VISIR CYBERSUITE

Cible analysée : SRV-AD01 (10.10.0.10) (Windows Server 2022)

MADE IN FRANCE • Matériel basé sur les recos ANSSI

Score Global

B 83%

121

Contrôles Validés

24

Vulnérabilités

Top 5 des Actions Correctives Prioritaires

Interventions techniques à impact fort permettant de réduire significativement la surface d'attaque à court terme.

Configurer la stratégie pour exiger la mémorisation d'au moins 24 mots de passe uniques avant de pouvoir réutiliser un ancien mot de passe.

Réf: ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27)

Pour les comptes à privilèges (majoritaires sur les machines auditées par cet outil), imposer un renouvellement du mot de passe entre 1 et 3 ans (365 à 1095 jours) ; ne jamais laisser la valeur à 0 (expiration désactivée).

Réf: ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R24/R25)

Exiger une longueur minimale de 15 caractères ou plus pour tous les mots de passe locaux.

Réf: ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R21, Table 3)

Définir le seuil de verrouillage du compte entre 1 et 10 tentatives de connexion invalides (jamais 0, qui désactive le verrouillage).

Réf: ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)

Configurer le niveau d'authentification LAN Manager sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'.

Réf: ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R72)

Posture par Référentiel ANSSI

Catégories à Risque

Gestion des authentifiants5 échecs
Contrôle d'accès et cloisonnement5 échecs
Sécurité réseau et protocoles5 échecs
Journalisation et Audit Avancé (Stratégies d'audit Windows)4 échecs
Protection du système et des services3 échecs

Conformité par Catégorie

État des Services Actifs

Répartition des Privilèges

Empreinte Système Globale

14

Logiciels

5

Périphériques

5

Persistances

B 83%

Conformité ANSSI

121 contrôles validés · 24 vulnérabilités détectées sur l'ensemble des règles évaluées.

Détail des règles de sécurité — Référentiel ANSSI

Gestion des authentifiants

13 points de contrôle · 8 conformes

Niveau C · 61%
FAIL

Configurer la stratégie pour exiger la mémorisation d'au moins 24 mots de passe uniques avant de pouvoir réutiliser un ancien mot de passe.

ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27) · Valeur attendue : >=24

FAIL

Pour les comptes à privilèges (majoritaires sur les machines auditées par cet outil), imposer un renouvellement du mot de passe entre 1 et 3 ans (365 à 1095 jours) ; ne jamais laisser la valeur à 0 (expiration désactivée).

ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R24/R25) · Valeur attendue : 1-1095

PASS

Configurer l'âge minimal du mot de passe à 1 jour ou plus pour empêcher les modifications en chaîne.

ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27) · Conforme

FAIL

Exiger une longueur minimale de 15 caractères ou plus pour tous les mots de passe locaux.

ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R21, Table 3) · Valeur attendue : >=15

PASS

Activer l'exigence de complexité pour obliger l'utilisation de majuscules, minuscules, chiffres et caractères spéciaux.

ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R23) · Conforme

PASS

Activer cette clé de registre pour lever la restriction historique limitant l'application de mots de passe longs au-delà de 14 caractères.

ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R22) · Conforme

PASS

Désactiver impérativement le stockage des mots de passe à l'aide d'un chiffrement réversible.

ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R13) · Conforme

PASS

Définir la durée de verrouillage du compte à 15 minutes ou plus.

ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10) · Conforme

FAIL

Définir le seuil de verrouillage du compte entre 1 et 10 tentatives de connexion invalides (jamais 0, qui désactive le verrouillage).

ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10) · Valeur attendue : 1-10

PASS

Assujettir le compte Administrateur local intégré aux règles de verrouillage.

ANSSI-PG-078 (R10/R25) - Recommandations relatives à l'authentification multifacteur et aux mots de passe · Conforme

PASS

Réinitialiser le compteur de verrouillage du compte après 15 minutes ou plus.

ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10) · Conforme

PASS

S'assurer que le compte Invité local est désactivé.

ANSSI - Guide d'hygiène informatique (Mesure 8 - Identifier nommément chaque personne accédant au système) · Conforme

FAIL

Configurer le niveau d'authentification LAN Manager sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'.

ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R72) · Valeur attendue : 5

INVENTAIRE DES LOGICIELS INSTALLÉS

Nom du logiciel Version Éditeur
Google Chrome 128.0.6613.120 Google LLC
7-Zip 23.01 (x64) 23.01 Igor Pavlov
Notepad++ (64-bit x64) 8.6.9 Notepad++ Team
Adobe Acrobat Reader 24.002.20965 Adobe
Microsoft Edge 128.0.2739.67 Microsoft Corporation
VLC media player 3.0.21 VideoLAN
PuTTY release 0.81 0.81 Simon Tatham
TeamViewer 15.55.3 TeamViewer
Java 8 Update 401 8.0.4010.10 Oracle Corporation
Mozilla Firefox ESR 115.14.0 Mozilla
Microsoft 365 Apps for enterprise 16.0.17928.20156 Microsoft Corporation
WinRAR 6.02 6.02 win.rar GmbH
Zoom 5.17.11 Zoom Video Communications
Microsoft Visual C++ 2015-2022 Redistributable (x64) 14.40.33810 Microsoft Corporation

ANALYSE DES PÉRIPHÉRIQUES ET SUPPORTS CONNECTÉS

Nom Catégorie Fabricant Détails
Intel(R) Ethernet Connection I219-LM Cartes réseau Intel Actif
Realtek USB Audio Contrôleurs audio Realtek Actif
USB Mass Storage Device Périphériques USB SanDisk Clé USB connectée
Imprimante HP LaserJet M404 Imprimantes HP Réseau
NVIDIA T400 Cartes graphiques NVIDIA Actif

ANALYSE DES SERVICES EN ARRIÈRE-PLAN

Nom Nom technique État Démarrage
WinRM WinRM Running Auto
LanmanServer LanmanServer Running Auto
RemoteRegistry RemoteRegistry Running Auto
Spooler Spooler Running Auto
TermService TermService Running Manual
WSearch WSearch Running Auto
SSDPSRV SSDPSRV Running Manual
Telnet Telnet Stopped Disabled
wuauserv wuauserv Running Manual
MpsSvc MpsSvc Running Auto
WinDefend WinDefend Running Auto
BITS BITS Running Manual

AUDIT DES COMPTES & HYGIÈNE DES UTILISATEURS

Comptes Inactifs (> 90 jours)

Risque de comptes zombies ou départs non traités

2

Systèmes Obsolètes (Fin de vie)

Windows 7, 8, XP, Server 2008 / 2012

0
Compte / Poste Description / OS État Dernière Connexion Attributs de sécurité
Administrateur Compte intégré d'administration True 3 jours
Critique
j.dupont Julien Dupont True 0 jours
Oui
m.martin Marie Martin True 1 jours
Non
svc_backup Service de sauvegarde True 412 jours
Oui
stagiaire Compte stagiaire True 187 jours
Non
Invité Compte intégré invité False 0 jours
Non
DefaultAccount Compte système géré par le système False 0 jours
Non

MÉCANISMES DE PERSISTANCE ET DÉMARRAGE

Type Nom Emplacement Cible / Commande
Registre Run (HKCU) OneDrive HKCU\...\Run OneDrive.exe /background
Registre Run (HKLM) SecurityHealth HKLM\...\Run SecurityHealthSystray.exe
Service TeamViewer Services TeamViewer_Service.exe
Tâche planifiée Update_Tool \Microsoft\Windows\ C:\Users\Public\upd.vbs
Tâche planifiée GoogleUpdater \GoogleSystem\ updater.exe --wake-all

STRATÉGIES DE GROUPE (GPO)

Portée : Domaine

2 Stratégie(s)
Nom de la Stratégie Statut Identifiant (GUID)
Default Domain Policy Appliquée {31B2F340-016D-11D2-945F-00C04FB984F9}
Ancienne politique WSUS Non appliquée (filtrée) {5C7E9A1B-3D4F-4A6B-8C9D-0E1F2A3B4C5D}

Portée : OU=Postes

2 Stratégie(s)
Nom de la Stratégie Statut Identifiant (GUID)
Durcissement postes ANSSI Appliquée {8A1C4F2E-7B3D-4E5F-9A0B-1C2D3E4F5A6B}
Verrouillage écran 15 min Appliquée {2E4D6F8A-1B3C-4D5E-8F9A-0B1C2D3E4F5A}

