Survie NIS2 : sécuriser son Active Directory en 90 jours
Une méthode de travail en trois temps — voir, réduire, détecter — pour traiter des risques que personne ne regrettera d'avoir corrigés.
NIS2 n'est pas une norme Active Directory. Mais l'AD porte assez de mécanismes critiques — identités, privilèges, délégations, chemins d'administration — pour constituer le meilleur périmètre de démarrage quand on veut des preuves plutôt qu'un logo « NIS2 ready ».
Lecture : environ 9 minutes
NIS2 n'est pas un projet Active Directory
NIS2 est une directive européenne, pas une norme Active Directory. Son article 21 demande une approche beaucoup plus large de la cybersécurité : analyse des risques, gestion des incidents, continuité d'activité, sauvegarde et reprise, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités, mesure de l'efficacité des contrôles, cyberhygiène, contrôle d'accès, gestion des actifs et authentification multifacteur.
Sécuriser son Active Directory ne rend donc pas une organisation « conforme NIS2 ». Mais l'AD intervient dans suffisamment de mécanismes critiques pour devenir un excellent périmètre de travail : identités, authentification, groupes, délégations, comptes techniques, privilèges, politiques de sécurité et chemins d'administration.
La distinction est importante : l'objectif n'est pas d'obtenir un AD « vert ». L'objectif est de réduire le risque qu'une identité permette de prendre le contrôle du système d'information.
Un score PingCastle ou un audit de configuration est précieux, mais il ne dit pas à lui seul si un attaquant peut chaîner trois faiblesses banales pour atteindre Domain Admin. Même chose pour le Tier 0 : il ne se réduit pas aux contrôleurs de domaine ou aux membres de Domain Admins. Une PKI AD CS mal maîtrisée, un compte de service, une délégation historique ou un mécanisme d'authentification hérité peuvent créer un chemin tout aussi critique.
Ce que NIS2 attend, et ce que l'AD ne réglera pas
Il est utile de poser dès le départ la frontière entre ce que le travail sur l'annuaire couvre réellement et ce qui restera à traiter ailleurs. Cela évite le double effet classique : promettre trop au comité de direction, et sous-estimer la charge du reste du programme.
Six attentes, lues côté Active Directory
- Analyser les risques → identifier Tier 0, privilèges, délégations et chemins d'attaque. L'AD ne remplace pas l'analyse de risque globale du SI.
- Maîtriser les accès → gouverner groupes, comptes sensibles et droits administratifs. L'AD ne couvre pas les autorisations applicatives.
- Détecter et gérer les incidents → surveiller les changements sensibles et les comportements anormaux. L'AD ne remplace pas le SOC ni la réponse à incident.
- Assurer la continuité → sauvegarder et savoir restaurer l'annuaire. L'AD n'est pas le PRA de l'entreprise.
- Vérifier l'efficacité des contrôles → mesurer, re-tester, conserver des preuves. L'AD ne porte pas la gouvernance NIS2 globale.
- Renforcer l'authentification → protéger les usages administratifs et articuler AD avec MFA et Entra ID. L'AD ne fixe pas la stratégie d'authentification de tout le SI.
Le score mesure. L'expert interprète. L'attaquant, lui, cherche un chemin.
Offre : sécurité des identités et Active DirectoryCas d'usage : sécuriser Active Directory et ses chemins d'attaque
Avant J1 : savoir d'où l'on part
Il n'est pas nécessaire de démarrer par une mission lourde. Le diagnostic sécurité Active Directory d'Ariovis donne un premier niveau de maturité, identifie des axes d'amélioration et amorce la feuille de route. Il sert surtout à répondre à une question simple : où faut-il regarder en premier ?
Mais une analyse de posture reste une analyse. Lorsque l'environnement est critique, ou que l'organisation veut mesurer l'exploitabilité réelle de ses faiblesses, une seconde approche est particulièrement utile : attaquer les chemins d'identité de manière contrôlée.
L'offre de pentest identités et accès Ariovis × Ballpoint confronte les constats à la réalité : comptes sur-privilégiés, délégations, comptes de service, chemins vers Domain Admin, GPO, LDAP, DNS, propagation latérale, environnement hybride. Ballpoint réalise les opérations offensives ; Ariovis transforme les résultats en trajectoire IAM et Active Directory exploitable.
Lancer le diagnostic sécurité Active DirectoryCadrer un pentest identités et accès
Jours 1 à 30 — VOIR : comprendre comment l'AD peut tomber
Le premier mois doit produire une cartographie du risque, pas une collection de recommandations.
