Compromission de l'annuaire Active Directory

Dans la grande majorité des entreprises, un annuaire centralise les comptes des utilisateurs, des ordinateurs et des services, ainsi que les droits de chacun : c'est lui qui décide qui peut se connecter où et faire quoi. Qui contrôle l'annuaire contrôle le réseau. C'est pourquoi la progression d'un attaquant, après l'accès initial, vise presque toujours à obtenir les droits d'administrateur du domaine. Une fois ce niveau atteint, il peut créer des comptes, désactiver les protections, déployer un rançongiciel sur toutes les machines en une seule opération, et même forger des jetons d'authentification valides à volonté, dits tickets d'or, qui lui permettent de revenir après un nettoyage apparent. La remédiation est alors lourde : il ne suffit pas de restaurer des sauvegardes, il faut reconstruire l'annuaire à partir d'un état sain, réinitialiser tous les secrets, et vérifier qu'aucune porte dérobée ne subsiste, ce qui peut prendre des semaines. Les agences de cybersécurité publient des guides de sécurisation, et recommandent notamment de cloisonner les comptes d'administration par niveaux, de limiter leur usage et de surveiller les modifications sensibles. Pour l'assurance, l'état de l'annuaire est l'un des meilleurs indicateurs de la sévérité potentielle d'une intrusion : un annuaire mal administré transforme un incident local en sinistre total.