RÉSEAU, PARTAGES ET SURFACES D'EXPOSITION

Partages SMB Locaux

Nom du partage Chemin local Sécurité / Accès Permissions ACL
C$ C:\ False Administrateurs : Contrôle total
ADMIN$ C:\Windows False Administrateurs : Contrôle total
Partage D:\Partage True Tout le monde : Contrôle total
Compta D:\Compta False Utilisateurs authentifiés : Lecture

Ports en Écoute (Listening Ports)

Port Protocole Adresse IP Processus associé
135 TCP 0.0.0.0 svchost.exe (RpcSs)
445 TCP 0.0.0.0 System
3389 TCP 0.0.0.0 svchost.exe (TermService)
5985 TCP 0.0.0.0 System
139 TCP 0.0.0.0 System
1900 UDP 0.0.0.0 svchost.exe (SSDPSRV)
5432 TCP 127.0.0.1 postgres.exe
5040 TCP 0.0.0.0 svchost.exe (CDPSvc)

Dossier d'Audit de Sécurité & Conformité

Référentiel ANSSI • Cible : SRV-AD01 (10.10.0.10) (Windows Server 2022)

Périmètre : SRV-AD01 (10.10.0.10) (Windows Server 2022)
Score Global : 83%
Évalués : 145 points
Attestation d'évaluation et d'approbation technique :
Le présent rapport consigne l'examen automatisé de la posture de sécurité de l'infrastructure audite. L'analyse des configurations atteste d'un niveau de conformité de 83% par rapport aux recommandations de l'ANSSI. Les mécanismes de protection et d'authentification relevés permettent d'approuver officiellement le système audité au regard de la gestion des risques.

Gestion des authentifiants

Configurer la stratégie pour exiger la mémorisation d'au moins 24 mots de passe uniques avant de pouvoir réutiliser un ancien mot de passe. NON CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27)
État relevé : Valeur attendue : >=24
Risques & Impact : ANSSI (R27) recommande, lors du contrôle de robustesse d'un mot de passe, d'interdire la réutilisation d'un mot de passe parmi les derniers utilisés. ANSSI ne fixe pas de valeur précise : 24 est la valeur usuelle des référentiels Microsoft/CIS mettant en œuvre ce principe.
Plan de Remédiation : Aller dans Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies de comptes > Stratégie de mot de passe, puis définir 'Enregistrer l'historique des mots de passe' à 24 ou plus.
Pour les comptes à privilèges (majoritaires sur les machines auditées par cet outil), imposer un renouvellement du mot de passe entre 1 et 3 ans (365 à 1095 jours) ; ne jamais laisser la valeur à 0 (expiration désactivée). NON CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R24/R25)
État relevé : Valeur attendue : 1-1095
Risques & Impact : ANSSI a fait évoluer sa position : R24 recommande de ne plus imposer par défaut d'expiration sur les comptes standards (une expiration trop fréquente pousse à des mots de passe itérés et donc plus faibles), mais R25 recommande d'imposer une expiration comprise entre 1 et 3 ans pour les comptes à privilèges (administrateurs). Ce contrôle porte sur la politique de mot de passe par défaut de la machine ; sur les postes et serveurs d'administration visés par cet audit, la posture R25 est retenue.
Plan de Remédiation : Configurer 'Âge maximal du mot de passe' entre 365 et 1095 jours (jamais 0) via l'éditeur de stratégie de groupe locale ; pour les comptes utilisateurs standards sans privilèges, évaluer si une expiration est réellement nécessaire (R24).
Configurer l'âge minimal du mot de passe à 1 jour ou plus pour empêcher les modifications en chaîne. CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27)
État relevé : Conforme
Exiger une longueur minimale de 15 caractères ou plus pour tous les mots de passe locaux. NON CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R21, Table 3)
État relevé : Valeur attendue : >=15
Risques & Impact : La table 3 de R21 fixe la longueur minimale recommandée selon le niveau de sensibilité visé : 9-11 caractères (faible à moyen), 12-14 (moyen à fort), au moins 15 (fort à très fort). Les machines et comptes concernés par cet audit relevant d'un niveau de sensibilité élevé, le seuil de 15 caractères est retenu.
Plan de Remédiation : Définir 'Longueur minimale du mot de passe' à 15 caractères ou plus dans les stratégies de mot de passe.
Activer l'exigence de complexité pour obliger l'utilisation de majuscules, minuscules, chiffres et caractères spéciaux. CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R23)
État relevé : Conforme
Activer cette clé de registre pour lever la restriction historique limitant l'application de mots de passe longs au-delà de 14 caractères. CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R22)
État relevé : Conforme
Désactiver impérativement le stockage des mots de passe à l'aide d'un chiffrement réversible. CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R13)
État relevé : Conforme
Définir la durée de verrouillage du compte à 15 minutes ou plus. CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Conforme
Définir le seuil de verrouillage du compte entre 1 et 10 tentatives de connexion invalides (jamais 0, qui désactive le verrouillage). NON CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Valeur attendue : 1-10
Risques & Impact : R10 impose de limiter le nombre de tentatives d'authentification sur une période donnée pour réduire la probabilité de succès d'une attaque en ligne par force brute, tout en évitant un seuil de 0 qui désactiverait toute protection.
Plan de Remédiation : Dans la Stratégie de verrouillage du compte, définir 'Seuil de verrouillage du compte' entre 1 et 10 tentatives de connexion non valides.
Assujettir le compte Administrateur local intégré aux règles de verrouillage. CONFORME
Réf ANSSI : ANSSI-PG-078 (R10/R25) - Recommandations relatives à l'authentification multifacteur et aux mots de passe
État relevé : Conforme
Réinitialiser le compteur de verrouillage du compte après 15 minutes ou plus. CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Conforme
S'assurer que le compte Invité local est désactivé. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 8 - Identifier nommément chaque personne accédant au système)
État relevé : Conforme
Configurer le niveau d'authentification LAN Manager sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'. NON CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R72)
État relevé : Valeur attendue : 5
Risques & Impact : R72 (durcir la configuration de NTLM sur les systèmes) exige explicitement que le protocole NTLM ne soit utilisé que dans sa version NTLMv2 avec un chiffrement à 128 bits, et interdit les anciennes versions LM/NTLMv1 vulnérables au cassage et à l'interception.
Plan de Remédiation : Définir 'Sécurité réseau : niveau d'authentification LAN Manager' sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'.

