Pensé comme un agent · conduit par des experts
Castelid trouve les chemins vers votre Tier 0. Et attend votre accord pour les fermer.
Castelid observe Active Directory, AD CS et Microsoft Entra ID en lecture seule, relie droits, certificats, rôles et applications en chemins d’attaque, classe les points qui en ferment le plus et prépare chaque correction. Rien n’est écrit chez vous sans votre validation.
- Lecture seule par défaut
- Aucune écriture sans validation écrite
- Chaque collecte tracée (SHA-256)
Démonstration animée sur des données fictives : Castelid collecte l’annuaire en lecture seule, trouve sept chemins vers le Tier 0, propose un lot de deux corrections, attend une validation écrite, applique le lot puis vérifie que les deux chemins sont fermés.
- Active Directory
- Modèle en tiers
- AD CS et PKI
- Microsoft Entra ID
- Accès conditionnel
- MFA
- Comptes de service
- Délégations Kerberos
- GPO
- AdminSDHolder
- krbtgt
- PIM
- Entra Connect
- Principaux de service
- Identités d’agents IA
- Comptes d’urgence
Méthode
Un agent qui raisonne. Un garde-fou à chaque étape.
Castelid suit la boucle d’un agent : observer, raisonner, proposer, agir, vérifier. Avec une différence qui compte sur un annuaire en production : entre proposer et agir, c’est vous qui décidez.
Lecture seule par défaut
Vigie et Garde n’écrivent rien dans vos annuaires. Seul Rempart écrit, et seulement ce que vous avez validé.
Collecte et correction séparées
Scripts et identités distincts : le compte qui lit ne peut pas modifier, celui qui modifie ne sert qu’au lot validé.
Retour arrière préparé avant
Droits et paramètres sauvegardés avant chaque lot. Si un retour arrière est possible, il est prêt avant le changement.
Tout est tracé
Chaque collecte porte un identifiant, une date, un opérateur, une version des scripts et une empreinte SHA-256.
Licence liée à votre environnement
Une licence signée, valable pour votre locataire et vos domaines AD uniquement, sur une période définie.
Données dans l’Union européenne
Collectes chiffrées, stockées dans l’UE et effacées 30 jours après la restitution, sauf contrat de suivi.
Chemins vers le Tier 0 · démonstration interactive
Quelques points de blocage ferment la plupart des chemins. Encore faut-il les trouver.
Une ACL, un modèle de certificat ou une délégation peuvent relier un compte ordinaire au cœur de votre annuaire. Ces chemins n’apparaissent dans aucune liste d’administrateurs. Sélectionnez un point de blocage, lisez sa fiche, simulez sa fermeture.
Points d’entrée
Points de blocage
Tier 0
Environnement fictif Hexalis Industrie. Dans un audit réel, le graphe de contrôle compte des milliers de relations ; Castelid en extrait les points de blocage et les classe par nombre d’identités exposées.
Modules
Identifier, corriger, vérifier : trois modules, une même boucle.
Vigie, Rempart et Garde s’activent dans un même portail, selon votre licence. Commencez par Vigie : la remédiation et le suivi se décident ensuite, à partir du plan priorisé.
Castelid Vigie · audit en lecture seule
Une collecte couvre Active Directory, AD CS et votre locataire Entra ID. Vigie en tire les chemins vers le Tier 0, votre niveau dans le modèle en tiers et un plan priorisé.
- Chemins vers le Tier 0 et points de blocage classés
- Modèle en tiers : 14 contrôles, niveau de 0 à 4, preuves
- Contournements de la MFA : 17 chemins évalués
- Synthèse pour la direction, rapport technique, état de référence daté
- Écrit chez vous
- Non
- Durée accompagnée
- 4 à 6 jours
Exemple de présentation, données fictives.
Castelid Rempart · atténuation et remédiation
Deux vitesses dans un même module. D’abord des mesures rapides pour réduire l’exposition sans attendre, puis la remédiation du Tier 0 par lots, avec vos équipes ou à leur place.
