Contrôle des applications
Managed installer, ISG et stratégies supplémentaires
Garder App Control for Business maintenable : Intune ou ConfigMgr comme managed installer, ISG utilisé avec prudence et délégation par stratégies supplémentaires.
Avancé
Florian Amette
Security engineer writing practical, baseline-aligned hardening guides for Windows endpoints, servers and Active Directory.
Contrôle des applications
Déployer AppLocker : scripts, installeurs, apps empaquetées
Déployer AppLocker sans risque : service Application Identity, mode audit, règles d'éditeur pour EXE, scripts, MSI et apps empaquetées, dossiers accessibles en écriture.
Intermédiaire
BitLocker & sécurité du démarrage
Clés de récupération BitLocker : dépôt, rotation, audit
Gérez les clés de récupération BitLocker : dépôt dans AD DS ou Entra ID, preuve de couverture, accès restreint, audit de chaque lecture et rotation après usage.
Fondamental
Protection des identifiants
Identifiants en cache, WDigest et exposition des secrets
Réduire les identifiants que Windows garde sur disque et en mémoire : sessions en cache, WDigest, nettoyage après déconnexion, mots de passe réseau et Credential Manager.
Fondamental
Référentiels de sécurité
Dérive de configuration : OSConfig, DSC et rapports
Détectez et corrigez la dérive de configuration Windows : OSConfig sur Server 2025, DSC en autocorrection, retraitement des GPO, événements de modification et rapports.
Avancé
Microsoft Defender
Accès contrôlé aux dossiers : un anti-ransomware efficace
Déployer l'accès contrôlé aux dossiers de Defender contre les ransomwares : mode audit, événements 1123 et 1124, applications autorisées et application par anneaux.
Intermédiaire
Microsoft Defender
Auditer et réduire les exclusions Microsoft Defender
Trouver chaque exclusion Microsoft Defender (GPO, Intune, config locale), la justifier ou la supprimer, restreindre le reste, la masquer et surveiller les changements.
Fondamental
Sécurité de PowerShell
Détecter le PowerShell malveillant avec les blocs de script
Transformez les journaux PowerShell en détections : blocs 4104 reconstitués, événements AMSI et moteur, obfuscation, PowerShell non géré, bruit d'administration filtré.
Intermédiaire
Réduction de la surface d'attaque
Durcir Microsoft Edge par stratégie de groupe et Intune
Durcir Microsoft Edge par stratégie : SmartScreen imposé, liste d'extensions autorisées, sécurité renforcée, restrictions de téléchargement et mises à jour forcées.
Fondamental
Microsoft Defender
EDR en mode blocage, mode passif et antivirus tiers
Comportement de Defender Antivirus à côté d'un autre antivirus : modes actif, passif et EDR en mode blocage, mode passif forcé sur serveur, pertes et vérification.
Avancé
Réduction de la surface d'attaque
Exploit protection : atténuations système et par application
Configurer exploit protection, le successeur d'EMET : valeurs système, atténuations par application, mode audit, export/import XML et déploiement par GPO ou Intune.
Intermédiaire
Pare-feu Windows
Journalisation et surveillance efficaces du pare-feu Windows
Faites du pare-feu Windows une source de détection : pfirewall.log, événements WFP 5156/5157, événements de modification 4946-4950 et transfert centralisé.
Fondamental
Pare-feu Windows
Gérer le pare-feu Windows à grande échelle (GPO, Intune)
Pilotez le pare-feu Windows sur tout un parc : fusion des règles GPO et Intune, priorité du blocage, désactivation de la fusion locale et contrôle du magasin actif.
Intermédiaire
Correctifs & mises à jour
Hotpatch et mise à jour des clusters sous Windows Server
Corrigez Windows Server avec moins d'interruptions : hotpatch sur Server 2025 via Azure Arc ou Azure Edition, mois de référence, prérequis et mise à jour des clusters.
Avancé
Référentiels de sécurité
Référentiels Intune, catalogue de paramètres et conflits GPO
Déployez les référentiels de sécurité Intune sans conflits : versions, catalogue de paramètres, recouvrements, MDMWinsOverGP et contrôles sur l'appareil.
Intermédiaire
Pare-feu Windows
Isolation de domaine et de serveurs avec IPsec
Avec les règles de sécurité de connexion IPsec, seuls les ordinateurs du domaine authentifiés joignent vos serveurs : isolation, cryptographie, déploiement sûr.
Avancé
Sécurité de PowerShell
Just Enough Administration (JEA) pas à pas
Des points de terminaison JEA qui donnent aux opérateurs exactement les commandes utiles : capacités de rôle, configurations de session, comptes virtuels, gMSA, audit.
