La sécurité Active Directory reste en 2026 la compétence cyber la plus transverse et la plus recherchée en France. Active Directory équipe plus de 90 % des entreprises de plus de 500 salariés (Microsoft 2024) et reste le pivot d'authentification de la majorité des systèmes d'information, désormais en configuration hybride avec Entra ID. C'est aussi la cible n°1 des ransomwares et opérations APT — 80 % des compromissions documentées en 2023-2024 par Microsoft Defender Incident Response, Mandiant M-Trends et ANSSI transitent par une escalade de privilèges AD. Cette roadmap structure 12 mois d'apprentissage couvrant les fondamentaux AD, les 8 familles d'attaques critiques, la défense (LAPS, tiering, hardening, détection) et les certifications de référence CRTP, CRTE, OSEP.
Pourquoi l'AD reste le graal attaquant et défenseur en 2026
L'Active Directory est un système d'annuaire et d'authentification déployé par Microsoft depuis Windows 2000 Server. Il centralise comptes utilisateurs, comptes machines, groupes, GPO (group policy objects) et relations de confiance inter-domaines. Sa richesse fonctionnelle en fait aussi une surface d'attaque massive : plus de 30 ans de rétrocompatibilité, des protocoles historiques exposés (NTLM, SMBv1 dans certains legacy), des ACL complexes souvent mal maîtrisées, des paramètres par défaut permissifs.
Trois constats structurants pour 2026 :
- La majorité des ransomwares passent par l'AD. Les groupes LockBit, BlackCat/ALPHV, Clop, Play, 8Base et Akira exploitent systématiquement l'AD pour propager leur chiffrement sur l'ensemble du parc. Compromettre un compte privilégié et extraire krbtgt reste le scénario dominant.
- L'hybridation AD on-prem / Entra ID élargit la surface. Depuis l'adoption massive de Microsoft 365, les scénarios d'attaque cross-cloud (Seamless SSO, PRT abuse, Entra Connect compromise) deviennent la nouvelle frontière. Un profil AD-only perd en pertinence.
- La demande défensive explose. Les directives NIS 2 (applicable France depuis fin 2024), DORA (secteur financier, janvier 2025) et les exigences d'assurance cyber forcent la mise en tiering, le déploiement de LAPS et l'audit régulier (PingCastle, Purple Knight). Les profils capables d'auditer et de durcir un AD sont en pénurie structurelle.
Prérequis avant de se lancer
Une roadmap AD security efficace suppose un socle Windows / réseau / scripting déjà stabilisé. Sans ce socle, la phase 1 s'étire mécaniquement.
- Windows administration : création de comptes, gestion des partages, GPO basiques, services Windows, PowerShell 5 minimum.
- Réseau : TCP/IP, DNS, ports AD (88, 135, 389, 445, 464, 636, 3268), routage, pare-feu Windows.
- Linux : bash, navigation système, pip et venv Python, utilisation de Kali Linux.
- Bases cryptographie : différence hash / chiffrement, NTLM vs Kerberos, notion de sel et rainbow tables.
- Scripting : Python intermédiaire (parsing, requêtes HTTP, arguments CLI), PowerShell opérationnel.
Un admin système Windows avec 2-3 ans d'expérience part avec 60-70 % du socle acquis. Un profil cybersécurité généraliste (sorti SOC L1 par exemple) doit compter 4-6 semaines de consolidation Windows avant d'attaquer la phase 1.
Phase 1 — Mois 1 à 3 : fondamentaux AD administratifs
Objectif : comprendre intimement comment fonctionne un AD avant de savoir l'attaquer.
Concepts structurants à maîtriser
- Forêts, domaines, relations de confiance (trusts) : transitive, non-transitive, one-way, two-way.
- Organizational Units (OU), sites et services.
- Groupes : security vs distribution, global vs universal vs domain local (règle AGDLP).