Ce que l'on cherche à comprendre
- les domaines, forêts, trusts et dépendances ;
- les actifs constituant réellement le Tier 0 ;
- les groupes privilégiés et les délégations ;
- les comptes dormants, orphelins, génériques et de service ;
- les chemins permettant d'atteindre les ressources critiques ;
- la posture Kerberos et les risques de Kerberoasting ;
- les usages NTLM et autres mécanismes hérités ;
- la gestion des administrateurs locaux et LAPS ;
- AD CS et les certificats capables de devenir des chemins d'élévation ;
- les systèmes obsolètes et les relations AD / Microsoft Entra ID ;
- la qualité de la journalisation, l'état des sauvegardes et la capacité réelle de restauration.
Des outils comme Netwrix PingCastle ou les capacités de posture de Netwrix 1Secure accélèrent cette étape et aident à prioriser.
Résultat attendu à J30 : une carte des actifs critiques, des privilèges et des chemins d'attaque, avec un backlog de remédiation ordonné par effet réel. Corriger une configuration qui supprime vingt chemins vers Tier 0 passe avant la correction cosmétique d'un indicateur isolé.
Nos accélérateurs autour de NetwrixRetour d'expérience : détecter un accès anormal
Jours 31 à 60 — RÉDUIRE : retirer ce dont l'attaquant profiterait
Le deuxième mois vise à casser les chemins identifiés.
Selon le contexte
- séparer les comptes d'administration des comptes bureautiques ;
- sanctuariser le Tier 0 et réduire les membres des groupes très privilégiés ;
- supprimer ou corriger les délégations dangereuses ;
- traiter les comptes génériques et reprendre la gouvernance des comptes de service ;
- déployer ou corriger LAPS, durcir Kerberos, réduire progressivement NTLM ;
- corriger les configurations AD CS dangereuses ;
- supprimer les mécanismes d'identité historiques devenus inutiles ;
- protéger les usages administratifs avec une authentification plus forte et segmenter les chemins d'administration.
C'est également le moment de remettre en cause les privilèges permanents. Lorsqu'un administrateur n'a besoin d'un droit que deux heures par mois, ce droit n'a pas forcément besoin d'exister les 728 autres heures. Netwrix Privilege Secure peut servir à mettre en œuvre des logiques Just-in-Time, mais le produit vient après le principe.
Résultat attendu à J60 : une comparaison objective entre la situation initiale et la situation remédiée — quels chemins ont disparu, quels privilèges ont été réduits, quels risques restent acceptés ou à traiter.
Moins de privilèges permanents signifie moins de chemins disponibles pour l'attaquant.
Offre : PAM et gestion des secretsCas d'usage : réduire les privilèges permanents
Jours 61 à 90 — DÉTECTER, RESTAURER, PROUVER
Un Active Directory propre le lundi peut redevenir dangereux le vendredi. La dernière étape consiste à rendre la posture durable.
Détecter, d'abord : voir rapidement une modification d'un groupe privilégié, une nouvelle délégation, une modification sensible de GPO, une élévation inhabituelle, un comportement administratif incohérent, un usage suspect d'un compte de service, une modification d'un actif Tier 0. Netwrix 1Secure ou Netwrix Auditor apportent la surveillance des changements, les alertes et les éléments d'investigation.
Restaurer, ensuite. La question désagréable est celle-ci : si notre forêt Active Directory est compromise demain matin, savons-nous revenir à un état sain ? Netwrix Identity Recovery couvre la restauration granulaire d'objets ou d'attributs et la récupération d'une forêt. Mais posséder l'outil ou la sauvegarde ne suffit pas : il faut tester la restauration.
Re-tester, enfin. Si un pentest identité a été mené au début du programme, un contre-audit à J90 vérifie que les chemins d'exploitation identifiés ont réellement été neutralisés. Ce n'est pas une certification NIS2 : c'est une démonstration que certains chemins qui fonctionnaient auparavant ne fonctionnent plus.
Une identité authentifiée peut être compromise. Le login réussi ne doit jamais constituer la fin du raisonnement sécurité.
Programmer un contre-audit avec BallpointRUN IAM : maintenir la posture dans la durée
À J90, le livrable n'est pas « Netwrix est installé »
Le résultat devrait être un petit dossier de preuves de maîtrise de l'Active Directory.
- posture initiale ;
- actifs et identités critiques ;
- principaux chemins d'attaque identifiés ;
- décisions de traitement et remédiations réalisées ;
- privilèges supprimés ou rendus temporaires ;
- contrôles de surveillance actifs et procédure de réponse ;
- résultat du test de restauration et du contre-audit éventuel ;
- risques résiduels et feuille de route des six prochains mois.
