Votre Active Directory contrôle l'accès à toute votre entreprise. Découvrez qui pourrait le compromettre, et comment l'en empêcher.
ShieldAD audite votre Active Directory et Microsoft Entra ID, directement chez vous et en lecture seule. En un seul scan, vous obtenez les failles réellement exploitables classées par priorité, les corrections prêtes à appliquer sans casser la production, et les preuves pour vos audits NIS2, ISO 27001, CyFun et 4 autres référentiels.
- Lecture seule
- Aucune donnée ne quitte votre infrastructure
- Développé à Bruxelles
Pourquoi l'Active Directory est la première cible des attaquants
L'Active Directory décide qui a accès à quoi : postes, serveurs, messagerie, applications métier. Un attaquant qui en prend le contrôle prend le contrôle de toute l'entreprise. C'est l'étape clé de la plupart des attaques par rançongiciel.
Des failles invisibles
Après des années de configuration, des comptes oubliés, des droits hérités et des réglages obsolètes s'accumulent. Personne ne les voit, sauf un attaquant.
Trop d'alertes, aucune priorité
Les outils d'audit classiques produisent des centaines d'alertes, sans dire lesquelles sont vraiment dangereuses ni comment les corriger sans risque.
Des obligations qui exigent des preuves
NIS2, ISO 27001, CyFun, DORA : il ne suffit plus d'être sécurisé, il faut pouvoir le démontrer.
Du diagnostic à la preuve de conformité, en une seule plateforme
Voir
Un score de sécurité clair et une cartographie des chemins qu'un attaquant emprunterait jusqu'aux comptes administrateurs (ShieldGraph).
Prioriser
Chaque faille est classée selon son risque réel, sa facilité d'exploitation et son impact sur votre activité. Vous savez par quoi commencer.
Corriger
Pour chaque faille : un plan de correction pas à pas, le script PowerShell prêt à l'emploi, et une simulation de ce que la correction pourrait casser avant de l'appliquer (ShieldPredict plan Professional).
Prouver
Chaque contrôle est relié aux exigences NIS2, ISO 27001, CIS, RGPD, CyFun, DORA et ANSSI. Vos rapports sont prêts pour l'auditeur.
Un scan, un rapport adapté à chaque décideur
Direction
Votre niveau de risque en une page, sans jargon, avec l'impact sur l'activité.
Responsable IT / RSSI
La liste priorisée des corrections, avec les scripts et le temps estimé.
DPO / Conformité
La correspondance avec les articles NIS2, RGPD et ISO 27001, et les preuves à conserver.
Auditeurs externes
Un outil multi-clients pour vos missions NIS2 et ISO 27001 (offre Auditor).
Quatre étapes. Rien à installer. Rien ne sort de chez vous.
Nous venons chez vous.
Avant le lancement, votre responsable sécurité vérifie avec nous que le logiciel est authentique et intact (empreinte SHA-256).
Le scan analyse sans rien modifier.
Il tourne en lecture seule sur Active Directory et Entra ID, en quelques minutes, sans agent installé.
Vous recevez 8 rapports.
Direction, IT, DPO, remédiation, scoring, tendance, utilisateurs à risque, forêt AD.
Vous corrigez, guidés.
Scripts prêts à l'emploi, et le prochain scan mesure vos progrès.
Vérifié avant chaque scan. En lecture seule. Sur site. Vos données restent chez vous.
Chaque scan ShieldAD commence par une vérification de l'intégrité du logiciel, faite en direct devant votre responsable sécurité. L'analyse ne modifie rien dans votre environnement, et aucune donnée Active Directory ne transite par nos serveurs : c'est garanti par l'architecture, pas seulement par contrat.
Validation sur site
L'empreinte SHA-256 du logiciel est vérifiée devant vous avant chaque scan.
Zéro exfiltration
Tout s'exécute localement. Les résultats restent dans votre infrastructure.
Progrès mesurés
Chaque scan compare vos résultats au précédent : les corrections appliquées et les contrôles résolus apparaissent automatiquement dans le rapport suivant.
Le produit réel
De vraies captures d'écran, pas des illustrations : tableau de bord, scan, chemins d'attaque, export SIEM.
