> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-center-fr/outils-de-prevention/ad-scan/results.md). # Lecture des résultats Le `Scan AD` la page affiche un score de risque et les vulnérabilités trouvées dans votre configuration Active Directory. ## Score de risque Plus le score est élevé, plus la configuration Active Directory respecte les bonnes pratiques de sécurité. Le score agrégé prend le score le plus faible parmi les quatre points de sécurité analysés par le scan : * [**Objets expirés**](https://docs.stoik.io/cyber-best-practices/vulnerability-remediation-guides/active-directory-scan/stale-objects)**:** tout ce qui concerne les objets Active Directory et leur cycle de vie : création des ordinateurs et des utilisateurs, délégation. * **Relations de confiance :** également appelées « relations de confiance », ce sont les liens entre Active Directories (rappel : un Active Directory peut compromettre un autre en cas de relations de confiance mal configurées). * [**Comptes à privilèges**](https://docs.stoik.io/cyber-best-practices/vulnerability-remediation-guides/active-directory-scan/privileged-accounts)**:** analyse des comptes disposant de droits d’administrateur. * [**Anomalies**](https://docs.stoik.io/cyber-best-practices/vulnerability-remediation-guides/active-directory-scan/anomalies)**:** règles qui ne sont pas classées parmi les objets obsolètes, les relations de confiance ou les comptes à privilèges. Elle analyse certaines mauvaises configurations, par exemple des politiques de mot de passe faibles. Le score provient des points PingCastle, tandis que les libellés Critique, Élevé, Moyen et Faible sont propres à Stoïk. Ainsi, corriger une découverte « critique » ne fait pas toujours évoluer le score, et une seule catégorie avec beaucoup de points maintient le score à 0. Le `Indicateurs` section du rapport PingCastle montre quelles règles pèsent le plus. ## Plusieurs domaines ou forêts * PingCastle analyse les domaines qu’il peut atteindre depuis la machine, y compris les domaines approuvés. Si un domaine est manquant, exécutez le script depuis une machine jointe à ce domaine. * Chaque domaine a ses propres résultats et son propre score : changez de domaine avec le sélecteur en haut de la page des résultats. * Chaque exécution remplace les résultats précédents pour ce domaine : rien n’est cumulé. Une machine par domaine suffit. * Un domaine qui n’existe plus (par exemple après la suppression d’une relation de confiance) reste affiché : contactez pour le supprimer. ## Vulnérabilités Le scan identifie les paramètres de configuration susceptibles d’exposer votre environnement à des risques de sécurité. Les vulnérabilités peuvent être consultées via trois onglets : * **Projets cyber :** catégorise les vulnérabilités par thème : contrôle d’accès, authentification, réseaux, gestion des comptes à privilèges, mises à jour. * **Chemins d’attaque :** donne un aperçu des points d’entrée à risque : compromission d’une machine du domaine, d’un compte du domaine ou de l’AD lui-même. * **Liste :** liste toutes les vulnérabilités. Les règles mal configurées trouvées et leurs niveaux de criticité, classés de faible à critique, sont affichés dans un tableau sur la `Scan AD` page. Cliquez sur une vulnérabilité pour voir des informations techniques telles que son nom, sa date de détection, son impact et les recommandations pour la remédier. {% hint style="info" %} Pour corriger une découverte, consultez le [guide de remédiation d’AD Scan](https://docs.stoik.io/cyber-best-practices/vulnerability-remediation-guides/active-directory-scan/ad-scan-vulnerability-remediation-guide) pour une remédiation pas à pas de chaque vulnérabilité. {% endhint %}
Si SIDHistory a été supprimé, vous pouvez utiliser un [script de récupération](https://github.com/spurrw/restore-sidhistory-access). Assurez-vous que les paramètres ACL sont recréés après la restauration. Les découvertes ne peuvent pas être ignorées ni marquées aujourd’hui comme risque accepté. La `Scan AD` page affiche le dernier rapport par domaine : pour les rapports plus anciens, contactez . Il n’y a ni export ni API. ## Dépannage
Une découverte corrigée est toujours signalée * **Le scan a-t-il été relancé ?** Les résultats ne changent que lorsque le script est relancé (une fois par mois pour les exécutions automatiques). * **Quel compte l’a exécuté ?** Un compte sans droits Domain Admin ne peut pas voir certains paramètres, comme les objets de paramètres de mot de passe. Cela crée des découvertes qui apparaissent et disparaissent d’une exécution à l’autre (généralement `A-NoServicePolicy`). Exécutez de nouveau le script avec un compte Domain Admin, dans une session PowerShell ouverte en tant qu’administrateur. * **Que dit le rapport PingCastle ?** Téléchargez-le depuis la page des résultats. Il répertorie les comptes, machines et GPO exacts à l’origine de chaque découverte. * **Est-ce une limite de PingCastle ?** PingCastle ne voit que ce qu’il vérifie. Par exemple, il ne détecte pas les remplacements de LAPS comme Baramundi, et `A-SmartCardPwdRotation` ne vérifie qu’un paramètre de domaine, pas l’utilisation de cartes à puce. * **Un autre outil dit le contraire ?** Stoïk exécute PingCastle avec sa propre configuration, donc les résultats ne correspondront pas à BloodHound ni à une autre version de PingCastle.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/help/help-center-fr/outils-de-prevention/ad-scan/results.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.