// formation — 5 jours
Formation Active Directory
Sécurité & Pentest
Maîtrisez l'audit et le durcissement d'environnements Active Directory. De l'architecture aux attaques avancées (Kerberoasting, DCSync, Pass-the-Hash), en passant par la détection et la remédiation. Labs sur environnement Windows Server réel, scénarios inspirés d'incidents PASSI.
// objectifs pédagogiques
À l'issue de cette formation,
vous saurez…
Comprendre l'architecture Active Directory : domaines, forêts, trusts, délégations et objets de stratégie de groupe
Maîtriser les protocoles d'authentification Kerberos, NTLM et LDAP et identifier leurs failles classiques
Réaliser un audit AD offensif avec BloodHound, PowerView et les outils de l'Impacket suite
Conduire les attaques de référence : Pass-the-Hash, Pass-the-Ticket, Kerberoasting, AS-REP Roasting, DCSync
Détecter les compromissions via les logs Windows Event et Sysmon, et construire des règles de détection
Appliquer le tiering model, LAPS et les PAW pour durcir l'infrastructure AD conformément aux recommandations ANSSI
// programme détaillé
5 jours, de l'architecture
à la remédiation.
- Architecture AD : domaines, forêts, arbres, trusts — comprendre les limites de confiance
- Objets AD : utilisateurs, groupes, ordinateurs, GPO, OU, délégations
- Protocoles : Kerberos (AS-REQ/TGS), NTLM (challenge/response), LDAP et LDAPS
- Outils d'énumération passive : LDAP queries, PowerView, ldapdomaindump
- TP : cartographie complète d'un domaine AD de lab
- BloodHound : collecte SharpHound, analyse des chemins vers Domain Admin
- ACL abuses : GenericAll, WriteDACL, ForceChangePassword, AllExtendedRights
- Kerberoasting : extraction de tickets de service et craquage offline
- AS-REP Roasting : identification des comptes sans pré-authentification
- TP : trouver le chemin le plus court vers DA dans un lab réaliste
- Pass-the-Hash et Pass-the-Ticket : déplacement latéral sans mot de passe en clair
- Overpass-the-Hash (Pass-the-Key) et RC4 downgrade
- DCSync : extraction des secrets du domaine via DRS protocol
- Golden Ticket & Silver Ticket : persistence post-compromission
- Skeleton Key & DSRM abuse
- TP : scénario complet — d'un compte utilisateur à Domain Admin
- Windows Event Logs essentiels : 4625, 4624, 4648, 4672, 4769, 4776, 4768
- Sysmon : configuration avancée, règles de détection ciblées AD
- Détection Kerberoasting, Pass-the-Hash et DCSync via logs
- Purple Team exercise : attaque en live, détection en temps réel
- TP : construire un dashboard de détection AD avec les logs générés en J1-J3
- Modèle de tiering ANSSI (Tier 0/1/2) : segmentation des comptes et postes
- LAPS (Local Administrator Password Solution) : déploiement et audit
- PAW (Privileged Access Workstation) : architecture et contraintes opérationnelles
- GPO de durcissement : LSASS protection, Credential Guard, Windows Defender
- Gestion de crise AD : procédure de reset post-compromission
- TP final : audit de configuration + livrable feuille de route priorisée
// public cible
Cette formation s'adresse à…
Administrateurs systèmes
Gérant un ou plusieurs domaines AD en production
Auditeurs et pentesters
Souhaitant maîtriser l'audit offensif d'environnements AD
Analystes SOC / CSIRT
Voulant détecter les attaques AD en temps réel
RSSI & responsables sécurité
Devant piloter la remédiation post-compromission
// votre formateur
Un praticien, pas un académicien.
10 ans chez Sysdream, ex-responsable technique CoESSI. Auditeur PASSI qualifié ANSSI sur 4 portées (test d'intrusion, audit de configuration, audit d'architecture, responsable d'audit). A conduit des tests d'intrusion Active Directory dans plus de 25 pays pour des grands comptes bancaires, industriels et ministères français. Ses scénarios de formation sont directement inspirés d'incidents réels documentés lors de ses missions PASSI.
// retours apprenants
Ce qu'ils en disent.
Le formateur maîtrise son sujet, toujours avec arguments à portée de tous — nombreux accompagnements et démonstrations. Les informations les plus complexes ont été vulgarisées au maximum.
Expert sur son sujet, s'adapte aux différentes questions. Très bonne pédagogie, toujours avec des explications et des exemples clairs.
Merci à Cédric pour sa sympathie, sa maîtrise du sujet et sa patience envers les petits soucis techniques. Très bonne formation.
Pédagogie très pertinente, mêlant TP et cours magistraux en laissant la place aux interventions. L'agilité du formateur a permis de surmonter les difficultés techniques.
// questions fréquentes
Tout ce que vous voulez savoir.
// formations associées
Complétez votre parcours.
Pentest & Red Team
Méthodologie d'intrusion complète — de la reco à l'exploitation et au reporting.
Voir la formation →Forensic & Réponse à incident
Analyser une compromission AD post-incident et produire un rapport défendable.
Voir la formation →CTI & Threat Hunting
Chasser les attaquants dans votre AD avant qu'ils n'atteignent les DA.
Voir la formation →Formations cybersécurité Paris
Toutes nos formations disponibles en présentiel à Paris et Île-de-France.
Voir les sessions Paris →Prêt à former vos équipes
sur Active Directory ?
Réponse sous 48h. Session organisable en 2 à 3 semaines — en présentiel à Paris ou en distanciel sur toute la France.