Le Dashboard affiche votre score de sécurité identité global, la répartition FAIL/WARN/PASS et vos principaux risques prioritaires.
L'écran Scan lance un scan Active Directory on-premises ou Azure/Entra ID, avec inventaire des accès IAM.
ShieldGraph visualise les chemins d'attaque, avec les routes d'escalade de privilèges et les points de passage critiques vers les comptes Domain Admins.
ShieldConnect envoie les résultats vers votre SIEM ou SOAR : Microsoft Sentinel, Splunk, Elastic, Wazuh, Graylog, IBM QRadar, Teams et Slack.
ShieldConnect envoie les résultats vers (offre Professional, export JSON/CEF) :
Avant. Après.
Basculez sur un constat réel pour voir la correction, le risque résiduel et le gain de conformité.
Problème de sécurité FAIL
Comptes de service privilégiés Kerberoastables détectés
Les comptes de service avec un SPN (Service Principal Name) peuvent voir leur ticket de service Kerberos demandé par n'importe quel utilisateur authentifié, puis cassé hors ligne. Un chiffrement faible et des mots de passe prévisibles augmentent la probabilité de vol d'identifiants et de mouvement latéral.
Get-ADUser -Filter 'ServicePrincipalName -like "*"' -Properties ServicePrincipalName,AdminCount,'msDS-SupportedEncryptionTypes' | Where-Object AdminCount -eq 1
Set-ADUser -Identity svc-app -Replace @{'msDS-SupportedEncryptionTypes'=24}
Problème de sécurité PASS
Les comptes de service privilégiés appliquent désormais un chiffrement Kerberos AES uniquement
L'attribut msDS-SupportedEncryptionTypes du compte a été réglé sur AES128+AES256 uniquement, supprimant la voie de chiffrement faible utilisée pour le Kerberoasting hors ligne. Quand c'était possible, le compte a été migré vers un compte de service géré de groupe (gMSA) avec un mot de passe à rotation automatique, retiré des groupes privilégiés dont il n'avait plus besoin, et ses SPN inutilisés ont été supprimés.
Get-ADUser -Filter 'ServicePrincipalName -like "*"' -Properties 'msDS-SupportedEncryptionTypes' |
Where-Object { $_.'msDS-SupportedEncryptionTypes' -eq 24 }
Conformité Réglementaire
Corrigez une fois. NIS2, ISO 27001, CIS, RGPD, DORA et ANSSI avancent ensemble.
Corrigez le contrôle technique une seule fois, puis réutilisez la preuve dans plusieurs vues de conformité.
- Gestion des accès privilégiés
- Notification des incidents (24h / 72h / 1 mois)
- Gestion des vulnérabilités
- Continuité d'activité
- Contrôle d'accès (A.5.15)
- Cryptographie (A.8.24)
- Journalisation et surveillance (A.8.15-A.8.16)
- Gestion des incidents (A.5.24)
- Gestion des comptes (CIS 05)
- Gestion des accès (CIS 06)
- Gestion des logs d'audit (CIS 08)
- Sécurité applicative (CIS 16)
- Traçabilité des accès
- Gestion du cycle de vie
- Moindre privilège
- Journalisation des logs
- Identification des actifs
- Protection authentification
- Détection d'anomalies
- Réponse aux incidents
- Gestion des risques TIC
- Tests de résilience
- Gestion des incidents
- Surveillance des tiers
- Durcissement des contrôleurs de domaine
- Séparation FSMO & SPOF
- Modèle de tiering
- Recommandations PAM
Mention légale : ShieldAD fournit des preuves de contrôles techniques et ne constitue pas une certification NIS2, ISO 27001 ou RGPD. La conformité réglementaire requiert une évaluation documentaire complémentaire par un auditeur qualifié. DORA (UE 2022/2554) est applicable aux entités financières de l'UE uniquement. Consultez notre politique de Sécurité & Conformité complète.
Tarification Transparente
Quatre offres, de l'audit ponctuel à la licence annuelle illimitée
Oneshot
Un état des lieux de votre Active Directory, réalisé sur site par nos équipes. Pour 20 à 249 utilisateurs. Sans abonnement, aucune licence logicielle incluse.
