Audit Active Directory : quand un score "acceptable" masque une compromission triviale
ump — Un mot de passe pourri recent 2026-03-03 · Voir sur Substack ↗
Un AD noté 80% par PingCastle. Aucune CVE critique. Domain Admin en 5 étapes. Pas un exploit : juste un post-it, un vieux partage réseau et BloodHound. Le scoring ne voit pas les chemins d'attaque réels. https://unmotdepassepourri.substack.com/p/audit-active-directory-quand-un-score
1/ Cabinet d'avocats, audit AD : score 80% sur PingCastle. Le RSSI est rassuré. Moi, j'ai Domain Admin en quelques heures. Voici comment un environnement "conforme" tombe sans exploit.
2/ Étape 1 : un post-it sur une imprimante réseau. Mot de passe d'un compte utilisateur lambda. Banal ? Oui. Bloquant ? Non. C'est le point d'entrée.
3/ Étape 2 : ce compte accède à des partages historiques jamais nettoyés. Scripts d'admin oubliés, droits jamais révoqués. Personne ne scanne ça avec un outil de scoring.
4/ Étape 3 : dans un script de 2018, un mot de passe admin local en clair. Toujours valide. Réutilisé sur plusieurs machines. C'est là que la compromission devient triviale.
5/ Étape 4 : avec cet accès local privilégié, BloodHound détecte une délégation excessive. Chemin d'attaque direct vers Domain Admin. Aucun exploit. Juste de la combinaison.
6/ Le problème : les outils de scoring vérifient la conformité, pas l'exploitabilité. Ils ne simulent pas ce qu'un attaquant fait réellement : explorer, recouper, pivoter.
7/ Un audit AD ne doit pas se limiter à un score. Il doit inclure : extraction des hashs, test de mots de passe faibles, cartographie des chemins d'attaque réels, analyse des partages et scripts exposés.
8/ Un environnement peut être conforme et fragile. Le scoring rassure. L'audit par cheminement révèle. Article complet ici : https://unmotdepassepourri.substack.com/p/audit-active-directory-quand-un-score
Un post-it sur une imprimante, un vieux partage réseau, un script oublié avec un mot de passe en clair : voilà comment j'ai obtenu Domain Admin dans un AD noté 80%. Le scoring mesure la conformité, pas l'exploitabilité.
PingCastle te donne 80%, ton RSSI dort tranquille. Pendant ce temps, n'importe quel auditeur avec BloodHound et un accès réseau trouve un chemin vers DA. Le problème n'est pas le score, c'est ce qu'il ne cherche pas.
Un AD conforme selon les standards peut tomber en 2 heures chrono. Les audits orientés score sont une illusion de sécurité vendue aux décideurs qui veulent un chiffre rassurant. L'attaquant, lui, ne lit pas les dashboards.