Demandez à n'importe quel CISO de nommer le système d'affaires le plus critique de son entreprise et vous entendrez les réponses habituelles : l'ERP, la plateforme bancaire centrale, le MES de fabrication et le lac de données clients. Mais posez une question plus précise : Quel est le seul système, qui, s'il était compromis ne serait-ce qu'une heure, paralyserait tous les autres ? Il n'y a qu'une seule réponse honnête : Active Directory (AD).
Les chiffres que tout conseil d'administration devrait lire deux fois
L'ampleur des risques associés à AD n'est plus une hypothèse. Elle apparaît désormais dans les rapports de réponse aux incidents dans tous les secteurs :
- ~9 cyberattaques sur 10 impliquent Active Directory à une étape quelconque de la chaîne d’attaque — de la reconnaissance au vol d’identifiants jusqu’à l’élévation de privilèges. [eventussecurity.com]
- Les attaques ciblant AD ont augmenté de 42 % d’une année à l’autre, stimulées par des manuels industriels de rançongiciels et la collecte d’identifiants accélérée par l’AI. [vectra.ai]
- Les pannes AD touchant toute la forêt ont augmenté de 172 % depuis 2021, et 79 % des organisations en ont déjà vécu une, contre seulement 29 % il y a cinq ans. [panorays.com]
- Le rapport DBIR 2026 de Verizon indique la présence de rançongiciels dans 48 % de toutes les brèches confirmées — la plus forte proportion en 19 ans d’histoire du rapport. [cyberkech.com]
- Le M-Trends 2026 de Mandiant avertit que les adversaires « ciblent systématiquement les sauvegardes, les services d’identité et les couches de virtualisation pour empêcher la reprise » — avec des relais d’accès initial vers des affiliés de rançongiciels pouvant parfois survenir en moins de 30 secondes. [paloaltonetworks.com]
Il ne s’agit pas de risques de demain. Ce sont les rapports d’intervention d’aujourd’hui. Lorsque AD tombe en panne, les utilisateurs perdent l’accès, les applications ne peuvent pas authentifier, les sauvegardes ne peuvent pas être validées et la récupération devient presque impossible. Lorsque l’identité échoue, tout échoue. La résilience cybernétique commence avec la résilience de AD.
AD est la colonne vertébrale invisible de l’entreprise moderne, contrôlant l’accès et la confiance à travers les systèmes. Cette omniprésence en a fait le territoire le plus disputé de la cybersécurité. En 2026, la dépendance croissante des organisations à l’identité est devenue un risque existentiel, et le paysage des menaces en fait la preuve chaque jour.
Pourquoi les attaquants s’acharnent sur AD
Active Directory a été conçu pour une autre époque, où le périmètre constituait la principale défense et où le plus grand risque lié à l’identité était qu’un administrateur supprime accidentellement un compte. AD n’a jamais été conçu pour résister à une destruction hostile, accélérée par l’AI, à l’échelle d’une forêt, et cet héritage laisse trois faiblesses structurelles exploitées par les attaquants avec une précision mécanique. AD est hyperconnecté, un seul changement malveillant se propage ainsi sur tous les sites en quelques minutes. Il est dense en chemins privilégiés, en stratégies de groupe, en comptes de service et en groupes imbriqués qui créent des milliers de raccourcis vers le Tier 0. La plupart des entreprises ont des procédures de sauvegarde sur papier, mais rares sont celles qui ont déjà répété une restauration complète de la forêt en situation d’attaque réelle.
Le scénario est désormais tristement connu : les attaquants prennent pied par hameçonnage, s’infiltrent dans AD, désactivent les protections, exfiltrent les données et déclenchent un rançongiciel, souvent avant que les défenseurs n’aient terminé l’analyse du premier avertissement.
