Mauvaises Configurations GPO : Vecteur d'Attaque AD

Que Sont les Mauvaises Configurations GPO ?

Les Group Policy Objects (GPO) constituent le principal mécanisme de gestion de la configuration dans Active Directory. Elles contrôlent les paramètres de sécurité, le déploiement de logiciels, l'exécution de scripts et les environnements utilisateur sur chaque machine du domaine. Lorsque les permissions d'une GPO sont mal configurées, elles créent l'un des vecteurs d'attaque les plus puissants d'Active Directory - une seule GPO mal configurée et liée aux contrôleurs de domaine peut compromettre l'intégralité du domaine.

Les mauvaises configurations GPO sont particulièrement dangereuses car elles combinent deux menaces : le mouvement latéral à grande échelle (une GPO compromise peut pousser des scripts malveillants vers des centaines de machines simultanément) et l'élévation de privilèges (des permissions GPO faibles permettent à des utilisateurs peu privilégiés de modifier des stratégies appliquées aux contrôleurs de domaine eux-mêmes).

L'autre problème critique lié aux GPO est l'absence de LAPS. Sans Local Administrator Password Solution, tous les postes de travail du domaine partagent le même mot de passe Administrateur local. Le craquer une seule fois sur n'importe quelle machine - via un dump ou un hash - et vous obtenez l'admin local sur chaque poste de travail du domaine.

Comment Cela Fonctionne

Les GPO sont stockées comme objets dans Active Directory et comme fichiers dans le partage SYSVOL sur les contrôleurs de domaine. Chaque GPO comporte deux composants :

• GPC (Group Policy Container) - l'objet AD, contrôlé par les ACL AD
• GPT (Group Policy Template) - des fichiers dans \\domain\SYSVOL\, contrôlés par les ACL NTFS

Les deux doivent être sécurisés. Un attaquant disposant d'un accès en écriture à l'un ou l'autre composant peut injecter du contenu malveillant qui s'exécute sur chaque machine à laquelle la GPO s'applique.

Ordre de Traitement des Stratégies de Groupe

Les GPO sont appliquées dans cet ordre (le dernier écrivain l'emporte en cas de conflit) :

1. Stratégie locale
2. GPO au niveau du site
3. GPO au niveau du domaine
4. GPO au niveau de l'OU (du parent vers l'enfant)

Cela signifie qu'une GPO liée au niveau d'une OU contenant des contrôleurs de domaine est appliquée à chaque DC de cette OU - ce qui en fait une cible exceptionnellement précieuse pour les attaquants.

La Chaîne d'Attaque

Étape 1 - Énumérer les Permissions GPO

# Find all GPOs where non-privileged accounts have edit rights
Get-GPO -All | ForEach-Object {
  $gpo = $_
  $acl = Get-GPPermission -Guid $gpo.Id -All
  $links = ([xml](Get-GPOReport -Guid $gpo.Id -ReportType Xml)).GPO.LinksTo.SOMPath -join ", "
  $acl | Where-Object {
    $_.Permission -match "GpoEditDeleteModifySecurity|GpoEdit" -and
    $_.Trustee.Name -notmatch "Domain Admins|Enterprise Admins|SYSTEM|Creator Owner"
  } | Select-Object `
    @{N="GPO";E={$gpo.DisplayName}},
    @{N="Trustee";E={$_.Trustee.Name}},
    @{N="Permission";E={$_.Permission}},
    @{N="LinkedTo";E={$links}}
}

Étape 2 - Identifier les Liens Dangereux

# Find GPOs linked to high-value OUs (Domain Controllers, Tier 0)
Get-GPO -All | ForEach-Object {
  $gpo = $_
  $links = ([xml](Get-GPOReport -Guid $gpo.Id -ReportType Xml)).GPO.LinksTo | Where-Object { 
    $_.SOMPath -match "Domain Controllers|Tier0|Admin" 
  }
  if ($links) {
    Write-Host "HIGH VALUE GPO: $($gpo.DisplayName) - Linked to: $($links.SOMPath -join ', ')"
    Get-GPPermission -Guid $gpo.Id -All | Where-Object {
      $_.Trustee.Name -notmatch "Domain Admins|Enterprise Admins|SYSTEM"
    }
  }
}

