Dossier d'Audit de Sécurité & Conformité
Référentiel ANSSI • Cible : SRV-FILE02 (10.10.0.21) (Windows Server 2019)
Périmètre : SRV-FILE02 (10.10.0.21) (Windows Server 2019)
Score Global : 72%
Évalués : 145 points
Attestation d'évaluation et d'approbation technique :
Le présent rapport consigne l'examen automatisé de la posture de sécurité de l'infrastructure audite. L'analyse des configurations atteste d'un niveau de conformité de 72% par rapport aux recommandations de l'ANSSI. Les mécanismes de protection et d'authentification relevés permettent d'approuver officiellement le système audité au regard de la gestion des risques.
Gestion des authentifiants
| Configurer la stratégie pour exiger la mémorisation d'au moins 24 mots de passe uniques avant de pouvoir réutiliser un ancien mot de passe. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27)
État relevé : Valeur attendue : >=24
Risques & Impact : ANSSI (R27) recommande, lors du contrôle de robustesse d'un mot de passe, d'interdire la réutilisation d'un mot de passe parmi les derniers utilisés. ANSSI ne fixe pas de valeur précise : 24 est la valeur usuelle des référentiels Microsoft/CIS mettant en œuvre ce principe.
Plan de Remédiation : Aller dans Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies de comptes > Stratégie de mot de passe, puis définir 'Enregistrer l'historique des mots de passe' à 24 ou plus.
| Pour les comptes à privilèges (majoritaires sur les machines auditées par cet outil), imposer un renouvellement du mot de passe entre 1 et 3 ans (365 à 1095 jours) ; ne jamais laisser la valeur à 0 (expiration désactivée). |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R24/R25)
État relevé : Valeur attendue : 1-1095
Risques & Impact : ANSSI a fait évoluer sa position : R24 recommande de ne plus imposer par défaut d'expiration sur les comptes standards (une expiration trop fréquente pousse à des mots de passe itérés et donc plus faibles), mais R25 recommande d'imposer une expiration comprise entre 1 et 3 ans pour les comptes à privilèges (administrateurs). Ce contrôle porte sur la politique de mot de passe par défaut de la machine ; sur les postes et serveurs d'administration visés par cet audit, la posture R25 est retenue.
Plan de Remédiation : Configurer 'Âge maximal du mot de passe' entre 365 et 1095 jours (jamais 0) via l'éditeur de stratégie de groupe locale ; pour les comptes utilisateurs standards sans privilèges, évaluer si une expiration est réellement nécessaire (R24).
| Configurer l'âge minimal du mot de passe à 1 jour ou plus pour empêcher les modifications en chaîne. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27)
État relevé : Conforme
| Exiger une longueur minimale de 15 caractères ou plus pour tous les mots de passe locaux. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R21, Table 3)
État relevé : Valeur attendue : >=15
Risques & Impact : La table 3 de R21 fixe la longueur minimale recommandée selon le niveau de sensibilité visé : 9-11 caractères (faible à moyen), 12-14 (moyen à fort), au moins 15 (fort à très fort). Les machines et comptes concernés par cet audit relevant d'un niveau de sensibilité élevé, le seuil de 15 caractères est retenu.
Plan de Remédiation : Définir 'Longueur minimale du mot de passe' à 15 caractères ou plus dans les stratégies de mot de passe.
| Activer l'exigence de complexité pour obliger l'utilisation de majuscules, minuscules, chiffres et caractères spéciaux. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R23)
État relevé : Conforme
| Activer cette clé de registre pour lever la restriction historique limitant l'application de mots de passe longs au-delà de 14 caractères. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R22)
État relevé : Conforme
| Désactiver impérativement le stockage des mots de passe à l'aide d'un chiffrement réversible. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R13)
État relevé : Valeur attendue : 0
Risques & Impact : R13 (protéger les données d'authentification stockées par le vérifieur) est directement violée par le chiffrement réversible, qui équivaut en pratique à un stockage en clair et facilite la récupération du mot de passe en cas de compromission de la base.
