Guides
Guides approfondis de durcissement Windows avec chemins de stratégie de groupe, valeurs de registre, PowerShell et étapes de vérification.
49 guides12 domaines
Par où commencer
Durcissement Windows : plan d'action sur 30/60/90 jours
Une liste de contrôle priorisée sur 90 jours : gains rapides d'abord, puis identifiants et mouvement latéral, puis contrôles structurels, chacun relié à un guide.
Domaine 01 · 4 guides
Comptes & accès à privilèges
Mots de passe d'admin local uniques, modèle en tiers et un Tier 0 réduit et protégé.
- 01Déployer Windows LAPS : des mots de passe d'admin uniquesRemplacer les mots de passe Administrateur local partagés par Windows LAPS : schéma, permissions, paramètres GPO, chiffrement, récupération et vérifications.
- 02Modèle en tiers et Protected Users dans Active DirectoryAppliquer concrètement le modèle en tiers d'Active Directory : périmètre du Tier 0, restrictions d'ouverture de session par GPO, Protected Users, PAW et contrôles.
- 03Retirer les droits d'admin local aux utilisateurs sans chaosRetirer les droits d'admin local : inventorier qui les détient, imposer l'appartenance par GPO ou Intune, gérer l'élévation avec EPM, garder un accès d'urgence.
- 04Durcir l'UAC et Windows Administrator protectionBien configurer l'UAC : Admin Approval Mode, bureau sécurisé, FilterAdministratorToken, UAC distant pour les comptes locaux et Administrator protection de Windows 11.
Domaine 02 · 4 guides
Protection des identifiants
Garder les secrets hors de la mémoire de LSASS avec Credential Guard et la protection LSA.
- 01Credential Guard et protection LSA : protéger LSASSComment Credential Guard et la protection LSA (RunAsPPL) empêchent l'extraction d'identifiants, comment les activer et les vérifier, ce qu'ils cassent et quoi désactiver.
- 02Identifiants en cache, WDigest et exposition des secretsRéduire les identifiants que Windows garde sur disque et en mémoire : sessions en cache, WDigest, nettoyage après déconnexion, mots de passe réseau et Credential Manager.
- 03RDP sans exposer d'identifiants : RCG et Restricted AdminEmpêcher le RDP de laisser des identifiants réutilisables sur les serveurs : Remote Credential Guard, mode Restricted Admin, DisableRestrictedAdmin et délégation.
- 04Windows Hello for Business : modèles d'approbation et PINDéployer Windows Hello for Business en cloud Kerberos trust ou key trust, exiger des clés TPM, définir la stratégie de PIN et vérifier l'inscription des utilisateurs.
Domaine 03 · 4 guides
Réduction de la surface d'attaque
Bloquer les comportements dont dépend le malware : processus enfants d'Office, lecture de LSASS, scripts déposeurs.
- 01Règles ASR : GUID et déploiement sans risqueRéférence pratique des règles ASR de Microsoft Defender : ce que bloque chaque règle, son GUID, l'ordre d'activation, le mode audit, les événements et les exclusions.
- 02Exploit protection : atténuations système et par applicationConfigurer exploit protection, le successeur d'EMET : valeurs système, atténuations par application, mode audit, export/import XML et déploiement par GPO ou Intune.
- 03Durcir Microsoft Office : macros, OLE et complémentsVerrouiller Microsoft 365 Apps : bloquer les macros d'Internet, désactiver XLM, analyser le VBA via AMSI, garder le mode protégé, signer les compléments, bloquer OLE/DDE.
- 04Durcir Microsoft Edge par stratégie de groupe et IntuneDurcir Microsoft Edge par stratégie : SmartScreen imposé, liste d'extensions autorisées, sécurité renforcée, restrictions de téléchargement et mises à jour forcées.
Domaine 04 · 4 guides
Microsoft Defender
Faire de l'antivirus intégré un capteur durci : protection cloud, anti-altération et réseau.
- 01Durcir Microsoft Defender Antivirus au-delà des défautsConfigurer Defender Antivirus pour résister, pas seulement pour être compatible : protection cloud, block at first sight, Tamper Protection, PUA et exclusions.
- 02Auditer et réduire les exclusions Microsoft DefenderTrouver chaque exclusion Microsoft Defender (GPO, Intune, config locale), la justifier ou la supprimer, restreindre le reste, la masquer et surveiller les changements.
- 03Accès contrôlé aux dossiers : un anti-ransomware efficaceDéployer l'accès contrôlé aux dossiers de Defender contre les ransomwares : mode audit, événements 1123 et 1124, applications autorisées et application par anneaux.
