Glossaire

Définitions claires des fonctions de sécurité Windows et des techniques d'attaque citées dans les guides.

A

Accès contrôlé aux dossiers: Fonctionnalité de Microsoft Defender Antivirus qui empêche les applications non approuvées de modifier les fichiers des dossiers protégés, limitant les dégâts d'un ransomware.
AMSI (Antimalware Scan Interface): Interface Windows qui permet aux moteurs de script et aux applications de soumettre un contenu à l'antimalware installé pour analyse avant son exécution.
App Control for Business (WDAC): La liste d'autorisation d'applications de Windows appliquée par le noyau, anciennement Windows Defender Application Control : seuls les pilotes et le code autorisés par la stratégie s'exécutent.
AppLocker: Fonctionnalité de contrôle des applications de Windows qui autorise ou refuse exécutables, scripts, programmes d'installation, DLL et applications empaquetées par utilisateur ou par groupe.

Credential Guard: Fonctionnalité Windows qui isole de LSASS les hachages NTLM et les secrets Kerberos grâce à la VBS, mettant en échec la plupart des extractions d'identifiants.

Démarrage sécurisé (Secure Boot): Fonctionnalité UEFI qui ne laisse le firmware charger que des composants de démarrage signés par des clés de confiance, protégeant la chaîne de démarrage de Windows contre les bootkits.

Empoisonnement LLMNR et NBT-NS: Attaque dans laquelle un hôte du réseau local répond aux résolutions de noms diffusées pour capturer l'authentification NetNTLM des clients Windows.

Groupe Protected Users: Groupe Active Directory intégré dont les membres reçoivent des protections non configurables : pas de NTLM, pas de délégation, pas d'identifiants en cache et des TGT Kerberos de courte durée.

Intégrité de la mémoire (HVCI): Intégrité du code protégée par l'hyperviseur : une fonctionnalité VBS qui valide le code en mode noyau dans un environnement isolé afin que les pilotes non signés ne puissent pas s'exécuter.

Just Enough Administration (JEA): Fonctionnalité de communication à distance PowerShell qui n'accorde aux utilisateurs que des commandes d'administration précises sur un serveur, via des comptes virtuels temporaires.

Liste de blocage des pilotes vulnérables: Liste maintenue par Microsoft de pilotes noyau signés mais exploitables que Windows refuse de charger, bloquant les attaques de type bring-your-own-vulnerable-driver.

Microsoft Defender SmartScreen: Service de réputation de Windows et de Microsoft Edge qui avertit ou bloque face aux sites d'hameçonnage, aux téléchargements malveillants et aux applications inconnues.
Mode de langage restreint (Constrained Language Mode): Mode de langage PowerShell qui bloque l'accès arbitraire à .NET, COM et aux API Win32, appliqué automatiquement par les stratégies de script d'App Control ou d'AppLocker.
Modèle en tiers d'Active Directory: Modèle d'administration qui sépare Tier 0 (identité), Tier 1 (serveurs) et Tier 2 (postes) pour ne jamais exposer d'identifiants privilégiés sur des systèmes moins sûrs.
Module de plateforme sécurisée (TPM): Puce de sécurité matérielle qui génère et protège des clés, enregistre les mesures de démarrage et sert d'ancrage à BitLocker, Windows Hello et l'attestation.

Point and Print: Fonctionnalité d'impression Windows qui permet aux utilisateurs de se connecter à une imprimante partagée et de télécharger automatiquement son pilote depuis le serveur d'impression.
Protection contre les exploits (Exploit protection): Atténuations mémoire et processus intégrées à Windows, comme DEP, ASLR et CFG, appliquées à l'échelle du système ou par application et gérées par stratégie.
Protection contre les falsifications (Tamper protection): Paramètre de Microsoft Defender qui empêche la modification locale des réglages antivirus essentiels, même par les administrateurs, pour que les attaquants ne puissent pas simplement le désactiver.
Protection DMA du noyau (Kernel DMA Protection): Fonctionnalité Windows qui s'appuie sur l'IOMMU pour empêcher les périphériques Thunderbolt et PCIe externes d'accéder directement à la mémoire tant qu'ils ne sont pas approuvés.
Protection LSA (RunAsPPL): Exécute LSASS en tant que processus protégé léger afin que même les administrateurs ne puissent ni lire sa mémoire ni y injecter du code non signé.

Règles de réduction de la surface d'attaque (ASR): Règles comportementales de Microsoft Defender Antivirus qui bloquent des techniques de malware courantes, comme Office lançant des processus ou la lecture de LSASS, indépendamment des signatures.
Relais NTLM: Attaque qui transfère en temps réel l'authentification NTLM d'une victime vers un autre serveur, pour s'authentifier à sa place sans connaître son mot de passe.
Remote Credential Guard: Mode RDP qui renvoie les requêtes Kerberos vers le client, de sorte que les identifiants de l'utilisateur ne sont jamais envoyés ni stockés sur l'hôte distant.

Signature SMB: Signature cryptographique des paquets SMB qui empêche leur altération et bloque le relais NTLM vers les serveurs SMB.
Sysmon: System Monitor de Sysinternals : un pilote et un service gratuits qui journalisent en détail processus, réseau, fichiers, registre et DNS dans l'Observateur d'événements.

Transfert d'événements Windows (WEF): Fonctionnalité intégrée à Windows qui envoie des entrées choisies des journaux d'événements de nombreux ordinateurs vers un collecteur central via WinRM, sans agent.

WDigest: Ancien package d'authentification Windows qui, lorsqu'il est activé, conserve les mots de passe en clair dans la mémoire de LSASS, à la portée des outils d'extraction d'identifiants.
Windows Hello for Business: Méthode de connexion sans mot de passe qui remplace le mot de passe par une clé liée à l'appareil et protégée par le TPM, déverrouillée par un code PIN ou un geste biométrique.
Windows LAPS: Windows Local Administrator Password Solution : fonctionnalité intégrée qui attribue à chaque appareil un mot de passe d'administrateur local unique et renouvelé, stocké dans AD ou Entra ID.