Top 10 des mauvaises configurations Active Directory à corriger en premier

Audit après audit, les mêmes faiblesses Active Directory reviennent. Aucune n'est exotique — ce sont des lacunes ordinaires que les attaquants exploitent activement. Voici les dix à corriger en premier, par ordre approximatif d'impact.

1. Authentification héritée non bloquée

Les protocoles hérités (POP, IMAP, SMTP AUTH, anciens clients Office) contournent les contrôles modernes, MFA compris. Les laisser actifs est l'une des failles les plus exploitées d'Active Directory. Bloquez l'authentification héritée avec une stratégie d'accès conditionnel — après avoir vérifié dans les journaux de connexion que rien ne l'utilise encore.

2. Comptes privilégiés sans MFA

Des Administrateurs généraux et autres rôles privilégiés sans MFA imposé sont la cible la plus précieuse de votre domaine. Chaque compte administrateur doit exiger un MFA résistant au hameçonnage, sans exception.

3. Trop d'Administrateurs généraux

Plus vous avez de Global Admins, plus votre surface d'attaque grandit. Gardez le nombre minimal, utilisez des rôles au moindre privilège pour les tâches quotidiennes, et réservez Global Admin aux rares personnes qui en ont réellement besoin.

4. Pas de Privileged Identity Management (PIM)

L'accès privilégié permanent est un passif. PIM rend les rôles privilégiés just-in-time et limités dans le temps, avec approbation et audit. Sans lui, les droits d'administration sont permanents — et les droits permanents finissent par être abusés.

5. Accès invité laissé grand ouvert

Les réglages invités par défaut laissent souvent les utilisateurs externes énumérer bien plus que nécessaire, et les invités échappent fréquemment au MFA imposé. Restreignez les permissions des invités et exigez le MFA pour les identités externes.

6. Accès conditionnel faible ou absent

L'accès conditionnel est le moteur de stratégies d'Active Directory. Les lacunes — pas de stratégie MFA de base, pas de conditions d'appareil ou de localisation, portails d'administration non protégés — laissent la porte d'entrée entrouverte. Construisez un ensemble cohérent de stratégies et revoyez-les régulièrement.

7. Rétention des journaux insuffisante

Si les journaux de connexion et d'audit ne sont pas conservés assez longtemps (ou exportés vers un SIEM), vous ne pouvez pas investiguer un incident après coup. Assurez une rétention adaptée à vos besoins d'investigation et de conformité — couramment 180 jours ou plus.

8. Réglages en libre-service trop permissifs

Des utilisateurs capables d'enregistrer des applications, de consentir à des applications tierces ou d'inviter des invités sans supervision créent un flux de risque continu. Resserrez le libre-service et le consentement applicatif, et exigez le consentement administrateur pour tout ce qui est sensible.

9. Comptes dormants et identifiants inutilisés

Les comptes désactivés mais non supprimés, les principaux de service inutilisés et les identifiants qui traînent élargissent silencieusement votre surface d'attaque. Passez-les en revue et nettoyez-les à intervalle régulier.

10. Pas de stratégie de comptes de secours

Les comptes d'accès d'urgence (« break-glass ») doivent exister, être exclus des accès conditionnels susceptibles de vous verrouiller dehors, utiliser des identifiants forts et uniques, et être surveillés. Se tromper ici signifie soit le verrouillage, soit un super-compte non surveillé.