Demandez à n'importe quel CISO de nommer le système d'affaires le plus critique de son entreprise, et vous entendrez les réponses familières : l'ERP, la plateforme bancaire centrale, le MES de fabrication et le lac de données clients. Mais posez une question plus précise : quel système unique, s'il était compromis même une heure, stopperait tous les autres? Il n’y a qu’une réponse honnête—Active Directory (AD).
Les chiffres que tout conseil d’administration devrait lire deux fois
L’ampleur du risque centré sur AD n’est plus une hypothèse. Elle se manifeste dans les rapports d’intervention d’incident à travers toutes les industries :
- Près de 9 cyberattaques sur 10 impliquent Active Directory à une étape ou une autre de la chaîne d’attaque—qu’il s’agisse de reconnaissance, de vol d’identifiants ou d’escalade des privilèges. [eventussecurity.com]
- Les attaques ciblant AD ont augmenté de 42 % d’une année à l’autre, stimulées par des manuels industriels de rançongiciels et la collecte d’identifiants accélérée par l’AI. [vectra.ai]
- Les pannes AD à l’échelle de la forêt ont augmenté de 172 % depuis 2021, avec 79 % des organisations ayant déjà vécu une telle panne, contre seulement 29 % il y a cinq ans. [panorays.com]
- Le rapport DBIR 2026 de Verizon signale des rançongiciels dans 48 % de toutes les brèches confirmées—le pourcentage le plus élevé en 19 ans d’histoire du rapport. [cyberkech.com]
- Le M-Trends 2026 de Mandiant avertit que les adversaires « ciblent systématiquement les sauvegardes, les services d’identité et les couches de virtualisation pour empêcher la reprise », avec des transferts d’accès initial aux affiliés de rançongiciels qui se produisent parfois en moins de 30 secondes. [paloaltonetworks.com]
Ce ne sont pas les risques de demain. Ce sont les rapports d’intervention d’aujourd’hui. Quand AD tombe en panne, les utilisateurs perdent l’accès, les applications ne peuvent plus authentifier, les sauvegardes ne peuvent pas être validées et la reprise devient presque impossible. Quand l’identité échoue, tout échoue. La cyberrésilience commence avec la résilience de l’AD.
L’AD est la colonne vertébrale invisible de l’entreprise moderne, contrôlant l’accès et la confiance à travers les systèmes. Cette ubiquité en fait le territoire le plus disputé de la cybersécurité. En 2026, la dépendance croissante des organisations envers l’identité est devenue un risque existentiel et le paysage des menaces le confirme chaque jour.
Pourquoi les attaquants reviennent toujours vers l’AD
Active Directory a été conçu pour une autre époque, où le périmètre constituait la défense principale et où le plus grand risque d’identité était la suppression accidentelle d’un compte par un administrateur. Il n’a jamais été conçu pour résister à une destruction à grande échelle, accélérée par l’AI et organisée, et cet héritage laisse trois faiblesses structurelles exploitées méthodiquement par les attaquants. AD est hyperconnecté, de sorte qu’un seul changement malveillant se propage sur plusieurs sites en quelques minutes. Il regorge de chemins privilégiés, de stratégies de groupe, de comptes de service et de groupes imbriqués qui créent des milliers de raccourcis vers le Tier 0. La plupart des entreprises ont des procédures de sauvegarde sur papier, mais peu ont déjà pratiqué une restauration complète de la forêt pendant une attaque réelle.
Le scénario est désormais tristement familier : les attaquants pénètrent par hameçonnage, s’infiltrent dans l’AD, désactivent les protections, exfiltrent les données et déclenchent un rançongiciel, souvent avant même que les défenseurs aient fini de gérer le premier avertissement.
