Master Class: Securing Active Directory Deep Dive LEVEL 3SADDD-L3MTMaster ClassMT-SADDD-L31.0<p>À l’issue de cette masterclass, vous devrez être en mesure de :
</p>
<ul>
<li>Identifier et exploiter les vecteurs d’attaque avancés ciblant Active Directory, notamment les abus d’ACL, la délégation Kerberos et les attaques NTLM Relay.</li><li>Détecter les activités malveillantes au sein d’un environnement Active Directory grâce aux techniques de Detection Engineering et aux mécanismes de déception.</li><li>Identifier, analyser et éliminer les mécanismes de persistance utilisés par les attaquants après une compromission.</li><li>Mettre en œuvre des mesures de durcissement avancées afin de réduire la surface d’attaque d’Active Directory.</li><li>Réaliser des exercices de Purple Teaming pour améliorer conjointement les capacités de détection et de défense.</li><li>Gérer efficacement un incident de sécurité affectant Active Directory, de la phase de triage jusqu’à la restauration complète de la forêt.</li><li>Concevoir une stratégie de sécurisation pérenne intégrant les évolutions récentes des technologies d’authentification et d’administration Active Directory.</li></ul><ul>
<li>Avoir suivi <span class="cms-link-marked"><a class="fl-href-prod" href="/swisscom/fr/course/masterclass-saddd-l1"><svg role="img" aria-hidden="true" focusable="false" data-nosnippet class="cms-linkmark"><use xlink:href="/css/img/icnset-linkmarks.svg#linkmark"></use></svg>Master Class: Securing Active Directory Deep Dive <span class="fl-prod-pcode">(SADDD-L1)</span></a></span> ou disposer de connaissances équivalentes</li><li>Avoir suivi <span class="cms-link-marked"><a class="fl-href-prod" href="/swisscom/fr/course/masterclass-saddd-l2"><svg role="img" aria-hidden="true" focusable="false" data-nosnippet class="cms-linkmark"><use xlink:href="/css/img/icnset-linkmarks.svg#linkmark"></use></svg>Master Class: Securing Active Directory Deep Dive LEVEL 2 <span class="fl-prod-pcode">(SADDD-L2)</span></a></span> ou disposer de connaissances équivalentes</li><li>Posséder une expérience pratique de l’administration Active Directory et des stratégies de groupe (GPO)</li><li>Disposer de connaissances de base en scripting PowerShell</li><li>Comprendre Kerberos, NTLM et les principaux vecteurs d’attaque Active Directory (Pass-the-Hash, Golden Ticket, etc.)</li></ul><ul>
<li>Administrateurs Active Directory et administrateurs systèmes Windows souhaitant approfondir leurs compétences en sécurisation des environnements AD.</li><li>Ingénieurs cybersécurité responsables du durcissement et de la défense des infrastructures d’identité.</li><li>Analystes SOC, Blue Teamers et Detection Engineers chargés de détecter et d’investiguer les attaques ciblant Active Directory.</li><li>Consultants sécurité, auditeurs techniques et pentesters souhaitant comprendre les techniques d’attaque les plus avancées utilisées contre Active Directory.</li><li>Membres d’équipes Red Team et Purple Team désireux d’améliorer leurs capacités offensives et défensives.</li><li>Responsables de la réponse à incident amenés à gérer des compromissions d’Active Directory et à piloter des opérations de remédiation et de restauration.</li><li>Architectes infrastructures et experts Microsoft souhaitant renforcer la résilience et la gouvernance des services d’identité critiques.</li></ul><h5>Attaques basées sur les ACL</h5><ul>
<li>Théorie : panorama des chemins d’exploitation des ACL</li><li>Atelier pratique : exécution complète d’une chaîne d’attaque par abus d’ACL</li><li>Outils et méthodologies associés</li></ul><h5>Délégation Kerberos – guide complet</h5><ul>
<li>Unconstrained Delegation – Printer Bug et techniques de coercition</li><li>Resource-Based Constrained Delegation (RBCD) – exploitation via MachineAccountQuota</li></ul><h5>NTLM Relay – toujours une menace majeure</h5><ul>
<li>Chaîne d’attaque : Coercion + NTLM Relay contre LDAP</li><li>Stratégie complète de durcissement avec priorisation des actions</li></ul><h5>Mécanismes de persistance dans Active Directory – catalogue complet</h5><ul>
<li>Utilisation d’AdminSDHolder comme porte dérobée</li><li>Détournement de GPO comme mécanisme de persistance</li></ul><h5>Detection Engineering pour Active Directory</h5><ul>
<li>Configuration complète des stratégies d’audit avancées</li><li>Configuration de Sysmon pour les contrôleurs de domaine</li></ul><h5>Honey Tokens, comptes Canary et techniques de déception</h5><ul>
<li>Honey Accounts – attributs destinés à attirer les attaquants</li><li>Objets Canary pour la détection dans BloodHound</li></ul><h5>Purple Teaming appliqué à Active Directory</h5><ul>
