Verrouillage de compte Active Directory : comment en trouver la source, le corriger et l’éviter

Les professionnels de l’informatique et les spécialistes de la cybersécurité rencontrent fréquemment des verrouillages de comptes dans leurs environnements, ce qui perturbe la productivité des utilisateurs et les flux de travail informatiques critiques. Ce guide rapide vous aide donc à résoudre les verrouillages de comptes dans Active Directory et à mettre en place des mesures préventives ainsi que d’autres protections.

Résoudre un verrouillage de compte AD en 7 étapes

Avant de commencer, voici quelques éléments à prendre en compte pour le dépannage d’Active Directory :

• Pouvoir déverrouiller des comptes et ajuster la stratégie de groupe pour l’audit.
• Avoir accès aux journaux de sécurité du contrôleur de domaine et à la journalisation Netlogon.
• Disposer d’un accès à distance à l’appareil source suspecté afin d’inspecter les identifiants stockés et les services.
• Définir la fenêtre de changement et les étapes du service d’assistance pour la rotation des identifiants et le redémarrage des services.

Ces conditions remplies, vous pouvez mener une enquête approfondie sur le verrouillage en suivant le flux de travail ci-dessous.

1. Confirmer et délimiter le verrouillage sur le contrôleur de domaine

Commencez par confirmer le verrouillage sur le contrôleur de domaine principal.

Consultez l’émulateur PDC pour vérifier le journal de verrouillage de référence du domaine, en incluant le contexte d’événement d’origine plutôt que des copies.

Relevez ensuite le nom d’utilisateur, le contrôleur de domaine, l’ordinateur appelant et les codes d’échec. Ces champs identifient le compte verrouillé, le contrôleur de domaine qui l’a enregistré, la machine qui a tenté l’ouverture de session et la raison de l’échec de la tentative (par exemple, mot de passe erroné ou ticket expiré).

Consignez ensuite le type d’ouverture de session, les horodatages, les plages horaires et les contrôleurs de domaine concernés afin d’aligner les données et de repérer les schémas récurrents. Par exemple, connaître la période concernée et savoir quels contrôleurs présentent des événements liés vous permet de vous concentrer sur les serveurs pertinents et d’éviter d’analyser des données sans rapport.

2. Corréler les événements pour identifier la source

Corrélez l’événement de verrouillage avec les entrées d’ouverture de session échouées en faisant correspondre les horodatages, les ordinateurs appelants et les protocoles d’authentification, puis activez les diagnostics Netlogon si la source reste indéterminée. Vous pourrez ainsi identifier précisément l’appareil ou le service qui fournit les identifiants non valides, ce qui accélère la résolution.

3. Rechercher les terminaux et services les plus souvent en cause

Examinez d’abord les terminaux et services les plus susceptibles de conserver des identifiants obsolètes.

Le traitement de ces éléments permet généralement d’identifier la source du verrouillage et d’intervenir rapidement.

4. Corriger la cause immédiate et valider

Traitez ensuite le problème d’identifiants à l’origine du cycle de verrouillage. Voici quelques cas fréquents à surveiller :

De plus, vérifiez que le problème est bien résolu. Par exemple, déverrouillez le compte utilisateur dans Active Directory, puis surveillez les journaux Sécurité et Netlogon pendant au moins un cycle de verrouillage complet afin de confirmer qu’aucun nouvel échec ne se produit.

5. Renforcer l’environnement pour éviter de futurs verrouillages

Après la correction, renforcez l’environnement afin de réduire le risque de verrouillages ultérieurs

Commencez par ajuster les seuils de verrouillage et par imposer une rotation régulière des mots de passe des comptes à privilèges. Déployez ensuite des gMSA pour les services, remplacez NTLM par Kerberos et maintenez la synchronisation horaire sur l’ensemble des membres du domaine. Ces contrôles améliorent la gestion des identifiants et contribuent à éviter que les incidents se reproduisent.

6. Faire le tri dans les accès obsolètes et privilégiés

Supprimez les comptes administrateur inutilisés ainsi que les objets d’appareils obsolètes, puis alignez les processus d’attribution et de retrait des accès sur une base de référence unique.

Pour ajuster le dispositif, réalisez des revues régulières afin de garantir l’intégrité des identifiants, et d’identifier puis éliminer les échecs en arrière-plan susceptibles de provoquer des verrouillages.

7. Documenter les preuves et poser des garde-fous

Après la correction, documentez la chronologie du verrouillage observé, les ID d’événement, la cause racine et les modifications apportées dans une base de connaissance centralisée. Pour la maintenance à long terme, créez une entrée de run-book décrivant les étapes d’enquête et de correction.

Enfin, configurez des Alertes Personnalisées pour les schémas de verrouillage répétés, afin que les futurs incidents soient signalés tôt et traités rapidement.

Stratégies de résolution des verrouillages de comptes avec NinjaOne

NinjaOne propose plusieurs outils pour faciliter la gestion des utilisateurs Active Directory, notamment des scripts de surveillance des tentatives de connexion, de suivi des comptes inactifs et d’identification des dernières connexions. Le rapport « Failed Password Attempt Report » est particulièrement utile pour repérer les causes possibles des verrouillages de comptes, d’autant qu’il peut être configuré pour renvoyer des résultats sur un seul utilisateur ou sur plusieurs.

Sujets connexes :

• L’authentification Active Directory : vue d’ensemble complète
• Comment gérer en toute sécurité les identifiants des outils MSP sans coffre-fort
• Détecter les comptes verrouillés sous Windows [Centre de scripts NinjaOne]
• Comment documenter les flux de travail d’automatisation pour faciliter les transmissions et la maintenance à long terme
• Comment appliquer des politiques de verrouillage de comptes locaux de façon homogène chez tous les clients avec PowerShell et les politiques locales