- 11 mesures rapides (7 côté AD, 4 côté Entra ID)
- Accès conditionnel déployé d’abord en mode rapport seul
- Alertes sur l’usage des comptes d’urgence
- Par lot : fiche de changement, étude d’impact, sauvegarde des droits, retour arrière, contrôle
- Écrit chez vous
- Oui, après validation écrite, lot par lot
- Durée
- Lots de 5 à 20 jours
-
Lot 1Contrôlé
CHG-014 ESC1 · CHG-015 svc_backup
- Validé
- Sauvegardé
- Appliqué
- Vérifié
-
Lot 2Planifié
CHG-016 SRV-APP03 · CHG-017 Entra Connect
- Validé
- Sauvegardé
- Appliqué
- Vérifié
-
Lot 3À valider
CHG-018 GPO Sécurité-DC
- Validation
- Sauvegardé
- Appliqué
- Vérifié
Exemple de présentation, données fictives.
Castelid Garde · suivi des dérives
Un annuaire bouge : projets, migrations, urgences. Garde relance des collectes planifiées et les compare à votre état de référence pour repérer ce qui revient et ce qui apparaît.
- Collectes planifiées, en lecture seule
- Rapport de dérives : fermé, toujours ouvert, nouveau
- Nouveaux chemins vers le Tier 0 signalés en priorité
- Revue trimestrielle d’une heure avec un expert
- Écrit chez vous
- Non
- Durée
- 12 mois, revue chaque trimestre
- NouveauCompte de service ajouté aux Admins du domaine
- NouveauExclusion d’une stratégie MFA sans date de fin
- FerméModèle de certificat ESC1
Exemple de présentation, données fictives.
Formules de licence
Chaque licence est signée et liée à votre locataire et à vos domaines AD. Tarifs forfaitaires, sur devis.
| Formule | Vigie | Rempart | Garde | Durée |
|---|---|---|---|---|
| Pilote offert aux experts | – | – | 45 j | |
| Vigie | – | – | 90 j | |
| Vigie + Rempart | – | 180 j | ||
| Garde | – | 365 j | ||
| Intégrale | 365 j |
Modules complémentaires
À ajouter à Vigie ou à commander seuls.
- Audit des contournements MFA2–3 j
- Audit PKI et AD CS approfondi3–5 j
- Plan de reprise de la forêt AD8–10 j
- Sécurité des agents IA5–7 j
- Formation identité Microsoft½–3 j
Agents IA
Vos agents IA ont des droits. Castelid les traite comme des identités à privilèges.
Un agent qui lit des boîtes aux lettres, crée des comptes ou attribue des rôles agit avec une identité : Agent ID, principal de service ou identité managée. Ces identités entrent dans le modèle en tiers comme les autres.
- Inventaire des identités d’agents (Microsoft Entra Agent ID), applications et identités managées
- Permissions Microsoft Graph et rôles, consentements accordés
- Propriétaires, secrets et certificats, date de dernière utilisation
- Accès conditionnel appliqué, ou non, à ces identités
- Chemins vers le Tier 0 qui passent par un agent
agent-secops-triageAgent IDCritique
RoleManagement.ReadWrite.Directory
Peut s’attribuer le rôle Administrateur général. Correction proposée : permission retirée, rôle limité attribué par PIM, revue mensuelle.
agent-rh-onboardingAgent IDÉlevé
User.ReadWrite.All · Group.ReadWrite.All · aucun propriétaire
Écrit sur tout l’annuaire et n’a pas de responsable. Correction proposée : propriétaire désigné, droits restreints aux unités administratives RH.
copilot-support-itPrincipal de serviceÉlevé
Mail.ReadWrite (application)
Accès à toutes les boîtes aux lettres. Correction proposée : accès restreint aux boîtes du support, par une étendue RBAC pour applications dans Exchange Online.
bot-teams-planningPrincipal de serviceMoyen
Calendars.ReadWrite · secret créé en 2023
Secret de plus de 12 mois, sans rotation. Correction proposée : certificat à la place du secret, rotation planifiée.
foundry-finance-qaIdentité managéeConforme
Sites.Selected · 2 propriétaires
Portée limitée à deux sites, propriétaires identifiés. Aucune action proposée.
