Odonia Cyber a conduit un audit de configuration et de durcissement de l'environnement Active Directory de Northwind Logistics entre le 20 juin 2026 et le 28 juin 2026. L'analyse couvre le domaine corp.northwind-logistics.lan, ses politiques de groupe (GPO), la gestion des comptes privileges, les delegations Kerberos et les chemins d'attaque lateraux. L'audit a ete conduit en mode boite grise depuis un compte utilisateur standard fourni par le client (c.bernard).

L'audit a ete realise en mode boite grise (compte utilisateur standard c.bernard fourni par le client) depuis un poste integre au domaine. Aucune exploitation active n'a ete conduite : l'analyse se limite a la collecte passive de configuration et a l'identification de chemins d'attaque potentiels. Exception : le dechiffrement du cpassword GPP (MS14-025) a ete realise hors ligne via openssl - aucune modification du système.

L'analyse BloodHound a permis d'identifier 6 chemins distincts permettant a un utilisateur non-privilegie d'atteindre les privileges Domain Admin en exploitant uniquement des mauvaises configurations (sans CVE necessaire). Tous sont exploitables depuis le compte c.bernard fourni pour cet audit - qui est lui-meme Domain Admin effectif (ODN-AD-004).

Synthese : 3 conformes · 2 partiels · 15 non conformes · 3 non evaluables (gap GPO)

// Tous les chemins vers Domain Admins depuis des utilisateurs standard
MATCH p=shortestPath((u:User {enabled:true})-[*1..]->(g:Group {name:"DOMAIN ADMINS@CORP.NORTHWIND-LOGISTICS.LAN"}))
WHERE NOT u.admincount=true
RETURN p

// Comptes Kerberoastables avec privileges eleves
MATCH (u:User {hasspn:true}) WHERE u.enabled=true
MATCH p=(u)-[:MemberOf*1..]->(g:Group)
WHERE g.highvalue=true
RETURN u.name, u.serviceprincipalnames, g.name

// Comptes avec GenericAll ou GetChanges sur des objets privilegies
MATCH p=(u:User)-[:GenericAll|GetChanges|GetChangesAll]->(t)
WHERE t.highvalue=true OR t.domain='CORP.NORTHWIND-LOGISTICS.LAN'
RETURN u.name, type(relationships(p)[0]), t.name

// AS-REP Roastable
MATCH (u:User {dontreqpreauth:true, enabled:true}) RETURN u.name

# Sur DC01, depuis une session PowerShell en tant qu'administrateur :

# 1. Exporter toutes les GPO au format XML
Get-GPOReport -All -ReportType XML -Path "C:\GPO_Export_$(Get-Date -Format yyyyMMdd).xml"

# 2. Exporter les droits d'acces locaux
secedit /export /cfg C:\secedit_export.cfg /areas USER_RIGHTS

# 3. Relancer SharpHound avec la methode GPOLocalGroup
.\SharpHound.exe -c All --CollectMethod GPOLocalGroup

# Ces artefacts permettront d'evaluer :
# - User Rights Assignment (Deny log on locally pour les comptes Tier-0)
# - Restricted Groups (membres administrateurs locaux imposes par GPO)
# - Politique d'audit avancee (couverture de journalisation)

Les signataires attestent avoir pris connaissance des constatations presentees dans ce rapport et s'engagent a traiter les vulnerabilites identifiees selon le plan d'action convenu.