🛡️ Active Directory Health Check v2.6
🇩🇪 Deutsch | 🇬🇧 English
Un script PowerShell complet pour la vérification automatisée de la santé et de la sécurité d'un environnement Active Directory. Avec évaluation des bonnes pratiques, rapport HTML à code couleur et export CSV.
🇩🇪 Deutsch
📑 Table des matières
✨ Fonctionnalités
- 🎯 54 vérifications de bonnes pratiques triées par thème (base DC, sécurité, structure, monitoring)
- 🖼️ Interface graphique WPF moderne (thème clair) avec sélection de groupes, boutons de suite et choix du chemin de sortie
- 🎨 Rapport HTML à code couleur avec tableau de bord exécutif (OK / WARN / KRITISCH / INFO)
- 📊 Export CSV de tous les résultats de vérification
- 🖥️ Menu de démarrage interactif comme solution de repli pour l'utilisation en console
- ⚡ Exécution basée sur des paramètres pour les tâches planifiées / l'automatisation
- 📁 Chemin de sortie librement sélectionnable via l'interface graphique ou le paramètre
-OutputPath
- 🔍 DCDiag avec analyse des tests individuels (indépendant de la langue DE/EN)
- 🔄 Détection de loopback pour les DC locaux (utilise
localhost au lieu du FQDN)
- 📡 Logique de saut de ping pour les DC inaccessibles avec repli sur WinRM
- 🌍 Indépendant de la langue via les Well-Known SIDs
- 🗣️ Détection automatique de la langue et commutateur de langue DE/EN – commutable en direct dans l'interface WPF, remplaçable par le paramètre
-Language de|en
- 📝 Journalisation détaillée (
C:\ScriptLog)
- 🔧 Architecture modulaire - les vérifications individuelles peuvent être exécutées de manière ciblée
📋 Les 54 vérifications
🏗️ Infrastructure de base DC
| # | Vérification | Description |
|---|
| 1 | Informations système DC | OS, RAM, Uptime, matériel |
| 2 | Services | NTDS, DNS, Netlogon, KDC, W32Time, DFSR |
| 3 | Tests DCDiag | Analyse détaillée de tous les tests de diagnostic DC |
| 4 | Réplication (partenaires) | Statut par partenaire DC |
| 4b | Erreurs de réplication (forêt) | Problèmes de réplication à l'échelle de la forêt |
| 5 | Rôles FSMO | Les 5 détenteurs de rôles FSMO |
| 6 | Configuration DNS | Zones, intégration AD, mises à jour dynamiques |
| 7 | SYSVOL & NETLOGON | Accessibilité |
| 8 | Base de données NTDS | Taille, espace disque libre |
🔒 Sécurité : protocoles réseau
| # | Vérification | Description |
|---|
| 9 | Protocoles TLS (SCHANNEL) | SSL 2.0/3.0, TLS 1.0/1.1/1.2/1.3 |
| 10 | Ciphers & algorithmes | RC4, DES, MD5 et autres ciphers faibles |
| 11 | SMB1 & SMB-Signing | Protection WannaCry, signature forcée |
| 12 | NTLM / LAN-Manager Auth Level | LmCompatibilityLevel=5 bonne pratique |
| 13 | LLMNR / NetBIOS / WPAD | Protection contre les attaques Responder |
| 14 | Sécurité LDAP | Signature + Channel Binding (ADV190023) |
| 15 | Pare-feu Windows | Les 3 profils actifs ? |
👥 Sécurité : comptes & Kerberos
| # | Vérification | Description |
|---|
| 16 | Comptes privilégiés | Domain/Enterprise/Schema Admins etc. |
| 17 | Password-Policy | MinLen, History, MaxAge, Complexity, Lockout |
| 18 | Kerberos / krbtgt | Âge du mot de passe (bonne pratique : ≤180 jours) |
| 19 | Kerberos Unconstrained Delegation | Détection du risque de prise de contrôle du domaine |
| 20 | Risque de Kerberoasting | Analyser les comptes utilisateurs avec SPN |
| 21 | LSA Protection (RunAsPPL) | Protection contre le credential-dumping (Mimikatz) |
🛡️ Sécurité : durcissement du système
| # | Vérification | Description |
|---|
| 22 | Print Spooler sur les DC | CVE-2021-34527 (PrintNightmare) |
| 23 | Mise à jour des certificats Secure Boot | Statut de déploiement Windows UEFI CA 2023 |
| 24 | Certificats | Surveillance de l'expiration, vérification EKU |
🌐 Structure AD
| # | Vérification | Description |
|---|
| 25 | Sites AD | Vue d'ensemble des sites |
| 26 | Sous-réseaux AD | Attribution sous-réseau-à-site |
| 27 | Approbations | Domain/Forest Trusts |
| 28 | Corbeille AD | Statut d'activation de la fonctionnalité |
| 29 | Tombstone Lifetime | Bonne pratique ≥180 jours |
| 30 | Niveau forêt/domaine | Functional Level |
| 31 | Santé GPO | Incohérence de version Sysvol/DS |
👤 Comptes inactifs
| # | Vérification | Description |
|---|
| 32a | Utilisateurs inactifs | >90 jours sans connexion |
| 32b | Ordinateurs inactifs | >90 jours sans connexion |
| 32c | Mot de passe n'expire jamais | Vérification du flag |
📊 Monitoring & exploitation
| # | Vérification | Description |
|---|
| 33 | Analyse des journaux d'événements | System / Directory Service / DNS (dernières 24h) |
| 34 | Synchronisation temporelle | PDC + DC du domaine |
| 35 | Statut de sauvegarde AD | via repadmin /showbackup |
| 36 | Programmes installés | Inventaire par DC |
| 37 | Windows Updates | 20 dernières mises à jour, évaluation de l'ancienneté |
| 45 | Fonctionnalités Windows installées | Rôles & fonctionnalités installés par DC (ServerManager) |
| 46 | Partages SMB (Shares) | Tous les partages incl. chemins, permissions et chiffrement |
🧬 Identité & DNS (nouveau)
| # | Vérification | Description |
|---|
| 38 | Doublons de SPN | Détection de SPN attribués plusieurs fois (conflits Kerberos) |
| 39 | Risque d'AS-REP-Roasting | Utilisateurs sans pré-authentification Kerberos |
| 40 | AdminSDHolder / dérive AdminCount | AdminCount=1 sans appartenance actuelle à un groupe de protection |
| 41 | Fine-Grained Password Policies | Durcissement FGPP, verrouillage et attribution des groupes cibles |
| 42 | Hygiène DNS (Aging / Scavenging) | Aging/Scavenging, zones inverses, risques de mise à jour dynamique |
| 43 | Configuration LAPS | Local Admin Password Solution - statut d'activation, couverture des ordinateurs (à partir de Server 2019) |
| 44 | Comptes sans AES | Trouve les comptes en RC4 uniquement ou sans chiffrement AES (risque de sécurité) |
roccoammon/active-directory-health-check
