# Active Directory : surveiller le Kerberoasting

- Link: https://dpioch.aristeecampus.org/veille/active-directory-surveiller-le-kerberoasting/
- Published: 2026-09-01T09:00:00+02:00
- Author: Admin

[⌊Capture réelle de la page source : MITRE ATT&CK — T1558.003⌉⌊Capture réelle de
la page source : MITRE ATT&CK — T1558.003⌉[

Page du site MITRE ATT&CK décrivant la technique « Steal or Forge Kerberos Tickets:
Kerberoasting » (ID T1558.003), sous-technique de T1558, relevant de la tactique
Credential Access. Capture du 7 octobre 2026. [Consulter la source](https://attack.mitre.org/techniques/T1558/003/)

## Contexte

Dans un domaine Active Directory, n’importe quel utilisateur authentifié peut demander
un ticket de service (TGS) pour un compte doté d’un nom de principal de service (
SPN). Une partie du ticket est chiffrée avec le secret du compte de service : un
attaquant peut donc tenter de le casser hors ligne.

## Analyse

Signaux à surveiller dans les journaux des contrôleurs de domaine :

 * Événement `4769` (demande de ticket de service) avec chiffrement RC4 (`0x17`);
 * Un même compte demandant de nombreux tickets pour des services différents en 
   peu de temps.

## Remédiation

 * Mots de passe longs et aléatoires pour les comptes de service, ou comptes de 
   service administrés de groupe (gMSA).
 * Désactiver RC4 au profit d’AES lorsque c’est possible.
 * Réduire le nombre de comptes à SPN et leurs privilèges.

## À retenir

 * Attaque discrète car elle utilise un fonctionnement normal de Kerberos.
 * La détection repose sur la collecte des journaux de sécurité des contrôleurs 
   de domaine dans le SIEM.