Contrôle d'accès et cloisonnement

Activer le contrôle de compte d'utilisateur (UAC). NON CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : R18 recommande d'appliquer les security baselines Microsoft (ou plus restrictives) sur les systèmes sensibles. L'UAC, activé par défaut dans ces baselines, isole les privilèges administrateur et exige une validation explicite pour toute action sensible.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\User Account Control: Run all administrators in Admin Approval Mode.
Activer le mode d'approbation administrateur pour le compte Administrateur intégré. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Configurer le comportement de l'invite d'élévation pour les administrateurs sur 'Demander le consentement sur le bureau sécurisé'. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Configurer le comportement de l'invite d'élévation pour les utilisateurs standard sur 'Refuser automatiquement les demandes d'élévation'. NON CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 0
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche les utilisateurs non privilégiés de tenter d'installer des programmes ou d'élever leurs privilèges sans intervention administrative directe.
Plan de Remédiation : Définir 'Comportement de l'invite d'élévation pour les utilisateurs standard' sur 'Refuser automatiquement les demandes d'élévation'.
Activer la détection des installations d'applications pour exiger une élévation de privilèges. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Désactiver le filtrage du jeton de compte local pour les accès distants. NON CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 0
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche des outils d'administration ou des attaquants d'exploiter des sessions SMB distantes avec les privilèges administratifs complets sans invite UAC.
Plan de Remédiation : Définir 'LocalAccountTokenFilterPolicy' à 0 dans le registre.
Obliger l'utilisateur à appuyer sur Ctrl+Alt+Suppr. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Masquer le nom de la dernière personne connectée. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Définir un délai d'inactivité maximal de 900 secondes (15 minutes) ou moins. NON CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : <=900
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) ; répond également au principe général de verrouillage systématique de la session en cas d'absence de l'utilisateur (Guide d'hygiène informatique, mesure 2).
Plan de Remédiation : Configurer l'inactivité à 900 secondes maximum sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Machine inactivity limit.
Limiter à 2 ou moins le nombre de profils en cache local. NON CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (durcissement usuel des identifiants en cache)
État relevé : Valeur attendue : <=2
Risques & Impact : ANSSI-PA-099 note que Microsoft ne fixe pas de valeur recommandée pour ce cache, mais que les organisations le réduisent usuellement à 1 ou 2 (contre 10 par défaut) car les condensats MS-CACHE stockés localement peuvent être extraits et attaqués hors ligne.
Plan de Remédiation : Restreindre à 2 sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Number of previous logons to cache.
Définir le comportement au retrait de la carte à puce sur verrouillage. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
S'assurer qu'un message d'avertissement personnalisé est configuré pour s'afficher avant la connexion. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
S'assurer qu'un titre de fenêtre est défini pour la bannière d'avertissement. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme

