Dossier d'Audit de Sécurité & Conformité
Référentiel ANSSI • Cible : PC-COMPTA-07 (10.10.2.47) (Windows 11 Pro)
Périmètre : PC-COMPTA-07 (10.10.2.47) (Windows 11 Pro)
Score Global : 61%
Évalués : 145 points
Attestation d'évaluation et d'approbation technique :
Le présent rapport consigne l'examen automatisé de la posture de sécurité de l'infrastructure audite. L'analyse des configurations atteste d'un niveau de conformité de 61% par rapport aux recommandations de l'ANSSI. Les mécanismes de protection et d'authentification relevés permettent d'approuver officiellement le système audité au regard de la gestion des risques.
Gestion des authentifiants
| Configurer la stratégie pour exiger la mémorisation d'au moins 24 mots de passe uniques avant de pouvoir réutiliser un ancien mot de passe. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27)
État relevé : Valeur attendue : >=24
Risques & Impact : ANSSI (R27) recommande, lors du contrôle de robustesse d'un mot de passe, d'interdire la réutilisation d'un mot de passe parmi les derniers utilisés. ANSSI ne fixe pas de valeur précise : 24 est la valeur usuelle des référentiels Microsoft/CIS mettant en œuvre ce principe.
Plan de Remédiation : Aller dans Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies de comptes > Stratégie de mot de passe, puis définir 'Enregistrer l'historique des mots de passe' à 24 ou plus.
| Pour les comptes à privilèges (majoritaires sur les machines auditées par cet outil), imposer un renouvellement du mot de passe entre 1 et 3 ans (365 à 1095 jours) ; ne jamais laisser la valeur à 0 (expiration désactivée). |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R24/R25)
État relevé : Valeur attendue : 1-1095
Risques & Impact : ANSSI a fait évoluer sa position : R24 recommande de ne plus imposer par défaut d'expiration sur les comptes standards (une expiration trop fréquente pousse à des mots de passe itérés et donc plus faibles), mais R25 recommande d'imposer une expiration comprise entre 1 et 3 ans pour les comptes à privilèges (administrateurs). Ce contrôle porte sur la politique de mot de passe par défaut de la machine ; sur les postes et serveurs d'administration visés par cet audit, la posture R25 est retenue.
Plan de Remédiation : Configurer 'Âge maximal du mot de passe' entre 365 et 1095 jours (jamais 0) via l'éditeur de stratégie de groupe locale ; pour les comptes utilisateurs standards sans privilèges, évaluer si une expiration est réellement nécessaire (R24).
| Configurer l'âge minimal du mot de passe à 1 jour ou plus pour empêcher les modifications en chaîne. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27)
État relevé : Valeur attendue : >=1
Risques & Impact : Sans âge minimal, un utilisateur peut modifier son mot de passe plusieurs fois de suite à la volée pour épuiser l'historique (cf. R27, contrôle de robustesse à la création/au renouvellement) et revenir à son mot de passe d'origine, contournant ainsi la protection de la règle d'historique.
Plan de Remédiation : Définir 'Âge minimal du mot de passe' à 1 jour minimum dans les stratégies de compte.
| Exiger une longueur minimale de 15 caractères ou plus pour tous les mots de passe locaux. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R21, Table 3)
État relevé : Valeur attendue : >=15
Risques & Impact : La table 3 de R21 fixe la longueur minimale recommandée selon le niveau de sensibilité visé : 9-11 caractères (faible à moyen), 12-14 (moyen à fort), au moins 15 (fort à très fort). Les machines et comptes concernés par cet audit relevant d'un niveau de sensibilité élevé, le seuil de 15 caractères est retenu.
Plan de Remédiation : Définir 'Longueur minimale du mot de passe' à 15 caractères ou plus dans les stratégies de mot de passe.
| Activer l'exigence de complexité pour obliger l'utilisation de majuscules, minuscules, chiffres et caractères spéciaux. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R23)
État relevé : Conforme
| Activer cette clé de registre pour lever la restriction historique limitant l'application de mots de passe longs au-delà de 14 caractères. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R22)
État relevé : Conforme
| Désactiver impérativement le stockage des mots de passe à l'aide d'un chiffrement réversible. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R13)
État relevé : Conforme
| Définir la durée de verrouillage du compte à 15 minutes ou plus. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Valeur attendue : >=15
Risques & Impact : R10 recommande de limiter dans le temps le nombre de tentatives d'authentification, via un blocage temporaire après un certain nombre d'essais infructueux. ANSSI ne fixe pas de durée précise ; 15 minutes est la valeur usuelle des référentiels Microsoft/CIS mettant en œuvre ce principe.