- Comptes : user, computer, service, gMSA (group managed service accounts).
- Rôles FSMO : PDC Emulator, RID Master, Infrastructure Master, Schema Master, Domain Naming Master.
- Schéma AD et extensibilité.
Kerberos en profondeur (critique pour la suite)
- Flux complet : KRB_AS_REQ / KRB_AS_REP / KRB_TGS_REQ / KRB_TGS_REP / AP_REQ / AP_REP.
- Rôle du KDC et de la clé krbtgt.
- Chiffrement : RC4, AES-128, AES-256.
- SPN (Service Principal Names) et leur importance.
- PAC (Privilege Attribute Certificate) et flag PAC validation.
GPO (Group Policy Objects)
- Héritage, blocage, forcé, lien GPO.
- Computer Configuration vs User Configuration.
- Scripts de démarrage, préférences GPO (GPP).
- Audit des GPO via
Get-GPOReport.
Home lab de phase 1
- 1 contrôleur de domaine Windows Server 2022.
- 1 deuxième DC pour la réplication.
- 2-3 postes Windows 10/11 joints au domaine.
- Création de 20 comptes utilisateurs simulés, groupes, GPO de démonstration.
Passage obligé : lire et annoter le livre Active Directory Cookbook de Laura Hunter (O'Reilly) ou la documentation Microsoft Learn sur AD DS. Lire [MS-ADTS] au moins en survol pour comprendre la structure de l'annuaire.
Phase 2 — Mois 4 à 6 : offensive AD, reconnaissance et premières attaques
Objectif : savoir énumérer un AD comme un attaquant, et exécuter les 4 attaques de base en autonomie.
Énumération
PowerView:Get-NetUser,Get-NetComputer,Get-NetGroup,Get-NetGPO.adPEAS,ADReconpour un scan global.BloodHound/SharpHoundpour la cartographie des chemins d'attaque.- LDAP direct via
ldapsearch/windapsearch. - Énumération SMB via
enum4linux-ng,crackmapexec(devenuNetExec/nxc).
Attaques de base à maîtriser
- Password spraying : tester 1-2 mots de passe sur tous les comptes, rester sous le seuil de verrouillage. Outils :
kerbrute,nxc smb --users users.txt --passwd password. - AS-REP Roasting : extraire les TGT des comptes avec
DONT_REQ_PREAUTH, casser offline. Outil :impacket-GetNPUsers. - Kerberoasting : extraire les TGS chiffrés avec les hash NTLM des comptes service (SPN), casser offline. Outil :
impacket-GetUserSPNs. - NTLM Relay basique : intercepter via Responder et relayer avec
impacket-ntlmrelayxvers SMB (si SMB Signing désactivé) ou LDAP.
Exemple pratique Kerberoasting (commande typique en phase 2) :
# Énumération des SPN et extraction des TGS kerberoastables
impacket-GetUserSPNs lab.local/jdoe:'Password1!' \
-dc-ip 10.10.10.10 \
-request \
-outputfile kerberoast.hashes
# Casse offline avec hashcat (mode 13100 = Kerberos 5 TGS-REP etype 23 RC4)
hashcat -m 13100 kerberoast.hashes /usr/share/wordlists/rockyou.txt \
--rules-file /usr/share/hashcat/rules/best64.rule
# Variante : targeted kerberoasting via modification SPN
# Requiert GenericWrite ou GenericAll sur un compte utilisateur cible
impacket-targetedKerberoast -v -d lab.local -u jdoe -p 'Password1!'Outils à installer et utiliser en autonomie en fin de phase 2
| Catégorie | Outils de référence |
|---|---|
| Énumération AD | PowerView, BloodHound/SharpHound, ADRecon, adPEAS, PingCastle |
| Kerberos exploitation | Impacket (GetUserSPNs, GetNPUsers, getTGT, getST), Rubeus |
| NTLM Relay | Responder, Impacket ntlmrelayx, Coercer, PetitPotam, DfsCoerce |
| Password spraying | kerbrute, NetExec, DomainPasswordSpray |
| Credential dumping | Mimikatz, pypykatz, Impacket secretsdump |
| Post-exploitation | PowerSploit, PowerShell Empire, Covenant, Sliver |
Phase 3 — Mois 7 à 9 : escalade, persistance et mouvement latéral avancé
Objectif : maîtriser les attaques avancées conduisant à la compromission complète d'un domaine puis d'une forêt.