- Scan complet on-prem + cloud (524 contrôles)
- Les 8 rapports HTML livrés
- Exécution validée SHA-256 sur site
- Débrief expert & restitution des rapports
Payable en totalité à la commande, avant l'intervention.
Prendre rendez-vousEssential
Licence logicielle annuelle avec 4 scans par an, lancés par vos équipes. Pour 20 à 249 utilisateurs.
- Licence + 4 scans par an, lancés par vous
- Scan complet (524 contrôles), 8 rapports, vérification SHA-256 avant chaque scan
- Rapport Tendance : suivez l'évolution de la sécurité dans le temps
- Accès aux mises à jour du logiciel inclus
- Contrôles cartographiés : NIS2, ISO 27001, RGPD, CIS, DORA, ANSSI
- Support email inclus
Minimum facturé : 20 utilisateurs (580 € HT/an). Engagement de 12 mois.
Prendre rendez-vousProfessional
Licence annuelle avec scans illimités et export SIEM ShieldConnect. Pour 20 à 249 utilisateurs.
- Scans illimités pendant la période d'abonnement
- 524 contrôles + 8 rapports
- Multi-domaines Active Directory
- Connecteurs SIEM inclus : ShieldConnect (Sentinel, Splunk, Elastic, Wazuh, Graylog, QRadar, Teams, Slack ; export JSON/CEF)
- ShieldPredict inclus : simulation d'impact des attaques avant remédiation
- Support prioritaire téléphone + email + accès premium aux mises à jour produit
Minimum facturé : 20 utilisateurs (980 € HT/an). Engagement de 12 mois.
Prendre rendez-vousRoadmap (à venir) :
ShieldBrand : marque blancheAuditeur
Pour auditeurs externes & pentesters. NIS2, ISO 27001. Facturation par pack de scans.
- Packs de scans : 5, 10 ou 20 scans
- Scan complet + 8 rapports par audit
- Utilisation multi-clients
- Pack valable jusqu'à 18 mois
Un utilisateur = un compte utilisateur nominatif actif de votre annuaire. Les comptes de service et les comptes partagés ne sont pas comptés.
- Tous les tarifs sont HT : TVA applicable selon législation en vigueur
- Oneshot : payable en totalité à la commande, avant l'intervention.
- Délai de paiement : 30 jours nets
- Abonnements Essential & Professional facturés annuellement
- Renouvellement tacite pour des périodes successives d'1 an, sauf préavis de 30 jours
- Devis personnalisé sous 48 heures ouvrables
Questions Fréquentes
Trouvez rapidement les réponses aux questions les plus courantes
ShieldAD Report™ est une plateforme d'audit Active Directory et Entra ID. À partir d'un seul scan en lecture seule, elle produit 8 rapports distincts (direction, IT manager, DPO/RGPD, remédiation, scoring détaillé, tendance, utilisateurs à risque, forêt AD) couvrant 524 contrôles de sécurité : 356 Active Directory on-premise et 168 Entra ID.
Non. Le scan s'exécute en lecture seule, sans installation, sans modification de l'infrastructure. Les données ne quittent pas l'environnement du client. L'agent PowerShell autoporteur fonctionne sur n'importe quel environnement Windows à partir de la version Server 2016. Aucune donnée Active Directory ne transite vers nos serveurs : cela est garanti architecturalement, pas contractuellement.
Le Oneshot est toujours réalisé sur site par nos équipes. Déployer un outil de sécurité sur un contrôleur de domaine sans être physiquement présent pour en valider l'intégrité et en accompagner la restitution, c'est manquer l'essentiel de ce que signifie un audit : la validation SHA-256 de l'exécutable, effectuée en direct en présence du RSSI avant le lancement, est le fondement de la confiance. Avec les abonnements Essential et Professional, vos équipes lancent elles-mêmes les scans, en lecture seule, après vérification de l'empreinte SHA-256 de l'exécutable.
Système d'exploitation : Windows 10/11 (64 bits) ou Windows Server 2016/2019/2022/2025. L'EXE est compilé en x64 : il ne tourne pas sur un système 32 bits.
