L’architecture logique de l’AD est une structure hiérarchique d’objets. Les acteurs de la menace naviguent dans cette hiérarchie pour élever leurs privilèges et établir leur persistance.
Tout au sein de l’AD est un objet — une entrée dans l’annuaire contenant un ensemble spécifique d’attributs.
Un domaine est un regroupement logique d’objets partageant la même base de données d’annuaire et les mêmes politiques de sécurité. Il est identifié par un nom DNS (ex: entreprise.local).
Bien qu’il soit souvent considéré comme une frontière de sécurité, un domaine n’est qu’une limite administrative au sein d’un contexte plus large. Si un attaquant compromet un compte Administrateur du domaine (Domain Admin), il contrôle tous les objets de ce domaine spécifique, mais sa portée peut s’étendre plus loin selon les relations d’approbation (trusts).
Une forêt est le conteneur de plus haut niveau dans Active Directory. Il s’agit d’un ensemble d’un ou plusieurs domaines partageant une relation d’approbation automatique et transitive, un schéma commun et un catalogue global.
Une OU est un sous-conteneur au sein d’un domaine utilisé pour organiser les objets hiérarchiquement. Ses principaux objectifs de sécurité sont la délégation d’administration (ex: autoriser l’informatique locale à réinitialiser les mots de passe uniquement pour l’OU “Ventes”) et l’application ciblée des stratégies de groupe (GPO). Les attaquants recherchent souvent des OU mal configurées sur lesquelles ils possèdent des privilèges d’écriture inattendus.
La structure physique dicte la manière dont les données de l’AD sont hébergées et répliquées sur le réseau.
Le Contrôleur de Domaine (DC)
le cerveau du domaine. Un DC est un serveur Windows hébergeant une copie complète en lecture/écriture de la base de données d’annuaire (ntds.dit). Il authentifie les utilisateurs via Kerberos ou NTLM, applique les GPO, et réplique constamment les données avec les autres DC. Compromettre un DC est l’objectif ultime de toute intrusion.
Le Catalogue Global (GC)
un index partiel en lecture seule de tous les objets de tous les domaines de la forêt. Il permet aux utilisateurs et aux applications de rechercher rapidement des objets à l’échelle de la forêt sans avoir à interroger chaque domaine individuellement. Il est massivement utilisé lors du processus de connexion.
La sécurité d’Active Directory repose sur le concept de hiérarchisation (Tiering), dont les contrôleurs de domaine représentent le sommet : le Tier 0.
Un contrôleur de domaine doit être traité comme un sanctuaire hautement classifié. Afin de minimiser sa surface d’attaque, un DC ne devrait avoir AUCUN autre rôle installé en dehors des services d’annuaire (AD DS) et du DNS. Chaque logiciel ou service supplémentaire installé sur un DC introduit des vulnérabilités potentielles qui pourraient compromettre la racine de confiance de l’ensemble du réseau.
La maîtrise de ces briques fondamentales est obligatoire pour contextualiser une cyberattaque.
krbtgt du domaine racine) est compromis, la forêt entière est perdue, permettant aux attaquants de forger des Golden Tickets inter-domaines.