Une petite équipe peut-elle vraiment terminer ce plan en 90 jours ?

La plupart des équipes peuvent terminer les 30 premiers jours et l'essentiel de la deuxième phase, car ces éléments sont des changements de stratégie plutôt que des projets. Le contrôle des applications, la mise à jour des certificats Secure Boot et l'isolation IPsec prennent souvent plus de temps. Ce n'est pas un problème : lancez-les en mode audit pendant la période, respectez l'ordre et mesurez les progrès au lieu de courir après une date.

Faut-il appliquer un référentiel CIS ou Microsoft complet plutôt que suivre ce plan ?

Utilisez un référentiel comme cible et ce plan comme ordre de travail. Appliquer des centaines de paramètres d'un coup casse des choses et rend le retour arrière difficile. Mesurez d'abord l'écart avec le référentiel, puis comblez les écarts les plus importants, dans l'ordre ci-dessous, par vagues avec un groupe pilote. Mesurez à nouveau à la fin de chaque phase.

Cette liste de contrôle s'applique-t-elle aux serveurs comme aux postes de travail ?

Oui, avec des ajustements. La plupart des éléments s'appliquent aux deux, mais certains concernent d'abord les postes de travail (macros Office, Edge, accès contrôlé aux dossiers) et d'autres d'abord les serveurs (hotpatch, Just Enough Administration, désactivation du spouleur d'impression sur les contrôleurs de domaine). Traitez les contrôleurs de domaine et les autres systèmes Tier 0 comme un groupe à part et durcissez-les en premier.

Durcissement Windows : plan d'action sur 30/60/90 jours

Windows est livré avec des centaines de paramètres de sécurité, et chaque référentiel, benchmark ou rapport d'audit en ajoute d'autres. Le plus difficile dans le durcissement n'est pas de trouver quoi modifier. C'est de décider quoi modifier en premier, sans casser l'activité, et de prouver que chaque modification a bien été appliquée.

Cette liste de contrôle organise tous les guides de ce site en une séquence de 90 jours. L'ordre suit le déroulement des intrusions réelles : un attaquant fait exécuter du code sur un poste de travail, vole des identifiants, se déplace latéralement, puis désactive les outils de sécurité et s'installe durablement. Les 30 premiers jours suppriment les ouvertures les moins coûteuses à fermer et les plus couramment exploitées. Les jours 31 à 60 brisent la chaîne vol d'identifiants et mouvement latéral. Les jours 61 à 90 ajoutent les contrôles structurels, comme le contrôle des applications et la sécurité du démarrage, plus longs à déployer mais qui rendent l'ensemble du parc bien plus difficile à prendre. Ensuite, le travail devient un cycle de correctifs, de détection et de mesure.

Chaque élément est une tâche à cocher, avec une brève justification et un lien vers le guide qui explique comment la réaliser.

Avant de commencer

On ne peut pas prioriser ce qu'on n'a pas compté, ni montrer des progrès sans point de départ. Consacrez les premiers jours à l'inventaire et à la mesure.

Inventorier les appareils et les rôles. Exportez la liste de tous les appareils Windows avec la version du système d'exploitation, la build, l'édition, le type de jonction (domaine, hybride, Entra) et l'outil de gestion (stratégie de groupe, Intune, Configuration Manager). Étiquetez à part les contrôleurs de domaine, les serveurs exposés à Internet, les postes d'administration et les bornes ou appareils partagés.
Inventorier les comptes privilégiés. Listez les membres de Domain Admins, Enterprise Admins, des groupes Administrators locaux et tout compte utilisé par un outil de gestion.
Choisir des groupes pilotes. Pour chaque modification ci-dessous, utilisez d'abord un petit anneau pilote d'appareils informatiques, puis un anneau plus large d'utilisateurs précoces, puis tout le monde.

Mesurez ensuite votre situation :

Mesurer votre configuration actuelle par rapport à un référentiel reconnu — sans liste d'écarts, vous débattrez d'opinions au lieu de faits, Référentiels de sécurité : CIS et Microsoft
Exporter les GPO existantes et les comparer au référentiel — révèle les paramètres contradictoires et oubliés avant d'en ajouter de nouveaux, Policy Analyzer et LGPO
Décider quels événements de sécurité serviront d'indicateurs de réussite — échecs d'ouverture de session, usage de NTLM et nouveaux services donnent des chiffres à présenter, Les ID d'événements de sécurité Windows qui comptent

Consignez les résultats dans un simple tableur : paramètre, état actuel, état cible, responsable, phase. Vous referez la même mesure aux jours 30, 60 et 90.