- 04EDR en mode blocage, mode passif et antivirus tiersComportement de Defender Antivirus à côté d'un autre antivirus : modes actif, passif et EDR en mode blocage, mode passif forcé sur serveur, pertes et vérification.
Domaine 05 · 4 guides
Contrôle des applications
Décider de ce qui peut s'exécuter avec App Control for Business (WDAC) et AppLocker.
- 01App Control for Business (WDAC) ou AppLocker ?Choisir entre App Control for Business (ex-WDAC) et AppLocker, partir des stratégies d'exemple, auditer, lire les événements Code Integrity et appliquer sans casse.
- 02Managed installer, ISG et stratégies supplémentairesGarder App Control for Business maintenable : Intune ou ConfigMgr comme managed installer, ISG utilisé avec prudence et délégation par stratégies supplémentaires.
- 03Liste de blocage des pilotes vulnérables : stopper le BYOVDActiver et vérifier la liste de blocage des pilotes vulnérables de Microsoft sur postes et serveurs, la tenir à jour et détecter les attaques BYOVD.
- 04Déployer AppLocker : scripts, installeurs, apps empaquetéesDéployer AppLocker sans risque : service Application Identity, mode audit, règles d'éditeur pour EXE, scripts, MSI et apps empaquetées, dossiers accessibles en écriture.
Domaine 06 · 4 guides
Protocoles hérités
Retirer SMBv1, NTLMv1, LLMNR et NBT-NS ; exiger la signature SMB et LDAP.
- 01Retirer LLMNR, NBT-NS, SMBv1 et NTLMv1 ; exiger la signatureMesurer puis couper les protocoles Windows à l'origine du vol d'empreintes et du relais : LLMNR, NBT-NS, mDNS, WPAD, SMBv1, NTLMv1, plus signature SMB et LDAP.
- 02Durcir TLS et Schannel sous WindowsDésactiver SSL, TLS 1.0/1.1 et les chiffrements faibles dans Schannel, définir l'ordre des suites par GPO et forcer .NET à une crypto forte après mesure de l'usage.
- 03Durcir le Bureau à distance (RDP) sous WindowsSécuriser le Bureau à distance : NLA, couche de sécurité TLS, certificats PKI, utilisateurs restreints, pare-feu ciblé, limites de session et journaux adaptés.
- 04Durcir le spouleur d'impression et Point and PrintFermer les risques de type PrintNightmare : désactiver le spouleur inutile, réserver l'installation des pilotes aux admins, Package Point and Print et serveurs approuvés.
Domaine 07 · 4 guides
Pare-feu Windows
Entrant refusé par défaut, ports d'administration limités aux réseaux de gestion, pas de SMB entre postes.
- 01Durcir le pare-feu Windows contre le mouvement latéralFaites du Pare-feu Windows Defender un contrôle anti-mouvement latéral : profils imposés par GPO, règles locales ignorées, RDP/WinRM/SMB restreints, journalisation utile.
- 02Journalisation et surveillance efficaces du pare-feu WindowsFaites du pare-feu Windows une source de détection : pfirewall.log, événements WFP 5156/5157, événements de modification 4946-4950 et transfert centralisé.
- 03Gérer le pare-feu Windows à grande échelle (GPO, Intune)Pilotez le pare-feu Windows sur tout un parc : fusion des règles GPO et Intune, priorité du blocage, désactivation de la fusion locale et contrôle du magasin actif.
- 04Isolation de domaine et de serveurs avec IPsecAvec les règles de sécurité de connexion IPsec, seuls les ordinateurs du domaine authentifiés joignent vos serveurs : isolation, cryptographie, déploiement sûr.
Domaine 08 · 4 guides
BitLocker & sécurité du démarrage
Chiffrer chaque volume, séquestrer les clés de récupération et protéger la chaîne de démarrage avec le TPM et Secure Boot.
- 01Durcir BitLocker : XTS-AES 256, TPM+PIN, dépôt des clésConfigurez BitLocker contre les menaces réelles : chiffrement, TPM seul ou TPM+PIN, dépôt des clés dans AD ou Entra ID, Secure Boot, protection DMA et contrôle du parc.
- 02Clés de récupération BitLocker : dépôt, rotation, auditGérez les clés de récupération BitLocker : dépôt dans AD DS ou Entra ID, preuve de couverture, accès restreint, audit de chaque lecture et rotation après usage.
- 03Secure Boot, UEFI et les atténuations BlackLotusDurcissez la chaîne de démarrage Windows : vérifiez Secure Boot, appliquez les révocations BlackLotus CVE-2023-24932, adoptez les certificats 2023 et verrouillez l'UEFI.
