Table des matières
Dans de nombreuses infrastructures d’entreprise, la gestion des identités repose sur des annuaires et systèmes centralisés comme Active Directory. Ces environnements accumulent avec le temps des comptes créés pour des collaborateurs, prestataires ou projets temporaires. Une partie de ces identifiants n’est jamais supprimée ni réellement réactivée, tout en conservant parfois des droits toujours effectifs.
Ces comptes dits “inactifs” représentent une cible discrète pour les attaquants, car ils échappent souvent aux contrôles quotidiens et aux mécanismes de surveillance classiques.
Dans Active Directory, la création de comptes accompagne chaque arrivée, mission ou intervention externe. Lorsque ces profils ne sont pas correctement désactivés en fin de cycle, ils restent présents dans l’annuaire avec des permissions intactes.
On retrouve fréquemment :
Ces identifiants conservent parfois des accès à des serveurs internes, des applications métiers ou des espaces de stockage sensibles.
Les environnements construits autour de Active Directory évoluent souvent sur plusieurs années. Les audits d’identités ne suivent pas toujours le rythme des changements organisationnels, ce qui laisse apparaître des écarts entre réalité opérationnelle et annuaire.
Plusieurs situations expliquent cette persistance :
Ces comptes ne sont pas visibles comme actifs au quotidien, mais restent techniquement exploitables si les identifiants sont récupérés.
Les attaquants recherchent régulièrement des identifiants associés à des comptes inactifs dans Active Directory. Ces profils sont intéressants car ils peuvent bénéficier de droits élevés tout en étant peu surveillés.
Les approches observées incluent :
Une fois un compte compromis, il peut servir de point d’entrée discret dans le réseau interne.
Dans Active Directory, les droits d’accès sont souvent hérités de groupes ou d’unités organisationnelles. Lorsqu’un compte devient inactif, ses permissions ne sont pas toujours réévaluées.
On observe régulièrement :
Ces permissions peuvent offrir un chemin progressif vers des ressources critiques du système d’information.
Les comptes inactifs dans Active Directory ne génèrent souvent aucune activité visible, ce qui réduit leur surveillance. Contrairement aux comptes actifs, ils ne déclenchent pas d’alertes liées à l’usage quotidien.
Cette absence de signaux inclut :
Cette discrétion rend leur identification plus complexe sans analyse dédiée des annuaires.
Lorsqu’un compte inactif dans Active Directory est réactivé par un tiers non autorisé, il peut servir de point d’ancrage dans le système d’information.
Les scénarios les plus fréquents incluent :
Le risque ne dépend pas uniquement du compte lui-même, mais aussi des droits encore associés à celui-ci.
La maîtrise des comptes dormants dans Active Directory repose sur une gestion rigoureuse du cycle de vie des identités. Cela inclut la création, la modification et la suppression des comptes en cohérence avec l’activité réelle des utilisateurs.
Les environnements les plus exposés sont souvent ceux où :
Cette accumulation progressive d’identifiants inactifs augmente la surface d’exposition globale du système.
Les comptes dormants dans Active Directory illustrent une faiblesse structurelle fréquente dans les systèmes de gestion des identités : la persistance des accès au-delà de leur nécessité initiale. Tant que ces comptes restent actifs, ils constituent des points potentiels d’entrée difficilement visibles dans les environnements internes.
La maîtrise de ces identités repose donc sur une vision continue de l’ensemble des accès existants, y compris ceux qui ne sont plus utilisés au quotidien.