Pourquoi la sauvegarde traditionnelle ne suffit plus
De nombreuses organisations assimilent encore la sauvegarde nocturne des contrôleurs de domaine à la résilience AD. Pourtant, les données de reprise prouvent le contraire. Seulement 6 % des entreprises peuvent rétablir l’AD en moins d’une heure après un important incident, pour les autres, la reprise s’étend sur des jours, des semaines ou des mois. 90 % des grandes entreprises sont forcées de reconstruire leurs serveurs et, puisque 73 % testent la reprise moins d’une fois par mois (23 % seulement une fois par an), la plupart découvrent que leur plan échoue en pleine crise. L’exposition est stupéfiante : une panne AD peut coûter jusqu’à 730 000 $ de l’heure et les grandes entreprises risquent 4,5 millions $ par jour en main-d’œuvre seulement, avant même la perte de revenus, les sanctions réglementaires ou la perte de clients [info.infoblox.com].
Le problème est structurel, non procédural. Une sauvegarde conventionnelle capture AD ainsi que toute présence persistante d’un attaquant au moment de la copie instantanée, donc sa restauration réintroduit souvent le compromis que vous tentez d’éviter, forçant un choix entre écarter des semaines de changements légitimes et redonner à l’attaquant son point d’appui. La restauration manuelle d’une forêt est, quant à elle, une épreuve de plusieurs jours dépendant d’une documentation qui peut avoir été altérée elle aussi.
Les organisations axées sur la résilience sont passées à autre chose. Elles combinent des sauvegardes d’identité immuables et hors ligne avec une restauration automatisée et sans malware de la forêt, la remise à niveau granulaire au niveau objet et la détection continue d’anomalies sur les actifs Tier 0, ce qui ramène la reprise de plusieurs jours à quelques heures.
Les six piliers de la résilience AD et cybersécurité
Un programme moderne de résilience identitaire repose sur six piliers complémentaires :
- Découverte continue et renforcement : Dénombrer les groupes privilégiés, comptes orphelins et relations de confiance obsolètes, puis appliquer un modèle d’administration strict Tier 0/1/2
- Sauvegardes d’identité immuables et isolées : À l’épreuve de la falsification, conservées hors de la zone de production et vérifiées de manière indépendante
- Restauration automatisée de la forêt et au niveau objet : Restauration basée sur des procédures vers un état connu, avec retour granulaire sur les objets de stratégie de groupe (GPO), comptes et attributs
- Restauration sans malware en environnement isolé : Un environnement de reprise séparé qui garantit l’absence de persistance d’attaquant à la mise en production
- Protection d'identité hybride : Visibilité unifiée et reprise coordonnée entre l’AD sur site et les fournisseurs d’identité en nuage
- Résilience rodée et visible au conseil : Simulations de restauration de forêt et bilans trimestriels avec le conseil d’administration qui transforment la résilience en véritable engagement de continuité d'affaires
Le point de vue HCLTech
Chez HCLTech, nous considérons la résilience de Active Directory comme la pierre angulaire de la cyberrésilience d’entreprise, et non comme un simple sous-ensemble. En travaillant avec les principales plateformes de résilience identitaire et de récupération cyber conçues à cette fin, nous aidons les entreprises à évaluer leur exposition AD par l’analyse des chemins d’attaque Tier 0, à concevoir des architectures de sauvegardes immuables et hors ligne, à automatiser la restauration au niveau forêt et objet, à s’entraîner par des exercices réels de récupération, et à opérer la résilience identitaire comme service géré via notre centre des opérations de sécurité (SOC) et nos centres de commande de reprise. Combiné à nos solutions de sécurité zéro confiance, de sécurité des données et de reprise cyber, cela fait de nous un partenaire unique et responsable pour l’ensemble du cycle de vie de la résilience identitaire, de la prévention à la détection, jusqu’à la récupération garantie.
L’essentiel
La cyberrésilience est la capacité d’une entreprise à anticiper, résister, se rétablir et s’adapter aux événements cybernétiques défavorables—et aucun de ces verbes n’est réalisable sans une Active Directory résiliente. Si l’identité flanche, la prévention ne sert plus à rien, la détection devient du bruit et la reprise devient impossible.
Les organisations qui mèneront la prochaine décennie sont celles qui agissent sur cette dépendance dès maintenant, tant que les garde-fous fonctionnent encore à leur avantage. La résilience d’Active Directory n’est plus une tâche d’hygiène IT : c’est la base sur laquelle repose chaque autre investissement en cyberrésilience.