Exemple de présentation, données fictives.
Preuve avant/après
La preuve, pas la promesse.
Chaque collecte est datée et identifiée par son empreinte SHA-256. Comparez l’état de référence aux collectes suivantes : ce qui est fermé l’est vraiment, ce qui revient se voit.
Environnement fictif Hexalis Industrie.
Sous le capot
Une boîte en verre, pas une boîte noire.
Vos équipes savent ce qui s’exécute, avec quels droits, et où vont les résultats. Chaque constat s’explique par les données collectées.
PS> .\00-Test-CastelidPrerequisites.ps1
[ok] Modules ActiveDirectory et Microsoft.Graph
[ok] Comptes de collecte en lecture seule
[ok] Licence CL-2026-0002 · Pilote · hexalis.example
PS> .\Start-CastelidVigie.ps1
Collecte Active Directory ....... terminée
Collecte AD CS .................. terminée
Collecte Entra ID ............... terminée
Collecte VIG-20260812-0930.json
SHA-256 4be1d07a…e3f29c07
Portail ouvert en local, sans connexionScripts lisibles
Les scripts PowerShell vous sont remis avant exécution. Vos équipes les relisent et valident les permissions demandées.
Portail local
Les résultats s’ouvrent dans un portail qui fonctionne sur votre poste, sans connexion à un service externe.
Licence signée
Signature ECDSA P-256, liée à votre locataire et à vos domaines AD, avec une date de début et de fin.
Collectes comparables
Un schéma de collecte versionné : chaque nouvelle collecte se compare à la référence, constat par constat.
Référentiels reconnus
Recommandations de l’ANSSI et modèle d’accès d’entreprise de Microsoft. Restitution en français.
Pourquoi Castelid
Un outil d’audit montre l’exposition. Castelid vous aide à la réduire.
Les outils d’audit, gratuits ou sous licence, sont précieux et nous pouvons partir de leurs résultats. Castelid y ajoute la priorisation dans votre contexte, l’accompagnement de la correction et la preuve du résultat.
| Ce dont vous avez besoin | Outil d’audit seul | Audit ponctuel classique | Castelid |
|---|---|---|---|
| Rapport d’exposition AD et Entra ID | Oui | Oui | Oui, avec AD CS |
| Priorités adaptées à votre contexte | Score et règles génériques | Selon l’auditeur | Points de blocage vers votre Tier 0 |
| Accompagnement de la correction | À votre charge | Rarement inclus | Module Rempart, sur votre validation |
| Étude d’impact et retour arrière | Non | Variable | Une fiche par changement |
| Preuve avant/après | Selon l’outil et la licence | Nouvel audit nécessaire | Comparaison avec la référence |
| Suivi des dérives | Continu, sous licence | Non | Module Garde, revue d’expert |
| Interlocuteur expert en français | Non | Oui | Oui |
Ce tableau compare des approches, pas des produits. Certains éditeurs proposent aussi de l’accompagnement ou une surveillance continue : Castelid reste indépendant de tout éditeur et s’adapte à vos outils existants.
Programme pilote
Experts AD et Entra ID : mettez Castelid à l’épreuve.
Une licence Castelid Vigie offerte pendant 45 jours, sur un environnement que vous êtes autorisé à auditer. En échange, un retour franc : ce que Castelid trouve, et ce qu’il rate.
Demander ma licence piloteLe pilote fait l’objet d’une convention et d’une autorisation écrite d’audit signée par le responsable de l’environnement.
- 1Envoyez vos domainesVotre domaine Entra ID et votre domaine Active Directory.
- 2Recevez votre licenceUne licence signée, liée à votre environnement, et le mode opératoire Vigie.
- 3Lancez la collecteEn lecture seule, puis ouvrez le portail local pour explorer les résultats.