Plan de Remédiation : Désactiver le stockage réversible sous Computer Configuration\Policies\Windows Settings\Security Settings\Account Policies\Password Policy\Store passwords using reversible encryption.
| Définir la durée de verrouillage du compte à 15 minutes ou plus. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Valeur attendue : >=15
Risques & Impact : R10 recommande de limiter dans le temps le nombre de tentatives d'authentification, via un blocage temporaire après un certain nombre d'essais infructueux. ANSSI ne fixe pas de durée précise ; 15 minutes est la valeur usuelle des référentiels Microsoft/CIS mettant en œuvre ce principe.
Plan de Remédiation : Aller dans Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies de comptes > Stratégie de verrouillage du compte, et définir 'Durée de verrouillage du compte' sur 15 minutes ou plus.
| Définir le seuil de verrouillage du compte entre 1 et 10 tentatives de connexion invalides (jamais 0, qui désactive le verrouillage). |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Valeur attendue : 1-10
Risques & Impact : R10 impose de limiter le nombre de tentatives d'authentification sur une période donnée pour réduire la probabilité de succès d'une attaque en ligne par force brute, tout en évitant un seuil de 0 qui désactiverait toute protection.
Plan de Remédiation : Dans la Stratégie de verrouillage du compte, définir 'Seuil de verrouillage du compte' entre 1 et 10 tentatives de connexion non valides.
| Assujettir le compte Administrateur local intégré aux règles de verrouillage. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 (R10/R25) - Recommandations relatives à l'authentification multifacteur et aux mots de passe
État relevé : Conforme
| Réinitialiser le compteur de verrouillage du compte après 15 minutes ou plus. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Conforme
| S'assurer que le compte Invité local est désactivé. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 8 - Identifier nommément chaque personne accédant au système)
État relevé : Conforme
| Configurer le niveau d'authentification LAN Manager sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R72)
État relevé : Valeur attendue : 5
Risques & Impact : R72 (durcir la configuration de NTLM sur les systèmes) exige explicitement que le protocole NTLM ne soit utilisé que dans sa version NTLMv2 avec un chiffrement à 128 bits, et interdit les anciennes versions LM/NTLMv1 vulnérables au cassage et à l'interception.
Plan de Remédiation : Définir 'Sécurité réseau : niveau d'authentification LAN Manager' sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'.
Contrôle d'accès et cloisonnement
| Activer le contrôle de compte d'utilisateur (UAC). |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : R18 recommande d'appliquer les security baselines Microsoft (ou plus restrictives) sur les systèmes sensibles. L'UAC, activé par défaut dans ces baselines, isole les privilèges administrateur et exige une validation explicite pour toute action sensible.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\User Account Control: Run all administrators in Admin Approval Mode.
| Activer le mode d'approbation administrateur pour le compte Administrateur intégré. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Configurer le comportement de l'invite d'élévation pour les administrateurs sur 'Demander le consentement sur le bureau sécurisé'. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Configurer le comportement de l'invite d'élévation pour les utilisateurs standard sur 'Refuser automatiquement les demandes d'élévation'. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Activer la détection des installations d'applications pour exiger une élévation de privilèges. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Désactiver le filtrage du jeton de compte local pour les accès distants. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 0
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche des outils d'administration ou des attaquants d'exploiter des sessions SMB distantes avec les privilèges administratifs complets sans invite UAC.
Plan de Remédiation : Définir 'LocalAccountTokenFilterPolicy' à 0 dans le registre.
| Obliger l'utilisateur à appuyer sur Ctrl+Alt+Suppr. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Masquer le nom de la dernière personne connectée. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : évite de divulguer des identifiants valides à des personnes ayant un accès physique ou visuel à la console.
Plan de Remédiation : Activer l'option sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Don't display last signed-in.
| Définir un délai d'inactivité maximal de 900 secondes (15 minutes) ou moins. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : <=900
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) ; répond également au principe général de verrouillage systématique de la session en cas d'absence de l'utilisateur (Guide d'hygiène informatique, mesure 2).
Plan de Remédiation : Configurer l'inactivité à 900 secondes maximum sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Machine inactivity limit.
| Limiter à 2 ou moins le nombre de profils en cache local. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (durcissement usuel des identifiants en cache)
État relevé : Conforme
| Définir le comportement au retrait de la carte à puce sur verrouillage. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Pertinent lorsqu'une authentification forte par carte à puce est déployée (PG-078 R2/R39) : garantit que la machine se verrouille immédiatement si l'utilisateur retire sa carte.