Avancé
Réduction de la surface d'attaque
Durcir Microsoft Office : macros, OLE et compléments
Verrouiller Microsoft 365 Apps : bloquer les macros d'Internet, désactiver XLM, analyser le VBA via AMSI, garder le mode protégé, signer les compléments, bloquer OLE/DDE.
Fondamental
Référentiels de sécurité
Policy Analyzer et LGPO : comparer, tester, appliquer
Utilisez Policy Analyzer pour comparer GPO, référentiels et stratégie effective, et LGPO.exe pour tester, appliquer et exporter la stratégie locale hors domaine.
Intermédiaire
Protocoles hérités
Durcir le spouleur d'impression et Point and Print
Fermer les risques de type PrintNightmare : désactiver le spouleur inutile, réserver l'installation des pilotes aux admins, Package Point and Print et serveurs approuvés.
Intermédiaire
Protection des identifiants
RDP sans exposer d'identifiants : RCG et Restricted Admin
Empêcher le RDP de laisser des identifiants réutilisables sur les serveurs : Remote Credential Guard, mode Restricted Admin, DisableRestrictedAdmin et délégation.
Intermédiaire
Protocoles hérités
Durcir le Bureau à distance (RDP) sous Windows
Sécuriser le Bureau à distance : NLA, couche de sécurité TLS, certificats PKI, utilisateurs restreints, pare-feu ciblé, limites de session et journaux adaptés.
Fondamental
Comptes & accès à privilèges
Retirer les droits d'admin local aux utilisateurs sans chaos
Retirer les droits d'admin local : inventorier qui les détient, imposer l'appartenance par GPO ou Intune, gérer l'élévation avec EPM, garder un accès d'urgence.
Fondamental
BitLocker & sécurité du démarrage
Secure Boot, UEFI et les atténuations BlackLotus
Durcissez la chaîne de démarrage Windows : vérifiez Secure Boot, appliquez les révocations BlackLotus CVE-2023-24932, adoptez les certificats 2023 et verrouillez l'UEFI.
Avancé
Audit & journalisation
Déployer et ajuster Sysmon à grande échelle
Choisissez une configuration Sysmon, réduisez le bruit sans créer d'angles morts, déployez les mises à jour sur des milliers d'hôtes et surveillez Sysmon lui-même.
Intermédiaire
Correctifs & mises à jour
Corriger les applications tierces sous Windows avec winget
Inventoriez, priorisez et corrigez les applications tierces : navigateurs et runtimes d'abord, winget en SYSTEM, stratégie App Installer, retrait de l'incorrigible.
Fondamental
Protocoles hérités
Durcir TLS et Schannel sous Windows
Désactiver SSL, TLS 1.0/1.1 et les chiffrements faibles dans Schannel, définir l'ordre des suites par GPO et forcer .NET à une crypto forte après mesure de l'usage.
Intermédiaire
Comptes & accès à privilèges
Durcir l'UAC et Windows Administrator protection
Bien configurer l'UAC : Admin Approval Mode, bureau sécurisé, FilterAdministratorToken, UAC distant pour les comptes locaux et Administrator protection de Windows 11.
Intermédiaire
BitLocker & sécurité du démarrage
VBS, intégrité de la mémoire (HVCI) et Kernel DMA Protection
Activez la sécurité basée sur la virtualisation, l'intégrité de la mémoire (HVCI) et Kernel DMA Protection : prérequis, GPO et Intune, tests des pilotes, vérification.
Intermédiaire
Contrôle des applications
Liste de blocage des pilotes vulnérables : stopper le BYOVD
Activer et vérifier la liste de blocage des pilotes vulnérables de Microsoft sur postes et serveurs, la tenir à jour et détecter les attaques BYOVD.
Intermédiaire
Audit & journalisation
Windows Event Forwarding à grande échelle
Un Windows Event Forwarding qui tient la charge : collecteurs, abonnements initiés par la source, requêtes XPath, livraison, accès au journal Sécurité et supervision.
Intermédiaire
Guide
Durcissement Windows : plan d'action sur 30/60/90 jours
Une liste de contrôle priorisée sur 90 jours : gains rapides d'abord, puis identifiants et mouvement latéral, puis contrôles structurels, chacun relié à un guide.
Fondamental
Protection des identifiants
Windows Hello for Business : modèles d'approbation et PIN
Déployer Windows Hello for Business en cloud Kerberos trust ou key trust, exiger des clés TPM, définir la stratégie de PIN et vérifier l'inscription des utilisateurs.