Jours 0 à 30 : les gains rapides

L'objectif du premier mois est de supprimer les ouvertures que les attaquants exploitent à grande échelle et qui coûtent peu à fermer. La plupart des éléments sont de simples changements de stratégie à faible risque de compatibilité. Lorsqu'un changement comporte un risque, commencez en mode audit et passez en application avant le jour 30.

Correctifs et exposition

Placer chaque appareil dans un anneau de mise à jour avec reports et échéances — les vulnérabilités non corrigées restent l'une des principales portes d'entrée, Correctifs Windows et anneaux de mise à jour
Corriger les navigateurs, lecteurs PDF, environnements d'exécution et outils d'accès à distance — les logiciels tiers sont exploités aussi souvent que Windows lui-même, Corriger les applications tierces
Activer le Pare-feu Windows sur tous les profils et bloquer l'entrant par défaut — un pare-feu d'hôte arrête les vers et limite le mouvement latéral, Durcissement du Pare-feu Windows
Exiger l'authentification au niveau du réseau (NLA) pour le RDP et le retirer d'Internet — le RDP exposé est l'un des points d'entrée les plus fréquents des rançongiciels, Durcir le Bureau à distance
Désactiver le spouleur d'impression sur les contrôleurs de domaine et les serveurs qui n'impriment pas — supprime les failles de type PrintNightmare et les chemins de coercition, Durcissement du spouleur d'impression et de Point and Print

Admin local et identifiants

Déployer Windows LAPS sur chaque poste de travail et serveur membre — un mot de passe Administrateur local partagé transforme une compromission en compromission de toutes les machines, Déployer Windows LAPS
Confirmer que WDigest est désactivé et réduire les ouvertures de session en cache — supprime les mots de passe en clair en mémoire et limite les identifiants de domaine en cache, Identifiants en cache, WDigest et exposition des secrets
Désactiver LLMNR et NetBIOS sur TCP/IP — ces mécanismes de résolution de noms de secours livrent des empreintes de mots de passe à n'importe qui sur le réseau, Désactiver LLMNR et NetBIOS, imposer la signature SMB et restreindre NTLM

Defender et attaques par e-mail

Activer la protection en temps réel, la protection cloud et la surveillance comportementale avec la protection anti-falsification — Defender n'est utile que s'il ne peut pas être désactivé, Durcissement de Microsoft Defender Antivirus
Examiner chaque exclusion Defender et masquer les exclusions aux admins locaux — les exclusions larges sont l'endroit où les attaquants déposent leurs outils, Auditer et réduire les exclusions Defender
Activer les règles de réduction de la surface d'attaque en audit, puis passer en blocage les règles de protection standard — bloque les abus d'Office, des scripts et de LSASS en cassant peu de choses, Règles de réduction de la surface d'attaque
Bloquer les macros dans les fichiers provenant d'Internet et désactiver les macros XLM — les documents malveillants restent l'un des principaux vecteurs d'accès initial, Durcir Microsoft Office
Imposer SmartScreen et empêcher son contournement dans Microsoft Edge — bloque l'hameçonnage connu et les téléchargements malveillants avant leur exécution, Durcir Microsoft Edge par stratégie

Visibilité et données au repos

Appliquer une stratégie d'audit avancée et installer Sysmon avec une configuration de départ — on ne peut pas enquêter sur ce qu'on n'a pas journalisé, Stratégie d'audit et configuration de base de Sysmon
Activer la journalisation des blocs de script et des modules PowerShell — PowerShell intervient dans la plupart des intrusions menées par un attaquant aux commandes, Journalisation PowerShell et mode de langage contraint
Chiffrer chaque portable avec BitLocker et utiliser un PIN de pré-démarrage sur les appareils à haut risque — protège les données et les identifiants sur les appareils perdus, BitLocker avec TPM et PIN
Séquestrer les clés de récupération BitLocker et auditer qui les consulte — un appareil irrécupérable est une panne, et les clés de récupération sont aussi un secret, Séquestre et audit des clés de récupération BitLocker

Au jour 30, relancez la comparaison avec le référentiel et vérifiez que les taux de conformité LAPS, Defender, ASR et BitLocker approchent 100 % sur les appareils concernés.

