Dans la fenêtre d’impression, choisissez « Enregistrer en PDF » comme destination.
Réf. SEC-ADS
Active Directory - Sécuriser les services de domaine
Sécurité défensive
Durée
21 à 28 heures (3 à 4 jours) selon le format
Modalités
Présentiel, Classe à distance
Reconnaissance
Formation non certifiante (attestation de fin de formation)
Format de vente
Inter-entreprise ou Intra-entreprise
Délai d’accès
Inter : jusqu’à 5 jours ouvrés avant la session ; intra : en moyenne 15 jours ouvrés après l’acceptation du devis
Tarif intra
Sur devis
Pourquoi suivre cette formation
Active Directory est la cible prioritaire des cyberattaques. Cette formation vous apprend à appliquer le modèle d'administration en tiers de l'ANSSI, à renforcer vos contrôleurs de domaine, à contrer les attaques Kerberos et à repérer les intrusions.
À l’issue de cette formation, les participants seront capables de
IMPACTTerrain28 heures (4 jours) · dont une journée en décalé2 855 € HTpar participant (inter-entreprises)
Chaque format reprend le précédent et y ajoute des journées.
Public visé
Administrateurs Active Directory, Ingénieurs Système Windows, Administrateurs Sécurité, RSSI et Consultants Cybersécurité.
Prérequis
Pratique courante de l'administration Active Directory Domain Services (AD DS), des Group Policies (GPO) et de PowerShell.
Prérequis techniques à distance
La classe virtuelle se tient sur Microsoft Teams : AMBIA fournit à chaque participant un compte pour la durée de la formation. En intra-entreprise, elle peut aussi se tenir sur l’outil que l’entreprise utilise déjà, par exemple Zoom ou Google Meet.
Le participant se connecte depuis un ordinateur équipé d’une caméra, d’un micro, d’un accès à internet et d’un navigateur à jour, dans un lieu calme. Si la formation le demande, le formateur donne accès à un poste de travail à distance, depuis le navigateur.
Pendant la formation, l’assistance technique répond à support@ambia-skills.fr.
Objectifs pédagogiques
Restituer les mécanismes d'authentification Kerberos, NTLM et l'architecture des objets AD.
Expliquer les vulnérabilités structurelles de l'Active Directory et le fonctionnement des attaques d'usurpation.
Déployer le modèle de Tiering ANSSI, les gMSA et la politique de bastion d'administration.
Interpréter les rapports d'audit PingCastle et les graphes d'attaque BloodHound.
Évaluer le niveau de risque d'un domaine Active Directory et la pertinence des GPO de sécurité.
Définir le plan dehardening et la stratégie de restauration d'urgence d'une forêt AD.
Programme détaillé
Jour 1ACTION
Matin
Architecture d'Active Directory et cartographie des attaques
Comprendre le fonctionnement interne des protocoles d'authentification AD et les mécanismes des cyberattaques.
Rappels d'architecture : Forêt, Domaine, Unités d'Organisation, Relations de confiance et NTDS.dit.
Fonctionnement détaillé des protocoles d'authentification : Kerberos (TGT, TGS, tickets) vs NTLM (NetNTLMv1/v2).
Cartographie des attaques modernes ciblant l'AD : Pass-the-Hash, Pass-the-Ticket, Kerberoasting, AS-REPRoasting et Golden Ticket.
Atelier pratique
Analyse des billets Kerberos sous Wireshark et identification des échanges de tickets d'authentification.
Cas métier
Autopsie de l'infection d'une entreprise par un ransomware- Analyse de la compromission du compte de domaine.
Compétence acquise
Diagnostiquer les faiblesses d'architecture d'un annuaire Active Directory.
Livrable
La cartographie des protocoles d'authentification AD.
Après-midi
Audit de sécurité AD avec BloodHound et PingCastle
Utiliser les outils d'audit d'élite pour cartographier les vulnérabilités et les chemins d'accès de l'annuaire.
Audit automatisé de la maturité AD avec PingCastle : interprétation du score de risque et des indicateurs de santé.
