Dans la majorité des intrusions, l'attaquant finit par viser le même point : votre Active Directory. Notre audit passe en revue vos comptes à privilèges, vos GPO, vos délégations et votre surface kerberoasting, puis cartographie les chemins réels entre un poste standard et vos comptes d'administration.
Cette page concerne l'annuaire sur site — pour l'identité cloud, voir notre audit Entra ID (annuaire cloud) et notre approche gestion des identités et des accès (IAM).
Ce que couvre l'audit
Un Active Directory accumule des années de droits, de stratégies et de comptes de service. L'audit ne se contente pas de lister les comptes : il démontre ce qu'un attaquant peut réellement en faire.
Membres des groupes sensibles, comptes de service, administrateurs qui ouvrent leur messagerie avec leur compte à privilèges : nous vérifions que l'administration est cloisonnée selon un modèle de tiering, pas mélangée au quotidien.
Stratégies de groupe contradictoires ou jamais nettoyées, délégations excessives sur les unités d'organisation, droits octroyés au fil des ans et jamais repris : l'audit les cartographie et classe ceux qui ouvrent des chemins d'attaque.
Comptes de service avec mots de passe faibles ou anciens exposés au kerberoasting, protocoles d'authentification obsolètes encore acceptés, chiffrement Kerberos dégradé : les techniques de vol d'identifiants les plus courantes en intrusion réelle.
Déroulé
Quatre temps, en lecture seule sur vos contrôleurs de domaine, sans interruption de service. Comptez en général deux à quatre semaines du cadrage à la restitution ; le calendrier se fixe au cadrage selon le nombre de domaines et la disponibilité de vos équipes.
Définition du périmètre (forêts, domaines, contrôleurs de domaine) et accès en lecture seule. Aucune configuration n'est modifiée ; aucun service n'est interrompu.
Collecte des GPO, des appartenances aux groupes sensibles, des comptes de service et des délégations — l'état réel de l'annuaire, pas seulement la documentation.
Analyse des comptes à privilèges, de la surface kerberoasting et des chemins possibles entre un poste standard et les comptes d'administration.
Remise du rapport et de la cartographie des chemins d'attaque, atelier technique avec vos administrateurs, puis plan séquencé : mesures immédiates jusqu'au modèle de tiering cible.
Budget
Fourchette indicative pour une forêt simple de PME ou d'ETI : le montant dépend du nombre de domaines, de contrôleurs de domaine et de la profondeur de l'analyse. Comparez avec les autres lignes de notre grille des prix d'un audit cybersécurité.
Aller plus loin
Pour valider vos corrections par l'épreuve du feu, un test d'intrusion ciblé Active Directory démontre ce qu'un attaquant peut encore obtenir. Et pour structurer la gouvernance des identités dans la durée, notre offre IAM prend le relais.
Questions fréquentes
L'audit Active Directory porte sur votre annuaire sur site : GPO, délégations, comptes à privilèges, tiering. L'audit Entra ID porte sur l'annuaire cloud Microsoft. Beaucoup d'environnements hybrides exposent des chemins d'attaque entre les deux — le cadrage détermine lequel auditer en priorité.
À titre indicatif, à partir de 6 000 € HT pour une forêt simple de PME ou d'ETI, le montant variant selon le nombre de domaines, de contrôleurs de domaine et la profondeur de l'analyse des chemins d'attaque. Le cadrage initial fixe un devis ferme.
Non. La collecte se fait en lecture seule sur les contrôleurs de domaine et ne modifie aucune configuration. Les seuls échanges demandés à vos équipes sont les entretiens de cadrage et la restitution technique.
Le kerberoasting est une technique qui permet à un attaquant de récupérer hors ligne les mots de passe de comptes de service à partir de tickets Kerberos. C'est l'une des voies d'élévation de privilèges les plus courantes en intrusion réelle, et l'une des premières choses qu'un audit AD doit objectiver.
Les deux sont complémentaires : l'audit évalue la configuration et les droits sur l'ensemble de l'annuaire, le pentest démontre un chemin d'exploitation réel depuis un point de départ donné. Pour un premier état des lieux, l'audit donne la vision la plus complète.
PingCastle est un outil gratuit utile pour noter rapidement des mauvaises configurations courantes de l'annuaire. Il ne remplace pas un audit : un audit cartographie aussi les chemins d'attaque réels, passe en revue les GPO et délégations dans votre contexte, et livre un plan de remédiation séquencé avec preuves — ce qu'un score seul ne fournit pas.
Exemples de méthode
Ces scénarios fictifs illustrent des besoins possibles et des objectifs de travail. Ils ne décrivent pas des missions réalisées ni des résultats obtenus chez des clients.
Scénario fictif · Île-de-France
Entreprise de services basée en région parisienne, pression commerciale forte et dépendance marquée au M365 et aux applications web.
Objectif : Tester les chemins d’exploitation, hiérarchiser les corrections et préparer les éléments utiles aux audits clients.
Scénario fictif · Cadre commercial
PME avec peu de ressources internes qui doit arbitrer entre audit ponctuel, accompagnement RSSI et besoin de détection.
Objectif : Comparer les options d’accompagnement selon la maturité, les contraintes et les preuves attendues.
Capacités d'intervention
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.
