Recruter un expert Active Directory et sécurité Microsoft

Dans la plupart des entreprises, l'Active Directory est la clé de tout : il décide qui accède à quoi, sur les postes, les serveurs et souvent le cloud. C'est aussi pour cette raison que tant d'intrusions cherchent à en prendre le contrôle. Ce guide vous aide à définir le poste d'expert sécurité Active Directory et Microsoft, à repérer les compétences qui comptent et à évaluer les candidats sur des cas concrets.

Pourquoi ce profil est devenu stratégique

Un annuaire Active Directory vit souvent depuis de nombreuses années. Il a connu des migrations, des fusions, des prestataires successifs et des urgences réglées « provisoirement ». Résultat : des comptes de service aux droits excessifs, des délégations oubliées, des groupes privilégiés trop peuplés et des configurations héritées que plus personne n'ose toucher.

Les attaquants le savent. Une fois un premier poste compromis, la recherche d'un chemin vers les droits d'administration du domaine est l'une de leurs priorités. L'ANSSI a d'ailleurs publié des recommandations dédiées à la sécurité de l'Active Directory et à l'administration des systèmes d'information, disponibles sur cyber.gouv.fr. Elles constituent une bonne base de discussion avec les candidats.

Avec l'arrivée d'Entra ID et des environnements hybrides, le périmètre s'élargit encore : synchronisation des identités, accès conditionnel, comptes d'administration cloud. L'expert que vous recherchez doit comprendre ces deux mondes et la frontière entre eux.

Ce que fait un expert sécurité Active Directory

Ses missions varient selon la maturité de votre environnement, mais on retrouve généralement :

• Auditer l'existant : cartographier les comptes et groupes privilégiés, les délégations, les relations d'approbation, les chemins d'attaque vers les droits les plus élevés.
• Construire un plan de remédiation réaliste, priorisé selon le risque et compatible avec la production.
• Mettre en place un modèle d'administration : séparation des comptes d'administration, niveaux d'administration (tiering), postes dédiés à l'administration.
• Durcir la configuration : stratégies de groupe, protocoles d'authentification anciens à désactiver, gestion des mots de passe des comptes locaux, protection des comptes sensibles.
• Sécuriser l'hybride : synchronisation avec Entra ID, comptes d'administration cloud, accès conditionnel et authentification forte.
• Améliorer la visibilité : journalisation des contrôleurs de domaine, événements à remonter au SOC, alertes sur les modifications sensibles.
• Accompagner les équipes : former les administrateurs, valider les changements, intervenir lors d'un incident touchant l'annuaire.

Ce dernier point compte. Un expert qui sait tout mais qui ne parvient pas à convaincre les équipes d'exploitation de changer leurs habitudes n'améliorera pas grand-chose.

Bien cadrer le poste avant de recruter

Le titre « expert Active Directory » recouvre des réalités différentes. Avant d'écrire l'offre, précisez lequel de ces profils vous cherchez.

Ces profils se recoupent, mais leurs journées sont très différentes. Un pentester spécialisé n'a pas forcément envie de piloter un chantier de remédiation sur dix-huit mois. Si votre besoin principal est l'évaluation offensive, notre guide pour recruter un pentester vous sera plus utile. Si l'enjeu est la stratégie d'identité globale, regardez aussi notre article pour recruter un architecte sécurité.

Précisez également le contexte : taille de l'annuaire, nombre de domaines et de forêts, part du cloud, présence d'un SOC, prestataires d'infogérance impliqués. Un candidat expérimenté posera ces questions dès le premier échange.

Les compétences à vérifier

La compréhension profonde de l'annuaire

C'est le socle. Le candidat doit savoir expliquer, sans outil sous les yeux :

• le fonctionnement de l'authentification Kerberos et NTLM, et leurs faiblesses connues ;
• les différents types de délégation et les risques associés ;
• les permissions sur les objets de l'annuaire et la façon dont elles créent des chemins d'attaque ;
• le rôle des stratégies de groupe et ce qu'implique le contrôle de leur modification ;
• les relations d'approbation entre domaines et forêts.

La culture offensive

On ne défend bien que ce que l'on sait attaquer. Sans être pentester, l'expert doit connaître les grandes familles d'attaques sur l'annuaire et savoir les reconnaître dans un environnement réel. Méfiez-vous des candidats qui récitent des noms d'outils sans pouvoir expliquer ce qu'ils exploitent.

Le volet hybride et cloud

Selon votre environnement, vérifiez la connaissance d'Entra ID : synchronisation, rôles d'administration, accès conditionnel, comptes d'urgence. La compromission d'un compte cloud privilégié peut avoir des effets aussi graves que celle d'un administrateur du domaine.

