PingCastle
L’audit de sécurité de l’Active Directory, du score de risque au plan d’action
PingCastle évalue en quelques minutes la sécurité d’un Active Directory et la résume en un score de risque, avec les règles en cause et la façon de les corriger.
Conçu en France par un responsable de la sécurité pour un grand groupe, l’outil appartient aujourd’hui à Netwrix et se décline en trois éditions, de l’audit ponctuel au pilotage de centaines de domaines.
Description
L’Active Directory est le point de défaillance critique des grandes organisations : complexe, coûteux à sécuriser, et première cible d’un attaquant qui veut prendre le contrôle d’un réseau. PingCastle est né d’un programme de deux ans mené chez Engie sur plus de 300 domaines, avec une ambition revendiquée : atteindre 80 % de la sécurité en 20 % du temps.
L’outil interroge l’annuaire avec un simple compte utilisateur du domaine, sans droit d’administrateur ni installation, et produit un rapport HTML qui note le domaine sur quatre axes : comptes à privilèges, relations d’approbation, objets obsolètes et anomalies. Chaque règle déclenchée s’explique et s’accompagne de sa correction.
PingCastle s’adresse aux équipes d’exploitation, qui y trouvent les failles à corriger, comme aux directions, qui y lisent un niveau de risque et de maturité.
- Rapport Healthcheck en quelques minutes
- Un simple compte utilisateur du domaine suffit
- Aucune installation, aucun agent
- Score de risque sur quatre axes
- Plus d’une centaine de règles
- Correction expliquée pour chaque règle
- Niveau de maturité de 1 à 5
- Carte des domaines et des approbations
- Tableau de bord pour la direction
- Active Directory et Entra ID
- Code source consultable
- Communauté, Service Providers et Enterprise
Principales caractéristiques
HEALTHCHECK
Le rapport par défaut collecte les informations essentielles de l’annuaire et calcule un score de 0 à 100 : plus il est bas, mieux le domaine est protégé. Le score global est le plus élevé des quatre sous-scores.
QUATRE AXES
Comptes à privilèges, autour des administrateurs ; relations d’approbation, par lesquelles un annuaire peut en compromettre un autre ; objets obsolètes, du cycle de vie des comptes et des ordinateurs aux délégations ; anomalies, pour tout le reste.
RÈGLES
Chaque règle déclenchée indique les points qu’elle coûte, la raison technique du risque, la correction conseillée et la documentation de référence. La liste des règles est publiée et suit les versions.
MATURITÉ
Le rapport situe le domaine sur cinq niveaux de maturité, inspirés de l’ANSSI, et liste les règles à corriger pour passer au niveau supérieur.
CARTOGRAPHIE
La carte représente les domaines, leurs relations d’approbation et le score de chacun : de quoi repérer d’un coup d’œil les domaines oubliés et les chemins de compromission.
PRÉREQUIS
Un poste Windows avec le framework .NET et l’accès à l’annuaire par un compte local ou un compte d’un domaine approuvé. Les scanners intégrés vérifient en plus l’état des postes, la présence de SMBv1 ou de la faille MS17-010 par exemple.
TABLEAU DE BORD
Le module de consolidation réunit les rapports de plusieurs domaines dans une présentation PowerPoint d’indicateurs, à destination de la direction.
CODE SOURCE
Le code est publié sous licence Non-Profit OSL 3.0, et les exécutables sont signés numériquement.
Le rapport Healthcheck
Un score de risque et quatre indicateurs
La première page du rapport donne le niveau de risque du domaine, puis le détail des quatre indicateurs, chacun avec le nombre de règles déclenchées.
Le même rapport, relancé après les corrections, mesure le chemin parcouru.
Chaque règle expliquée
Un clic sur une règle déclenchée en ouvre l’explication : la description du risque, son fondement technique, la correction conseillée, les points en jeu et les liens vers la documentation de Microsoft ou des chercheurs.
Le rapport devient ainsi un plan d’action, que l’équipe d’exploitation suit règle après règle.
Du domaine au groupe
La carte des domaines
Dans un groupe aux nombreuses filiales, la carte montre tous les domaines connus, colorés selon leur score, et les relations d’approbation qui les relient.
Les domaines jamais audités et les liens qui exposent un domaine sain à un domaine faible apparaissent aussitôt.
PingCastle Enterprise
L’édition Enterprise est une application web qui centralise les rapports de tout le groupe : tableau de bord, historique complet, maturité par entité et indicateurs comme la couverture des domaines audités.
Elle sert la gouvernance dans la durée, quand la sécurité de l’annuaire devient un programme et non plus un audit.
Trois éditions
COMMUNITY
Gratuite, sans support, pour auditer ses propres systèmes : toute organisation peut l’utiliser sur son propre annuaire, à condition de n’en tirer aucun revenu.
SERVICE PROVIDERS
L’édition des prestataires, indispensable pour auditer l’annuaire d’une autre organisation. Vendue par audit, elle débloque le rapport complet et donne droit au support.
ENTERPRISE
L’application web de pilotage : consolidation des rapports de nombreux domaines, historique, carte étendue, authentification configurable et support. Vendue par identité et par an.