<li>Exercice « Assumed Breach » – déroulement et méthodologie</li></ul><h5>Réponse à incident dans Active Directory</h5><ul>
<li>Les deux premières heures : triage et priorisation</li><li>Recherche de mécanismes de persistance avec PowerShell</li></ul><h5>Administration par niveaux de privilèges (Tiered Administration)</h5><ul>
<li>Modèle opérationnel et niveaux de maturité</li><li>Authentication Policies et Authentication Silos</li><li>Comptes d’administration d’urgence (Break-Glass)</li></ul><h5>Sécurité réseau autour d’Active Directory</h5><ul>
<li>DHCPv6 / IPv6 – un risque souvent sous-estimé</li><li>Null Sessions et requêtes LDAP anonymes</li></ul><h5>Retours d’expérience : les prochaines évolutions</h5><ul>
<li>Windows LAPS (nouvelle génération) – migration depuis Legacy LAPS</li><li>Kerberos en mode AES uniquement – suppression complète de RC4</li></ul><h5>Attaques basées sur les ACL</h5><ul>
<li>Théorie : panorama des chemins d’exploitation des ACL</li><li>Atelier pratique : exécution complète d’une chaîne d’attaque par abus d’ACL</li><li>Outils et méthodologies associés</li></ul><h5>Délégation Kerberos – guide complet</h5><ul>
<li>Unconstrained Delegation – Printer Bug et techniques de coercition</li><li>Resource-Based Constrained Delegation (RBCD) – exploitation via MachineAccountQuota</li></ul><h5>NTLM Relay – toujours une menace majeure</h5><ul>
<li>Chaîne d’attaque : Coercion + NTLM Relay contre LDAP</li><li>Stratégie complète de durcissement avec priorisation des actions</li></ul><h5>Mécanismes de persistance dans Active Directory – catalogue complet</h5><ul>
<li>Utilisation d’AdminSDHolder comme porte dérobée</li><li>Détournement de GPO comme mécanisme de persistance</li></ul><h5>Detection Engineering pour Active Directory</h5><ul>
<li>Configuration complète des stratégies d’audit avancées</li><li>Configuration de Sysmon pour les contrôleurs de domaine</li></ul><h5>Honey Tokens, comptes Canary et techniques de déception</h5><ul>
<li>Honey Accounts – attributs destinés à attirer les attaquants</li><li>Objets Canary pour la détection dans BloodHound</li></ul><h5>Purple Teaming appliqué à Active Directory</h5><ul>
<li>Exercice « Assumed Breach » – déroulement et méthodologie</li></ul><h5>Réponse à incident dans Active Directory</h5><ul>
<li>Les deux premières heures : triage et priorisation</li><li>Recherche de mécanismes de persistance avec PowerShell</li></ul><h5>Administration par niveaux de privilèges (Tiered Administration)</h5><ul>
<li>Modèle opérationnel et niveaux de maturité</li><li>Authentication Policies et Authentication Silos</li><li>Comptes d’administration d’urgence (Break-Glass)</li></ul><h5>Sécurité réseau autour d’Active Directory</h5><ul>
<li>DHCPv6 / IPv6 – un risque souvent sous-estimé</li><li>Null Sessions et requêtes LDAP anonymes</li></ul><h5>Retours d’expérience : les prochaines évolutions</h5><ul>
<li>Windows LAPS (nouvelle génération) – migration depuis Legacy LAPS</li><li>Kerberos en mode AES uniquement – suppression complète de RC4</li></ul>À l’issue de cette masterclass, vous devrez être en mesure de :
- Identifier et exploiter les vecteurs d’attaque avancés ciblant Active Directory, notamment les abus d’ACL, la délégation Kerberos et les attaques NTLM Relay.
- Détecter les activités malveillantes au sein d’un environnement Active Directory grâce aux techniques de Detection Engineering et aux mécanismes de déception.
- Identifier, analyser et éliminer les mécanismes de persistance utilisés par les attaquants après une compromission.
- Mettre en œuvre des mesures de durcissement avancées afin de réduire la surface d’attaque d’Active Directory.
- Réaliser des exercices de Purple Teaming pour améliorer conjointement les capacités de détection et de défense.
- Gérer efficacement un incident de sécurité affectant Active Directory, de la phase de triage jusqu’à la restauration complète de la forêt.
- Concevoir une stratégie de sécurisation pérenne intégrant les évolutions récentes des technologies d’authentification et d’administration Active Directory.- Avoir suivi Master Class: Securing Active Directory Deep Dive (SADDD-L1) ou disposer de connaissances équivalentes
- Avoir suivi Master Class: Securing Active Directory Deep Dive LEVEL 2 (SADDD-L2) ou disposer de connaissances équivalentes
- Posséder une expérience pratique de l’administration Active Directory et des stratégies de groupe (GPO)
- Disposer de connaissances de base en scripting PowerShell
- Comprendre Kerberos, NTLM et les principaux vecteurs d’attaque Active Directory (Pass-the-Hash, Golden Ticket, etc.)- Administrateurs Active Directory et administrateurs systèmes Windows souhaitant approfondir leurs compétences en sécurisation des environnements AD.