Protection du système et des services

Exécuter le sous-système LSASS (Local Security Authority Subsystem Service) en tant que processus protégé (PPL). CONFORME
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Protection des secrets d'authentification en mémoire vive)
État relevé : Conforme
S'assurer que la protection contre la falsification (Tamper Protection) de Microsoft Defender est activée. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Niveau de sécurité minimal du parc informatique)
État relevé : Conforme
Activer la journalisation des blocs de scripts PowerShell sur le poste. NON CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R2, Annexe B.4.1)
État relevé : Valeur attendue : 1
Risques & Impact : R2 impose d'activer les journaux Windows utiles à la détection, dont le journal Microsoft-Windows-PowerShell/Operational détaillé en annexe B.4.1 : l'activation de la journalisation des blocs de script y est explicitement recommandée, PowerShell étant un vecteur majeur d'attaques 'living-off-the-land'.
Plan de Remédiation : Activer la stratégie 'Activer la journalisation des blocs de script PowerShell' (valeur DWORD 'EnableScriptBlockLogging' à 1).
Le service de synchronisation d'horloge Windows (W32Time) ne doit pas être désactivé. CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R1 - Veiller à la synchronisation des horloges)
État relevé : Conforme
Interdire l'utilisation de comptes locaux sans mot de passe à travers le réseau. NON CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R20)
État relevé : Valeur attendue : 1
Risques & Impact : R20 impose la mise en place d'une politique de sécurité des mots de passe cohérente ; un compte local dépourvu de mot de passe et accessible via le réseau viole ce principe et ouvre une voie d'authentification triviale à un attaquant.
Plan de Remédiation : Activer le paramètre sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Accounts: Limit local account use of blank passwords to console logon only.
Désactiver que l'ordinateur ne plante si le journal de sécurité est saturé. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Empêcher les utilisateurs standard d'installer eux-mêmes des pilotes d'imprimante. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Exiger le chiffrement ou la signature numérique Netlogon. NON CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : protège le canal Netlogon entre la machine et le contrôleur de domaine contre les interceptions et manipulations (cf. les attaques de type Zerologon sur des canaux Netlogon non sécurisés).
Plan de Remédiation : Activer l'option sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Domain member: Digitally encrypt or sign secure channel data (always).
Désactiver le service de passerelle audio Bluetooth (BTAGService) s'il n'est pas utilisé. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Désactiver le service de support Bluetooth (bthserv) si la technologie n'est pas exploitée. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Désactiver le gestionnaire de cartes téléchargées (MapsBroker). CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Désactiver le service de géolocalisation (lfsvc). CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Désactiver le spouleur d'impression (Spooler) sur les postes ou serveurs ne gérant pas d'imprimantes. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Désactiver impérativement le service de Registre à distance (Remote Registry). CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Désactiver le service de découverte SSDP (SSDPSRV). CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Désactiver l'hôte de périphérique UPnP (upnphost). CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Désactiver la Gestion à distance Windows (WinRM) si l'administration PowerShell distante n'est pas exploitée. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante)
État relevé : Conforme
Désactiver le service de gestion des accessoires Xbox (XboxGipSvc) sur les postes d'entreprise. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Désactiver le service OpenSSH SSH Server s'il n'est pas requis pour l'administration de la machine. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + Recommandations pour un usage sécurisé d'[OPEN]SSH, note technique, août 2016
État relevé : Conforme
Désactiver le service Bureau à distance (TermService) si la machine est gérée uniquement en physique. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante)
État relevé : Conforme
Désactiver le service Serveur (LanmanServer) si le poste n'héberge aucun partage de fichiers ou d'imprimantes. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Désactiver le service de rapport d'erreurs Windows (WerSvc). CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme

Sécurité réseau et protocoles

Sécurité RDP (Bureau à distance) : S'assurer que l'authentification au niveau du réseau (NLA) est obligatoire pour toute connexion distante. CONFORME
Réf ANSSI : ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante) + Application des security baselines Microsoft (R18)
État relevé : Conforme
S'assurer que l'état du pare-feu pour le profil Domaine est configuré sur 'Activé'. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
Configurer les connexions entrantes du profil Domaine sur 'Bloquer (par défaut)'. NON CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Valeur attendue : 1
Risques & Impact : La mesure 17 recommande de bloquer l'ensemble des flux par défaut et de n'autoriser que les services nécessaires ('liste blanche'), notamment les ports d'administration par défaut (135, 445, 3389).
Plan de Remédiation : Définir 'Pare-feu WindowsProfil DomaineConnexions entrantes' sur 'Bloquer' dans les modèles d'administration.
Configurer 'Afficher une notification' sur 'Non' pour le profil Domaine. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
S'assurer que l'état du pare-feu pour le profil Privé est configuré sur 'Activé'. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
Configurer les connexions entrantes du profil Privé sur 'Bloquer'. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
S'assurer que l'état du pare-feu pour le profil Public est configuré sur 'Activé'. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
Configurer les connexions entrantes du profil Public sur 'Bloquer'. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
Désactiver l'envoi de mots de passe en clair vers des serveurs tiers. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Configurer la coupure automatique des sessions SMB inactives après 15 minutes maximum. NON CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : <=15
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : libère les ressources du serveur et limite l'exposition des sessions ouvertes abandonnées.
Plan de Remédiation : Configurer à 15 minutes maximum sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Microsoft network server: Amount of idle time required before suspending session.
Activer la signature numérique obligatoire pour le client SMB. CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R76)
État relevé : Conforme
Activer la signature numérique obligatoire pour le serveur SMB. CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R76)
État relevé : Conforme
Interdire la lecture anonyme des comptes SAM locaux. NON CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche un utilisateur non authentifié de lister les comptes et groupes de la machine.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Network access: Do not allow anonymous enumeration of SAM accounts.
Bloquer l'énumération anonyme des comptes SAM et des partages. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Interdire au Gestionnaire d'identités de stocker des mots de passe en cache réseau. CONFORME
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Conservation en mémoire vive des condensats NTLM et secrets Kerberos)
État relevé : Conforme
Désactiver l'application des permissions 'Tout le monde' aux utilisateurs anonymes. CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Restreindre l'accès anonyme aux canaux nommés (Named Pipes) et aux partages. NON CONFORME
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche les utilisateurs non authentifiés d'accéder aux ressources et canaux de communication sensibles du système.
Plan de Remédiation : Activer le paramètre 'Accès réseau : restreindre l'accès anonyme aux canaux nommés et aux partages'.
Désactiver le protocole de partage de fichiers SMBv1 obsolète sur la machine. NON CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (section 4.15.2.3)
État relevé : Valeur attendue : 0
Risques & Impact : PA-099 rappelle explicitement que SMBv1 est déprécié et de facto prohibé : il présente d'importants risques de sécurité historiques (ex. EternalBlue/WannaCry) et ne permet pas d'exiger la signature SMB imposée par R76.
Plan de Remédiation : Configurer la valeur DWORD 'SMB1' à 0 sous le chemin registre LanmanServer\Parameters ou désactiver la fonctionnalité Windows correspondante.
Désactiver la résolution de noms NetBIOS (NetBIOS Name Resolution / NBT-NS) sur la machine. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 21 - Utiliser des protocoles réseaux sécurisés dès qu'ils existent)
État relevé : Conforme
Désactiver le protocole de résolution de noms multicast local (LLMNR). CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 21 - Utiliser des protocoles réseaux sécurisés dès qu'ils existent)
État relevé : Conforme

Intégrité logicielle et licences

Configurer le comportement de téléchargement et d'installation des mises à jour automatiques. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 34 - Définir une politique de mise à jour des composants du SI)
État relevé : Conforme
S'assurer que la désactivation des mises à jour automatiques n'est pas activée. NON CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 34 - Définir une politique de mise à jour des composants du SI)
État relevé : Valeur attendue : 0
Risques & Impact : La mesure 34 impose une politique de mise à jour effective ; désactiver les mises à jour automatiques sans procédure de substitution documentée revient à ne pas appliquer les correctifs de sécurité publiés.
Plan de Remédiation : Définir 'Désactiver les mises à jour automatiques' sur 'Désactivé' ou 'Non configuré'.

