Formateur : Florian Ecard – Hackeur éthique – [email protected] – 06.49.98.89.87

Public cible : Administrateurs systèmes/réseaux, équipes SOC, RSSI, pentesters juniors

1. Objectifs pédagogiques      

• Comprendre le cadre légal et méthodologique d’un audit de sécurité.
• Maîtriser les fondamentaux techniques du Pentest.
• Comprendre l’architecture et les risques liés à Active Directory (AD) et Entra ID.
• Savoir identifier, exploiter et proposer une remédiation aux vulnérabilités.

2. Contenu du module

• Fondamentaux
  • Structure logique (domaines, OUs, GPOs, ACLs).
  • Services intégrés : LDAP, DNS, Kerberos, ADCS, ADFS.
  • Différences AD On-Prem / Entra ID / Azure AD DS.
• Techniques d’attaque AD
  • Reconnaissance : BloodHound, PowerView, kerbrute, Responder…
  • Exploitation : Kerberoasting, AS-REP roast, NTLM relay, GPO abuse, ACL abuse…
  • Post-Exploitation : DCSync, DCShadow, Golden/Silver tickets, Shadow Credentials…
• Atelier pratique
  • Mise en place d’un lab vulnérable.
  • Objectifs : compromission complète, exfiltration, rapport d’audit.
• Sécurité & Défense Active
  • Principe du moindre privilège, modèle Tier 0/1/2.
  • Durcissement : désactivation SMBv1, LDAP signing, blocage délégations.
  • Détection : SIEM, surveillance ACLs, analyse BloodHound régulière.

3. Méthodologie d’évaluation

• Avant formation : QCM de niveau + analyse des besoins.
• Pendant : Challenges de capture de flag (CTF).
• Après : Envoi d’un document d’évaluation qui permettra d‘évaluer le niveau acquis.

4. Durée & Modalités

• Durée : 4 jours.
• Durée d’accès moyen : 1 mois.
• Format : Présentiel ou distanciel avec lab dédié.
• Prérequis : Connaissances réseaux et systèmes Windows/Linux.
• Tarifs : à partir de 4000 € HT.

5. Adaptation aux différents niveaux

La formation s’adapte aux différences de niveau grâce à l’alternance entre apports théoriques et ateliers pratiques. En début de session, le niveau des participants est évalué de manière informelle par des échanges & des questions ciblées, afin d’identifier les besoins spécifiques.

Pendant les travaux pratiques, l’accompagnement est individualisé : le formateur circule auprès des participants, observe leur progression sur leur poste et adapte son aide en fonction des difficultés rencontrées. Les participants moins avancés bénéficient d’un guidage plus progressif, tandis que les plus autonomes peuvent approfondir les scénarios avec des objectifs complémentaires.

Les exercices sont conçus avec un objectif commun minimum, complété par des variantes plus avancées. Des temps de mise en commun permettent de clarifier les notions importantes et de consolider les acquis. Cette approche permet à chacun de progresser à son rythme tout en atteignant les objectifs pédagogiques de la formation.

6. Programme détaillé, pour chaque jour de formation

Jour 1 – Fondamentaux d’Active Directory

Objectif : Poser les bases solides pour comprendre l’architecture et les composants d’AD.

Modules :

• Overview de la formation et des notions qui seront abordées
• Introduction à Active Directory
  • Historique & rôle dans un SI
  • LDAP, Kerberos, DNS intégré
• Structure logique & physique
  • Forêts, domaines, arbres
  • UO, objets, attributs
  • Sites & contrôleurs de domaine
• Processus d’authentification (interactive vs réseau)
  • NTLM v1/v2 : fonctionnement & limites
  • Kerberos : principe, ticket TGT & TGS
  • Single Sign-On (SSO), délégation, double hop
  • Séquence d’authentification dans un domaine (avec diagramme simplifié)
  • Cas Azure AD : modern auth (OAuth2, OpenID Connect)
• Comptes, groupes, GPO
  • Types de comptes
  • Groupes (AGDLP)
  • Notions de GPO : fonctionnement et portée
• Outils de gestion
  • RSAT
  • PowerShell AD module
  • Outils tiers (ADExplorer, etc.)
• Azure AD et les architectures hybrides
  • Azure AD vs AD DS : comparatif des fonctionnalités
  • Les objets dans Azure AD (utilisateurs, groupes, devices)
  • Connexion des deux mondes avec Azure AD Connect
  • Scénarios d’usage : authent cloud, SaaS, Conditional Access
  • Démo : console Azure AD / aperçu des identités synchronisées
• Démo PowerShell simple (ex. Get-ADUser, Get-ADComputer) pour ancrer les bases.

Jour 2 – Sécurité de l’AD (Bonnes pratiques & durcissement)

Objectif : Adopter des pratiques d’administration sécurisées.

Modules :

• Principes de durcissement
  • Principe du moindre privilège
  • Tiering (Tier 0/1/2)
  • PAW (Privileged Access Workstation)
  • DPAPI & Windows LAPS
• Comptes à hauts privilèges
  • Séparation des comptes admin / user
  • Supervision des comptes DA
  • Groupes sensibles
• GPO et sécurité
  • Bonnes pratiques de GPO sécurité
  • Désactivation de SMBv1, macros, etc.
  • Configuration des logs
  • Group Policy Loopback Processing, souvent mal comprise mais utile dans le Tiering
• Contrôle des accès
  • ACLs sur objets AD
  • Authentification : Kerberos vs NTLM
  • Smartcards, MFA, etc.

Jour 3 – Attaques courantes sur AD

Objectif : Comprendre le fonctionnement des attaques pour mieux s’en défendre.

Modules :

• Reconnaissance
  • Users & Groups
  • LDAP, Kerberos & DNS enumeration
  • GPOs & ACLs
  • Reconnaissance avancée (ADCS, Relaying & Coercions)
• Mouvements latéraux & élévation
  • Pass-the-Hash / Pass-the-Ticket
  • Overpass-the-Hash
  • DCSync / DCShadow
  • Skeleton Key
  • RBCD & Shadow Credentials
• Persistence & exfiltration
  • Golden / Silver Ticket
  • Backdoors sur ACLs / GPO
  • Extraction de secrets via LSASS
  • SIDHistory injection
  • Persistence PKI / ADCS
  • Domain trust exploitation
• Outils d’attaque
  • Mimikatz, Rubeus, BloodHound, CrackMapExec
  • ADRecon, PowerView, PyKerberoast, PowerSploit
  • Certipy, PingCastle, SharpHound, Impacket, gpozaurr
  • Invoke-Kerberoast, dnstool.py, PetitPotam, SpoolSample

Jour 4 – Défense active / détection

Objectif : Mettre en place une stratégie de défense solide et efficace.

Modules :

• Audit & journalisation
  • Audit de sécurité avancé (ex: changement GPO, membres DA)
  • Sysmon + Event Forwarding
  • Audit GPO & authentifications
• Détection & monitoring
  • ATA / Defender for Identity
  • SIEM (ex. : Splunk, ELK, Sentinel)
  • Honeytokens & leurres
• Réponse à incident AD
  • Que faire après un DC compromis ?
  • Playbook post-exploitation pour AAD
  • Playbook post-exploitation pour On-prem AD
  • Outils de réponse spécifiques AD
• Hardening final & tests
  • Benchmarks CIS / Microsoft
  • AD Baseline Analyzer
  • Outils de tests d’exposition (PingCastle, GPOAnalyzer, MSSecBaseline etc.)