- Ingénieurs cybersécurité responsables du durcissement et de la défense des infrastructures d’identité.
- Analystes SOC, Blue Teamers et Detection Engineers chargés de détecter et d’investiguer les attaques ciblant Active Directory.
- Consultants sécurité, auditeurs techniques et pentesters souhaitant comprendre les techniques d’attaque les plus avancées utilisées contre Active Directory.
- Membres d’équipes Red Team et Purple Team désireux d’améliorer leurs capacités offensives et défensives.
- Responsables de la réponse à incident amenés à gérer des compromissions d’Active Directory et à piloter des opérations de remédiation et de restauration.
- Architectes infrastructures et experts Microsoft souhaitant renforcer la résilience et la gouvernance des services d’identité critiques.Attaques basées sur les ACL
- Théorie : panorama des chemins d’exploitation des ACL
- Atelier pratique : exécution complète d’une chaîne d’attaque par abus d’ACL
- Outils et méthodologies associés
Délégation Kerberos – guide complet
- Unconstrained Delegation – Printer Bug et techniques de coercition
- Resource-Based Constrained Delegation (RBCD) – exploitation via MachineAccountQuota
NTLM Relay – toujours une menace majeure
- Chaîne d’attaque : Coercion + NTLM Relay contre LDAP
- Stratégie complète de durcissement avec priorisation des actions
Mécanismes de persistance dans Active Directory – catalogue complet
- Utilisation d’AdminSDHolder comme porte dérobée
- Détournement de GPO comme mécanisme de persistance
Detection Engineering pour Active Directory
- Configuration complète des stratégies d’audit avancées
- Configuration de Sysmon pour les contrôleurs de domaine
Honey Tokens, comptes Canary et techniques de déception
- Honey Accounts – attributs destinés à attirer les attaquants
- Objets Canary pour la détection dans BloodHound
Purple Teaming appliqué à Active Directory
- Exercice « Assumed Breach » – déroulement et méthodologie
Réponse à incident dans Active Directory
- Les deux premières heures : triage et priorisation
- Recherche de mécanismes de persistance avec PowerShell
Administration par niveaux de privilèges (Tiered Administration)
- Modèle opérationnel et niveaux de maturité
- Authentication Policies et Authentication Silos
- Comptes d’administration d’urgence (Break-Glass)
Sécurité réseau autour d’Active Directory
- DHCPv6 / IPv6 – un risque souvent sous-estimé
- Null Sessions et requêtes LDAP anonymes
Retours d’expérience : les prochaines évolutions
- Windows LAPS (nouvelle génération) – migration depuis Legacy LAPS
- Kerberos en mode AES uniquement – suppression complète de RC4Attaques basées sur les ACL
- Théorie : panorama des chemins d’exploitation des ACL
- Atelier pratique : exécution complète d’une chaîne d’attaque par abus d’ACL
- Outils et méthodologies associés
Délégation Kerberos – guide complet
- Unconstrained Delegation – Printer Bug et techniques de coercition
- Resource-Based Constrained Delegation (RBCD) – exploitation via MachineAccountQuota
NTLM Relay – toujours une menace majeure
- Chaîne d’attaque : Coercion + NTLM Relay contre LDAP
- Stratégie complète de durcissement avec priorisation des actions
Mécanismes de persistance dans Active Directory – catalogue complet
- Utilisation d’AdminSDHolder comme porte dérobée
- Détournement de GPO comme mécanisme de persistance
Detection Engineering pour Active Directory
- Configuration complète des stratégies d’audit avancées
- Configuration de Sysmon pour les contrôleurs de domaine
Honey Tokens, comptes Canary et techniques de déception
- Honey Accounts – attributs destinés à attirer les attaquants
- Objets Canary pour la détection dans BloodHound
Purple Teaming appliqué à Active Directory
- Exercice « Assumed Breach » – déroulement et méthodologie
Réponse à incident dans Active Directory
- Les deux premières heures : triage et priorisation
- Recherche de mécanismes de persistance avec PowerShell
Administration par niveaux de privilèges (Tiered Administration)
- Modèle opérationnel et niveaux de maturité
- Authentication Policies et Authentication Silos
- Comptes d’administration d’urgence (Break-Glass)
Sécurité réseau autour d’Active Directory
- DHCPv6 / IPv6 – un risque souvent sous-estimé
- Null Sessions et requêtes LDAP anonymes
Retours d’expérience : les prochaines évolutions
- Windows LAPS (nouvelle génération) – migration depuis Legacy LAPS
- Kerberos en mode AES uniquement – suppression complète de RC43 jours3890.003890.003890.003890.00