WL-IT — Expertise Active Directory

La plupart des annuaires que j'audite tombent en moins d'une heure.

Pas avec un exploit. Avec ce qui traine deja dedans. Voici comment ca se passe — et comment on remet l'annuaire debout, sans casser la production.

Faites defiler
L'annuaire

Des milliers de comptes, une seule confiance.

Postes, serveurs, applications, comptes de service : tout depend du meme socle. Tant qu'il tient, tout tient.

Les failles

Certaines portes sont restees ouvertes.

Delegation Kerberos non contrainte, comptes a privileges oublies, krbtgt jamais renouvele, MachineAccountQuota a 10. Rien d'exotique : c'est ce que je trouve dans neuf annuaires sur dix.

La chaine

Il suffit d'une, puis le domaine tombe.

Un SPN sur un compte privilegie, un mot de passe casse hors ligne, un ticket rejoue. Pas de zero-day, pas d'outil rare. Juste un enchainement que personne n'avait cartographie.

Le cloisonnement

On remet de l'ordre dans les niveaux.

Tier 0 isole, Tier 1 cloisonne, Tier 2 contenu. Chaque privilege retrouve sa place, et plus aucun chemin ne traverse les couches. Aligne ANSSI et CIS.

La methode

Et surtout, sans parier sur la production.

Audit en lecture seule d'abord. Puis correction par etapes : simulation obligatoire, sauvegarde de l'etat initial, retour arriere pret avant chaque modification.

18 ans sur des annuaires d'entreprise.

Environnements multi-forets, migrations a grande echelle, durcissement Tier 0. Ce que vous venez de voir, c'est ce que je fais en mission.