18 ans sur des annuaires d'entreprise.
Environnements multi-forets, migrations a grande echelle, durcissement Tier 0. Ce que vous venez de voir, c'est ce que je fais en mission.
Pas avec un exploit. Avec ce qui traine deja dedans. Voici comment ca se passe — et comment on remet l'annuaire debout, sans casser la production.
Postes, serveurs, applications, comptes de service : tout depend du meme socle. Tant qu'il tient, tout tient.
Delegation Kerberos non contrainte, comptes a privileges oublies, krbtgt jamais renouvele, MachineAccountQuota a 10. Rien d'exotique : c'est ce que je trouve dans neuf annuaires sur dix.
Un SPN sur un compte privilegie, un mot de passe casse hors ligne, un ticket rejoue. Pas de zero-day, pas d'outil rare. Juste un enchainement que personne n'avait cartographie.
Tier 0 isole, Tier 1 cloisonne, Tier 2 contenu. Chaque privilege retrouve sa place, et plus aucun chemin ne traverse les couches. Aligne ANSSI et CIS.
Audit en lecture seule d'abord. Puis correction par etapes : simulation obligatoire, sauvegarde de l'etat initial, retour arriere pret avant chaque modification.
Environnements multi-forets, migrations a grande echelle, durcissement Tier 0. Ce que vous venez de voir, c'est ce que je fais en mission.