Plan de Remédiation : Configurer sur 'Verrouiller' sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Smart card removal behavior.
| S'assurer qu'un message d'avertissement personnalisé est configuré pour s'afficher avant la connexion. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| S'assurer qu'un titre de fenêtre est défini pour la bannière d'avertissement. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : IsStringNotEmpty
Risques & Impact : Complète LegalNoticeText : garantit la présence d'un titre formel accompagnant l'avertissement de sécurité sur l'écran d'authentification, conformément aux security baselines Microsoft (R18).
Plan de Remédiation : Configurer un titre de message pour l'ouverture de session interactive.
Protection du système et des services
| Exécuter le sous-système LSASS (Local Security Authority Subsystem Service) en tant que processus protégé (PPL). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Protection des secrets d'authentification en mémoire vive)
État relevé : Conforme
| S'assurer que la protection contre la falsification (Tamper Protection) de Microsoft Defender est activée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Niveau de sécurité minimal du parc informatique)
État relevé : Conforme
| Activer la journalisation des blocs de scripts PowerShell sur le poste. |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R2, Annexe B.4.1)
État relevé : Conforme
| Le service de synchronisation d'horloge Windows (W32Time) ne doit pas être désactivé. |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R1 - Veiller à la synchronisation des horloges)
État relevé : Conforme
| Interdire l'utilisation de comptes locaux sans mot de passe à travers le réseau. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R20)
État relevé : Valeur attendue : 1
Risques & Impact : R20 impose la mise en place d'une politique de sécurité des mots de passe cohérente ; un compte local dépourvu de mot de passe et accessible via le réseau viole ce principe et ouvre une voie d'authentification triviale à un attaquant.
Plan de Remédiation : Activer le paramètre sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Accounts: Limit local account use of blank passwords to console logon only.
| Désactiver que l'ordinateur ne plante si le journal de sécurité est saturé. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 0
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : conserver cette option active expose la machine à des plantages brutaux (déni de service) si le journal de sécurité est saturé.
Plan de Remédiation : Désactiver le paramètre sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Audit: Shut down system immediately if unable to log security audits.
| Empêcher les utilisateurs standard d'installer eux-mêmes des pilotes d'imprimante. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Exiger le chiffrement ou la signature numérique Netlogon. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Désactiver le service de passerelle audio Bluetooth (BTAGService) s'il n'est pas utilisé. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Valeur attendue : 4
Risques & Impact : La mesure 14 impose de limiter les composants installés/actifs du parc informatique aux seuls nécessaires afin de réduire la surface d'attaque.
Plan de Remédiation : Configurer le type de démarrage du service sur 'Désactivé' via les Services Windows ou l'éditeur de stratégie.
| Désactiver le service de support Bluetooth (bthserv) si la technologie n'est pas exploitée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le gestionnaire de cartes téléchargées (MapsBroker). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de géolocalisation (lfsvc). |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Valeur attendue : 4
Risques & Impact : La mesure 14 impose de limiter les composants installés/actifs aux seuls nécessaires ; ce service est sans utilité sur un poste ou serveur d'entreprise et expose des données de localisation superflues.
Plan de Remédiation : Passer le service lfsvc en mode 'Désactivé'.
| Désactiver le spouleur d'impression (Spooler) sur les postes ou serveurs ne gérant pas d'imprimantes. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver impérativement le service de Registre à distance (Remote Registry). |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Valeur attendue : 4
Risques & Impact : La mesure 14 impose de limiter les services actifs aux seuls nécessaires. Ce service, actif, permet à des utilisateurs distants de modifier des clés de registre sur la machine, constituant un risque critique d'intrusion.
Plan de Remédiation : Configurer le service Remote Registry sur 'Désactivé'.
| Désactiver le service de découverte SSDP (SSDPSRV). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver l'hôte de périphérique UPnP (upnphost). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver la Gestion à distance Windows (WinRM) si l'administration PowerShell distante n'est pas exploitée. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante)
État relevé : Valeur attendue : 4
Risques & Impact : Le chapitre 5 de PA-099 impose d'encadrer et de restreindre l'usage des clients de connexion distante. Un service WinRM actif et non nécessaire élargit la surface d'attaque et peut permettre des mouvements latéraux en cas de compromission d'identifiants.