Cartographie des chemins d'attaque avec BloodHound et SharpHound : requêtes Cypher, analyse des ACLs complexes et des droits délégués.
Identification des comptes à privilèges cachés, des sessions d'administration résiduelles et des objets orphelins.
Atelier pratique
Exécution de PingCastle et BloodHound sur le domaine de laboratoire et identification du chemin d'attaque vers l'Admin du Domaine.
Cas métier
Audit de sécurité préalable à une acquisition d'entreprise- Analyse des failles AD de la société cible.
Compétence acquise
Auditer un domaine Active Directory et détecter les chemins d'élévation de privilèges.
Livrable
Le rapport d'audit de santé Active Directory et le schéma des chemins d'attaque.
Jour 2ACTION
Matin
Modèle en tiers de l'ANSSI et isolation du Tier 0
Implémenter la séparation stricte des niveaux d'administration pour protéger le cœur de domaine.
Le modèle à 3 tiers recommandé par l'ANSSI et Microsoft : Tier-0 (Cœur de domaine), Tier-1 (Serveurs d'application), Tier-2 (Postes de travail).
Règles d'isolation étanches : interdiction absolue de connexion d'un compte de Tier supérieur sur un équipement de Tier inférieur.
Déploiement de postes d'administration dédiés (PAW -Privileged Access Workstations) et de bastions.
Atelier pratique
Découpage de l'Active Directory en Unités d'Organisation Tiers et application des GPO de restriction de connexion.
Cas métier
Mise en conformité ANSSI de l'infrastructure d'un opérateur d'importance vitale (OIV)- Déploiement du Tiering Model.
Compétence acquise
Déployer le modèle d'administration en tiers ANSSI pour isoler les contrôleurs de domaine.
Livrable
La structure d'UO en Tiers et les GPO de restriction d'ouverture de session.
Après-midi
Comptes de service (gMSA) et sécurisation de Kerberos
Éliminer les mots de passe statiques des comptes de services et contrer les attaques Kerberoasting.
Problématique des comptes de services classiques : mots de passe faibles, jamais changés, privilèges excessifs.
Déploiement des comptes de services gérés par le domaine (gMSA - GroupManaged ServiceAccounts) avec rotation automatique des mots de passe.
Protection contre le Kerberoasting et l'AS-REPRoasting : chiffrement AES-256 obligatoire, complexification des SPN et désactivation de la pré-authentification Kerberos.
Atelier pratique
Migration d'un compte de service applicatif classique vers un compte gMSA sécurisé sans interruption de service.
Cas métier
Sécurisation des services SQL Server et IIS- Remplacement des comptes de domaine par des gMSA.
Compétence acquise
Déployer des comptes gMSA et sécuriser les protocoles d'authentification Kerberos.
Livrable
La politique de gestion des comptes de services et le script de création gMSA.
Jour 3ACTION
Matin
Renforcement des GPO et groupes à privilèges élevés
Appliquer les stratégies de groupe (GPO) de durcissement et nettoyer les groupes d'administration.
Durcissement des contrôleurs de domaine via les GPO de sécurité (ANSSI / CIS Benchmarks).
Nettoyage et restriction des groupes sensibles : Administrateurs du domaine, Enterprise Admins, Schema Admins, Operateurs de compte.
Protection contre les attaques DCSync : audit et restriction des droits de réplication (DS-Replication-Get-Changes).
Atelier pratique
Application du pack de GPO de durcissement ANSSI et restriction des droits de réplication du domaine.
Cas métier
Verrouillage d'un annuaire à la suite de la tentative d'extraction du fichier NTDS.dit - Sécurisation des droits DCSync.
Compétence acquise
Durcir la configuration des contrôleurs de domaine et verrouiller les droits sensibles.
Livrable
Le pack de GPO de durcissement d'annuaire d'entreprise.
Après-midi
Journalisation, détection des intrusions et procédure de secours (krbtgt)
Configurer la surveillance des événements de sécurité AD et maîtriser la procédure de restauration d'urgence.
Journalisation avancée des contrôleurs de domaine : événements clés d'audit (Id 4624, 4672, 4768, 4769, 4771, 5136).