Intermédiaire
Audit & journalisation
Les ID d'événements de sécurité Windows qui comptent
Référence pratique des ID d'événements Windows à collecter et surveiller : ouvertures de session, codes d'échec, Kerberos, comptes, persistance et altérations.
Fondamental
Correctifs & mises à jour
Stratégies Windows Update : reports, échéances, redémarrages
Configurez les stratégies du client Windows Update par GPO et Intune : reports qualité et fonctionnalités, échéances, périodes de grâce, redémarrages et vérification.
Intermédiaire
Sécurité de PowerShell
Durcir WinRM et la communication à distance PowerShell
Verrouillez WinRM : inventaire des écouteurs, Kerberos imposé, Basic, Digest et CredSSP bloqués, écouteurs HTTPS, TrustedHosts vide et pare-feu restreint.
Intermédiaire
Référentiels de sécurité
Référentiels de sécurité Windows : SCT, CIS et STIG
Comparez SCT Microsoft, CIS Benchmarks et STIG DISA, appliquez-en un avec Policy Analyzer et LGPO, ajoutez vos paramètres et suivez chaque écart.
Fondamental
Correctifs & mises à jour
Correctifs Windows : anneaux, échéances, KEV d'abord
Un processus de correctifs Windows qui aboutit chaque mois : anneaux avec échéances, WSUS ou Update for Business, hotpatch, priorité au KEV et angles morts hors Windows.
Fondamental
Audit & journalisation
Audit Windows et Sysmon : un socle de journalisation
Configurez les sous-catégories d'audit avancé, la capture des lignes de commande, la taille des journaux, Sysmon et WEF pour savoir qui, quoi, où et quand.
Fondamental
Sécurité de PowerShell
Sécurité PowerShell : journalisation, v2, CLM et JEA
Rendez PowerShell transparent et borné : journalisation des blocs de script, des modules et transcription, retrait de PowerShell 2.0, CLM imposé par App Control, JEA.
Intermédiaire
BitLocker & sécurité du démarrage
Durcir BitLocker : XTS-AES 256, TPM+PIN, dépôt des clés
Configurez BitLocker contre les menaces réelles : chiffrement, TPM seul ou TPM+PIN, dépôt des clés dans AD ou Entra ID, Secure Boot, protection DMA et contrôle du parc.
Intermédiaire
Pare-feu Windows
Durcir le pare-feu Windows contre le mouvement latéral
Faites du Pare-feu Windows Defender un contrôle anti-mouvement latéral : profils imposés par GPO, règles locales ignorées, RDP/WinRM/SMB restreints, journalisation utile.
Fondamental
Protocoles hérités
Retirer LLMNR, NBT-NS, SMBv1 et NTLMv1 ; exiger la signature
Mesurer puis couper les protocoles Windows à l'origine du vol d'empreintes et du relais : LLMNR, NBT-NS, mDNS, WPAD, SMBv1, NTLMv1, plus signature SMB et LDAP.
Fondamental
Contrôle des applications
App Control for Business (WDAC) ou AppLocker ?
Choisir entre App Control for Business (ex-WDAC) et AppLocker, partir des stratégies d'exemple, auditer, lire les événements Code Integrity et appliquer sans casse.
Intermédiaire
Microsoft Defender
Durcir Microsoft Defender Antivirus au-delà des défauts
Configurer Defender Antivirus pour résister, pas seulement pour être compatible : protection cloud, block at first sight, Tamper Protection, PUA et exclusions.
Fondamental
Réduction de la surface d'attaque
Règles ASR : GUID et déploiement sans risque
Référence pratique des règles ASR de Microsoft Defender : ce que bloque chaque règle, son GUID, l'ordre d'activation, le mode audit, les événements et les exclusions.
Fondamental
Protection des identifiants
Credential Guard et protection LSA : protéger LSASS
Comment Credential Guard et la protection LSA (RunAsPPL) empêchent l'extraction d'identifiants, comment les activer et les vérifier, ce qu'ils cassent et quoi désactiver.
Intermédiaire
Comptes & accès à privilèges
Modèle en tiers et Protected Users dans Active Directory
Appliquer concrètement le modèle en tiers d'Active Directory : périmètre du Tier 0, restrictions d'ouverture de session par GPO, Protected Users, PAW et contrôles.
Intermédiaire
Comptes & accès à privilèges
Déployer Windows LAPS : des mots de passe d'admin uniques
Remplacer les mots de passe Administrateur local partagés par Windows LAPS : schéma, permissions, paramètres GPO, chiffrement, récupération et vérifications.
Fondamental