Active Directory (Sécurité Avancée)

Renouvellement du mot de passe du compte krbtgt (Golden Ticket). CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R41)
État relevé : Conforme
Aucune machine (hors contrôleur de domaine) ne doit avoir la délégation non contrainte activée. CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R65)
État relevé : Conforme
Aucun compte utilisateur ne doit avoir l'option 'Ne pas exiger de préauthentification Kerberos' activée. CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R66/R67)
État relevé : Conforme
Aucun compte membre des groupes Admins du domaine ou Enterprise Admins ne doit posséder de Service Principal Name (SPN). CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R69/R70, section 4.13)
État relevé : Conforme
Les groupes intégrés Opérateurs de serveur, Opérateurs de compte, Opérateurs de sauvegarde et Opérateurs d'impression doivent rester vides. CONFORME
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R27) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
Le nombre de comptes membres du groupe Admins du domaine doit être limité au strict nécessaire. CONFORME
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R26/R30) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
Tout compte marqué adminCount=1 mais n'appartenant plus à un groupe d'administration protégé doit être régularisé. NON CONFORME
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R40) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Valeur attendue : 0
Risques & Impact : R40 : l'attribut adminCount=1 fige une ACL héritée de l'objet AdminSDHolder sur le compte, même après son retrait d'un groupe protégé, ce qui peut laisser des droits résiduels inaperçus sur un compte qui semble ordinaire. NP-17 (2014) n'est plus diffusé par l'ANSSI, mais ce principe reste intégralement valide et cohérent avec le modèle Tier 0 d'ANSSI-PA-099 (2023).
Plan de Remédiation : Identifier les comptes concernés (adminCount=1 sans appartenance à un groupe protégé), réinitialiser leur héritage d'ACL et remettre adminCount à 0 ou vide.
Le mot de passe du compte Administrateur intégré du domaine doit être renouvelé régulièrement. CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R44)
État relevé : Conforme
La signature des échanges LDAP doit être exigée par les contrôleurs de domaine ('Domain controller: LDAP server signing requirements Enforcement'). CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R75)
État relevé : Conforme
Le LDAP channel binding token doit être exigé par les contrôleurs de domaine ('Domain controller: LDAP server channel binding token requirements'). CONFORME
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R75)
État relevé : Conforme
Aucun mot de passe de Préférences de stratégie de groupe (GPP cpassword) ne doit être présent dans SYSVOL. CONFORME
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R13 - Protéger les données d'authentification stockées)
État relevé : Conforme
Aucun compte utilisateur activé ne doit être resté inactif (sans connexion) depuis plus de 90 jours. CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 5 - Disposer d'un inventaire exhaustif des comptes et le maintenir à jour)
État relevé : Conforme
Aucun compte ordinateur activé ne doit exécuter un système d'exploitation en fin de support (Windows XP/Vista/7, Windows Server 2003/2008). CONFORME
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 35 - Anticiper la fin de la maintenance des logiciels et systèmes)
État relevé : Conforme
Toute relation d'approbation externe ou de forêt doit avoir le filtrage SID (SID Filtering) activé. CONFORME
Réf ANSSI : ANSSI-PA-099 (Chapitre 3 - Cloisonnement du SI en zones de confiance et relations d'approbation entre domaines)
État relevé : Conforme
Aucun compte ne doit avoir explicitement DES ou RC4 (sans AES) activé dans ses types de chiffrement Kerberos supportés (msDS-SupportedEncryptionTypes). CONFORME
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Dangers de NTLM et Kerberos, en complément de R72 relatif au durcissement de NTLM)
État relevé : Conforme

Serveur DNS

Empêcher le transfert de zone DNS (AXFR) à n'importe quel serveur non identifié. CONFORME
Réf ANSSI : ANSSI-PA-105 - Recommandations relatives aux architectures des services DNS
État relevé : Conforme

Journalisation et Audit Avancé (Stratégies d'audit Windows)

