GPO Sécurisation Active Directory : Hardening par : Guide

2.1 Qu'est-ce qu'une GPO ?

Une Group Policy Object est un conteneur de paramètres de configuration stocké dans Active Directory (partie logique dans le conteneur CN=Policies,CN=System,DC=domain) et dans le dossier SYSVOL (partie physique sous \\domain\SYSVOL\domain\Policies\{GUID}). Chaque GPO possède un identifiant unique (GUID), un numéro de version et deux sections distinctes : Guide complet de sécurisation Active Directory par GPO : password policy, account lockout, audit policy, AppLocker, BitLocker, Credential Guard, WMI. Active Directory reste la cible privilégiée des attaquants en environnement Windows. Comprendre gpo securisation active directory hardening est indispensable pour les équipes offensives comme défensives. Nous abordons notamment : 8. checklist gpo sécurité : 20 points de contrôle, questions frequentes et 9. conclusion : les gpo comme fondation de la posture de sécurité ad. Les professionnels y trouveront des recommandations actionnables, des commandes prêtes à l'emploi et des stratégies de mise en œuvre adaptées aux environnements d'entreprise.

• Computer Configuration : paramètres appliqués au démarrage de la machine, indépendamment de l'utilisateur connecté. C'est ici que se trouvent les paramètres de sécurité critiques (audit, droits, services, pare-feu).
• User Configuration : paramètres appliqués à l'ouverture de session. Utile pour les restrictions d'interface, les scripts de logon et les redirections de dossiers.

Les GPO sont liées (linked) à des conteneurs Active Directory : sites, domaines ou Unités d'Organisation (OU). Cette liaison détermine le périmètre d'application. Un point critique souvent méconnu : une GPO non liée existe dans AD mais ne s'applique à rien. Inversement, une GPO peut être liée à plusieurs OU simultanément, ce qui en fait un outil de déploiement puissant mais potentiellement complexe à auditer.

2.2 L'ordre de traitement LSDOU

L'ordre de traitement des GPO suit l'acronyme LSDOU : Local, Site, Domain, Organizational Unit. Cet ordre est fondamental pour comprendre quelle configuration prévaut en cas de conflit :

Le principe est simple : le dernier paramètre appliqué gagne. Une GPO liée à une OU enfant écrase le même paramètre défini dans une GPO de domaine. Deux mécanismes modifient ce comportement :

• Enforced (No Override) : force la GPO parente à prévaloir sur les GPO enfants. Utilisez-le pour les politiques de sécurité critiques qui ne doivent jamais être surchargées par les OU métier.
• Block Inheritance : empêche les GPO parentes de s'appliquer à une OU. Dangereux en sécurité car il peut désactiver des contrôles essentiels. Une GPO Enforced ignore ce blocage.

2.3 WMI Filters et Security Filtering

Une compromission d'un seul poste de travail pourrait-elle mener à votre contrôleur de domaine ?

Les WMI Filters permettent de conditionner l'application d'une GPO à une requête WQL (WMI Query Language). Par exemple, appliquer une GPO BitLocker uniquement aux machines équipées d'un TPM 2.0 :

SELECT * FROM Win32_Tpm WHERE IsEnabled_InitialValue = TRUE AND SpecVersion LIKE "2.0%"

Les WMI Filters sont évalués côté client, ce qui peut impacter les performances de démarrage. Utilisez-les avec parcimonie et préférez le Security Filtering (filtrage par groupes de sécurité) lorsque c'est possible. Le Security Filtering par défaut est Authenticated Users, ce qui signifie que la GPO s'applique à tous les objets dans le périmètre de la liaison. Pour restreindre l'application :

1. Retirez Authenticated Users de la section Security Filtering.
2. Ajoutez le groupe de sécurité cible.
3. Critique : ajoutez Authenticated Users ou Domain Computers avec la permission Read uniquement dans l'onglet Delegation. Sans cette permission, le client ne peut pas lire la GPO et elle ne s'applique pas du tout -- un bug classique qui a piégé des milliers d'administrateurs depuis Windows Server 2016.

Les sous-categories critiques a activer en Success and Failure :

# Verifier la politique d'audit effective sur un serveur
auditpol /get /category:*

# Exporter dans un fichier CSV pour analyse
auditpol /get /category:* /r > C:\audit-policy-export.csv

3.4 User Rights Assignment (Attribution des droits utilisateurs)

Cette section de la GPO definit qui peut faire quoi sur les machines ciblees. Plusieurs droits sont critiques du point de vue securite et constituent des vecteurs d'elevation de privileges :

Votre Active Directory résisterait-il à une attaque Kerberoasting ?

BitLocker protege les donnees en cas de vol ou de perte d'un poste de travail. La configuration par GPO permet un deploiement uniforme et le stockage centralise des cles de recuperation dans Active Directory.

Parametres GPO essentiels (Computer Configuration > Policies > Administrative Templates > Windows Components > BitLocker Drive Encryption) :

• Require additional authentication at startup : Enabled, avec TPM + PIN. Le TPM seul ne protege pas contre les attaques Evil Maid ou les attaques DMA.
• Choose drive encryption method : XTS-AES 256-bit pour les disques systeme, AES-CBC 256-bit pour les disques amovibles (compatibilite).
• Store BitLocker recovery information in AD DS : Enabled. Stocke les cles de recuperation dans l'attribut ms-FVE-RecoveryPassword de l'objet ordinateur.
• Do not enable BitLocker until recovery information is stored : Enabled. Empeche le chiffrement si la cle de recuperation n'est pas sauvegardee dans AD.