Plan de Remédiation : Aller dans Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies de comptes > Stratégie de verrouillage du compte, et définir 'Durée de verrouillage du compte' sur 15 minutes ou plus.
| Définir le seuil de verrouillage du compte entre 1 et 10 tentatives de connexion invalides (jamais 0, qui désactive le verrouillage). |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Valeur attendue : 1-10
Risques & Impact : R10 impose de limiter le nombre de tentatives d'authentification sur une période donnée pour réduire la probabilité de succès d'une attaque en ligne par force brute, tout en évitant un seuil de 0 qui désactiverait toute protection.
Plan de Remédiation : Dans la Stratégie de verrouillage du compte, définir 'Seuil de verrouillage du compte' entre 1 et 10 tentatives de connexion non valides.
| Assujettir le compte Administrateur local intégré aux règles de verrouillage. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 (R10/R25) - Recommandations relatives à l'authentification multifacteur et aux mots de passe
État relevé : Valeur attendue : 1
Risques & Impact : Le compte Administrateur natif est une cible prioritaire (identifiant universellement connu) ; l'assujettir à la limitation des tentatives d'authentification (R10) est d'autant plus important qu'il s'agit d'un compte à privilèges (R25).
Plan de Remédiation : Créer ou modifier la valeur DWORD 'AllowAdministratorLockout' à 1 dans le registre, ou activer l'option 'Autoriser le verrouillage du compte administrateur' via les stratégies locales.
| Réinitialiser le compteur de verrouillage du compte après 15 minutes ou plus. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Conforme
| S'assurer que le compte Invité local est désactivé. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 8 - Identifier nommément chaque personne accédant au système)
État relevé : Conforme
| Configurer le niveau d'authentification LAN Manager sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R72)
État relevé : Valeur attendue : 5
Risques & Impact : R72 (durcir la configuration de NTLM sur les systèmes) exige explicitement que le protocole NTLM ne soit utilisé que dans sa version NTLMv2 avec un chiffrement à 128 bits, et interdit les anciennes versions LM/NTLMv1 vulnérables au cassage et à l'interception.
Plan de Remédiation : Définir 'Sécurité réseau : niveau d'authentification LAN Manager' sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'.
Contrôle d'accès et cloisonnement
| Activer le contrôle de compte d'utilisateur (UAC). |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : R18 recommande d'appliquer les security baselines Microsoft (ou plus restrictives) sur les systèmes sensibles. L'UAC, activé par défaut dans ces baselines, isole les privilèges administrateur et exige une validation explicite pour toute action sensible.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\User Account Control: Run all administrators in Admin Approval Mode.
| Activer le mode d'approbation administrateur pour le compte Administrateur intégré. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Configurer le comportement de l'invite d'élévation pour les administrateurs sur 'Demander le consentement sur le bureau sécurisé'. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Configurer le comportement de l'invite d'élévation pour les utilisateurs standard sur 'Refuser automatiquement les demandes d'élévation'. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Activer la détection des installations d'applications pour exiger une élévation de privilèges. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Désactiver le filtrage du jeton de compte local pour les accès distants. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 0
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche des outils d'administration ou des attaquants d'exploiter des sessions SMB distantes avec les privilèges administratifs complets sans invite UAC.
Plan de Remédiation : Définir 'LocalAccountTokenFilterPolicy' à 0 dans le registre.
| Obliger l'utilisateur à appuyer sur Ctrl+Alt+Suppr. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 0
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : exiger la combinaison sécurisée protège contre les faux écrans de connexion malveillants capturant les mots de passe.
Plan de Remédiation : Désactiver le paramètre sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Do not require CTRL+ALT+DEL.
| Masquer le nom de la dernière personne connectée. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Définir un délai d'inactivité maximal de 900 secondes (15 minutes) ou moins. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : <=900
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) ; répond également au principe général de verrouillage systématique de la session en cas d'absence de l'utilisateur (Guide d'hygiène informatique, mesure 2).
