Plan d'audit
Statut possible : à faire, collecté, analysé. Le détail (date, résultat) reste dans rapports/ (non publié ici).
Phase 1 — Cartographie
| # | Contrôle | Outil | Livrable | Statut |
|---|---|---|---|---|
| 1.1 | Forêt, domaines, DC, sites, niveaux fonctionnels | `Get-ADForest`, `Get-ADDomain`, `Get-ADDomainController -Filter *` | AD-Cartography.xlsx | à faire |
| 1.2 | Relations d'approbation | `Get-ADTrust -Filter *` | AD-Trusts.csv | à faire |
| 1.3 | Rôles FSMO | `netdom query fsmo` | (intégré cartographie) | à faire |
Phase 2 — Comptes et privilèges
| # | Contrôle | Outil | Livrable | Statut |
|---|---|---|---|---|
| 2.1 | Membres des groupes privilégiés (DA, EA, SA, Admins, Opérateurs) | `Get-ADGroupMember -Recursive` | PrivilegedAccounts-Inventory.csv | à faire |
| 2.2 | Comptes avec SPN (Kerberoasting) | `Get-ADUser -Filter {ServicePrincipalName -like "*"}` | SPN-ServiceAccounts.csv | à faire |
| 2.3 | Comptes gMSA | `Get-ADServiceAccount -Filter *` | gMSA-Accounts.csv | à faire |
| 2.4 | Comptes sans pré-auth Kerberos (AS-REP) | `DoesNotRequirePreAuth` | (intégré constats) | à faire |
| 2.5 | Mots de passe n'expirant jamais / inactifs | `PasswordNeverExpires`, `LastLogonDate` | (intégré constats) | à faire |
| 2.6 | Groupe Protected Users | `Get-ADGroupMember "Protected Users"` | ProtectedUsers-Members.csv | à faire |
Phase 3 — Posture de sécurité
| # | Contrôle | Outil | Livrable | Statut |
|---|---|---|---|---|
| 3.1 | Healthcheck | `PingCastle.exe --healthcheck --server <FQDN_DC>` | PingCastle-Report.html | à faire |
| 3.2 | Évaluation complémentaire | Purple Knight | PurpleKnight-Report.pdf | à faire |
| 3.3 | Niveau ANSSI | ADS-ANSSI | ADS-SecurityLevel.pdf | à faire |
Phase 4 — Chemins d'attaque
| # | Contrôle | Outil | Livrable | Statut |
|---|---|---|---|---|
| 4.1 | Collecte et analyse | SharpHound `-c All` + BloodHound | BloodHound-Audit.zip, AttackPaths.png | à faire |
Phase 5 — Configurations critiques
| # | Contrôle | Outil | Livrable | Statut |
|---|---|---|---|---|
| 5.1 | NTLMv1 / LmCompatibilityLevel (<3 = obsolète) | `reg query HKLM\SYSTEM\CurrentControlSet\Control\Lsa` | ProtocolAudit.txt | à faire |
| 5.2 | ACL AdminSDHolder | `Get-ADObject ... -Properties ntSecurityDescriptor` | AdminSDHolder-ACL.txt | à faire |
| 5.3 | RODC | `Get-ADDomainController -Filter {IsReadOnly -eq $true}` | RODC-Inventory.csv | à faire |
| 5.4 | LAPS déployé | attributs `ms-Mcs-AdmPwdExpirationTime` / `msLAPS-PasswordExpirationTime` | LAPS-Coverage.csv | à faire |
| 5.5 | DNS intégré AD | `Get-DnsServerZone`, `Get-DnsServerForwarder` | DNS-Security-Audit.csv | à faire |
| 5.6 | Santé DC | `dcdiag /e /v` | DCDIAG-Extended-Report.txt | à faire |