4.4 Credential Guard : protection des identifiants en mémoire

Windows Defender Credential Guard utilise la virtualisation (VBS - Virtualization Based Security) pour isoler les secrets (hashes NTLM, tickets Kerberos TGT) dans un conteneur securise inaccessible meme avec les privileges SYSTEM. Il rend inefficaces les attaques de type Pass-the-Hash et credential dumping via Mimikatz.

Activation via GPO : Computer Configuration > Policies > Administrative Templates > System > Device Guard > Turn On Virtualization Based Security :

• Select Platform Security Level : Secure Boot and DMA Protection
• Credential Guard Configuration : Enabled with UEFI lock (irreversible sans acces physique -- le niveau le plus securise)
• Secure Launch Configuration : Enabled

Prerequis materiels : CPU avec virtualisation (Intel VT-x/AMD-V), TPM 2.0, UEFI Secure Boot, 64 bits. La plupart des postes recents (2020+) supportent Credential Guard. Testez la compatibilite avec msinfo32 (verifier "Virtualization-based security" = Running).

Le processus de deploiement :

1. Telecharger le SCT depuis le Microsoft Download Center (gratuit).
2. Extraire les baselines dans un repertoire dedie.
3. Analyser avec l'outil Policy Analyzer (compare vos GPO actuelles avec la baseline Microsoft).
4. Importer les GPO baseline via le script Baseline-LocalInstall.ps1 dans un environnement de test.
5. Comparer et adapter : la baseline Microsoft est un point de depart, pas une solution universelle. Certains parametres peuvent casser des applications metier.
6. Deployer progressivement en production, OU par OU.

# Importer une baseline Microsoft dans GPMC
# Depuis le dossier extrait de la baseline Windows 11 24H2
.\Baseline-LocalInstall.ps1

# Comparer vos GPO avec la baseline
# Ouvrir Policy Analyzer > Add > pointer vers vos GPO exportees
# Resultat : tableau de differences parametre par parametre

L'outil Policy Analyzer est particulierement utile pour identifier les ecarts entre votre configuration actuelle et les recommandations Microsoft. Il genere un rapport Excel detaillant chaque parametre, sa valeur actuelle, la valeur recommandee et l'impact potentiel de la modification.

Un attaquant disposant du droit WriteProperty sur l'attribut gPLink d'une OU peut lier une GPO malveillante a cette OU. Il peut egalement modifier l'ordre de liaison (gPOptions) ou supprimer la liaison d'une GPO de securite, desactivant ainsi les controles en place.

Cette attaque est plus subtile que la modification directe d'une GPO car elle ne necessite pas de droits sur l'objet GPO lui-meme, mais sur l'objet OU. Les ACL des OU sont souvent moins surveillees que celles des GPO.

8. Checklist GPO Sécurité : 20 points de contrôle

Cette checklist resume les 20 points de controle essentiels a verifier et implementer dans votre environnement Active Directory. Utilisez-la comme base d'audit periodique (trimestriel recommande).

Pour approfondir ce sujet, consultez notre outil open-source ad-security-audit qui facilite l'audit de sécurité complet d'Active Directory.

Questions frequentes

Sources et références : MITRE ATT&CK Privilege Escalation · ADSecurity.org

9. Conclusion : les GPO comme fondation de la posture de sécurité AD

Les Group Policy Objects constituent la fondation technique du durcissement Active Directory. Sans GPO de securite correctement configurees, auditees et maintenues, toute strategie de protection de l'annuaire repose sur du sable. Les attaquants l'ont bien compris : les GPO sont a la fois leur obstacle principal et leur vecteur d'attaque preferentiel une fois qu'ils disposent de permissions suffisantes.

L'approche recommandee repose sur trois piliers :

1. Defense en profondeur : empiler les couches de protection (password policy + audit + AppLocker + Credential Guard + firewall). Chaque couche compense les faiblesses des autres.
2. Audit continu : deployer GPOZaurr et les rapports SIEM pour detecter les derives et les modifications non autorisees. Un audit trimestriel des GPO devrait faire partie du plan de securite de toute organisation.
3. Alignement sur les baselines : utiliser le Microsoft Security Compliance Toolkit comme reference et adapter les parametres au contexte metier. Ne pas reinventer ce que Microsoft a deja documente et teste.

La securisation par GPO s'inscrit dans une demarche plus large de hardening Active Directory qui inclut le tiering model, la securisation des identites cloud, la conformite ISO 27001 et la surveillance continue via un SOC. Les GPO ne sont qu'une piece du puzzle, mais elles en constituent le socle indispensable.

Analyse des impacts et recommandations

L'analyse des risques associés à cette problématique révèle des impacts potentiels significatifs sur la confidentialité, l'intégrité et la disponibilité des systèmes d'information. Les recommandations présentées s'appuient sur les référentiels de l'ANSSI et du NIST pour garantir une approche structurée de la remédiation.

Mise en œuvre opérationnelle

La mise en œuvre des mesures de sécurité décrites dans cet article nécessite une approche progressive, en commençant par les actions à gain rapide avant de déployer les contrôles plus complexes. Un plan d'action priorisé permet de maximiser la réduction du risque tout en respectant les contraintes opérationnelles de l'organisation.