Ce dossier ne constitue pas une attestation de conformité NIS2. Il démontre en revanche qu'un risque majeur est identifié, traité, surveillé et testé. C'est beaucoup plus utile qu'un logo « NIS2 ready ».
Et après les 90 jours ?
Si les mêmes groupes et comptes excessifs réapparaissent quelques semaines après le nettoyage, le problème n'est probablement plus l'Active Directory : il est en amont. Un mauvais cycle Joiner / Mover / Leaver, des comptes de service sans propriétaire, des habilitations accordées sans gouvernance ou des départs mal répercutés recréeront mécaniquement de la dette.
C'est alors un sujet d'IGA. Netwrix Identity Manager, ou une autre plateforme adaptée au contexte, automatise le cycle de vie, structure les rôles, organise les demandes et recertifications, et évite que la dette nettoyée pendant les 90 jours ne se reforme.
De la même façon, si l'analyse montre que le problème dépasse largement l'AD — authentification, PAM, gouvernance, autorisation, identités cloud — la roadmap IAM Zero Trust d'Ariovis repositionne l'annuaire dans une trajectoire d'identité plus large.
L'AD est souvent un excellent endroit pour commencer. Il ne faut simplement pas confondre le point de départ avec la destination.
Conseil d'expert : Netwrix Identity ManagerOffre : gouvernance des identitésOffre : stratégie IAM et Zero Trust
Aide à la décision
Trois questions reviennent systématiquement quand un comité de direction découvre le sujet. Voici comment nous y répondons, sans promesse de conformité.
Sécuriser Active Directory suffit-il pour être conforme à NIS2 ?
Non. NIS2 couvre un périmètre beaucoup plus large. L'AD contribue néanmoins directement à plusieurs sujets importants : gestion du risque, contrôle des accès, privilèges, détection, continuité et authentification.
En pratique, c'est souvent le chantier qui produit le plus de preuves tangibles en un trimestre.
Un bon score PingCastle signifie-t-il que l'AD est sécurisé ?
Non. Un score est un excellent indicateur de posture. Il doit être complété par l'analyse des privilèges, du Tier 0, d'AD CS, des identités hybrides et surtout des chemins d'attaque réellement exploitables.
Vaut-il mieux faire un pentest avant ou après la remédiation ?
Les deux répondent à des questions différentes. Au début, le pentest démontre ce qui est exploitable et aide à prioriser. À la fin, le contre-audit vérifie que les chemins identifiés ont effectivement disparu.
Le meilleur usage de l'offensif est donc souvent de l'utiliser deux fois : au départ pour prouver le risque, à la fin pour prouver la correction.
Par où commencer si nous devons décider cette semaine ?
Si vous voulez d'abord situer votre AD, faites le diagnostic et obtenez vos premières priorités. Si vous voulez savoir ce qu'un attaquant peut réellement atteindre, cadrez un pentest identités et accès. Si vous avez déjà les constats et voulez les corriger, parlons directement de la trajectoire de remédiation.
Réserver un échange avec un expertDécouvrir l'offre sécurité des identités et Active Directory
Où en êtes-vous ?
Sous contrôle
- Tier 0 défini et sanctuarisé
- Privilèges revus et majoritairement temporaires
- Surveillance des changements sensibles active
- Restauration de forêt testée
Consolidez : contre-audit annuel et gouvernance IGA pour éviter le retour de la dette.
À structurer
- Audit de posture réalisé mais backlog non priorisé
- Comptes de service sans propriétaire clair
- Journalisation partielle
- Sauvegardes existantes mais jamais testées
Enclenchez les 90 jours : cartographier, prioriser par effet réel, puis prouver.
Exposé
- Aucun inventaire des délégations
- Comptes d'administration utilisés en bureautique
- AD CS jamais audité
- Aucune capacité de restauration démontrée
Commencez par voir : diagnostic, puis pentest identités pour mesurer l'exploitabilité réelle.
À retenir
NIS2 ne se résume pas à l'Active Directory, mais l'AD est le périmètre où l'on obtient le plus vite des preuves de maîtrise.
Quatre-vingt-dix jours suffisent rarement à tout corriger. Ils suffisent à voir, réduire les chemins majeurs, mettre en place la détection et démontrer la capacité de restauration.
Parlons de votre annuaire
Nous intervenons aussi bien sur le diagnostic initial que sur la remédiation, la mise sous surveillance et le maintien en condition de sécurité de l'annuaire.
Le plus simple est souvent de partir de votre situation réelle : nombre de forêts, historique, incidents passés, contraintes de production.
Trois façons de démarrer
Situer votre posture, mesurer ce qu'un attaquant atteindrait vraiment, ou engager la remédiation avec une équipe qui connaît les contraintes de production.