre les deux au moins la durée de vie maximale des tickets (dix heures par défaut) et la réplication entre contrôleurs. On le fait après une compromission, après le départ d’un administrateur du domaine et, par hygiène, de façon périodique.

Priorité 6 : surveiller et auditer

Un annuaire durci une fois se dégrade avec le temps : un prestataire ajoute un compte aux « Admins du domaine » pour une installation, un nouveau copieur réclame un protocole ancien, un compte de test reste actif.

• Journaliser les ajouts aux groupes à privilèges, les connexions des comptes d’administration et les modifications des stratégies de groupe, et envoyer ces journaux vers un outil de supervision.
• Alerter en temps réel sur l’ajout d’un compte à un groupe sensible : c’est souvent le premier signe d’une attaque en cours.
• Auditer l’annuaire à intervalle régulier avec un outil spécialisé qui classe les faiblesses par gravité et suivre la correction, comme dans un audit de sécurité et test d’intrusion.
• Coupler cette surveillance à un EDR managé et supervisé 24/7 sur les postes et les serveurs.

Si vos utilisateurs sont aussi dans Microsoft 365, l’Active Directory local et Microsoft Entra ID sont liés par la synchronisation : le serveur Entra Connect fait partie du Tier 0, et la double authentification protège le côté cloud, voir notre guide de déploiement de la MFA.

Les erreurs que nous corrigeons le plus souvent

1. Le compte « Administrateur » intégré utilisé au quotidien par plusieurs personnes, avec un mot de passe connu de tous.
2. Un compte de service membre des « Admins du domaine », avec un mot de passe inchangé depuis l’installation.
3. Le contrôleur de domaine qui sert aussi de serveur de fichiers, d’impression et parfois de poste de travail.
4. Des administrateurs du domaine qui se connectent sur leur propre poste avec leur compte à privilèges.
5. Des centaines de comptes inactifs, dont ceux d’anciens prestataires.
6. Aucune sauvegarde testée de l’annuaire, ou une sauvegarde accessible avec les mêmes identifiants que le domaine.

Checklist de durcissement

• Groupe « Admins du domaine » réduit aux comptes d’administration nominatifs.
• Comptes d’administration séparés, placés dans Protected Users après test.
• Interdiction de connexion des comptes du Tier 0 sur les postes et serveurs métiers.
• Windows LAPS déployé sur les postes et serveurs membres.
• Contrôleurs de domaine dédiés, spouleur d’impression désactivé, correctifs appliqués en priorité.
• Signature SMB et LDAP exigées, NTLM et RC4 restreints après inventaire.
• Comptes de service inventoriés, droits réduits, gMSA quand c’est possible.
• Sauvegarde hors ligne ou immuable des contrôleurs, corbeille AD activée, restauration testée.
• Procédure de réinitialisation krbtgt documentée.
• Alertes sur les groupes à privilèges et audit régulier.

Comment nous procédons

Nous commençons par un audit initial offert de votre Active Directory : groupes à privilèges, comptes inactifs et comptes de service, stratégies de groupe, protocoles autorisés, état des contrôleurs de domaine et de leur sauvegarde. Nous vous remettons une liste de corrections classées par risque, puis nous les appliquons par étapes, en testant chaque réglage sur un périmètre pilote pour ne pas interrompre l’activité. Les événements sensibles de l’annuaire sont ensuite surveillés par notre équipe de supervision 24/7, et un incident critique est pris en charge en moins de 15 minutes, dans le cadre de notre infogérance au Maroc.

En tant que partenaire Microsoft, nous administrons Windows Server, Active Directory, Microsoft Entra ID et Intune au quotidien. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.