Plan de Remédiation : Configurer l'inactivité à 900 secondes maximum sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Machine inactivity limit.
| Limiter à 2 ou moins le nombre de profils en cache local. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (durcissement usuel des identifiants en cache)
État relevé : Conforme
| Définir le comportement au retrait de la carte à puce sur verrouillage. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Pertinent lorsqu'une authentification forte par carte à puce est déployée (PG-078 R2/R39) : garantit que la machine se verrouille immédiatement si l'utilisateur retire sa carte.
Plan de Remédiation : Configurer sur 'Verrouiller' sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Smart card removal behavior.
| S'assurer qu'un message d'avertissement personnalisé est configuré pour s'afficher avant la connexion. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| S'assurer qu'un titre de fenêtre est défini pour la bannière d'avertissement. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Protection du système et des services
| Exécuter le sous-système LSASS (Local Security Authority Subsystem Service) en tant que processus protégé (PPL). |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Protection des secrets d'authentification en mémoire vive)
État relevé : Valeur attendue : 1
Risques & Impact : Le chapitre 4 de PA-099 détaille en profondeur les risques liés à la conservation et à l'extraction des condensats NTLM et secrets Kerberos en mémoire vive. Protéger LSASS (PPL) empêche l'injection de code et l'extraction de ces secrets par des outils offensifs (type Mimikatz).
Plan de Remédiation : Définir la valeur DWORD 'RunAsPPL' à 1 sous le chemin Control\Lsa.
| S'assurer que la protection contre la falsification (Tamper Protection) de Microsoft Defender est activée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Niveau de sécurité minimal du parc informatique)
État relevé : Conforme
| Activer la journalisation des blocs de scripts PowerShell sur le poste. |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R2, Annexe B.4.1)
État relevé : Conforme
| Le service de synchronisation d'horloge Windows (W32Time) ne doit pas être désactivé. |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R1 - Veiller à la synchronisation des horloges)
État relevé : Valeur attendue : <=3
Risques & Impact : R1 rappelle qu'une cohérence temporelle (écart maximal de quelques minutes par défaut) est indispensable au bon fonctionnement de Kerberos, et que la synchronisation des horloges conditionne la fiabilité de toute corrélation d'évènements entre plusieurs systèmes lors d'une analyse ou d'une réponse à incident.
Plan de Remédiation : Configurer le service 'Windows Time' (W32Time) sur 'Automatique', en environnement AD il se synchronise par défaut sur les contrôleurs de domaine, dont la source de temps racine de la forêt doit elle-même pointer vers des serveurs NTP de référence.
| Interdire l'utilisation de comptes locaux sans mot de passe à travers le réseau. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R20)
État relevé : Conforme
| Désactiver que l'ordinateur ne plante si le journal de sécurité est saturé. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 0
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : conserver cette option active expose la machine à des plantages brutaux (déni de service) si le journal de sécurité est saturé.
Plan de Remédiation : Désactiver le paramètre sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Audit: Shut down system immediately if unable to log security audits.
| Empêcher les utilisateurs standard d'installer eux-mêmes des pilotes d'imprimante. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Exiger le chiffrement ou la signature numérique Netlogon. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : protège le canal Netlogon entre la machine et le contrôleur de domaine contre les interceptions et manipulations (cf. les attaques de type Zerologon sur des canaux Netlogon non sécurisés).
Plan de Remédiation : Activer l'option sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Domain member: Digitally encrypt or sign secure channel data (always).
| Désactiver le service de passerelle audio Bluetooth (BTAGService) s'il n'est pas utilisé. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Valeur attendue : 4
Risques & Impact : La mesure 14 impose de limiter les composants installés/actifs du parc informatique aux seuls nécessaires afin de réduire la surface d'attaque.
Plan de Remédiation : Configurer le type de démarrage du service sur 'Désactivé' via les Services Windows ou l'éditeur de stratégie.
| Désactiver le service de support Bluetooth (bthserv) si la technologie n'est pas exploitée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le gestionnaire de cartes téléchargées (MapsBroker). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de géolocalisation (lfsvc). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le spouleur d'impression (Spooler) sur les postes ou serveurs ne gérant pas d'imprimantes. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver impérativement le service de Registre à distance (Remote Registry). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de découverte SSDP (SSDPSRV). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver l'hôte de périphérique UPnP (upnphost). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver la Gestion à distance Windows (WinRM) si l'administration PowerShell distante n'est pas exploitée. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante)
État relevé : Valeur attendue : 4
Risques & Impact : Le chapitre 5 de PA-099 impose d'encadrer et de restreindre l'usage des clients de connexion distante. Un service WinRM actif et non nécessaire élargit la surface d'attaque et peut permettre des mouvements latéraux en cas de compromission d'identifiants.