Stratégie d'audit avancée [Connexion de compte] : Auditer la validation des informations d'identification CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion de compte] : Auditer le service d'authentification Kerberos CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion de compte] : Auditer les opérations de ticket de service Kerberos CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion de compte] : Auditer d'autres évènements d'ouverture/fermeture de session (connexion de compte) CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes d'applications CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des comptes d'ordinateur CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes de distribution CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Gestion du compte] : Auditer d'autres évènements de gestion des comptes CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes de sécurité CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des comptes d'utilisateur CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Suivi détaillé] : Auditer l'activité DPAPI CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Suivi détaillé] : Auditer l'activité Plug-and-Play (PNP) CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Suivi détaillé] : Auditer la création du processus CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Suivi détaillé] : Auditer la fin du processus CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Suivi détaillé] : Auditer les évènements RPC CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Suivi détaillé] : Auditer le jeton d'audit ajusté à droite (ajustement des privilèges d'un jeton d'authentification) CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer la réplication du service d'annuaire détaillé CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer l'accès au service d'annuaire CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer les modifications du service d'annuaire NON CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie, spécifique aux contrôleurs de domaine, journalise les accès et modifications apportés aux objets Active Directory, permettant de détecter une exfiltration ou une altération de l'annuaire. Génère les évènements 5136/5137/5138/5139/5141 détaillant la valeur avant/après modification d'un objet AD.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès au service d'annuaire\Auditer les modifications du service d'annuaire sur 'Succès et échec'.
Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer la réplication du service d'annuaire NON CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie, spécifique aux contrôleurs de domaine, journalise les accès et modifications apportés aux objets Active Directory, permettant de détecter une exfiltration ou une altération de l'annuaire.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès au service d'annuaire\Auditer la réplication du service d'annuaire sur 'Succès et échec'.
Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le verrouillage du compte CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion/déconnexion] : Auditer les revendications utilisateur/de périphérique CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode étendu IPsec CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'appartenance à un groupe CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode principal IPsec CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode rapide IPsec CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion/déconnexion] : Auditer la fermeture de session CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'ouverture de session CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le serveur NPS (Network Policy Server) CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion/déconnexion] : Auditer d'autres évènements d'ouverture/fermeture de session CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'ouverture de session spéciale CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer l'application générée CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer les services de certification CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer le partage de fichiers détaillé CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer le partage de fichiers CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer le système de fichiers CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer la connexion de la plateforme de filtrage CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer le rejet de paquet par la plateforme de filtrage CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer la manipulation de handle CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer l'objet de noyau CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer d'autres évènements d'accès à l'objet CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer le Registre CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer le stockage amovible CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Accès aux objets] : Auditer SAM NON CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise les accès aux fichiers, partages, registre et supports amovibles. ANSSI recommande de n'activer que les sous-catégories les plus signifiantes afin d'éviter une volumétrie excessive ; les accès fins à des ressources spécifiques sont à configurer via des SACL ciblées plutôt que par une activation globale.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès aux objets\Auditer SAM sur 'Aucun audit'.
Stratégie d'audit avancée [Accès aux objets] : Auditer la stratégie d'accès centralisée intermédiaire CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'audit CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'authentification CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'autorisation CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie de plateforme de filtrage CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie de niveau règle MPSSVC CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Modification de la stratégie] : Auditer d'autres évènements de modification de stratégie CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Utilisation des privilèges] : Auditer l'utilisation des privilèges non sensibles CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Utilisation des privilèges] : Auditer l'utilisation de privilèges sensibles CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Utilisation des privilèges] : Auditer d'autres évènements d'utilisation de privilèges NON CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise l'usage de privilèges sensibles (ex. SeDebugPrivilege, SeBackupPrivilege), souvent exploités lors d'une élévation de privilèges ou d'une extraction de secrets en mémoire.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Utilisation des privilèges\Auditer d'autres évènements d'utilisation de privilèges sur 'Succès et échec'.
Stratégie d'audit avancée [Système] : Auditer le pilote IPSEC CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Système] : Auditer d'autres évènements système CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Système] : Auditer la modification de l'état de la sécurité CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Système] : Auditer l'extension du système de sécurité CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
Stratégie d'audit avancée [Système] : Auditer l'intégrité du système CONFORME
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
VISIR CyberSuite • Document officiel généré pour l'assurance et la conformité technique.