Détection des attaques en temps réel : détection de l'utilisation de Mimikatz, de la création de comptes suspects et des modifications d'ACL.
Procédure de réinitialisation d'urgence du mot de passe du comptekrbtgt (Double réinitialisation pour invalider les Golden Tickets).
Atelier pratique
Simulation d'une attaque Golden Ticket, détection dans les journaux d'événements et exécution du script de réinitialisation du krbtgt.
Cas métier
Reprise après sinistre cyber (DisasterRecovery)- Procédure de décontamination et réinitialisation du comptekrbtgt.
Compétence acquise
Superviser la sécurité d'un domaine AD et exécuter la procédure de secours du comptekrbtgt.
Livrable
Le plan de réponse à incident Active Directory et la procédure de réinitialisation du krbtgt.
Jour 4 · en décaléIMPACT
Matin
Diagnostic de votre Active Directory
Repérer les chemins d'attaque cachés et les comptes de service obsolètes, et mesurer le score de risque réel.
Examen confidentiel de l'organisation des unités d'organisation (UO) et des GPO de sécurité, puis analyse PingCastle du domaine de production.
Après-midi
Mettre en place le modèle en tiers et déployer les GPO
Réduire le score de risque et livrer un annuaire renforcé, conforme aux recommandations de l'ANSSI.
Déploiement accompagné du modèle d'UO à 3 tiers et application des GPO de renforcement.
Les ateliers et cas métier de ce programme pourront être adaptés par le consultant-formateur selon les besoins, le niveau et les prérequis des participants, pour favoriser l’atteinte des objectifs pédagogiques.
Méthodes et moyens pédagogiques
Méthodes mobilisées
Pédagogie active et immersive basée sur des simulations métiers complexes. Alternance de démonstrations techniques ciblées, de phases de résolution de problèmes en autonomie dans un laboratoire dédié, et de revues critiques collectives pour valider la pertinence des remédiations appliquées.
Moyens techniques
Un poste informatique individuel par participant, un accès distant sécurisé à un laboratoire de test multi-serveurs (Active Directory complet, postes clients, serveurs membres, machines d'audit), outils spécialisés (BloodHound, PingCastle, ADFind, Wireshark, etc.), et support de cours numérique Premium.
Moyens humains
Formation animée par un consultant-formateur expert senior en cybersécurité, spécialiste des audits Active Directory et certifié (ex : MCSE, OSCP, CEH ou équivalent).
Modalités d’évaluation
Évaluation diagnostique
Questionnaire de positionnement en amont de la formation (15 jours avant) pour valider la bonne maîtrise des prérequis sur Windows Server.
Évaluation formative
Scénarios et ateliers d'audit immersifs complexes, exercices pratiques de remédiation en laboratoire, et revues critiques collectives tout au long des trois jours.
Évaluation sommative
Questionnaire de validation des acquis sous forme de QCM en fin de formation et contrôle de la conformité des livrables techniques produits lors du cas pratique de fin de parcours.
Suivi
Feuilles de présence signées par demi-journée, en présentiel comme à distance.
Attestation de fin de formation remise à chaque stagiaire, mentionnant les objectifs, la nature, la durée et les résultats de l’évaluation.
Certificat de réalisation adressé au client ou au financeur.
Questionnaire de satisfaction remis à l’issue de la formation.
Délai d’accès
Inter-entreprises : L’inscription est possible jusqu’à 5 jours ouvrés avant le début de la session, sous réserve des places disponibles.
Intra-entreprise : La formation débute en moyenne 15 jours ouvrés après l’acceptation du devis.
Ce délai peut être adapté selon la disponibilité des sessions, le positionnement du stagiaire et, le cas échéant, l’instruction du dossier de prise en charge par le financeur.
Accessibilité handicap
Parcours accessible aux personnes en situation de handicap.
Référent handicap : accessibilite@ambia-skills.fr. Aucune reconnaissance de la qualité de travailleur handicapé ni aucun justificatif médical n’est exigé.
Indicateurs de résultats
Indicateurs publiés à partir de 3 avis.
Mode de calcul : www.ambia-skills.fr/notre-approche#notes
