Cartographie AD — visir.lan

Posture AD

C61/100

13Constats de sécurité 3 à traiter en priorité

5Chemins d'attaque vers un compte à privilèges

Compte-rendu d'expertise

Une analyse complète de la cartographie — Tier 0, Kerberos, délégations, chemins de compromission — et un plan de remédiation priorisé, rédigés par l'IA.

Posture par domaine fonctionnel

Domaines fonctionnels à renforcer

Privilèges70/100

Politiques91/100

Comptes93/100

Parc par système

850machines

Windows 10 Pro600
Windows 11 Pro100
Windows Server 2019 Standard80
Windows Server 2012 R2 Standard40
Windows 7 Professional30

Volumétrie de l'annuaire

Contrôleurs de domaine2

Unités d'organisation4

Stratégies de groupe3

Comptes utilisateurs actifs1100

Machines actives850

Membres de Domain Admins13

Hygiène des comptes

Comptes actifs1100

Comptes désactivés140

Inactifs > 90 jours310

Mot de passe n'expirant jamais87

Mot de passe > 1 an200

Comptes adminCount61

Top des actions urgentes

1

Nombre élevé de membres dans Domain Admins 13

13 comptes (récursif).

ANSSI-PA-099 R-A

2

Administrateurs du domaine avec mot de passe > 1 an 2

Les comptes à privilèges doivent renouveler régulièrement leur mot de passe.

ANSSI-PA-099

3

Comptes Domain Admins « kerberoastables » 1

Un SPN sur un compte privilégié permet de récupérer et casser son mot de passe hors ligne.

ANSSI-PA-099

Lecture de l'architecture

L'IA analyse le cloisonnement du Tier 0, les approbations et la concentration des privilèges visibles sur le plan.

Plan de l'annuaire

Cliquez sur un objet pour ouvrir sa fiche · molette pour zoomer

Chemins d'attaque — du compte exposé au compte à privilèges

Exploitation et contre-mesures

L'IA déroule chaque chemin comme le ferait un attaquant, puis indique le maillon à casser en premier.

APPSRV01délégation non contrainte versvisir.lan

1 saut(s) · cible : visir.lan

partner.exttrust sans filtrage de SID versvisir.lan

1 saut(s) · cible : visir.lan

svc_synccontrôle (ACL)visir.lan

1 saut(s) · cible : visir.lan

Administratormembre deDomain Admins

1 saut(s) · cible : Domain Admins · mdp > 1 an, n'expire jamais

svc_backupmembre deDomain Admins

1 saut(s) · cible : Domain Admins · SPN, mdp > 1 an, n'expire jamais

Constats de sécurité — 13 au total, par domaine fonctionnel

Plan de correction global

L'IA regroupe les constats par thème et ordonne les corrections, commandes PowerShell à l'appui.

Privilèges

6 constat(s) · 3 à traiter en priorité

Nombreux comptes avec adminCount=1 61

61 comptes marqués adminCount, dont d'anciens privilégiés jamais nettoyés (héritage ACL désactivé).

Groupe legacy « Account Operators » non vide 2

Ces groupes d'opérateurs offrent des chemins d'élévation ; préférer des délégations ciblées.

helpdesk1, helpdesk2

ANSSI-PA-099

Groupe Protected Users vide

Placer les comptes d'administration dans Protected Users limite la réutilisation d'identifiants (pas de NTLM, pas de délégation).

ANSSI-PA-099

Nombre élevé de membres dans Domain Admins 13

13 comptes (récursif).

Administrator, svc_backup, jdupont_adm, adm0, adm1, adm2, adm3, adm4, adm5, adm6, adm7, adm8, adm9

ANSSI-PA-099 R-A

Administrateurs du domaine avec mot de passe > 1 an 2

Les comptes à privilèges doivent renouveler régulièrement leur mot de passe.

Administrator, svc_backup

ANSSI-PA-099

Comptes Domain Admins « kerberoastables » 1

Un SPN sur un compte privilégié permet de récupérer et casser son mot de passe hors ligne.

svc_backup

ANSSI-PA-099

Politiques

4 constat(s) · 0 à traiter en priorité

Corbeille Active Directory désactivée

Facilite la restauration après suppression accidentelle ou malveillante.

Longueur minimale de mot de passe insuffisante 8

8 caractères — l'ANSSI recommande 12 minimum pour les utilisateurs, 15+ pour les administrateurs.

ANSSI-PG-078

Aucun verrouillage de compte après échecs

Force brute en ligne possible.

ANSSI-PG-078

Niveau fonctionnel du domaine ancien

Windows2012R2Domain — les niveaux 2016+ activent des protections (Protected Users complet, PAM, chiffrement AES par défaut).

Comptes

3 constat(s) · 0 à traiter en priorité

Comptes utilisateurs avec mot de passe n'expirant jamais 87

ANSSI-PG-078

Nombreux utilisateurs inactifs (> 90 jours) toujours activés 310

310 sur 1100.

Comptes dont le mot de passe n'a pas changé depuis plus d'un an 200

ANSSI-PG-078

Inventaire du parc — 4 machine(s) de l'annuaire

Systèmes en fin de support

L'annuaire ne connaît pas les logiciels installés, mais il connaît le système de chaque machine : l'IA identifie ceux qui ne reçoivent plus de correctifs, pondérés par le nombre de postes concernés.

Répartition par système d'exploitation

Système	Machines
Windows Server 2022	1
Windows Server 2019	1
Windows Server 2008 R2	1
Windows 11 Pro	1

Détail machine par machine

Machine	Système	Adresse IP	État
SRV-AD01 CN=SRV-AD01,OU=Contrôleurs,DC=visir,DC=lan	Windows Server 2022	10.10.0.10	OK
SRV-FILE02 CN=SRV-FILE02,OU=Serveurs,DC=visir,DC=lan	Windows Server 2019	10.10.0.21	OK
SRV-OLD CN=SRV-OLD,OU=Serveurs,DC=visir,DC=lan	Windows Server 2008 R2	10.10.0.9	ObsolèteInactifDélégation
PC-COMPTA-07 CN=PC-COMPTA-07,OU=Postes,DC=visir,DC=lan	Windows 11 Pro	10.10.2.47	OK