Plan de Remédiation : Désactiver le service WinRM sur les postes bureautiques standard, ou le restreindre strictement aux postes d'administration dédiés.
| Désactiver le service de gestion des accessoires Xbox (XboxGipSvc) sur les postes d'entreprise. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service OpenSSH SSH Server s'il n'est pas requis pour l'administration de la machine. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + Recommandations pour un usage sécurisé d'[OPEN]SSH, note technique, août 2016
État relevé : Conforme
| Désactiver le service Bureau à distance (TermService) si la machine est gérée uniquement en physique. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante)
État relevé : Valeur attendue : 4
Risques & Impact : Le chapitre 5 de PA-099 impose d'encadrer et de restreindre les clients de connexion distante. Un service RDP actif sans nécessité expose la machine aux attaques par force brute et aux mouvements latéraux.
Plan de Remédiation : Configurer le type de démarrage du service 'Service Bureau à distance' sur 'Désactivé' s'il n'est pas nécessaire.
| Désactiver le service Serveur (LanmanServer) si le poste n'héberge aucun partage de fichiers ou d'imprimantes. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Valeur attendue : 4
Risques & Impact : La mesure 14 impose de limiter les services actifs aux seuls nécessaires. Ferme les ports SMB d'écoute locaux, éliminant tout risque d'exploitation de vulnérabilités sur le partage de fichiers réseau.
Plan de Remédiation : Configurer le type de démarrage du service 'Serveur' sur 'Désactivé' si aucun partage n'est requis.
| Désactiver le service de rapport d'erreurs Windows (WerSvc). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Sécurité réseau et protocoles
| Sécurité RDP (Bureau à distance) : S'assurer que l'authentification au niveau du réseau (NLA) est obligatoire pour toute connexion distante. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante) + Application des security baselines Microsoft (R18)
État relevé : Conforme
| S'assurer que l'état du pare-feu pour le profil Domaine est configuré sur 'Activé'. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Valeur attendue : 1
Risques & Impact : La mesure 17 impose l'activation du pare-feu local afin de limiter les déplacements latéraux d'un attaquant ayant pris le contrôle d'un poste, les flux de poste à poste étant rares dans un réseau bureautique classique.
Plan de Remédiation : Configurer 'Pare-feu WindowsProfil DomaineÉtat du pare-feu' sur 'Activé' via la stratégie de groupe.
| Configurer les connexions entrantes du profil Domaine sur 'Bloquer (par défaut)'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Configurer 'Afficher une notification' sur 'Non' pour le profil Domaine. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche l'affichage de fenêtres de notification aux utilisateurs finaux qui pourraient autoriser par erreur des connexions malveillantes.
Plan de Remédiation : Définir 'Pare-feu WindowsProfil DomaineParamètresAfficher une notification' sur 'Non'.
| S'assurer que l'état du pare-feu pour le profil Privé est configuré sur 'Activé'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Configurer les connexions entrantes du profil Privé sur 'Bloquer'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| S'assurer que l'état du pare-feu pour le profil Public est configuré sur 'Activé'. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Valeur attendue : 1
Risques & Impact : La mesure 17 est particulièrement critique sur le profil Public, utilisé sur des réseaux non maîtrisés (hôtels, aéroports, cafés).
Plan de Remédiation : Configurer 'Pare-feu WindowsProfil PublicÉtat du pare-feu' sur 'Activé'.
| Configurer les connexions entrantes du profil Public sur 'Bloquer'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Désactiver l'envoi de mots de passe en clair vers des serveurs tiers. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 0
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche la fuite de mots de passe en clair sur le réseau via le client SMB.
Plan de Remédiation : Désactiver sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Microsoft network client: Send unencrypted password to third-party SMB servers.
| Configurer la coupure automatique des sessions SMB inactives après 15 minutes maximum. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : <=15
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : libère les ressources du serveur et limite l'exposition des sessions ouvertes abandonnées.
