Dossier d'Audit de Sécurité & Conformité
Référentiel ANSSI • Cible : SRV-SQL01 (10.10.0.30) (Windows Server 2019)
Périmètre : SRV-SQL01 (10.10.0.30) (Windows Server 2019)
Score Global : 77%
Évalués : 145 points
Attestation d'évaluation et d'approbation technique :
Le présent rapport consigne l'examen automatisé de la posture de sécurité de l'infrastructure audite. L'analyse des configurations atteste d'un niveau de conformité de 77% par rapport aux recommandations de l'ANSSI. Les mécanismes de protection et d'authentification relevés permettent d'approuver officiellement le système audité au regard de la gestion des risques.
Gestion des authentifiants
| Configurer la stratégie pour exiger la mémorisation d'au moins 24 mots de passe uniques avant de pouvoir réutiliser un ancien mot de passe. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27)
État relevé : Valeur attendue : >=24
Risques & Impact : ANSSI (R27) recommande, lors du contrôle de robustesse d'un mot de passe, d'interdire la réutilisation d'un mot de passe parmi les derniers utilisés. ANSSI ne fixe pas de valeur précise : 24 est la valeur usuelle des référentiels Microsoft/CIS mettant en œuvre ce principe.
Plan de Remédiation : Aller dans Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies de comptes > Stratégie de mot de passe, puis définir 'Enregistrer l'historique des mots de passe' à 24 ou plus.
| Pour les comptes à privilèges (majoritaires sur les machines auditées par cet outil), imposer un renouvellement du mot de passe entre 1 et 3 ans (365 à 1095 jours) ; ne jamais laisser la valeur à 0 (expiration désactivée). |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R24/R25)
État relevé : Valeur attendue : 1-1095
Risques & Impact : ANSSI a fait évoluer sa position : R24 recommande de ne plus imposer par défaut d'expiration sur les comptes standards (une expiration trop fréquente pousse à des mots de passe itérés et donc plus faibles), mais R25 recommande d'imposer une expiration comprise entre 1 et 3 ans pour les comptes à privilèges (administrateurs). Ce contrôle porte sur la politique de mot de passe par défaut de la machine ; sur les postes et serveurs d'administration visés par cet audit, la posture R25 est retenue.
Plan de Remédiation : Configurer 'Âge maximal du mot de passe' entre 365 et 1095 jours (jamais 0) via l'éditeur de stratégie de groupe locale ; pour les comptes utilisateurs standards sans privilèges, évaluer si une expiration est réellement nécessaire (R24).
| Configurer l'âge minimal du mot de passe à 1 jour ou plus pour empêcher les modifications en chaîne. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27)
État relevé : Conforme
| Exiger une longueur minimale de 15 caractères ou plus pour tous les mots de passe locaux. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R21, Table 3)
État relevé : Valeur attendue : >=15
Risques & Impact : La table 3 de R21 fixe la longueur minimale recommandée selon le niveau de sensibilité visé : 9-11 caractères (faible à moyen), 12-14 (moyen à fort), au moins 15 (fort à très fort). Les machines et comptes concernés par cet audit relevant d'un niveau de sensibilité élevé, le seuil de 15 caractères est retenu.
Plan de Remédiation : Définir 'Longueur minimale du mot de passe' à 15 caractères ou plus dans les stratégies de mot de passe.
| Activer l'exigence de complexité pour obliger l'utilisation de majuscules, minuscules, chiffres et caractères spéciaux. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R23)
État relevé : Conforme
| Activer cette clé de registre pour lever la restriction historique limitant l'application de mots de passe longs au-delà de 14 caractères. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R22)
État relevé : Conforme
| Désactiver impérativement le stockage des mots de passe à l'aide d'un chiffrement réversible. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R13)
État relevé : Conforme
| Définir la durée de verrouillage du compte à 15 minutes ou plus. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Conforme
| Définir le seuil de verrouillage du compte entre 1 et 10 tentatives de connexion invalides (jamais 0, qui désactive le verrouillage). |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Valeur attendue : 1-10
Risques & Impact : R10 impose de limiter le nombre de tentatives d'authentification sur une période donnée pour réduire la probabilité de succès d'une attaque en ligne par force brute, tout en évitant un seuil de 0 qui désactiverait toute protection.
Plan de Remédiation : Dans la Stratégie de verrouillage du compte, définir 'Seuil de verrouillage du compte' entre 1 et 10 tentatives de connexion non valides.
| Assujettir le compte Administrateur local intégré aux règles de verrouillage. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 (R10/R25) - Recommandations relatives à l'authentification multifacteur et aux mots de passe
État relevé : Conforme
| Réinitialiser le compteur de verrouillage du compte après 15 minutes ou plus. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Valeur attendue : >=15
Risques & Impact : Complète la mise en œuvre de R10 (limitation temporelle des tentatives d'authentification) : un délai de réinitialisation trop court permettrait de reprendre une attaque par force brute dès la fin du verrouillage.