Plan de Remédiation : Désactiver le service WinRM sur les postes bureautiques standard, ou le restreindre strictement aux postes d'administration dédiés.
| Désactiver le service de gestion des accessoires Xbox (XboxGipSvc) sur les postes d'entreprise. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service OpenSSH SSH Server s'il n'est pas requis pour l'administration de la machine. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + Recommandations pour un usage sécurisé d'[OPEN]SSH, note technique, août 2016
État relevé : Valeur attendue : 4
Risques & Impact : La mesure 14 impose de limiter les services actifs aux seuls nécessaires ; si SSH est effectivement utilisé pour l'administration, la note technique d'août 2016 doit être suivie pour le sécuriser (algorithmes, authentification par clé, etc.).
Plan de Remédiation : Configurer le type de démarrage du service 'OpenSSH SSH Server' sur 'Désactivé' s'il n'est pas utilisé.
| Désactiver le service Bureau à distance (TermService) si la machine est gérée uniquement en physique. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante)
État relevé : Valeur attendue : 4
Risques & Impact : Le chapitre 5 de PA-099 impose d'encadrer et de restreindre les clients de connexion distante. Un service RDP actif sans nécessité expose la machine aux attaques par force brute et aux mouvements latéraux.
Plan de Remédiation : Configurer le type de démarrage du service 'Service Bureau à distance' sur 'Désactivé' s'il n'est pas nécessaire.
| Désactiver le service Serveur (LanmanServer) si le poste n'héberge aucun partage de fichiers ou d'imprimantes. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de rapport d'erreurs Windows (WerSvc). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Sécurité réseau et protocoles
| Sécurité RDP (Bureau à distance) : S'assurer que l'authentification au niveau du réseau (NLA) est obligatoire pour toute connexion distante. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante) + Application des security baselines Microsoft (R18)
État relevé : Conforme
| S'assurer que l'état du pare-feu pour le profil Domaine est configuré sur 'Activé'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Configurer les connexions entrantes du profil Domaine sur 'Bloquer (par défaut)'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Configurer 'Afficher une notification' sur 'Non' pour le profil Domaine. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| S'assurer que l'état du pare-feu pour le profil Privé est configuré sur 'Activé'. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Valeur attendue : 1
Risques & Impact : La mesure 17 impose l'activation du pare-feu local quel que soit le profil réseau actif, y compris sur un réseau privé approuvé.
Plan de Remédiation : Configurer 'Pare-feu WindowsProfil PrivéÉtat du pare-feu' sur 'Activé'.
| Configurer les connexions entrantes du profil Privé sur 'Bloquer'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| S'assurer que l'état du pare-feu pour le profil Public est configuré sur 'Activé'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Configurer les connexions entrantes du profil Public sur 'Bloquer'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Désactiver l'envoi de mots de passe en clair vers des serveurs tiers. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Configurer la coupure automatique des sessions SMB inactives après 15 minutes maximum. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Activer la signature numérique obligatoire pour le client SMB. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R76)
État relevé : Conforme
| Activer la signature numérique obligatoire pour le serveur SMB. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R76)
État relevé : Conforme
| Interdire la lecture anonyme des comptes SAM locaux. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche un utilisateur non authentifié de lister les comptes et groupes de la machine.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Network access: Do not allow anonymous enumeration of SAM accounts.
| Bloquer l'énumération anonyme des comptes SAM et des partages. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Interdire au Gestionnaire d'identités de stocker des mots de passe en cache réseau. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Conservation en mémoire vive des condensats NTLM et secrets Kerberos)
État relevé : Valeur attendue : 1
Risques & Impact : Le chapitre 4 traite des risques liés à la conservation de secrets d'authentification réutilisables sur les systèmes. Le Gestionnaire d'identités Windows peut mettre en cache des couples identifiants/mots de passe destinés à l'authentification réseau, qui pourraient être extraits par un attaquant.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Network access: Do not allow storage of passwords and credentials for network authentication.