Plan de Remédiation : Configurer à 15 minutes maximum sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Microsoft network server: Amount of idle time required before suspending session.
| Activer la signature numérique obligatoire pour le client SMB. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R76)
État relevé : Valeur attendue : 1
Risques & Impact : R76 (protéger les services SMB contre les relais NTLM) exige que la signature SMB soit exigée, faute de quoi un condensat Net-NTLMv2 intercepté peut être relayé vers un service SMB pour élever ses privilèges.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Microsoft network client: Digitally sign communications (always).
| Activer la signature numérique obligatoire pour le serveur SMB. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R76)
État relevé : Conforme
| Interdire la lecture anonyme des comptes SAM locaux. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche un utilisateur non authentifié de lister les comptes et groupes de la machine.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Network access: Do not allow anonymous enumeration of SAM accounts.
| Bloquer l'énumération anonyme des comptes SAM et des partages. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : réduit considérablement la surface de reconnaissance en masquant les ressources partagées aux utilisateurs non authentifiés.
Plan de Remédiation : Activer sous ComputerConfiguration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Network access: Do not allow anonymous enumeration of SAM accounts and shares.
| Interdire au Gestionnaire d'identités de stocker des mots de passe en cache réseau. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Conservation en mémoire vive des condensats NTLM et secrets Kerberos)
État relevé : Conforme
| Désactiver l'application des permissions 'Tout le monde' aux utilisateurs anonymes. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 0
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : garantit qu'un partage configuré pour 'Tout le monde' ne devient pas par inadvertance accessible à des utilisateurs non authentifiés.
Plan de Remédiation : Désactiver sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Network access: Let Everyone permissions apply to anonymous users.
| Restreindre l'accès anonyme aux canaux nommés (Named Pipes) et aux partages. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Désactiver le protocole de partage de fichiers SMBv1 obsolète sur la machine. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (section 4.15.2.3)
État relevé : Valeur attendue : 0
Risques & Impact : PA-099 rappelle explicitement que SMBv1 est déprécié et de facto prohibé : il présente d'importants risques de sécurité historiques (ex. EternalBlue/WannaCry) et ne permet pas d'exiger la signature SMB imposée par R76.
Plan de Remédiation : Configurer la valeur DWORD 'SMB1' à 0 sous le chemin registre LanmanServer\Parameters ou désactiver la fonctionnalité Windows correspondante.
| Désactiver la résolution de noms NetBIOS (NetBIOS Name Resolution / NBT-NS) sur la machine. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 21 - Utiliser des protocoles réseaux sécurisés dès qu'ils existent)
État relevé : Conforme
| Désactiver le protocole de résolution de noms multicast local (LLMNR). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 21 - Utiliser des protocoles réseaux sécurisés dès qu'ils existent)
État relevé : Conforme
Intégrité logicielle et licences
| Configurer le comportement de téléchargement et d'installation des mises à jour automatiques. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 34 - Définir une politique de mise à jour des composants du SI)
État relevé : Conforme
| S'assurer que la désactivation des mises à jour automatiques n'est pas activée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 34 - Définir une politique de mise à jour des composants du SI)
État relevé : Conforme
Active Directory (Sécurité Avancée)
| Renouvellement du mot de passe du compte krbtgt (Golden Ticket). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R41)
État relevé : Conforme
| Aucune machine (hors contrôleur de domaine) ne doit avoir la délégation non contrainte activée. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R65)
État relevé : Conforme
| Aucun compte utilisateur ne doit avoir l'option 'Ne pas exiger de préauthentification Kerberos' activée. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R66/R67)
État relevé : Valeur attendue : 0
Risques & Impact : R66/R67 (préserver la préauthentification Kerberos) : un compte sans préauthentification expose son secret réutilisable à une attaque hors ligne dite 'AS-REP Roasting', permettant de retrouver le mot de passe du compte sans générer d'alerte.
Plan de Remédiation : Dans les propriétés du compte (onglet Compte), décocher 'Ne pas exiger de préauthentification Kerberos' ou positionner l'attribut userAccountControl en conséquence.
| Aucun compte membre des groupes Admins du domaine ou Enterprise Admins ne doit posséder de Service Principal Name (SPN). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R69/R70, section 4.13)
État relevé : Conforme
| Les groupes intégrés Opérateurs de serveur, Opérateurs de compte, Opérateurs de sauvegarde et Opérateurs d'impression doivent rester vides. |
NON CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R27) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Valeur attendue : 0
Risques & Impact : R27 : l'appartenance à ces groupes prédéfinis équivaut de fait à un statut d'Administrateur du domaine sur les contrôleurs de domaine ; leur usage doit être remplacé par des groupes de sécurité dédiés et des délégations fines. NP-17 (2014) n'est plus diffusé par l'ANSSI, mais ce principe reste intégralement valide et cohérent avec le modèle Tier 0 d'ANSSI-PA-099 (2023).