ACL abuse
- Droits critiques à identifier dans BloodHound :
GenericAll,GenericWrite,WriteOwner,WriteDACL,ForceChangePassword,AddMember,AllExtendedRights. - Chemins classiques :
user → GenericWrite → computer → RBCD → Domain Admin. - Outils :
PowerView,Impacket dacledit,Impacket addcomputer,bloodyAD.
Délégations Kerberos
- Unconstrained delegation : exploitation via Printer Bug, coercion + captures de TGT.
- Constrained delegation (S4U2Self + S4U2Proxy) : abuse via
impacket-getST. - Resource-Based Constrained Delegation (RBCD) : ajout d'un compte contrôlé dans
msDS-AllowedToActOnBehalfOfOtherIdentity.
Active Directory Certificate Services (ADCS)
- Référentiel Certipy ESC1 à ESC13. Les plus courantes en entreprise :
- ESC1 : template vulnérable avec
ENROLLEE_SUPPLIES_SUBJECTetEKU Client Authentication. - ESC4 : permissions faibles sur un template.
- ESC6 : flag
EDITF_ATTRIBUTESUBJECTALTNAME2sur la CA. - ESC8 : NTLM Relay vers AD CS Web Enrollment (attaque PetitPotam + ntlmrelayx + Certipy).
- ESC1 : template vulnérable avec
- Outils :
Certipy,Certify,ForgeCert.
Persistance post-compromission
- DCSync via
impacket-secretsdump -just-dc-user krbtgt. - Golden Ticket (forge TGT avec clé krbtgt) via
RubeusouMimikatz. - Silver Ticket (forge TGS d'un service cible).
- Skeleton Key (patch en mémoire du LSASS).
- AdminSDHolder abuse (modification du template, propagation 60 min).
- Shadow Credentials via
msDS-KeyCredentialLink(Whisker, Certipy shadow-credentials).
Forêts et trusts
- SID History abuse.
- Cross-forest Kerberoasting.
- Inter-realm TGT (référentiel de
harmj0yetdirkjanm).
Phase 4 — Mois 10 à 12 : défensive AD, hardening, tiering, détection
Objectif : savoir durcir, segmenter et détecter — compétence indispensable même pour un profil offensif (toute équipe red mature sait monter la détection de ses propres TTP).
Tiering model (Microsoft Secured Privileged Access)
| Tier | Périmètre | Exemples |
|---|---|---|
| Tier 0 | Assets contrôlant l'identité | Contrôleurs de domaine, AD CS, AD FS, Entra Connect, PAM, HSM |
| Tier 1 | Serveurs et applications métier | Serveurs d'applications, bases de données, hyperviseurs, SCCM |
| Tier 2 | Postes de travail utilisateurs | Endpoints, postes admin non privilégiés |
| PAW | Postes d'administration dédiés | Privileged Access Workstation (hardened, offline browsing disabled) |
Les règles de tiering interdisent qu'un compte d'un tier supérieur s'authentifie sur un asset d'un tier inférieur. Concrètement, un Domain Admin ne doit jamais ouvrir de session sur un poste Tier 2. L'implémentation repose sur Authentication Silos, Authentication Policies, groupe Protected Users, restrictions GPO.
Hardening de référence
- LAPS (Windows LAPS depuis avril 2023) : rotation automatique des mots de passe admin locaux, remplace l'ancien LAPS MSI.