| Désactiver l'application des permissions 'Tout le monde' aux utilisateurs anonymes. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Restreindre l'accès anonyme aux canaux nommés (Named Pipes) et aux partages. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Désactiver le protocole de partage de fichiers SMBv1 obsolète sur la machine. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (section 4.15.2.3)
État relevé : Valeur attendue : 0
Risques & Impact : PA-099 rappelle explicitement que SMBv1 est déprécié et de facto prohibé : il présente d'importants risques de sécurité historiques (ex. EternalBlue/WannaCry) et ne permet pas d'exiger la signature SMB imposée par R76.
Plan de Remédiation : Configurer la valeur DWORD 'SMB1' à 0 sous le chemin registre LanmanServer\Parameters ou désactiver la fonctionnalité Windows correspondante.
| Désactiver la résolution de noms NetBIOS (NetBIOS Name Resolution / NBT-NS) sur la machine. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 21 - Utiliser des protocoles réseaux sécurisés dès qu'ils existent)
État relevé : Conforme
| Désactiver le protocole de résolution de noms multicast local (LLMNR). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 21 - Utiliser des protocoles réseaux sécurisés dès qu'ils existent)
État relevé : Conforme
Intégrité logicielle et licences
| Configurer le comportement de téléchargement et d'installation des mises à jour automatiques. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 34 - Définir une politique de mise à jour des composants du SI)
État relevé : Conforme
| S'assurer que la désactivation des mises à jour automatiques n'est pas activée. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 34 - Définir une politique de mise à jour des composants du SI)
État relevé : Valeur attendue : 0
Risques & Impact : La mesure 34 impose une politique de mise à jour effective ; désactiver les mises à jour automatiques sans procédure de substitution documentée revient à ne pas appliquer les correctifs de sécurité publiés.
Plan de Remédiation : Définir 'Désactiver les mises à jour automatiques' sur 'Désactivé' ou 'Non configuré'.
Active Directory (Sécurité Avancée)
| Renouvellement du mot de passe du compte krbtgt (Golden Ticket). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R41)
État relevé : Conforme
| Aucune machine (hors contrôleur de domaine) ne doit avoir la délégation non contrainte activée. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R65)
État relevé : Conforme
| Aucun compte utilisateur ne doit avoir l'option 'Ne pas exiger de préauthentification Kerberos' activée. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R66/R67)
État relevé : Conforme
| Aucun compte membre des groupes Admins du domaine ou Enterprise Admins ne doit posséder de Service Principal Name (SPN). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R69/R70, section 4.13)
État relevé : Conforme
| Les groupes intégrés Opérateurs de serveur, Opérateurs de compte, Opérateurs de sauvegarde et Opérateurs d'impression doivent rester vides. |
CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R27) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
| Le nombre de comptes membres du groupe Admins du domaine doit être limité au strict nécessaire. |
CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R26/R30) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
| Tout compte marqué adminCount=1 mais n'appartenant plus à un groupe d'administration protégé doit être régularisé. |
CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R40) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
| Le mot de passe du compte Administrateur intégré du domaine doit être renouvelé régulièrement. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R44)
État relevé : Valeur attendue : <180
Risques & Impact : R44 : le compte Administrateur intégré (RID 500) ne peut pas être verrouillé et constitue une cible de choix ; un mot de passe ancien augmente la fenêtre d'exposition en cas de fuite ou de tentative de compromission.
Plan de Remédiation : Renouveler le mot de passe du compte Administrateur intégré et l'enregistrer dans un coffre-fort de mots de passe dédié aux comptes d'urgence (break-glass).
| La signature des échanges LDAP doit être exigée par les contrôleurs de domaine ('Domain controller: LDAP server signing requirements Enforcement'). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R75)
État relevé : Conforme
| Le LDAP channel binding token doit être exigé par les contrôleurs de domaine ('Domain controller: LDAP server channel binding token requirements'). |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R75)
État relevé : Valeur attendue : 2
Risques & Impact : R75 : sans channel binding, une session LDAPS peut être détournée via un relais NTLM malgré le chiffrement TLS, ce qui a permis des attaques critiques telles que la variante LDAP de PetitPotam/ZeroLogon.