- 4Dites-nous tout30 minutes d’échange sur ce que vous avez vu, ce qui manque, ce qui gêne.
Qui intervient
Castelid est une offre de RSMIND GROUP.
Cabinet français spécialisé dans l’identité Microsoft et la cybersécurité, basé à Montigny-le-Bretonneux (Yvelines). Les missions sont menées ou supervisées par son fondateur.
- Missions Active Directory et Entra ID pour de grands groupes de l’énergie, de la banque, de l’industrie et de la logistique.
- Mise en place d’un plan de reprise de forêt Active Directory pour un groupe international.
- Conception d’accès conditionnel, de PIM et de séparations de locataires dans Entra ID.
- Infrastructures PKI Microsoft : autorités, modèles, révocation, migration.
- Sécurisation des identités d’agents IA dans Entra ID.
Questions fréquentes
Avant de nous ouvrir votre annuaire
Castelid est-il une intelligence artificielle ? Pourquoi parler d’agent ?
« Agent » décrit la démarche : observer, raisonner, proposer, attendre votre décision, agir, vérifier. Les constats viennent de règles documentées et d’un graphe de contrôle, pas d’un modèle de langage : chaque résultat est reproductible et justifié par les données collectées. Aucune collecte n’est envoyée à un service d’IA.
Allez-vous modifier notre Active Directory pendant l’audit ?
Non. Vigie travaille en lecture seule, sans modification des configurations analysées. Si un prérequis est nécessaire, par exemple un compte de collecte dédié, il est documenté et validé par vos équipes avant la collecte. Toute correction relève de Rempart, que vous déclenchez lot par lot.
De quels accès avez-vous besoin ?
Pour Vigie et Garde, des droits de lecture : un compte de lecture dans l’annuaire et des permissions Microsoft Graph en lecture, avec les rôles Lecteur global et Lecteur de sécurité côté Entra ID. Rempart utilise une identité distincte, limitée au lot validé. La liste exacte vous est remise au cadrage pour approbation.
Que deviennent les données collectées ?
Les collectes sont chiffrées, stockées dans l’Union européenne et effacées 30 jours après la restitution, sauf contrat de suivi. Chaque collecte est tracée : identifiant, date, opérateur, version des scripts et empreinte SHA-256.
Pouvez-vous garantir qu’une correction n’aura aucun impact ?
Personne ne peut le garantir sur un annuaire en production. Nous réduisons le risque : étude d’impact avant chaque changement, mise en œuvre progressive, retour arrière lorsqu’il est possible et contrôle après intervention. Rien n’est modifié sans votre validation écrite.
Nous utilisons déjà un outil d’audit. Castelid fait-il doublon ?
Non. Nous pouvons partir de ses résultats. Castelid apporte la priorisation par points de blocage, l’accompagnement de la correction et la preuve avant/après.
Castelid est-il un logiciel ?
Castelid associe un outillage, des scripts PowerShell que vos équipes peuvent relire et un portail qui fonctionne en local, à l’accompagnement d’experts. Les modules Vigie, Rempart et Garde sont activés par une licence signée. Une plateforme de suivi est en préparation ; elle sera construite à partir des besoins récurrents de nos clients.
Comment fonctionne la licence pilote ?
Elle est réservée aux experts Active Directory et Entra ID qui veulent évaluer Castelid Vigie pendant 45 jours, sur un environnement qu’ils sont autorisés à auditer. Elle est liée à vos domaines, encadrée par une convention de pilote et une autorisation écrite d’audit. En retour, nous vous demandons un échange sur vos résultats.
Combien coûte un audit ?
Le prix dépend du nombre de comptes et du périmètre : forêts, domaines, autorités de certification, locataires. Vous recevez un forfait ferme après un échange de 30 minutes.
Contact
Parlons de votre annuaire.
Un échange de 30 minutes pour comprendre votre contexte et vous proposer un périmètre. Sans engagement.
- E-mailcontact@rsmindgroup.com
- Téléphone01 30 43 09 88
- AdresseRSMIND GROUP · Montigny-le-Bretonneux (78)