PowerShell : Windows PowerShell 5.1 minimum (inclus nativement sur Win10/11 et Server 2016+). PowerShell 7+ (Core) n'est pas supporté. Uniquement le PowerShell Windows natif.
RSAT : Le module ActiveDirectory pour PowerShell doit être installé sur le poste qui lance le scan. Sur Windows 10/11 : Paramètres › Applications › Fonctionnalités facultatives › RSAT : Outils Services de domaine Active Directory et LDS. Sur Windows Server : Install-WindowsFeature RSAT-AD-PowerShell
Réseau & droits AD : Le poste doit être membre du domaine à auditer. Un contrôleur de domaine joignable en réseau (ports LDAP 389, Kerberos 88, RPC 135). Un compte avec des droits de lecture Active Directory (Domain Admin recommandé pour un scan complet).
Droits d'exécution : Lancer l'EXE "en tant qu'administrateur" (il demande l'UAC automatiquement).
Dossier de sortie : Droits en écriture sur Documents\ShieldAD (créé automatiquement) : les rapports HTML y sont générés.
Module AADS cloud (optionnel) : Uniquement si vous souhaitez scanner votre Entra ID / Azure AD : Install-Module MSAL.PS -Scope CurrentUser, .NET Framework 4.6.1+ (natif sur Win10/Server 2016+), un compte Azure avec des permissions Graph en lecture seule sur le tenant (consentement administrateur requis), accès internet pour le Device Code Flow Microsoft (aucun secret stocké, authentification en mémoire uniquement).
Oui. Les 524 contrôles de ShieldAD sont mappés, lorsqu'une exigence s'applique, à l'article NIS2 pertinent (Directive UE 2022/2555) et aux contrôles pertinents de l'Annexe A d'ISO/IEC 27001:2022 (93 mesures réparties en 4 thèmes : Organisationnel, Humain, Physique et Technologique, A.5 à A.8). Le rapport de direction génère un résumé de conformité Art. 21 pour les auditeurs. Nous couvrons également CIS Controls v8.1, RGPD, CyFun (Belgique), DORA (secteur financier) et le guide de durcissement Active Directory de l'ANSSI. ShieldAD ne confère pas à lui seul la conformité NIS2 ni la certification ISO 27001 : celles-ci nécessitent une évaluation organisationnelle par un auditeur qualifié.
Nous proposons quatre offres :
Oneshot (500 € HT) est un état des lieux de votre Active Directory, réalisé sur site par nos équipes : vous recevez les 8 rapports, pas le logiciel. Pour 20 à 249 utilisateurs, sans abonnement.
Essential (29 € HT par utilisateur et par an) comprend la licence logicielle, 4 scans par an lancés par vos équipes, le rapport de tendance et l'accès aux mises à jour du logiciel.
Professional (49 € HT par utilisateur et par an) ajoute les scans illimités, ShieldConnect (8 connecteurs SIEM, messagerie et email : export JSON/CEF) et ShieldPredict. Le module Entra ID / Azure AD est inclus dans toutes les formules.
Essential et Professional sont facturés sur un minimum de 20 utilisateurs (580 € et 980 € HT par an), avec un engagement de 12 mois. À partir de 250 utilisateurs, toutes les offres, Oneshot compris, sont sur devis.
Auditeur est conçu pour les auditeurs NIS2 / ISO 27001 externes et les pentesters, acheté sous forme de packs de scans de 5, 10 ou 20 scans, utilisables dans plusieurs environnements clients.
Contactez-nous pour discuter de l'offre adaptée à votre maturité sécurité et à vos obligations réglementaires.
Un utilisateur = un compte utilisateur nominatif actif de votre annuaire. Les comptes de service et les comptes partagés ne sont pas comptés. Chaque compte nominatif compte séparément : une personne disposant d'un compte standard et d'un compte d'administration compte pour deux utilisateurs. Un compte synchronisé entre Active Directory et Entra ID est compté une seule fois. Essential et Professional sont facturés par utilisateur et par an, avec un minimum facturé de 20 utilisateurs. Le nombre d'utilisateurs se vérifie avec le décompte produit par le scan ShieldAD et est ajusté à chaque renouvellement : aucun complément n'est facturé en cours de période.
