Scanner Active Directory

Que fait le scan Active Directory ?

Le scan Active Directory cible vos contrôleurs de domaine : des agents d'IA testent l'IP de chaque contrôleur, confirment les risques exploitables qu'ils trouvent et appuient chaque découverte sur une preuve.

Que teste le scan ?

Les agents testent le domaine comme le ferait un attaquant présent sur votre réseau :

1. Découvrir : ils trouvent les contrôleurs de domaine et les services Active Directory qu'ils exposent.
2. Cartographier : ils recensent les utilisateurs, les partages et les erreurs de configuration via LDAP, SMB et RPC, sans identifiants lorsque c'est possible.
3. Compromettre : ils mènent de véritables attaques pour obtenir et valider des identifiants, comme le Kerberos roasting, le password spraying et l'abus des services de certificats (ADCS) et des permissions (ACLs).
4. Escalader : chaque nouvel identifiant ouvre de nouveaux chemins d'attaque. Les agents s'en servent pour élever leurs privilèges et se déplacer vers d'autres machines, en progressant vers les droits d'administrateur du domaine.

Chaque découverte est rattachée à l'appel d'outil qui l'a prouvée : cliquez sur Reasoning sur une découverte pour voir chaque commande et sa sortie.

Peut-on l'exécuter sans risque sur un domaine de production ?

Le scan mène de véritables attaques contre votre domaine, avec les protections suivantes :

• Le password spraying est limité afin que les comptes réels ne soient pas verrouillés.
• Les modifications apportées par les agents pendant les tests sont enregistrées puis annulées.

Avant de commencer, prévenez l'équipe qui surveille votre réseau : le scan peut déclencher des échecs de connexion et des alertes de sécurité. Utilisez l'étape Guardrails pour bloquer des IP, limiter le périmètre et approuver les actions risquées, et l'étape Execution window pour choisir quand il s'exécute.

Comment lancer un scan Active Directory ?

1. Cliquez sur New Scan dans la barre supérieure.
2. Choisissez Active Directory.
3. Sous Domain Controllers, saisissez l'adresse ou la plage IPv4 ou IPv6 de chaque contrôleur de domaine, une par ligne, puis cliquez sur Continue.
4. L'étape Extra Context permet d'ajouter des actifs liés à scanner avec les contrôleurs de domaine. Elle est facultative : cliquez sur Continue pour la passer.

Si vos contrôleurs de domaine se trouvent sur un réseau interne, le scan doit les atteindre depuis ce réseau : déployez d'abord un scanner on-prem. Lorsque votre organisation dispose d'un scanner, une étape Scanner vous permet de le choisir.

Quel profil de scan choisir ?

Deux profils sont disponibles pour Active Directory :

• Network Single Vulnerability Assessment : un scan ciblé d'environ 20 minutes qui identifie et confirme les vulnérabilités exploitables. Son étape Prompts est obligatoire : décrivez ce qu'il faut tester.
• Network Deep Agentic Scan : un scan approfondi d'environ 2 jours. Les agents enchaînent les vulnérabilités en chemins d'attaque et les valident par des exploits de preuve de concept.

Sélectionnez un profil, puis cliquez sur Continue.

Comment configurer les agents d'IA ?

1. Guardrails : choisissez si les agents exécutent les actions risquées d'eux-mêmes ou vous demandent d'abord votre accord. Vous pouvez aussi limiter dans Vulnerability scope les domaines et IP sur lesquels les agents testent et signalent des vulnérabilités (laissez-le vide pour couvrir toutes les cibles), lister les IP qu'ils ne doivent jamais atteindre dans Blocked IPs, et ajouter des Additional instructions, par exemple les environnements à éviter. Cliquez sur Continue.
2. AI Provider : exécutez le scan avec des jetons Cybermodels, ou avec votre propre clé (BYOK Simple ou BYOK Advanced). Cliquez sur Continue.
3. Effort : choisissez Core (50 jetons), Advanced (200 jetons), Elite (400 jetons) ou Custom Tokens. Un effort plus poussé explore davantage et consomme plus de jetons. Vous hésitez ? Cliquez sur Estimate this scan pour obtenir une recommandation. Cliquez sur Continue.

Comment finaliser et lancer le scan ?

1. L'étape Prompts n'est obligatoire qu'avec Network Single Vulnerability Assessment ; avec Network Deep Agentic Scan, elle est facultative. Les trois étapes suivantes sont facultatives : cliquez sur Continue pour passer chacune d'elles.
   • Advanced Settings : définit le nombre maximal de requêtes par seconde (QPS) envoyées par le scan.
   • Custom Checks : ajoute des agents supplémentaires à exécuter avec ce scan.
   • Tags : étiquette le scan pour le filtrer et l'organiser dans Scans.
2. Execution window est également facultative : choisissez quand le scan est autorisé à s'exécuter, par exemple Overnight. En dehors de cette plage horaire, le scan se met en pause, puis reprend à la fenêtre suivante. Consultez Choisir quand un scan s'exécute.
3. Vérifiez le récapitulatif à droite, puis cliquez sur Start scan.

Le scan apparaît dans Scans : il est d'abord mis en file d'attente, puis s'exécute. Une fois terminé, consultez Comprendre les résultats d'un scan.