3 commandes PowerShell pour un audit AD express

$ audit-ad --express

Ton Active Directory te fait peur ? Voici trois commandes PowerShell à lancer en tant qu’admin domaine pour avoir un premier verdict en moins de deux minutes. Rien d’exhaustif, juste les red flags les plus classiques.

1. Les comptes admin qui ne devraient plus exister

Combien de comptes traînent dans Domain Admins ? Bien souvent : trop.

Get-ADGroupMember "Domain Admins" |
    Select-Object Name, SamAccountName, ObjectClass |
    Format-Table -AutoSize

Règle simple : dans une PME normale, tu devrais avoir 2 à 3 comptes maximum dans ce groupe. Si tu en vois 15, il y a un ménage à faire.

2. Les utilisateurs dont le mot de passe n’expire jamais

Get-ADUser -Filter { PasswordNeverExpires -eq $true -and Enabled -eq $true } |
    Select-Object Name, SamAccountName, DistinguishedName

Chaque ligne retournée est un compte dont le mot de passe est potentiellement le même depuis 2018. Priorise : les comptes de service peuvent rester (à condition d’utiliser des MSA/gMSA), les vrais utilisateurs, non.

3. Les comptes inactifs qui traînent

$deadline = (Get-Date).AddDays(-90)
Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly |
    Where-Object { $_.Enabled -eq $true } |
    Select-Object Name, LastLogonDate |
    Sort-Object LastLogonDate

Un compte activé sans connexion depuis 90 jours = un compte à désactiver ou à supprimer. C’est la surface d’attaque idéale pour un ancien collaborateur mécontent ou un attaquant qui a trouvé un mot de passe faible.

📡 Et après ?

Ces trois requêtes ne remplacent PAS un vrai audit AD. Pour aller plus loin : PingCastle (gratuit, un scan = un score), PurpleKnight, ou un audit humain avec revue des GPO, délégations, ACLs sensibles.

La sécurité d’un AD ne se mesure pas au nombre de contrôles techniques, mais à la vitesse à laquelle on détecte que quelque chose cloche.

🏠 Besoin d’un audit complet ?

Rendez-vous sur www.6bernova.fun — je propose des audits AD express (une demi-journée, rapport actionnable) et des audits complets sur mesure.

$ echo "Prochain article : les 5 GPO qui protègent réellement ⚡"