- Credential Guard et Remote Credential Guard pour protéger LSASS via VBS.
- LSASS en Protected Process Light (PPL) via
RunAsPPL. - SMB Signing obligatoire sur DC et idéalement partout.
- LDAP Channel Binding + Signing obligatoires sur DC (correctifs 2020).
- Désactiver NTLMv1 et LM hash via GPO.
- Désactiver Print Spooler sur les DC (Printer Bug prevention).
- Nettoyer krbtgt : rotation double tous les 6-12 mois via script Microsoft officiel.
- AppLocker ou WDAC sur endpoints privilégiés.
- Attack Surface Reduction (ASR) rules pour Microsoft Defender.
Détection : Event IDs critiques Windows
| Event ID | Signification | Contexte détection |
|---|---|---|
| 4624 | Logon réussi | Type 3 (network), type 10 (RDP), identifier comptes privilégiés hors périmètre |
| 4625 | Logon échoué | Password spraying, brute force (volume anormal) |
| 4672 | Privilèges spéciaux assignés | Connexion avec droits élevés |
| 4688 | Création de processus | Sysmon 1 équivalent, détection LOLBAS, PowerShell -enc |
| 4768 | TGT demandé | AS-REP Roasting = étype 23 (RC4) ou compte DONT_REQ_PREAUTH |
| 4769 | TGS demandé | Kerberoasting = étype 23 RC4 pour SPN, multiples SPN en séquence |
| 4771 | Pre-authentication échouée | Brute force Kerberos, AS-REP énumération |
| 4698 | Tâche planifiée créée | Persistence |
| 4720 / 4728 / 4732 / 4756 | Création compte / ajout groupe | Création backdoor account, escalade via group add |
| 5136 | Object modifié (DSA) | ACL abuse, msDS-KeyCredentialLink modification |
| 4662 | Accès objet AD | DCSync détectable via GUID 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2 (DS-Replication-Get-Changes) |
Outils défensifs à connaître
- Microsoft Defender for Identity (ex ATA) : détection comportementale native AD, intégré M365 Defender.
- PingCastle : audit gratuit de l'état de sécurité AD (score 0-100, rapport HTML détaillé).
- Purple Knight (Semperis) : audit gratuit complémentaire orienté exposition AD.
- BloodHound défensif : même outil offensive, utilisé pour identifier les chemins d'escalade à casser.
- Microsoft Security Compliance Toolkit : baselines de GPO hardening officielles.
- ADSecurity.org (Sean Metcalf) : la référence communautaire.
Certifications par palier
| Palier | Certifications cibles | Coût indicatif | Remarques |
|---|---|---|---|
| Débutant offensive | TryHackMe AD path, HTB Academy AD module | 15 €/mois | Consolidation phase 1-2 |
| Intermédiaire offensive | CRTP (Altered Security) | 249 $ | 24h examen, rapport écrit, best ROI 2026 |
| Intermédiaire+ offensive | CRTE (Altered Security) | 349 $ | Multi-forêts, delegations, ADCS |
| Avancée offensive | OSEP (Offensive Security PEN-300) | ~2 000 $ | Scope plus large que AD pur mais AD central |
| Maîtrise offensive | CRTM, PACES, OSWE | 400-2000 $ | Spécialisations profondes |
| Défensive | SANS SEC505 / GDAT | ~8 000 $ | Idéalement financé employeur |
| Blue + Red | SANS SEC565 | ~8 000 $ | Red team operations, vue complète |
Home lab AD recommandé
GOAD (Game of Active Directory) est le standard 2026 pour s'entraîner. Projet open-source de mayfly277 (Orange Cyberdefense), il déploie automatiquement via Vagrant + Ansible un environnement multi-domaines vulnérable par design.
Contenu typique GOAD Light / GOAD Full :
- 2 domaines :
sevenkingdoms.localetnorth.sevenkingdoms.localavec trust. - 1 forêt séparée :
essos.local. - 6 à 10 VM Windows (DC, serveurs membres, postes).
