Aller au contenu
WindowsHardening
CommencerNouveau : 49 guides détaillés et un plan de durcissement Windows sur 90 jours

Durcir Windows, un volet à la fois.

Une carte pratique du durcissement Windows pour les postes, les serveurs et les domaines. Chaque contrôle est livré avec son chemin de stratégie de groupe, sa valeur de registre, le PowerShell pour le vérifier et ce qu'il risque de casser.

Démarrer le plan 90 joursExplorer la carte
État cible · serveur membre Tier 1

89%

contrôles appliqués

Extra local admins

0

−100% / 30 d

App Control audit

412

en audit

  • Local admin passwordAppliqué
  • LSASSAppliqué
  • Credential GuardAppliqué
  • ASR rulesAppliqué
  • SMB signingAppliqué
  • LLMNRAppliqué
  • NTLMAppliqué
  • PowerShellAppliqué
  • App Controlen audit
Configuration cible illustrative

Aligné sur

  • Microsoft Security Baselines
  • CIS Benchmarks
  • DISA STIG
  • ANSSI
  • MITRE ATT&CK
domaines
12
guides
49
termes du glossaire
29
langues
4

Pourquoi ça marche

Écrit pour ceux qui modifient la production

Chaque guide suit la même structure : du constat à la mesure appliquée, sans ouvrir un second onglet.

Chemins et valeurs exacts

Le chemin de stratégie de groupe, la valeur de registre et l'attribut à définir. Pas d'approximation.

PowerShell pour vérifier

Lisez l'état actuel avant de le modifier et prouvez le changement ensuite, avec des commandes prêtes à coller.

Ce que ça casse

Chaque guide se termine par les impacts de compatibilité, pour que la mesure ne soit pas annulée au premier ticket.

Auditer avant d'imposer

Modes audit, ID d'événements et anneaux de déploiement : le déploiement qui résiste aux applications héritées.

Ordonné par impact

Une carte de douze domaines et un plan sur 90 jours qui traite d'abord les mesures derrière la plupart des intrusions.

La carte

Douze domaines, de l'identité aux référentiels

Chaque domaine regroupe les contrôles qui protègent contre une même famille d'attaques. Commencez où vous voulez, mais les deux premiers domaines arrêtent la plupart des compromissions de domaine réelles.

  1. 01Comptes & accès à privilègesMots de passe d'admin local uniques, modèle en tiers et un Tier 0 réduit et protégé.Windows LAPSTier modelProtected UsersPosteServeurAD4 guides
  2. 02Protection des identifiantsGarder les secrets hors de la mémoire de LSASS avec Credential Guard et la protection LSA.Credential GuardRunAsPPLWDigest offPosteServeur4 guides
  3. 03Réduction de la surface d'attaqueBloquer les comportements dont dépend le malware : processus enfants d'Office, lecture de LSASS, scripts déposeurs.ASR rulesExploit protectionPosteServeur4 guides
  4. 04Microsoft DefenderFaire de l'antivirus intégré un capteur durci : protection cloud, anti-altération et réseau.Tamper ProtectionCloud protectionNetwork protectionPosteServeur4 guides
  5. 05Contrôle des applicationsDécider de ce qui peut s'exécuter avec App Control for Business (WDAC) et AppLocker.App Control (WDAC)AppLockerPosteServeur4 guides
  6. 06Protocoles héritésRetirer SMBv1, NTLMv1, LLMNR et NBT-NS ; exiger la signature SMB et LDAP.SMB signingNTLMv2 onlyLLMNR offPosteServeurAD4 guides
  7. 07Pare-feu WindowsEntrant refusé par défaut, ports d'administration limités aux réseaux de gestion, pas de SMB entre postes.Default deny inboundMgmt-subnet rulesLoggingPosteServeur4 guides
  8. 08BitLocker & sécurité du démarrageChiffrer chaque volume, séquestrer les clés de récupération et protéger la chaîne de démarrage avec le TPM et Secure Boot.BitLockerTPM + PINSecure BootPosteServeur4 guides
  9. 09Sécurité de PowerShellJournaliser ce qu'exécute PowerShell, supprimer la v2 et contraindre le langage là où il n'est pas utile.Script block loggingCLMJEAPosteServeur4 guides
  10. 10Audit & journalisationStratégie d'audit avancée, capture des lignes de commande, Sysmon et transfert de journaux qui survivent à un incident.Advanced audit policySysmonWEFPosteServeurAD4 guides
  11. 11Correctifs & mises à jourDéploiement par anneaux avec échéances imposées, plus les pilotes, micrologiciels et applications hors Windows Update.Update ringsDeadlinesKEV-firstPosteServeur4 guides
  12. 12Référentiels de sécuritéPartir des référentiels Microsoft et CIS, mesurer la dérive, documenter chaque écart.Microsoft SCTCIS BenchmarksPolicy AnalyzerPosteServeurAD4 guides

Feuille de route

Un plan sur 90 jours, en trois phases

L'ordre compte. Fermez d'abord les chemins réellement utilisés, corrigez ensuite la structure, puis maintenez-la.

  1. Jours 0–30

    Les gains rapides

    Windows LAPS, droits d'admin local retirés, règles ASR, LLMNR et NBT-NS désactivés, macros d'Internet bloquées.

  2. Jours 31–60

    Protéger les identifiants, stopper les mouvements latéraux

    Credential Guard et protection LSA, RDP sécurisé, tiering des admins, pare-feu, journalisation PowerShell.

  3. Jours 61–90

    Durcissement structurel

    App Control, BitLocker avec TPM+PIN, intégrité de la mémoire, nettoyage TLS et détection des dérives.

Ouvrir la checklist complète

Méthode

Chaque changement suit la même boucle

Le durcissement Windows échoue quand il casse quelque chose et qu'on revient en arrière. Presque chaque contrôle de cette carte dispose d'un mode audit : utilisez-le.

  1. 01MesurerRelever l'état actuel avec PowerShell ou Policy Analyzer avant de modifier quoi que ce soit.
  2. 02AuditerActiver le contrôle en mode audit et collecter les événements qu'il aurait bloqués.
  3. 03AppliquerCorriger ou exclure les vraies collisions, puis appliquer anneau par anneau avec un plan de retour arrière.
  4. 04VérifierRecontrôler le paramètre et alerter sur la dérive, pour qu'il reste actif après la prochaine réinstallation.

Guides

Derniers guides

Tous les guides
Protection des identifiants

Identifiants en cache, WDigest et exposition des secrets

Réduire les identifiants que Windows garde sur disque et en mémoire : sessions en cache, WDigest, nettoyage après déconnexion, mots de passe réseau et Credential Manager.

Fondamental
Référentiels de sécurité

Dérive de configuration : OSConfig, DSC et rapports

Détectez et corrigez la dérive de configuration Windows : OSConfig sur Server 2025, DSC en autocorrection, retraitement des GPO, événements de modification et rapports.

Avancé

Durcissez chaque poste Windows avant que quelqu'un d'autre ne le teste.

Commencez par le plan sur 90 jours, ou choisissez le domaine qui vous empêche de dormir.

Démarrer le plan 90 joursParcourir tous les guides