Jours 31 à 60 : fermer les chemins d'identifiants et de mouvement latéral

Une fois les portes évidentes fermées, le deuxième mois vise ce que font les attaquants après leur premier point d'appui : voler des identifiants, les réutiliser et rejoindre des machines plus précieuses. Ces changements demandent davantage de tests, car ils modifient la façon de travailler des administrateurs.

Protéger les identifiants sur le poste

Activer Credential Guard et la protection LSA — isole les empreintes NTLM et les secrets Kerberos des outils d'extraction de LSASS, Credential Guard et protection LSA
Utiliser Remote Credential Guard ou Restricted Admin pour le RDP d'administration — évite de laisser des identifiants d'administration sur les serveurs auxquels vous vous connectez, RDP sans exposer d'identifiants
Déployer Windows Hello for Business, en commençant par les équipes informatiques — une ouverture de session résistante à l'hameçonnage supprime le mot de passe réutilisable, Windows Hello for Business

Réduire les privilèges

Séparer les tiers d'administration et ajouter les utilisateurs privilégiés à Protected Users — maintient les identifiants d'administrateur du domaine hors des postes de travail, Modèle en tiers et Protected Users
Retirer les droits d'admin local aux utilisateurs standard, avec une procédure d'accès d'urgence — la plupart des malwares et de nombreux exploits ont besoin de droits d'administration pour faire de vrais dégâts, Retirer les droits d'admin local aux utilisateurs
Maintenir l'UAC à ses valeurs sécurisées et bloquer l'usage à distance des jetons d'admin local — empêche l'élévation silencieuse et le pass-the-hash avec des comptes locaux, Durcissement de l'UAC et Administrator protection

Durcir les protocoles qu'utilisent les attaquants pour se déplacer

Exiger la signature SMB et commencer à restreindre NTLM, en commençant par NTLMv1 — casse le relais NTLM, l'un des chemins les plus rapides vers l'administrateur du domaine, Désactiver LLMNR et NetBIOS, imposer la signature SMB et restreindre NTLM
Configurer WinRM en Kerberos et HTTPS uniquement, et limiter qui peut se connecter — laissée ouverte, l'administration à distance devient du mouvement latéral, Durcir WinRM
Désactiver TLS 1.0 et 1.1, SSL et les suites de chiffrement faibles — les anciens protocoles affaiblissent chaque service qui les négocie, Durcissement de TLS et Schannel
Gérer les règles de pare-feu de manière centralisée et désactiver la fusion des règles locales — empêche utilisateurs et malwares d'ajouter leurs propres exceptions entrantes, Gérer le Pare-feu Windows à grande échelle

Centraliser les preuves

Ajuster votre configuration Sysmon pour réduire le bruit — le volume brut masque les rares événements qui comptent, Déployer et ajuster Sysmon
Transférer les journaux de sécurité, PowerShell et Sysmon vers un collecteur — les journaux locaux disparaissent quand les attaquants les effacent, Windows Event Forwarding à grande échelle
Activer la journalisation du pare-feu et transférer les événements de connexions bloquées — révèle les balayages et les tentatives de mouvement latéral, Journalisation et surveillance du Pare-feu Windows
Construire des détections de PowerShell suspect à partir des journaux de blocs de script — repère tôt les commandes encodées et les contournements d'AMSI, Détecter le PowerShell malveillant

Au jour 60, mesurez l'usage de NTLM, l'appartenance aux groupes d'admin local et le nombre d'ouvertures de session d'administration sur les postes de travail. Ces chiffres doivent baisser.

Jours 61 à 90 : durcissement structurel

Le troisième mois introduit les contrôles qui déterminent ce qui peut s'exécuter et ce qui est digne de confiance sur un appareil. Ils offrent la protection la plus forte mais exigent des périodes d'audit soigneuses : lancez-les dès maintenant, même si l'application se termine plus tard.

Contrôler ce qui s'exécute

Définir une stratégie de contrôle des applications et démarrer App Control en mode audit — la liste d'autorisation arrête les malwares inconnus, indépendamment des signatures, App Control for Business et AppLocker
Utiliser un installeur géré et des stratégies supplémentaires pour garder App Control maintenable — réduit le renouvellement permanent des règles qui fait échouer les listes d'autorisation, App Control : installeur géré et Intelligent Security Graph
Là où App Control n'est pas envisageable, déployer AppLocker pour les scripts et les installeurs — bloque les chemins accessibles en écriture par l'utilisateur, point de lancement fréquent des malwares, Déploiement d'AppLocker
Confirmer que la liste de blocage des pilotes vulnérables est appliquée — empêche les attaquants de charger des pilotes signés mais exploitables pour neutraliser les outils de sécurité, Liste de blocage des pilotes vulnérables de Microsoft
Appliquer les atténuations exploit protection aux applications à haut risque — rend les bogues de corruption mémoire plus difficiles à exploiter, Exploit protection

