# AP PingCastle - Audit et durcissement Active Directory ## Contexte Dans le cadre d'un atelier de professionnalisation de 2e année, j'ai réalisé un audit de cybersécurité d'un Active Directory existant à l'aide de PingCastle. L'objectif était d'identifier les faiblesses les plus exploitables dans l'annuaire, de prioriser celles qui pouvaient être corrigées dans le temps imparti, puis de documenter la logique de remédiation. Le sujet imposait de partir d'un poste client membre du domaine, de lancer l'audit en autonomie, d'expliquer les vulnérabilités retenues et d'illustrer les corrections par des captures lisibles. La progression visible dans mes preuves est la suivante: - début de séance: **60/100** - étape intermédiaire après premières corrections: **55/100** - fin de séance: **45/100** La baisse totale mesurée est donc de **15 points**. ## Mon compte-rendu L'audit initial renvoyait un score de **60/100**. Les captures intermédiaires montrent ensuite un passage à **55/100**, puis la capture finale descend à **45/100**. J'ai donc ciblé en priorité les points qui avaient un impact direct sur la surface d'attaque de l'AD et sur la qualité de l'authentification. ### 1. Réduction des droits et exposition des comptes J'ai commencé par revoir l'affectation de certains utilisateurs à des groupes plus adaptés, afin de limiter les droits excessifs. Cette étape répond à la logique du moindre privilège et réduit le risque d'élévation de privilèges ou de compromission d'un compte trop exposé. ### 2. Ajout du groupe Protected Users J'ai mis en avant le groupe **Protected Users**, qui protège les comptes sensibles contre plusieurs techniques d'attaque comme le **Pass-the-Hash**. L'intérêt est de limiter la délégation non contrainte, de désactiver les algorithmes d'authentification faibles et de réduire la persistance des identifiants en mémoire. ### 3. Sécurisation des flux d'authentification J'ai travaillé sur la désactivation des mécanismes anciens **NTLMv1 / LM** dans la stratégie **Default Domain Controllers Policy**. Cette correction vise à imposer des modes d'authentification plus robustes et à réduire l'exposition aux attaques sur des protocoles obsolètes. ### 4. Analyse de la vulnérabilité P-AdminLogin J'ai traité la vulnérabilité `P-AdminLogin` en renommant le compte administrateur et en renforçant son mot de passe. Mon retour est important pour l'oral: **cette action seule n'a pas suffi à faire baisser immédiatement le score**, ce qui montre qu'une remédiation AD ne se limite pas à une mesure isolée mais doit être pensée comme un ensemble cohérent. ### 5. Réduction du nombre de comptes capables d'administrer ou de récupérer l'AD J'ai ensuite restreint les possibilités d'intervention d'urgence sur l'annuaire afin qu'un nombre réduit d'administrateurs seulement puisse agir sur les opérations sensibles. L'objectif est de limiter le mouvement latéral et l'exposition de privilèges trop étendus. ### 6. Renforcement de la politique de mot de passe J'ai augmenté les exigences de longueur de mot de passe pour relever le niveau global de sécurité du domaine. Cette mesure agit sur la résistance aux attaques par dictionnaire ou brute force et s'inscrit dans le durcissement standard d'un AD d'entreprise. ### 7. Contrôle de l'ajout des machines au domaine Enfin, j'ai empêché les utilisateurs standards d'ajouter eux-mêmes des ordinateurs supplémentaires dans le domaine en réglant le quota à **0**. Ainsi, seul l'administrateur peut joindre une machine à l'AD, ce qui réduit les ajouts sauvages et les risques de compromission via des postes non maîtrisés. ## Bilan Cette AP est intéressante pour l'E4 car elle montre une démarche de **cybersécurité défensive appliquée à Active Directory**: audit, lecture des indicateurs, choix des vulnérabilités les plus pertinentes, mise en œuvre des corrections et recul critique sur ce qui améliore réellement la posture de sécurité. Elle me permet aussi d'expliquer clairement à l'oral que je ne me suis pas contenté d'exécuter un outil: j'ai interprété ses résultats et j'ai relié chaque correction à un risque concret pour le domaine. Le point fort pour le jury est que je peux montrer une progression chiffrée et visible: **60/100 au départ, 45/100 à la fin**, soit **15 points de baisse** après remédiations.