Plan de Remédiation : Retirer tous les membres des groupes Server Operators, Account Operators, Backup Operators et Print Operators, et créer des groupes de sécurité dédiés avec délégation fine si nécessaire.
| Le nombre de comptes membres du groupe Admins du domaine doit être limité au strict nécessaire. |
CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R26/R30) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
| Tout compte marqué adminCount=1 mais n'appartenant plus à un groupe d'administration protégé doit être régularisé. |
CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R40) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
| Le mot de passe du compte Administrateur intégré du domaine doit être renouvelé régulièrement. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R44)
État relevé : Valeur attendue : <180
Risques & Impact : R44 : le compte Administrateur intégré (RID 500) ne peut pas être verrouillé et constitue une cible de choix ; un mot de passe ancien augmente la fenêtre d'exposition en cas de fuite ou de tentative de compromission.
Plan de Remédiation : Renouveler le mot de passe du compte Administrateur intégré et l'enregistrer dans un coffre-fort de mots de passe dédié aux comptes d'urgence (break-glass).
| La signature des échanges LDAP doit être exigée par les contrôleurs de domaine ('Domain controller: LDAP server signing requirements Enforcement'). |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R75)
État relevé : Valeur attendue : 2
Risques & Impact : R75 (protéger les services LDAP contre les relais NTLM) : sans signature obligatoire, les échanges LDAP en clair peuvent être interceptés et relayés (relais NTLM vers LDAP), permettant à un attaquant de s'authentifier et d'agir avec les droits de la victime.
Plan de Remédiation : Définir la valeur DWORD 'LDAPServerIntegrity' à 2 (Exiger la signature) sous HKLM:\SYSTEM\CurrentControlSet\Services\NTDS\Parameters, ou via la stratégie 'Contrôleur de domaine : Configuration requise pour la signature du serveur LDAP'.
| Le LDAP channel binding token doit être exigé par les contrôleurs de domaine ('Domain controller: LDAP server channel binding token requirements'). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R75)
État relevé : Conforme
| Aucun mot de passe de Préférences de stratégie de groupe (GPP cpassword) ne doit être présent dans SYSVOL. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R13 - Protéger les données d'authentification stockées)
État relevé : Conforme
| Aucun compte utilisateur activé ne doit être resté inactif (sans connexion) depuis plus de 90 jours. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 5 - Disposer d'un inventaire exhaustif des comptes et le maintenir à jour)
État relevé : Valeur attendue : 0
Risques & Impact : La mesure 5 impose une revue périodique des comptes afin de supprimer les accès devenus obsolètes. Un compte activé mais inactif est une cible de choix : sa compromission ne sera détectée ni par son titulaire, ni par une activité anormale visible.
Plan de Remédiation : Identifier les comptes activés sans connexion depuis plus de 90 jours (Get-ADUser -Properties LastLogonDate) et les désactiver après validation auprès des services concernés.
| Aucun compte ordinateur activé ne doit exécuter un système d'exploitation en fin de support (Windows XP/Vista/7, Windows Server 2003/2008). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 35 - Anticiper la fin de la maintenance des logiciels et systèmes)
État relevé : Conforme
| Toute relation d'approbation externe ou de forêt doit avoir le filtrage SID (SID Filtering) activé. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 3 - Cloisonnement du SI en zones de confiance et relations d'approbation entre domaines)
État relevé : Conforme
| Aucun compte ne doit avoir explicitement DES ou RC4 (sans AES) activé dans ses types de chiffrement Kerberos supportés (msDS-SupportedEncryptionTypes). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Dangers de NTLM et Kerberos, en complément de R72 relatif au durcissement de NTLM)
État relevé : Conforme
Serveur DNS
| Empêcher le transfert de zone DNS (AXFR) à n'importe quel serveur non identifié. |
CONFORME |
Réf ANSSI : ANSSI-PA-105 - Recommandations relatives aux architectures des services DNS
État relevé : Conforme
Journalisation et Audit Avancé (Stratégies d'audit Windows)
| Stratégie d'audit avancée [Connexion de compte] : Auditer la validation des informations d'identification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion de compte] : Auditer le service d'authentification Kerberos |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion de compte] : Auditer les opérations de ticket de service Kerberos |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise les tentatives d'authentification auprès de la base de comptes locale ou d'Active Directory (Kerberos), essentielles pour détecter des attaques par force brute, du password spraying ou du Kerberoasting.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion de compte\Auditer les opérations de ticket de service Kerberos sur 'Succès et échec'.