Plan de Remédiation : Définir la valeur DWORD 'LdapEnforceChannelBinding' à 2 (Toujours) sous HKLM:\SYSTEM\CurrentControlSet\Services\NTDS\Parameters, ou via la stratégie 'Contrôleur de domaine : Configuration requise du jeton de liaison de canal du serveur LDAP'.
| Aucun mot de passe de Préférences de stratégie de groupe (GPP cpassword) ne doit être présent dans SYSVOL. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R13 - Protéger les données d'authentification stockées)
État relevé : Conforme
| Aucun compte utilisateur activé ne doit être resté inactif (sans connexion) depuis plus de 90 jours. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 5 - Disposer d'un inventaire exhaustif des comptes et le maintenir à jour)
État relevé : Valeur attendue : 0
Risques & Impact : La mesure 5 impose une revue périodique des comptes afin de supprimer les accès devenus obsolètes. Un compte activé mais inactif est une cible de choix : sa compromission ne sera détectée ni par son titulaire, ni par une activité anormale visible.
Plan de Remédiation : Identifier les comptes activés sans connexion depuis plus de 90 jours (Get-ADUser -Properties LastLogonDate) et les désactiver après validation auprès des services concernés.
| Aucun compte ordinateur activé ne doit exécuter un système d'exploitation en fin de support (Windows XP/Vista/7, Windows Server 2003/2008). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 35 - Anticiper la fin de la maintenance des logiciels et systèmes)
État relevé : Conforme
| Toute relation d'approbation externe ou de forêt doit avoir le filtrage SID (SID Filtering) activé. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 3 - Cloisonnement du SI en zones de confiance et relations d'approbation entre domaines)
État relevé : Conforme
| Aucun compte ne doit avoir explicitement DES ou RC4 (sans AES) activé dans ses types de chiffrement Kerberos supportés (msDS-SupportedEncryptionTypes). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Dangers de NTLM et Kerberos, en complément de R72 relatif au durcissement de NTLM)
État relevé : Conforme
Serveur DNS
| Empêcher le transfert de zone DNS (AXFR) à n'importe quel serveur non identifié. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-105 - Recommandations relatives aux architectures des services DNS
État relevé : Valeur attendue : 0
Risques & Impact : PA-105 impose de cloisonner l'architecture DNS et de ne pas divulguer la structure interne du système d'information. Un transfert de zone ouvert permet à un attaquant de cartographier instantanément et discrètement l'intégralité du domaine.
Plan de Remédiation : Dans le gestionnaire DNS, propriétés de la zone > Transferts de zone > Décocher 'Autoriser les transferts de zone' ou limiter strictement aux serveurs secondaires identifiés.
Journalisation et Audit Avancé (Stratégies d'audit Windows)
| Stratégie d'audit avancée [Connexion de compte] : Auditer la validation des informations d'identification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion de compte] : Auditer le service d'authentification Kerberos |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise les tentatives d'authentification auprès de la base de comptes locale ou d'Active Directory (Kerberos), essentielles pour détecter des attaques par force brute, du password spraying ou du Kerberoasting.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion de compte\Auditer le service d'authentification Kerberos sur 'Succès et échec'.
| Stratégie d'audit avancée [Connexion de compte] : Auditer les opérations de ticket de service Kerberos |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion de compte] : Auditer d'autres évènements d'ouverture/fermeture de session (connexion de compte) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes d'applications |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des comptes d'ordinateur |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes de distribution |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer d'autres évènements de gestion des comptes |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise la création, la modification et la suppression de comptes et de groupes, indispensable pour détecter la création de comptes de persistance ou l'ajout non autorisé à des groupes privilégiés.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Gestion du compte\Auditer d'autres évènements de gestion des comptes sur 'Succès et échec'.