Protéger la plateforme

Activer la sécurité basée sur la virtualisation et l'intégrité de la mémoire, et vérifier Kernel DMA Protection — protège le noyau contre le code non signé et les attaques DMA, Sécurité basée sur la virtualisation, HVCI et protection DMA du noyau
Vérifier Secure Boot, appliquer les atténuations BlackLotus et planifier la mise à jour des certificats — les bootkits s'exécutent avant toute autre protection, Durcissement de Secure Boot et de l'UEFI
Activer l'accès contrôlé aux dossiers en audit, puis en blocage — limite les dégâts des rançongiciels sur les données des utilisateurs, L'accès contrôlé aux dossiers contre les rançongiciels
Configurer l'EDR en mode blocage et examiner les appareils où Defender fonctionne en mode passif — rattrape ce qu'un autre antivirus laisse passer, EDR en mode blocage et mode passif

Restreindre l'administration

Remplacer l'accès administrateur de routine par des points de terminaison Just Enough Administration — les utilisateurs exécutent des tâches précises sans détenir de droits d'administration, Just Enough Administration pas à pas
Exiger l'authentification IPsec pour atteindre les serveurs sensibles — seuls les membres du domaine, et seulement les bons, peuvent se connecter, Isolation de domaine et de serveurs avec IPsec
Passer les appareils gérés dans le cloud aux référentiels de sécurité Intune et résoudre les conflits avec les GPO — une seule source de vérité claire par paramètre, Référentiels de sécurité Intune et catalogue de paramètres

Au jour 90, relancez la comparaison complète avec le référentiel et comparez-la à votre mesure de départ. L'écart, présenté par domaine, constitue le rapport pour la direction.

En continu : corriger, détecter, mesurer à nouveau

Le durcissement se dégrade. De nouveaux appareils arrivent avec les valeurs par défaut, les exceptions s'accumulent et les paramètres dérivent après chaque dépannage. Intégrez ces tâches aux opérations courantes :

Revoir chaque trimestre les stratégies de mise à jour, les échéances et le comportement de redémarrage — la conformité se relâche quand les échéances sont souples, Stratégies Windows Update for Business
Utiliser le hotpatch et la mise à jour adaptée aux clusters pour les serveurs qui ne peuvent pas redémarrer souvent — permet aux serveurs critiques d'être corrigés à temps, Hotpatch et correctifs de Windows Server
Détecter et corriger automatiquement la dérive de configuration — les paramètres non imposés ne restent pas en place, Détecter et corriger la dérive de configuration
Relancer la comparaison avec le référentiel après chaque version majeure de Windows — les nouvelles versions ajoutent des paramètres et modifient les valeurs par défaut, Référentiels de sécurité : CIS et Microsoft
Examiner chaque mois les tendances des principaux événements de sécurité — une hausse de l'usage de NTLM ou des échecs d'ouverture de session montre où les contrôles se relâchent, Les ID d'événements de sécurité Windows qui comptent

Examinez les exclusions (Defender, ASR, App Control, pare-feu) au même rythme. Chaque exception doit avoir un responsable et une date d'expiration.

Comment utiliser cette liste de contrôle

Considérez les phases comme un ordre de priorité, pas comme un calendrier strict. Si LAPS et BitLocker sont déjà partout, passez directement à la suite ; si votre parc est ancien, la première phase peut prendre plus de temps. Ce qui compte, c'est que les contrôles peu coûteux et à fort impact passent avant les plus coûteux, et que la protection des identifiants passe avant le travail structurel complexe.

Pour chaque élément, suivez le même schéma : lire le guide lié, tester sur un groupe pilote, activer le mode audit lorsqu'il existe, examiner les résultats, puis appliquer et vérifier. Consignez la vérification, qu'il s'agisse d'un ID d'événement, d'un rapport de conformité ou d'une requête PowerShell, à côté de l'élément pour pouvoir la refaire plus tard.

Enfin, partagez la mesure avec les personnes qui approuvent le travail. Un tableau montrant le score par rapport au référentiel et les chiffres clés aux jours 0, 30, 60 et 90 est plus convaincant que n'importe quelle liste de paramètres.