EXPOSITION ACTIVE DIRECTORY
Active Directory gère les accès de votre environnement on-premise. Au fil des années, les groupes imbriqués, les droits délégués et les permissions obsolètes ouvrent des chemins cachés vers le Tier 0.
Saporo cartographie ces opportunités d’attaque dans Active Directory, ADCS, les partages SMB et les comptes locaux Windows, puis priorise les corrections qui protègent le mieux vos systèmes critiques.
Source : Sophos Active Adversary Report 2026
AU CŒUR DE LA PLATEFORME
Réunissez utilisateurs, groupes, ordinateurs, unités organisationnelles, groupes de sécurité, GPO, relations d’approbation et comptes de service gérés dans une seule vue. Reliez les appartenances aux groupes, les droits et les délégations. Repérez les identités et systèmes critiques grâce aux tags automatiques de criticité (HVT), de tier et de comptes à risques.
Croisez erreurs de configuration, chemins d’attaque et événements remontés dans les logs pour révéler les opportunités d’attaque. Priorisez selon les accès possibles et les ressources à risque, puis suivez les recommandations de remédiation. Des workflows automatisent les corrections prises en charge, avec validation humaine avant les actions sensibles.
Suivez les problèmes AD corrigés, les chemins d’attaque supprimés, les accès retirés vers le Tier 0 et autres ressources critiques. L’évolution du score de résistance, du score des chemins d’attaque, de conformité et de tiering montre les bénéfices du durcissement dans le temps. Des recommandations pas à pas vous aident à améliorer vos scores.
QUESTIONS FRÉQUENTES
Saporo collecte les utilisateurs, groupes, ordinateurs, unités d’organisation, stratégies de groupe (GPO), relations d’approbation, ACL, délégations et identités privilégiées. Avec les collecteurs correspondants, Saporo intègre aussi ADCS, les droits sur les partages SMB et les utilisateurs et groupes locaux Windows dans une même analyse de l’exposition.
La collecte s’effectue sans agent, avec un compte de domaine standard sans privilèges, sans modifier l’annuaire. Saporo prend en charge les environnements multidomaines et multiforêts, avec une configuration par domaine. Les données de l’annuaire sont collectées via LDAP ou LDAPS, et le contenu des stratégies de groupe depuis SYSVOL via SMB.
Une erreur de configuration constitue une faiblesse isolée. Un chemin d’attaque révèle comment les identités, droits, délégations, certificats, privilèges locaux et autres relations peuvent se combiner pour atteindre les systèmes Tier 0 ou une autre cible à forte valeur (HVT).
Oui. Saporo cartographie les relations permettant de franchir les limites de privilèges ou d’accéder au Tier 0. Les équipes identifient ainsi les violations du tiering et priorisent les corrections qui protègent les systèmes critiques.
Oui. Avec les collecteurs correspondants, Saporo relie l’infrastructure de certificats, les droits sur les partages SMB et les comptes locaux Windows aux relations Active Directory dans une même analyse de l’exposition.
Saporo analyse les chemins d’attaque pour identifier les changements de droits, de délégation, de certificats ou de sécurité locale qui bloquent les chemins exploitables et réduisent le plus l’exposition. Les équipes savent ainsi quelles corrections traiter en priorité.
Saporo propose des workflows pour désactiver les comptes inactifs, modifier les appartenances aux groupes et corriger les paramètres de délégation à risque. Ces workflows utilisent les identifiants configurés et peuvent intégrer une validation avant les actions sensibles.