Pourquoi la sauvegarde traditionnelle ne suffit plus
Beaucoup d’organisations assimilent encore la sauvegarde nocturne des contrôleurs de domaine à la résilience de AD. Pourtant, les données de récupération disent le contraire. Seulement 6 % des entreprises peuvent restaurer AD en moins d’une heure après un compromis important; pour les autres, la récupération prend des jours, des semaines ou des mois. 90 % des grandes entreprises sont obligées de reconstruire des serveurs et, comme 73 % testent la récupération moins d’une fois par mois (23 % seulement une fois par an), la plupart découvrent que leur plan échoue en pleine intervention. L’exposition est énorme : une panne de AD peut coûter jusqu’à 730 000 $ l’heure, et les grandes entreprises risquent 4,5 millions $ par jour en main-d’œuvre seulement avant même les pertes de revenus, les pénalités réglementaires ou la perte de clients [info.infoblox.com].
Le problème est structurel, et non procédural. Une sauvegarde conventionnelle capture AD ainsi que toute persistance d’attaquant présente au moment de la prise de l’instantané, de sorte que la restauration réintroduit souvent précisément la compromission que vous tentez d’éliminer, forçant à choisir entre écarter des semaines de changements légitimes ou redonner à l’attaquant son point d’appui. La restauration manuelle de forêt, quant à elle, est une épreuve de plusieurs jours qui repose sur une documentation pouvant elle-même avoir été altérée.
Les organisations axées sur la résilience sont allées plus loin. Elles combinent des sauvegardes d’identité immuables et isolées du réseau à une restauration automatisée de la forêt, exempte de maliciels, une restauration granulaire au niveau des objets et une détection continue des anomalies sur les actifs Tier 0, réduisant ainsi la reprise de plusieurs jours à quelques heures.
Les six piliers de la résilience AD et cybernétique
Un programme moderne de résilience de l’identité repose sur six piliers qui se renforcent mutuellement :
- Découverte continue et renforcement : Énumérer les groupes privilégiés, les comptes orphelins et les relations de confiance obsolètes, puis appliquer un modèle d’administration strict de type Tier 0/1/2
- Sauvegardes d'identité immuables et isolées : Inviolables, conservées en dehors du périmètre de l’identité en production et vérifiables de façon indépendante
- Récupération automatisée au niveau de la forêt et des objets : Restauration pilotée par des procédures opérationnelles (runbooks) vers un état propre connu, avec retour en arrière granulaire des objets de stratégie de groupe (GPO), des comptes et attributs
- Restauration en environnement propre, sans malware : Un environnement de récupération isolé qui garantit l’absence de persistance des attaquants lors du retour en production
- Protection d’identité hybride : Visibilité unifiée et récupération coordonnée entre AD sur site et fournisseurs d’identité infonuagiques
- Résilience éprouvée et visible du conseil : Simulations de restauration de forêt et évaluations trimestrielles au conseil, transformant la résilience en véritable engagement de continuité des activités
Le point de vue de HCLTech
Chez HCLTech, nous considérons la résilience de Active Directory comme la pierre angulaire de la cyberrésilience d’entreprise, et non comme un sous-ensemble de celle-ci. En travaillant avec des plateformes spécialisées de résilience d’identité et de reprise après cyberattaque, nous aidons les entreprises à évaluer leur exposition AD grâce à l’analyse des chemins d’attaque Tier 0, à concevoir des architectures de sauvegarde immuables et isolées, à automatiser la restauration au niveau de la forêt et des objets, à s’exercer lors de simulations de reprise en cas de cyberattaque et à exploiter la résilience d’identité sous forme de service géré via notre centre d’opérations de sécurité (SOC) et nos centres de commandement en reprise après cyberattaque. Combiné à nos offres de confiance zéro, de sécurité des données et de reprise après cyberattaque, cela fait de nous un partenaire unique et responsable tout au long du cycle de vie de la résilience d’identité, de la prévention à la détection jusqu’à la reprise garantie.
L’essentiel
La cyberrésilience désigne la capacité d’une entreprise à anticiper, résister, se rétablir et s’adapter face à des événements cybernétiques adverses, et aucun de ces verbes n’est possible sans un Active Directory résilient. Si l’identité échoue, la prévention devient inutile, la détection devient du bruit et la reprise devient impossible.
Les organisations qui mèneront la prochaine décennie sont celles qui agissent dès maintenant sur cette dépendance, tant que les balises fonctionnent encore en leur faveur. La résilience d’Active Directory n’est plus une tâche d’hygiène informatique; c’est le socle sur lequel reposent tous les autres investissements en cyberrésilience.