Étape 3 - Exploiter des Permissions Faibles (Si Trouvées)

Si un compte peu privilégié dispose des droits GpoEdit sur une GPO liée aux contrôleurs de domaine, l'attaquant peut ajouter un script de démarrage malveillant qui s'exécute en tant que SYSTEM sur chaque DC ciblé :

# The attacker modifies the GPO to add a malicious scheduled task
# This runs as SYSTEM on every machine in scope on next Group Policy refresh
# Domain Controllers refresh policy every 5 minutes by default (not the 90-minute
# workstation/server interval) - a malicious GPO linked to a DC OU propagates fast
# Can be forced immediately: gpupdate /force

Étape 4 - Exploiter l'Absence de LAPS pour le Mouvement Latéral

Sans LAPS, le compte Administrateur local sur tous les postes de travail partage le même mot de passe. Un simple dump de hash conduit à un mouvement latéral à l'échelle du domaine :

# Obtain the local admin hash from any one machine
# Use pass-the-hash to authenticate to all workstations (NetExec, the maintained
# successor to the now-archived CrackMapExec)
netexec smb 10.10.0.0/24 -u Administrator -H "aabbccdd11223344:aabbccdd11223344"
# All machines with the same local admin password will show [+]

Détection

Event IDs Windows

Requêtes de Détection SIEM (Elastic KQL)

GPO modifiée par un compte non-admin :

event.code: "5136" AND
winlog.event_data.ObjectClass: "groupPolicyContainer" AND
NOT winlog.event_data.SubjectUserName: ("*admin*" OR "SYSTEM" OR "*$")

Modification de fichier SYSVOL :

event.code: "4663" AND
file.path: (*\\SYSVOL\\*) AND
event.action: "File Write" AND
NOT winlog.event_data.SubjectUserName: ("SYSTEM" OR "*$")

Remediation

1. Corriger les Permissions GPO Dangereuses

# Remove dangerous permissions from a specific GPO
Set-GPPermission -Name "Default Domain Controllers Policy" `
  -TargetName "Domain Users" -TargetType Group `
  -PermissionLevel None

# Audit and fix all GPOs
Get-GPO -All | ForEach-Object {
  $gpo = $_
  Get-GPPermission -Guid $gpo.Id -All | Where-Object {
    $_.Permission -match "GpoEdit" -and
    $_.Trustee.Name -notmatch "Domain Admins|Enterprise Admins|SYSTEM"
  } | ForEach-Object {
    Set-GPPermission -Guid $gpo.Id -TargetName $_.Trustee.Name `
      -TargetType Group -PermissionLevel GpoRead
    Write-Host "Fixed: $($gpo.DisplayName) - Downgraded $($_.Trustee.Name) to Read"
  }
}

2. Déployer LAPS

# Windows LAPS ships built into Windows Server 2019/2022 (April 2023 update or later)
# and natively on Windows Server 2025 / Windows 11 22H2+ - no PowerShell Gallery
# install needed. Confirm the module is present:
Get-Command -Module LAPS

# Extend AD schema for LAPS (requires Schema Admin)
Update-LapsADSchema

# Grant permissions for DCs to write LAPS attributes
Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=corp,DC=local"

# Configure via GPO:
# Computer Configuration > Administrative Templates > LAPS
# - Enable local admin password management: Enabled
# - Password complexity: Large letters + small letters + numbers + special characters
# - Password length: 20 characters minimum
# - Password age: 30 days maximum

