Le test d’intrusion interne répond à une question précise : que peut réellement faire un attaquant qui a déjà mis un pied dans le réseau — via un poste compromis par hameçonnage, un prestataire, un accès Wi-Fi ou une prise réseau accessible ?
C’est le scénario le plus représentatif des compromissions observées en entreprise, et celui qui met le plus directement à l’épreuve la sécurité de l’Active Directory.
Scénarios de départ
Le point de départ est défini au cadrage, en fonction de ce que vous souhaitez éprouver :
- Sans compte (boîte noire interne) — simple accès réseau, sans identifiant. Évalue ce qu’un attaquant obtient à partir de rien : protocoles de résolution de noms, partages accessibles en lecture anonyme, services exposés, comptes faibles.
- Avec un compte utilisateur standard — le scénario d’un poste compromis. Évalue ce que permet un compte sans privilège : lecture de l’annuaire, droits excessifs, chemins d’élévation.
- Depuis un poste maîtrisé — évalue également le durcissement du poste et les contrôles en place sur le parc.
Ce qui est recherché
Récupération d’identifiants sur le réseau
Les protocoles de résolution de noms hérités — LLMNR, NBT-NS, mDNS — restent actifs par défaut dans beaucoup d’environnements et permettent de capter des authentifications. Lorsque la signature SMB n’est pas imposée, ces authentifications peuvent être relayées vers d’autres machines : c’est souvent le chemin le plus court entre un simple accès réseau et un compte à privilèges.
Sont vérifiées dans le même mouvement la signature LDAP et la liaison de canal sur les connexions à l’annuaire, dont l’absence ouvre les mêmes possibilités de relais.
Défauts de configuration de l’Active Directory
- Comptes de service porteurs d’un nom de principal de service, exposés à une demande de ticket puis à un cassage hors ligne — d’autant plus rentable que ces comptes ont souvent des privilèges élevés et des mots de passe anciens.
- Comptes dispensés de préauthentification Kerberos, exploitables sans aucun identifiant valide.
- Délégations Kerberos non contraintes, contraintes, ou fondées sur les ressources.
- Droits accordés sur les objets de l’annuaire qui ouvrent un chemin d’élévation : modification d’une liste de contrôle d’accès, réinitialisation de mot de passe, ajout à un groupe, prise de propriété.
- Composition réelle des groupes à privilèges, y compris par imbrication, et respect du cloisonnement entre postes, serveurs et annuaire.
- Secrets présents dans les stratégies de groupe et dans le volume partagé du domaine, scripts de connexion inclus.
- Comptes inactifs, comptes sans expiration de mot de passe, droits résiduels.
Services de certificats, lorsqu’ils sont présents
Une autorité de certification Active Directory mal configurée constitue l’un des chemins d’élévation les plus directs vers l’administration du domaine : un modèle de certificat autorisant le demandeur à choisir son identité permet d’obtenir un certificat au nom d’un administrateur, puis de s’authentifier avec.
Sont examinés les modèles de certificats et leurs droits d’inscription, les droits d’administration sur l’autorité elle-même, et la configuration des points d’inscription web. Cette vérification fait partie du test d’intrusion interne lorsque l’environnement comporte une autorité de certification — elle ne se commande pas séparément.
Postes et serveurs
- Extraction de secrets en mémoire et dans les magasins locaux.
- Gestion des mots de passe d’administrateur local : solution centralisée en place ou mot de passe identique sur l’ensemble du parc.
- Réutilisation d’identifiants entre systèmes de sensibilité différente.
- Services internes vulnérables ou non maintenus.
Structure du réseau
- Absence de segmentation entre zones de sensibilité différentes.
- Accès depuis le réseau bureautique vers les environnements d’administration, de sauvegarde ou de virtualisation.
- Possibilités de persistance et d’exfiltration une fois un accès obtenu.
Déroulement
Reconnaissance du périmètre, identification des vecteurs, exploitation contrôlée, puis post-exploitation et mouvement latéral jusqu’au niveau de privilège atteignable. Chaque action significative est journalisée : machine ciblée, opération réalisée, résultat. Ce journal vous est remis et permet de recouper vos propres traces de détection.
Les actions destructrices sont exclues par principe. Toute action susceptible d’affecter la disponibilité d’un système est soumise à validation préalable selon les règles d’engagement définies au cadrage.
Résultat
Un rapport présentant les chemins de compromission reconstitués de bout en bout, les vulnérabilités classées par criticité et impact métier, et un plan de remédiation priorisé — accompagné d’une restitution orale pour les équipes techniques et d’une synthèse exploitable en comité de direction.