- Vulnérabilités pré-configurées couvrant Kerberoasting, AS-REP Roasting, unconstrained delegation, RBCD, ADCS ESC1-ESC8, NTLM Relay, ACL abuse.
Alternatives
- HackTheBox Pro Labs : Offshore, RastaLabs, Cybernetics (~20 €/mois).
- VulnLab : chains dédiées AD.
- Altered Security labs (inclus avec CRTP, CRTE).
- Xintra Labs (nouveau venu, excellent feedback 2025).
Configuration matérielle
- Mini-PC ou station 32 Go RAM suffisant pour GOAD Light.
- Proxmox recommandé pour gestion multi-VM.
- Disque NVMe de 500 Go minimum.
- Budget total : 600-900 € pour une machine dédiée, ou location horaire sur AWS/Azure EC2 (plus cher sur la durée).
Pièges courants
Sauter les fondamentaux administratifs. Tenter le Kerberoasting avant d'avoir compris le flux Kerberos conduit à exécuter des recettes sans comprendre. Un recruteur détecte l'absence de compréhension en 3 questions.
Tout faire en Python sans lire le protocole. Impacket encapsule beaucoup. Lire au moins une fois en entier [MS-KILE] (Kerberos extensions) et [MS-NRPC] (Netlogon) donne un avantage durable sur 90 % des candidats AD security.
Négliger Entra ID. En 2026, AD on-prem pur sans connaissance Entra ID (ex Azure AD) limite fortement les opportunités. Allouer au minimum 2-3 semaines en fin de roadmap pour couvrir PRT abuse, Seamless SSO, Entra Connect security, Conditional Access.
Ignorer le reporting. Les recruteurs demandent de lire un rapport d'audit. Publier sur un blog ou GitHub 3-5 write-ups d'attaques GOAD ou HTB pro labs différencie fortement à l'embauche.
Chercher la complexité avant la solidité. Maîtriser les 8 attaques critiques à 100 % vaut mieux que connaître 30 techniques exotiques à 40 %. Les 8 fondamentales couvrent l'immense majorité des cas terrain.
Points clés à retenir
- Durée type : 12-18 mois à 6-10h/semaine pour un profil admin sys, 18-24 mois en reconversion totale.
- 4 phases : fondamentaux administratifs (3 mois), offensive de base (3 mois), offensive avancée (3 mois), défensive et détection (3 mois).
- 8 attaques critiques à maîtriser : Kerberoasting, AS-REP Roasting, NTLM Relay, ACL abuse, delegations (constrained/unconstrained/RBCD), DCSync, Golden Ticket, ADCS ESC1-ESC8.
- Outils offensifs de référence : BloodHound, Impacket, NetExec, Rubeus, Mimikatz, Certipy, Responder.
- Outils défensifs de référence : LAPS, PingCastle, Purple Knight, Microsoft Defender for Identity, BloodHound défensif.
- Certifications offensive best ROI 2026 : CRTP (249 $) puis CRTE (349 $), puis OSEP pour prise de hauteur.
- Home lab incontournable : GOAD par mayfly277 / Orange Cyberdefense, complet et gratuit.
- Extension Entra ID obligatoire en 2026 pour rester pertinent à l'embauche.
Pour aller plus loin
- Roadmap analyste SOC 2026 : de L1 à L3 en 3 ans — complément défensif, utile pour les profils AD security orientés detection engineering.
- Plan d'apprentissage cybersécurité sur 6 mois — structuration des 6 premiers mois, couvre les prérequis de cette roadmap.
- Quels métiers recrutent en cybersécurité en 2026 — positionnement de la spécialité AD security parmi les débouchés.
- Étapes pour devenir Cloud Security Engineer — alternative ou complément hybride AD + cloud, très demandé 2026.