3. Appliquer des Standards de Stratégie de Mot de Passe via GPO

# Audit all GPOs deploying password policies
Get-GPO -All | ForEach-Object {
  $report = Get-GPOReport -Guid $_.Id -ReportType XML
  if ($report -match "MinimumPasswordLength") {
    # Extract and check the value
    $minLen = [regex]::Match($report, 
      '<MinimumPasswordLength[^>]*>(\d+)<').Groups[1].Value
    if ([int]$minLen -lt 14) {
      Write-Warning "Weak password policy in GPO: $($_.DisplayName) - MinLength: $minLen"
    }
  }
}

4. Sécuriser SYSVOL

# Verify SYSVOL ACLs are correct
# Only Domain Admins and SYSTEM should have write access
icacls "\\corp.local\SYSVOL\corp.local\Policies" /verify

# Enable SYSVOL change auditing via GPO:
# Computer Configuration > Windows Settings > Security Settings > 
#   Advanced Audit Policy > Object Access > Audit File System: Success, Failure

Comment EtcSec Détecte Cela

EtcSec audite chaque GPO de votre domaine à la recherche de permissions dangereuses, de stratégies faibles et de contrôles manquants.

GPO_DANGEROUS_PERMISSIONS identifie les GPO où des comptes non privilégiés disposent de permissions d'édition ou de modification - en particulier les GPO liées aux OU de contrôleurs de domaine, où l'exploitation mène directement à une compromission complète du domaine.

GPO_WEAK_PASSWORD_POLICY signale toute GPO déployant une stratégie de mot de passe inférieure aux standards de sécurité actuels - longueur minimale, exigences de complexité, âge maximal et historique des mots de passe.

GPO_LAPS_NOT_DEPLOYED détecte les environnements où LAPS n'est pas configuré via GPO, laissant les mots de passe Administrateur locaux non gérés et identiques sur tous les postes de travail - permettant un mouvement latéral à l'échelle du domaine à partir de la compromission d'une seule machine.

Questions Fréquemment Posées

Pourquoi les mauvaises configurations GPO sont-elles si dangereuses ? Une GPO mal configurée est dangereuse en raison de son échelle. Une seule GPO liée aux contrôleurs de domaine peut exécuter du code en tant que SYSTEM sur chaque DC de l'organisation simultanément. Contrairement aux compromissions de comptes individuels, une GPO malveillante affecte chaque machine concernée au prochain cycle d'actualisation de la stratégie de groupe - potentiellement des centaines de machines en 90 minutes.

Qu'est-ce que LAPS et pourquoi devrais-je le déployer ? Local Administrator Password Solution (LAPS) gère automatiquement le mot de passe du compte Administrateur local sur chaque ordinateur joint au domaine, en définissant un mot de passe aléatoire unique qui change selon une planification. Sans LAPS, tous les postes de travail partagent généralement le même mot de passe Administrateur local, permettant à un attaquant qui craque le hash d'une machine de s'authentifier sur tous les autres postes de travail - une technique appelée pass-the-hash.

Quelle est la configuration GPO minimale que je dois examiner ? Priorisez d'abord les GPO liées aux contrôleurs de domaine et aux OU Tier 0 - ce sont les cibles à plus fort impact. Ensuite, auditez la Default Domain Policy et la Default Domain Controllers Policy à la recherche de changements de permissions non autorisés. Ces deux GPO à elles seules couvrent la surface de risque la plus critique.

Priorités de Revue

Mauvaises Configurations GPO : Comment la Stratégie de Groupe Devient un Vecteur d'Attaque doit être traité comme une exposition réelle au sein de votre parc Active Directory, et non comme un paramètre isolé unique. Commencez par définir le périmètre de revue : quels groupes privilégiés, comptes de service, ACL, liens GPO, approbations, paramètres de délégation, modèles de certificats et postes de travail d'administration sont concernés, quels flux métier en dépendent, quels privilèges ils exposent, et quelles exceptions d'urgence ont été ajoutées au fil du temps. Cette étape de cadrage évite une remédiation superficielle, car le symptôme technique est souvent plus restreint que le rayon d'impact opérationnel. En documentant le chemin complet de la configuration au privilège, l'équipe peut prioriser les changements qui réduisent le risque rapidement sans casser les accès en production. Cela crée également une base de référence défendable pour une validation ultérieure et donne à la direction une explication claire de l'importance actuelle de ce problème.