| Stratégie d'audit avancée [Connexion de compte] : Auditer d'autres évènements d'ouverture/fermeture de session (connexion de compte) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes d'applications |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise la création, la modification et la suppression de comptes et de groupes, indispensable pour détecter la création de comptes de persistance ou l'ajout non autorisé à des groupes privilégiés.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Gestion du compte\Auditer la gestion des groupes d'applications sur 'Aucun audit'.
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des comptes d'ordinateur |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes de distribution |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer d'autres évènements de gestion des comptes |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise la création, la modification et la suppression de comptes et de groupes, indispensable pour détecter la création de comptes de persistance ou l'ajout non autorisé à des groupes privilégiés.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Gestion du compte\Auditer d'autres évènements de gestion des comptes sur 'Succès et échec'.
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes de sécurité |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des comptes d'utilisateur |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise la création, la modification et la suppression de comptes et de groupes, indispensable pour détecter la création de comptes de persistance ou l'ajout non autorisé à des groupes privilégiés.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Gestion du compte\Auditer la gestion des comptes d'utilisateur sur 'Succès et échec'.
| Stratégie d'audit avancée [Suivi détaillé] : Auditer l'activité DPAPI |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer l'activité Plug-and-Play (PNP) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer la création du processus |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer la fin du processus |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise la création de processus et l'activité DPAPI, des sources majeures pour la détection d'exécution de code malveillant et l'investigation post-incident.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Suivi détaillé\Auditer la fin du processus sur 'Aucun audit'.
| Stratégie d'audit avancée [Suivi détaillé] : Auditer les évènements RPC |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer le jeton d'audit ajusté à droite (ajustement des privilèges d'un jeton d'authentification) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer la réplication du service d'annuaire détaillé |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie, spécifique aux contrôleurs de domaine, journalise les accès et modifications apportés aux objets Active Directory, permettant de détecter une exfiltration ou une altération de l'annuaire.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès au service d'annuaire\Auditer la réplication du service d'annuaire détaillé sur 'Succès et échec'.
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer l'accès au service d'annuaire |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie, spécifique aux contrôleurs de domaine, journalise les accès et modifications apportés aux objets Active Directory, permettant de détecter une exfiltration ou une altération de l'annuaire.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès au service d'annuaire\Auditer l'accès au service d'annuaire sur 'Succès et échec'.
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer les modifications du service d'annuaire |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie, spécifique aux contrôleurs de domaine, journalise les accès et modifications apportés aux objets Active Directory, permettant de détecter une exfiltration ou une altération de l'annuaire. Génère les évènements 5136/5137/5138/5139/5141 détaillant la valeur avant/après modification d'un objet AD.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès au service d'annuaire\Auditer les modifications du service d'annuaire sur 'Succès et échec'.