Nous ne proposons pas d'essai gratuit en raison de la nature sensible des audits Active Directory. Cependant, nous organisons des rendez-vous personnalisés pour présenter la plateforme, répondre à vos questions spécifiques et évaluer vos besoins. Contactez-nous à contact@mandatoryshield.com pour planifier un échange avec nos experts.
Pour le Oneshot, une fois la commande payée, nous planifions l'intervention sur site sous 5 à 10 jours ouvrés. Le scan et la remise des rapports ont lieu lors de cette intervention. Pour Essential et Professional, vos équipes lancent elles-mêmes les scans dès la signature du contrat et la remise de la licence : 4 scans par an avec Essential, scans illimités avec Professional. L'offre Auditeur fonctionne par pack de scans.
Oui. Le module Entra ID / Azure AD est inclus dans toutes les formules, sans surcoût. Il analyse votre environnement Microsoft cloud, les synchronisations Azure AD Connect, les configurations de fédération, et produit un rapport spécifique en complément de l'audit AD on-premise.
Les modules Shield sont inclus dans l'offre Professional, sans surcoût.
ShieldConnect envoie les résultats de scan directement vers votre SIEM (Sentinel, Splunk, Elastic, Wazuh, Graylog, QRadar), vos outils de messagerie (Teams, Slack) et par email, en format JSON ou CEF. 8 connecteurs inclus.
ShieldPredict simule des scénarios d'attaque basés sur votre posture AD actuelle, en scorant les risques par exploitabilité et impact métier.
ShieldBrand, qui permettra aux MSP et intégrateurs de livrer les rapports ShieldAD sous leur propre identité de marque, est prévu pour une prochaine version et n'est pas encore disponible.
Contactez-nous à contact@mandatoryshield.com pour discuter de la disponibilité.
Oui. L'offre Auditeur est spécifiquement conçue pour les auditeurs NIS2, ISO 27001 externes et les pentesters qui doivent réaliser des évaluations de sécurité AD dans plusieurs environnements clients.
Au lieu d'un abonnement annuel, vous achetez un pack de scans (5, 10 ou 20 scans). Chaque scan comprend l'analyse complète des 524 contrôles et les 8 rapports réglementaires. Les packs sont valables jusqu'à 18 mois et peuvent être utilisés dans différents Active Directory clients.
Contactez-nous à contact@mandatoryshield.com pour discuter des tarifs Auditeur.
Non. ShieldAD est la plateforme : le moteur d'évaluation et ses 8 rapports. ShieldConnect et ShieldPredict sont des modules inclus dans l'offre Professional sans coût supplémentaire, pas des produits autonomes à installer séparément. ShieldBrand est sur la feuille de route et n'est pas encore disponible.
Qui sommes-nous ?
Mandatory Shield Company, fondée à Bruxelles en 2026, développe ShieldAD, une solution d'audit Active Directory conçue pour les PME et ETI européennes. ShieldAD génère en moins de 10 minutes un rapport complet couvrant 524 contrôles de sécurité, aligné NIS2, ISO 27001, CIS et RGPD, avec des scripts de remédiation PowerShell prêts à l'emploi. Aucune donnée ne quitte l'infrastructure du client : tout fonctionne en local, en lecture seule.
Notre Mission
Permettre à toute organisation européenne de comprendre et réduire la surface d'attaque de son Active Directory, quelle que soit sa taille, sans faire sortir de données de sa propre infrastructure.
Conçu en Belgique
Développé à Bruxelles depuis 2026. Hébergé dans l'UE. Aucune dépendance à un cloud tiers.
Validation SHA-256 sur site
L'empreinte de l'exécutable est vérifiée en direct devant votre RSSI avant chaque scan.
Remédiation actionnable
Chaque anomalie détectée est accompagnée d'un script PowerShell de correction prêt à l'emploi.
Contact
Prendre Rendez-vous
Discutons de vos besoins en sécurité Active Directory. Nos experts vous contacteront sous 48 heures ouvrables pour convenir d'un rendez-vous.
contact@mandatoryshield.com
www.mandatoryshield.com
Bruxelles, Belgique (Union Européenne)