Contrôles Adjacents à Examiner

Lorsque des attaquants atteignent votre parc Active Directory, ils s'arrêtent rarement au premier point faible. Autour de Mauvaises Configurations GPO : Comment la Stratégie de Groupe Devient un Vecteur d'Attaque, ils testent généralement si le chemin exposé peut être enchaîné avec des comptes privilégiés obsolètes, une imbrication de groupes dangereuse, une délégation excessive, des paramètres de mot de passe faibles, des chemins GPO accessibles en écriture et un abus d'ACL héritées. Cela signifie que les défenseurs doivent examiner non seulement la faiblesse principale, mais aussi chaque dépendance voisine qui transforme un accès en persistance ou en élévation de privilèges. Confirmez quelles identités, rôles, permissions et hypothèses d'approbation peuvent être réutilisés par un opérateur motivé. Si une correction ne referme qu'un seul objet tout en laissant intacts les chemins de privilèges adjacents, le risque effectif change à peine. Une revue rigoureuse des possibilités d'enchaînement est ce qui transforme ce sujet d'article en un exercice de durcissement pratique plutôt qu'en une simple case à cocher ponctuelle.

Mauvaises Configurations GPO : Validation Avant Clôture

Une revue solide des Mauvaises Configurations GPO doit se conclure par des preuves issues de la production, et non par une supposition que le chemin risqué a disparu. Avant de clore le constat, revérifiez les identités privilégiées, les droits délégués et les accès hérités, la stratégie, l'ACL, le groupe ou le périmètre GPO qui a réellement changé, ainsi que les preuves de journalisation ou de collecte associées au constat. Confirmez que l'état sécurisé s'applique au périmètre qui compte réellement : l'OU de production, l'attribution de rôle effective, le chemin applicatif, ou le chemin d'approbation et de délégation qu'un attaquant exploiterait réellement. Consignez le propriétaire technique, la dépendance métier et la condition de retour arrière afin que la prochaine revue puisse déterminer si l'état sécurisé a été maintenu.

Utilisez une courte liste de contrôle de clôture :

• vérifiez que l'état risqué a disparu du point de vue de l'attaquant, pas seulement sur une capture d'écran d'administration
• conservez un export ou un échantillon de journal avant/après prouvant que le périmètre concerné a changé
• documentez le propriétaire et la décision d'exception si le contrôle n'a pas pu être pleinement appliqué

Pour l'exposition adjacente, croisez le résultat avec Imbrication Dangereuse de Groupes : Chemins Cachés vers Domain Admin, Chemins d'Attaque Active Directory vers Domain Admin, Supervision Active Directory : les Event IDs de Sécurité qui Comptent, et Conformité AD et Azure : NIS2, ISO 27001, CIS Controls. Le même écart de contrôle réapparaît souvent dans des chemins d'identité voisins, des lacunes de journalisation ou des permissions déléguées, ce qui explique pourquoi cette étape de validation finale compte autant que le constat initial.

Mauvaises Configurations GPO : Preuves à Conserver pour le Prochain Cycle de Revue

Le prochain relecteur ne devrait pas avoir à reconstruire le dossier de mémoire. Conservez les preuves qui ont initialement justifié le constat, la preuve que le changement a été appliqué, et la note expliquant pourquoi l'état final est acceptable. Pour ce sujet, les preuves les plus utiles combinent généralement l'export actuel des identités, groupes ou chemins délégués concernés, la preuve de configuration avant/après pour le contrôle que vous avez modifié, et le ticket, le propriétaire et la note d'exception expliquant l'état final. Ce dossier compact accélère considérablement les revues trimestrielles ou post-changement et aide à expliquer si le problème a été supprimé, réduit ou formellement accepté.

Si un changement ultérieur d'administration, de stratégie ou d'application rouvre le chemin, ces preuves historiques permettent également de prouver plus facilement ce qui a dérivé. C'est ce qui transforme les Mauvaises Configurations GPO d'une vérification ponctuelle en un processus d'assurance reproductible.