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer la réplication du service d'annuaire |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie, spécifique aux contrôleurs de domaine, journalise les accès et modifications apportés aux objets Active Directory, permettant de détecter une exfiltration ou une altération de l'annuaire.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès au service d'annuaire\Auditer la réplication du service d'annuaire sur 'Succès et échec'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le verrouillage du compte |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise les ouvertures et fermetures de session ainsi que les verrouillages de compte, au cœur de la détection de mouvement latéral et d'attaques par force brute.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion/déconnexion\Auditer le verrouillage du compte sur 'Succès et échec'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer les revendications utilisateur/de périphérique |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode étendu IPsec |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise les ouvertures et fermetures de session ainsi que les verrouillages de compte, au cœur de la détection de mouvement latéral et d'attaques par force brute.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion/déconnexion\Auditer le mode étendu IPsec sur 'Aucun audit'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'appartenance à un groupe |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise les ouvertures et fermetures de session ainsi que les verrouillages de compte, au cœur de la détection de mouvement latéral et d'attaques par force brute.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion/déconnexion\Auditer l'appartenance à un groupe sur 'Aucun audit'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode principal IPsec |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode rapide IPsec |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer la fermeture de session |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès
Risques & Impact : Cette catégorie journalise les ouvertures et fermetures de session ainsi que les verrouillages de compte, au cœur de la détection de mouvement latéral et d'attaques par force brute.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion/déconnexion\Auditer la fermeture de session sur 'Succès'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'ouverture de session |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le serveur NPS (Network Policy Server) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer d'autres évènements d'ouverture/fermeture de session |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'ouverture de session spéciale |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer l'application générée |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer les services de certification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le partage de fichiers détaillé |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le partage de fichiers |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le système de fichiers |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer la connexion de la plateforme de filtrage |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le rejet de paquet par la plateforme de filtrage |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer la manipulation de handle |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer l'objet de noyau |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer d'autres évènements d'accès à l'objet |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le Registre |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le stockage amovible |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer SAM |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise les accès aux fichiers, partages, registre et supports amovibles. ANSSI recommande de n'activer que les sous-catégories les plus signifiantes afin d'éviter une volumétrie excessive ; les accès fins à des ressources spécifiques sont à configurer via des SACL ciblées plutôt que par une activation globale.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès aux objets\Auditer SAM sur 'Aucun audit'.
| Stratégie d'audit avancée [Accès aux objets] : Auditer la stratégie d'accès centralisée intermédiaire |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'audit |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'authentification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'autorisation |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise les modifications des stratégies de sécurité elles-mêmes (audit, authentification, autorisation, pare-feu) : un attaquant qui affaiblit ces stratégies pour effacer ses traces ou élever ses privilèges doit être détecté.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Modification de la stratégie\Auditer la modification de la stratégie d'autorisation sur 'Succès et échec'.
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie de plateforme de filtrage |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise les modifications des stratégies de sécurité elles-mêmes (audit, authentification, autorisation, pare-feu) : un attaquant qui affaiblit ces stratégies pour effacer ses traces ou élever ses privilèges doit être détecté.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Modification de la stratégie\Auditer la modification de la stratégie de plateforme de filtrage sur 'Succès et échec'.
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie de niveau règle MPSSVC |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Échec
Risques & Impact : Cette catégorie journalise les modifications des stratégies de sécurité elles-mêmes (audit, authentification, autorisation, pare-feu) : un attaquant qui affaiblit ces stratégies pour effacer ses traces ou élever ses privilèges doit être détecté.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Modification de la stratégie\Auditer la modification de la stratégie de niveau règle MPSSVC sur 'Échec'.
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer d'autres évènements de modification de stratégie |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer l'utilisation des privilèges non sensibles |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise l'usage de privilèges sensibles (ex. SeDebugPrivilege, SeBackupPrivilege), souvent exploités lors d'une élévation de privilèges ou d'une extraction de secrets en mémoire.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Utilisation des privilèges\Auditer l'utilisation des privilèges non sensibles sur 'Aucun audit'.
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer l'utilisation de privilèges sensibles |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise l'usage de privilèges sensibles (ex. SeDebugPrivilege, SeBackupPrivilege), souvent exploités lors d'une élévation de privilèges ou d'une extraction de secrets en mémoire. ANSSI ne recommande pas son activation par défaut (volumétrie), à réévaluer pour des systèmes à rôle très spécifique (ex. postes d'administration).
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Utilisation des privilèges\Auditer l'utilisation de privilèges sensibles sur 'Aucun audit'.
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer d'autres évènements d'utilisation de privilèges |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer le pilote IPSEC |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer d'autres évènements système |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer la modification de l'état de la sécurité |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer l'extension du système de sécurité |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise les évènements système fondamentaux (démarrage/arrêt, modification de l'état de sécurité), une base minimale pour toute investigation. Détecte le chargement d'extensions du sous-système de sécurité (ex. nouveau package d'authentification), un vecteur de persistance furtif.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Système\Auditer l'extension du système de sécurité sur 'Succès et échec'.
| Stratégie d'audit avancée [Système] : Auditer l'intégrité du système |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
VISIR CyberSuite • Document officiel généré pour l'assurance et la conformité technique.
