Pourquoi auditer votre Active Directory
- 01
Votre annuaire a vingt ans d’histoire
Comptes oubliés, délégations héritées, GPO empilées : il fonctionne, mais plus personne ne sait exactement comment.
- 02
Le MFA ne règle pas tout
Il protège l’authentification, pas ce qu’un compte peut atteindre une fois compromis.
- 03
Des administrateurs ont trop de droits
Un même compte sert à lire ses mails et à administrer les contrôleurs de domaine.
- 04
Vos comptes de service sont un mystère
Ils sont nombreux, leurs mots de passe n’ont jamais changé et personne n’ose y toucher.
Notre audit Active Directory et ce qui suit
AD / Entra Exposure Review
Comptes privilégiés et de service, chemins d’administration et configurations à risque.Voir la missionSécurisation des identités
Tiering, PIM/PAM, authentification forte et PKI, mis en œuvre par vagues.Voir la remédiationNotre méthode du Tiering
Comprendre comment cloisonner les niveaux d’administration, avec YubiKey.Voir le webinaire
Ce que révèle un audit Active Directory
Un attaquant ne cherche pas directement le compte administrateur du domaine : il cherche un chemin pour y arriver. Un poste compromis, un compte de service à mot de passe faible, une délégation trop large, et il progresse de droit en droit. Ces chemins existent dans presque tous les annuaires anciens, sans que personne ne les ait voulus.
L’audit les rend visibles. Nous collectons les données d’Active Directory et d’Entra ID, nous qualifions les configurations à risque et nous classons les chemins selon leur capacité à atteindre le niveau le plus sensible. Si vous avez déjà passé ORADAD ou PingCastle, ces résultats sont une bonne base : nous les relions à vos pratiques d’administration réelles.
La correction se fait ensuite par vagues. Le tiering sépare les niveaux d’administration pour qu’un compte de poste de travail ne puisse jamais toucher un contrôleur de domaine. Inutile de tout refaire : on ferme d’abord les chemins les plus courts, en tenant compte des applications qui dépendent de l’existant.
Ce que nous analysons
- Comptes et groupes privilégiés
- Comptes de service et délégations
- Chemins d’administration
- Accès des prestataires
- Rôles à privilèges Entra ID
- AD CS et certificats, selon le contexte
Comment se déroule la revue
Une à deux semaines, avec un simple accès en lecture.
- 01
Collecter
Les données d’Active Directory et d’Entra ID.
- 02
Analyser
Les chemins d’administration vers vos actifs critiques.
- 03
Qualifier
Les configurations à risque et les écarts prioritaires.
- 04
Prioriser
Un plan de remédiation, réalisable par vos équipes, votre prestataire ou Epsight.
Ce que vous obtenez
- L’exposition de vos identités établie
- Les chemins d’attaque identifiés
- Les écarts prioritaires qualifiés
- Un plan de remédiation priorisé
Combien coûte un audit Active Directory
- AD / Entra Exposure Review2 990 € HT
Environnement de complexité standard, en 1 à 2 semaines.
- Forêts et tenants
- Plusieurs forêts ou des tenants complexes passent sur devis.
- Remédiation
- Elle est distincte de la revue et se dimensionne à partir de ses conclusions.
Les erreurs fréquentes sur Active Directory
- Utiliser le même compte pour la bureautique et l’administration.
- Laisser des prestataires disposer d’accès permanents et non nominatifs.
- Corriger en bloc sans identifier les applications dépendantes.
- S’arrêter à un score sans fermer les chemins réels.
HAD Nantes et Région : score ORADAD de 5/5
Cet établissement de santé nantais a confié à Epsight la sécurisation de son Active Directory : 72 recommandations priorisées, un score ORADAD de l’ANSSI de 5/5 et le domaine 1 du programme CARE validé.
Voir le retour d’expérienceUne expertise Active Directory de terrain, à Nantes
Nos ingénieurs administrent eux-mêmes des environnements sensibles et de niveau Tier 0. Ils travaillent avec vos équipes à Nantes et dans la région, pour tenir compte de vos contraintes d’exploitation réelles.
15 bis allée du Commandant Charcot, 44000 Nantes. Standard : 02 30 30 90 90.
Voir le plan d’accès- création à Nantes
- 2015
- collaborateurs
- 15
- clients accompagnés
- 150+
- serveurs exploités
- 500+
150+ clients accompagnés, des PME aux grands groupes
Entreprises, établissements de santé et collectivités nous confient leur système d’information depuis 2015.
« Des réponses toujours claires, pertinentes et parfaitement alignées avec nos besoins. »
Didier Loquet, RSI, HAD Nantes et Région « Epsight connaît notre fonctionnement par cœur. On parle le même langage. »
Anthony Gachet, Responsable IT, Baker Tilly France
Vos questions, nos réponses
Combien coûte un audit Active Directory et Entra ID ?
L’AD / Entra Exposure Review coûte 2 990 € HT pour un environnement de complexité standard. Plusieurs forêts ou des tenants complexes font l’objet d’un devis.
L’audit nécessite-t-il des droits d’administration ?
Un simple accès en lecture suffit à réaliser la revue, ce qui limite l’impact sur vos environnements.
Nous avons déjà PingCastle ou ORADAD. Que nous apportez-vous ?
Ces outils fournissent une base très utile. Nous relions leurs résultats aux chemins d’administration réels et à vos pratiques d’exploitation, puis nous construisons une trajectoire de remédiation applicable.
Qu’est-ce que le tiering Active Directory ?
C’est un modèle qui sépare les comptes et les postes d’administration par niveaux de sensibilité. Un compte utilisé sur un niveau inférieur ne peut pas s’exposer sur un niveau supérieur, ce qui coupe la plupart des chemins d’élévation de privilèges.
Faut-il refaire tout l’Active Directory ?
Non. La remédiation avance par vagues, en traitant d’abord les chemins les plus critiques et en respectant les contraintes de production.
Les certificats sont-ils couverts ?
Selon le contexte, oui : PKI, AD CS, HSM et cycle de vie des certificats peuvent entrer dans le périmètre de sécurisation.
Parlons de votre situation. 20 mn avec un architecte
Un premier échange offert, sans obligation, pour situer votre sujet et vos priorités.
Depuis 2015, plus de 150 clients accompagnés par notre équipe à Nantes : PME, ETI, collectivités et grands groupes.