- 04VBS, intégrité de la mémoire (HVCI) et Kernel DMA ProtectionActivez la sécurité basée sur la virtualisation, l'intégrité de la mémoire (HVCI) et Kernel DMA Protection : prérequis, GPO et Intune, tests des pilotes, vérification.
Domaine 09 · 4 guides
Sécurité de PowerShell
Journaliser ce qu'exécute PowerShell, supprimer la v2 et contraindre le langage là où il n'est pas utile.
- 01Sécurité PowerShell : journalisation, v2, CLM et JEARendez PowerShell transparent et borné : journalisation des blocs de script, des modules et transcription, retrait de PowerShell 2.0, CLM imposé par App Control, JEA.
- 02Just Enough Administration (JEA) pas à pasDes points de terminaison JEA qui donnent aux opérateurs exactement les commandes utiles : capacités de rôle, configurations de session, comptes virtuels, gMSA, audit.
- 03Détecter le PowerShell malveillant avec les blocs de scriptTransformez les journaux PowerShell en détections : blocs 4104 reconstitués, événements AMSI et moteur, obfuscation, PowerShell non géré, bruit d'administration filtré.
- 04Durcir WinRM et la communication à distance PowerShellVerrouillez WinRM : inventaire des écouteurs, Kerberos imposé, Basic, Digest et CredSSP bloqués, écouteurs HTTPS, TrustedHosts vide et pare-feu restreint.
Domaine 10 · 4 guides
Audit & journalisation
Stratégie d'audit avancée, capture des lignes de commande, Sysmon et transfert de journaux qui survivent à un incident.
- 01Audit Windows et Sysmon : un socle de journalisationConfigurez les sous-catégories d'audit avancé, la capture des lignes de commande, la taille des journaux, Sysmon et WEF pour savoir qui, quoi, où et quand.
- 02Déployer et ajuster Sysmon à grande échelleChoisissez une configuration Sysmon, réduisez le bruit sans créer d'angles morts, déployez les mises à jour sur des milliers d'hôtes et surveillez Sysmon lui-même.
- 03Windows Event Forwarding à grande échelleUn Windows Event Forwarding qui tient la charge : collecteurs, abonnements initiés par la source, requêtes XPath, livraison, accès au journal Sécurité et supervision.
- 04Les ID d'événements de sécurité Windows qui comptentRéférence pratique des ID d'événements Windows à collecter et surveiller : ouvertures de session, codes d'échec, Kerberos, comptes, persistance et altérations.
Domaine 11 · 4 guides
Correctifs & mises à jour
Déploiement par anneaux avec échéances imposées, plus les pilotes, micrologiciels et applications hors Windows Update.
- 01Correctifs Windows : anneaux, échéances, KEV d'abordUn processus de correctifs Windows qui aboutit chaque mois : anneaux avec échéances, WSUS ou Update for Business, hotpatch, priorité au KEV et angles morts hors Windows.
- 02Stratégies Windows Update : reports, échéances, redémarragesConfigurez les stratégies du client Windows Update par GPO et Intune : reports qualité et fonctionnalités, échéances, périodes de grâce, redémarrages et vérification.
- 03Corriger les applications tierces sous Windows avec wingetInventoriez, priorisez et corrigez les applications tierces : navigateurs et runtimes d'abord, winget en SYSTEM, stratégie App Installer, retrait de l'incorrigible.
- 04Hotpatch et mise à jour des clusters sous Windows ServerCorrigez Windows Server avec moins d'interruptions : hotpatch sur Server 2025 via Azure Arc ou Azure Edition, mois de référence, prérequis et mise à jour des clusters.
Domaine 12 · 4 guides
Référentiels de sécurité
Partir des référentiels Microsoft et CIS, mesurer la dérive, documenter chaque écart.
- 01Référentiels de sécurité Windows : SCT, CIS et STIGComparez SCT Microsoft, CIS Benchmarks et STIG DISA, appliquez-en un avec Policy Analyzer et LGPO, ajoutez vos paramètres et suivez chaque écart.
- 02Policy Analyzer et LGPO : comparer, tester, appliquerUtilisez Policy Analyzer pour comparer GPO, référentiels et stratégie effective, et LGPO.exe pour tester, appliquer et exporter la stratégie locale hors domaine.
- 03Référentiels Intune, catalogue de paramètres et conflits GPODéployez les référentiels de sécurité Intune sans conflits : versions, catalogue de paramètres, recouvrements, MDMWinsOverGP et contrôles sur l'appareil.
- 04Dérive de configuration : OSConfig, DSC et rapportsDétectez et corrigez la dérive de configuration Windows : OSConfig sur Server 2025, DSC en autocorrection, retraitement des GPO, événements de modification et rapports.