La détection

L'expert doit savoir quels événements des contrôleurs de domaine méritent une alerte et comment les transmettre au SOC. Il travaillera souvent avec un ingénieur détection pour transformer sa connaissance des attaques en règles fiables.

La conduite du changement

Désactiver un ancien protocole ou retirer des droits à un compte de service peut casser une application métier. Le bon candidat sait mesurer l'impact avant d'agir, tester, communiquer et revenir en arrière si nécessaire. Demandez-lui comment il s'y prend : sa réponse en dit long sur sa maturité.

Comment évaluer un candidat

L'exercice pratique

Le moyen le plus fiable reste un exercice sur un environnement de lab, comme nous le détaillons dans notre article sur l'évaluation des compétences au-delà du CV. Un format qui fonctionne bien :

1. Fournissez un petit domaine de test volontairement mal configuré, ou un export de sa configuration.
2. Demandez au candidat d'identifier les chemins qui mènent aux droits les plus élevés.
3. Demandez-lui de prioriser les corrections et d'expliquer, pour chacune, les risques pour la production.
4. Terminez par une question de détection : quels événements surveiller pour repérer une tentative d'exploitation de ces faiblesses ?

Notez la démarche plutôt que la vitesse. Un candidat qui trouve moins de failles mais propose un plan de remédiation réaliste vous sera souvent plus utile au quotidien.

Les questions d'entretien

• « Vous arrivez sur un annuaire jamais audité. Que faites-vous la première semaine ? » On attend de la méthode : inventaire des privilèges, cartographie des chemins d'attaque, quick wins à faible risque, pas un grand chantier lancé à l'aveugle.
• « Comment expliqueriez-vous le modèle d'administration en niveaux à un responsable d'exploitation ? » Cherchez de la clarté et des arguments concrets, pas du jargon.
• « Un compte de service possède des droits très élevés et personne ne sait pourquoi. Comment procédez-vous ? » Une bonne réponse parle d'analyse de l'usage réel, d'échange avec les propriétaires d'applications et de retrait progressif.
• « Quels sont pour vous les risques spécifiques d'un environnement hybride ? » Le candidat doit évoquer la synchronisation, les comptes d'administration cloud et la frontière entre les deux annuaires.
• « Racontez un incident ou un audit qui vous a marqué. » Écoutez ce qu'il a appris, et comment il en parle sans révéler d'informations confidentielles sur ses anciens clients ou employeurs.

Pour comparer les candidats de façon homogène, appuyez-vous sur notre guide pour structurer un entretien technique cyber.

Où trouver ces profils

Les experts sécurité Active Directory viennent souvent de :

• l'administration système Windows, avec une montée en compétence progressive sur la sécurité ;
• le pentest interne, pour des profils qui veulent passer côté défense et construire dans la durée ;
• la réponse à incident, où l'annuaire est au cœur de nombreuses investigations ;
• le conseil en sécurité des infrastructures, pour des profils habitués aux audits et aux plans de remédiation.

Ces profils sont recherchés et rarement en recherche active. Une offre précise sur le contexte technique et le mandat réel (avez-vous l'appui de la direction pour changer les pratiques d'administration ?) fait une vraie différence.

Les erreurs à éviter

• Recruter un administrateur et l'appeler expert sécurité. Si le poste consiste surtout à créer des comptes et gérer des tickets, dites-le, ou revoyez le périmètre.
• Ne pas donner de mandat. Sans soutien pour imposer un modèle d'administration, l'expert restera un auditeur dont les recommandations dorment dans un tiroir.
• Ignorer le cloud. Un candidat excellent sur l'annuaire local mais qui ne connaît pas Entra ID laissera un angle mort si vous êtes en hybride.
• Évaluer uniquement sur les certifications. Elles donnent un repère, pas une preuve. Notre article sur ce que disent vraiment les certifications détaille comment les lire.

En résumé

L'expert sécurité Active Directory et Microsoft protège le cœur de votre système d'information. Définissez précisément le profil recherché (défense, audit, architecture ou exploitation), vérifiez la compréhension réelle de l'annuaire et de l'hybride, et évaluez sur un exercice pratique qui mêle recherche de chemins d'attaque et plan de remédiation réaliste.

Vous cherchez ce profil ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le poste avec vous et mènent la recherche ensemble. Nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques, et vous ne payez qu'en cas de recrutement réussi. Découvrez notre méthode ou partagez votre besoin.