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes de sécurité |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des comptes d'utilisateur |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer l'activité DPAPI |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise la création de processus et l'activité DPAPI, des sources majeures pour la détection d'exécution de code malveillant et l'investigation post-incident.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Suivi détaillé\Auditer l'activité DPAPI sur 'Succès et échec'.
| Stratégie d'audit avancée [Suivi détaillé] : Auditer l'activité Plug-and-Play (PNP) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer la création du processus |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer la fin du processus |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise la création de processus et l'activité DPAPI, des sources majeures pour la détection d'exécution de code malveillant et l'investigation post-incident.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Suivi détaillé\Auditer la fin du processus sur 'Aucun audit'.
| Stratégie d'audit avancée [Suivi détaillé] : Auditer les évènements RPC |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer le jeton d'audit ajusté à droite (ajustement des privilèges d'un jeton d'authentification) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer la réplication du service d'annuaire détaillé |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer l'accès au service d'annuaire |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer les modifications du service d'annuaire |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie, spécifique aux contrôleurs de domaine, journalise les accès et modifications apportés aux objets Active Directory, permettant de détecter une exfiltration ou une altération de l'annuaire. Génère les évènements 5136/5137/5138/5139/5141 détaillant la valeur avant/après modification d'un objet AD.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès au service d'annuaire\Auditer les modifications du service d'annuaire sur 'Succès et échec'.
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer la réplication du service d'annuaire |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie, spécifique aux contrôleurs de domaine, journalise les accès et modifications apportés aux objets Active Directory, permettant de détecter une exfiltration ou une altération de l'annuaire.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès au service d'annuaire\Auditer la réplication du service d'annuaire sur 'Succès et échec'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le verrouillage du compte |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer les revendications utilisateur/de périphérique |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode étendu IPsec |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'appartenance à un groupe |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode principal IPsec |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise les ouvertures et fermetures de session ainsi que les verrouillages de compte, au cœur de la détection de mouvement latéral et d'attaques par force brute.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion/déconnexion\Auditer le mode principal IPsec sur 'Aucun audit'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode rapide IPsec |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer la fermeture de session |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'ouverture de session |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le serveur NPS (Network Policy Server) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer d'autres évènements d'ouverture/fermeture de session |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'ouverture de session spéciale |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer l'application générée |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer les services de certification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le partage de fichiers détaillé |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le partage de fichiers |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le système de fichiers |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer la connexion de la plateforme de filtrage |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Échec
Risques & Impact : Cette catégorie journalise les accès aux fichiers, partages, registre et supports amovibles. ANSSI recommande de n'activer que les sous-catégories les plus signifiantes afin d'éviter une volumétrie excessive ; les accès fins à des ressources spécifiques sont à configurer via des SACL ciblées plutôt que par une activation globale.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès aux objets\Auditer la connexion de la plateforme de filtrage sur 'Échec'.
| Stratégie d'audit avancée [Accès aux objets] : Auditer le rejet de paquet par la plateforme de filtrage |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer la manipulation de handle |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer l'objet de noyau |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer d'autres évènements d'accès à l'objet |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le Registre |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le stockage amovible |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer SAM |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer la stratégie d'accès centralisée intermédiaire |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise les accès aux fichiers, partages, registre et supports amovibles. ANSSI recommande de n'activer que les sous-catégories les plus signifiantes afin d'éviter une volumétrie excessive ; les accès fins à des ressources spécifiques sont à configurer via des SACL ciblées plutôt que par une activation globale.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès aux objets\Auditer la stratégie d'accès centralisée intermédiaire sur 'Aucun audit'.
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'audit |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'authentification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'autorisation |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie de plateforme de filtrage |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie de niveau règle MPSSVC |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Échec
Risques & Impact : Cette catégorie journalise les modifications des stratégies de sécurité elles-mêmes (audit, authentification, autorisation, pare-feu) : un attaquant qui affaiblit ces stratégies pour effacer ses traces ou élever ses privilèges doit être détecté.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Modification de la stratégie\Auditer la modification de la stratégie de niveau règle MPSSVC sur 'Échec'.
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer d'autres évènements de modification de stratégie |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer l'utilisation des privilèges non sensibles |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer l'utilisation de privilèges sensibles |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer d'autres évènements d'utilisation de privilèges |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer le pilote IPSEC |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer d'autres évènements système |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer la modification de l'état de la sécurité |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer l'extension du système de sécurité |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer l'intégrité du système |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
VISIR CyberSuite • Document officiel généré pour l'assurance et la conformité technique.