Lectures Connexes

Examinez ce sujet conjointement avec Supervision Active Directory : les Event IDs de Sécurité qui Comptent, Sécurité des Mots de Passe Active Directory : les Erreurs de Configuration qui Comptent, Imbrication Dangereuse de Groupes : Chemins Cachés vers Domain Admin, Attaques NTLM Relay : Détourner l'Authentification dans AD, et Chemins d'Attaque Active Directory vers Domain Admin. Ces articles connexes montrent comment les mêmes faiblesses d'identité s'enchaînent habituellement dans une évaluation réelle plutôt que d'apparaître comme des constats isolés.

• Supervision Active Directory : les Event IDs de Sécurité qui Comptent
• Sécurité des Mots de Passe Active Directory : les Erreurs de Configuration qui Comptent
• Imbrication Dangereuse de Groupes : Chemins Cachés vers Domain Admin
• Attaques NTLM Relay : Détourner l'Authentification dans AD
• Chemins d'Attaque Active Directory vers Domain Admin

L'utilisation de ces références permet de maintenir la discussion sur la remédiation centrée sur la chaîne d'attaque complète plutôt que sur une seule faille de contrôle isolée.

Valider le Périmètre, l'Héritage et les Exceptions

Le nettoyage des GPO doit être testé par rapport à la structure d'OU réelle et aux flux de travail d'administration existant en production. Les équipes doivent confirmer quelles stratégies liées s'appliquent encore aux systèmes à forte valeur, si les blocages d'héritage ou les droits d'édition délégués introduisent de nouvelles possibilités de contournement, et si les stratégies d'urgence ou héritées restent justifiées. Cette revue maintient le durcissement de la Stratégie de Groupe ancré dans la manière dont les privilèges et le contrôle des postes de travail fonctionnent réellement dans l'environnement.

Examiner la Propriété Administrative des GPO

La question finale est de savoir qui peut encore modifier la stratégie après le nettoyage. Si trop d'administrateurs, d'équipes déléguées ou de scripts hérités peuvent modifier des GPO à fort impact, le même risque revient rapidement via l'administration courante. L'examen de la propriété, des chemins d'approbation et de la surveillance des modifications sensibles de GPO maintient l'effort de durcissement durable plutôt que temporaire.

Ce Qu'il Faut Surveiller Après le Nettoyage

Après un projet de remédiation GPO, portez une attention particulière aux nouveaux éditeurs délégués, aux changements de stratégie d'urgence et aux liens appliqués aux OU à forte valeur. Ce sont les points où les anciennes faiblesses ont tendance à réapparaître. Une revue légère des modifications GPO récentes, des changements de propriété et des stratégies nouvellement liées aide à confirmer que l'environnement reste durci une fois l'effort de nettoyage initial terminé.

Maintenir la Gouvernance GPO dans la Durée

Le contrôle à long terme, c'est la constance. Si les équipes continuent de suivre qui peut modifier les stratégies critiques, quels changements d'urgence contournent la revue standard, et à quelle vitesse les liens à haut risque sont examinés, la Stratégie de Groupe reste un contrôle défensif au lieu de devenir une surface d'attaque récurrente. Ce rythme opérationnel est souvent ce qui distingue un nettoyage ponctuel d'un durcissement durable.

Le durcissement des GPO dépend également de la rapidité avec laquelle les changements de stratégie inhabituels sont examinés après les opérations de maintenance en heures ouvrées, les correctifs d'urgence et les déploiements de nouveaux postes de travail. Maintenir cette boucle de revue active aide les équipes à détecter le moment où des modifications de confort réintroduisent des paramètres dangereux longtemps après la clôture du projet de remédiation initial. En pratique, la sécurité durable des GPO dépend moins d'une base de référence parfaite unique que du maintien d'une visibilité sur chaque changement futur susceptible d'affecter les systèmes privilégiés.