Plan de Remédiation : Dans la Stratégie de verrouillage du compte, définir 'Réinitialiser le compteur de verrouillage du compte après' à 15 minutes ou plus.
| S'assurer que le compte Invité local est désactivé. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 8 - Identifier nommément chaque personne accédant au système)
État relevé : Conforme
| Configurer le niveau d'authentification LAN Manager sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R72)
État relevé : Valeur attendue : 5
Risques & Impact : R72 (durcir la configuration de NTLM sur les systèmes) exige explicitement que le protocole NTLM ne soit utilisé que dans sa version NTLMv2 avec un chiffrement à 128 bits, et interdit les anciennes versions LM/NTLMv1 vulnérables au cassage et à l'interception.
Plan de Remédiation : Définir 'Sécurité réseau : niveau d'authentification LAN Manager' sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'.
Contrôle d'accès et cloisonnement
| Activer le contrôle de compte d'utilisateur (UAC). |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : R18 recommande d'appliquer les security baselines Microsoft (ou plus restrictives) sur les systèmes sensibles. L'UAC, activé par défaut dans ces baselines, isole les privilèges administrateur et exige une validation explicite pour toute action sensible.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\User Account Control: Run all administrators in Admin Approval Mode.
| Activer le mode d'approbation administrateur pour le compte Administrateur intégré. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Configurer le comportement de l'invite d'élévation pour les administrateurs sur 'Demander le consentement sur le bureau sécurisé'. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 2
Risques & Impact : Paramètre de durcissement UAC couvert par les security baselines Microsoft (R18) : empêche le piratage (spoofing) de la fenêtre de validation en l'isolant sur un bureau sécurisé non modifiable par des applications tierces.
Plan de Remédiation : Définir 'Comportement de l'invite d'élévation pour les administrateurs en mode d'approbation administrateur' sur 'Demander le consentement sur le bureau sécurisé'.
| Configurer le comportement de l'invite d'élévation pour les utilisateurs standard sur 'Refuser automatiquement les demandes d'élévation'. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Activer la détection des installations d'applications pour exiger une élévation de privilèges. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Désactiver le filtrage du jeton de compte local pour les accès distants. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Obliger l'utilisateur à appuyer sur Ctrl+Alt+Suppr. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Masquer le nom de la dernière personne connectée. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Définir un délai d'inactivité maximal de 900 secondes (15 minutes) ou moins. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : <=900
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) ; répond également au principe général de verrouillage systématique de la session en cas d'absence de l'utilisateur (Guide d'hygiène informatique, mesure 2).
Plan de Remédiation : Configurer l'inactivité à 900 secondes maximum sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Machine inactivity limit.
| Limiter à 2 ou moins le nombre de profils en cache local. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (durcissement usuel des identifiants en cache)
État relevé : Conforme
| Définir le comportement au retrait de la carte à puce sur verrouillage. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Pertinent lorsqu'une authentification forte par carte à puce est déployée (PG-078 R2/R39) : garantit que la machine se verrouille immédiatement si l'utilisateur retire sa carte.
Plan de Remédiation : Configurer sur 'Verrouiller' sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Smart card removal behavior.
| S'assurer qu'un message d'avertissement personnalisé est configuré pour s'afficher avant la connexion. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| S'assurer qu'un titre de fenêtre est défini pour la bannière d'avertissement. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : IsStringNotEmpty
Risques & Impact : Complète LegalNoticeText : garantit la présence d'un titre formel accompagnant l'avertissement de sécurité sur l'écran d'authentification, conformément aux security baselines Microsoft (R18).
Plan de Remédiation : Configurer un titre de message pour l'ouverture de session interactive.
Protection du système et des services
| Exécuter le sous-système LSASS (Local Security Authority Subsystem Service) en tant que processus protégé (PPL). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Protection des secrets d'authentification en mémoire vive)
État relevé : Conforme
| S'assurer que la protection contre la falsification (Tamper Protection) de Microsoft Defender est activée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Niveau de sécurité minimal du parc informatique)
État relevé : Conforme
| Activer la journalisation des blocs de scripts PowerShell sur le poste. |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R2, Annexe B.4.1)
État relevé : Conforme
| Le service de synchronisation d'horloge Windows (W32Time) ne doit pas être désactivé. |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R1 - Veiller à la synchronisation des horloges)
État relevé : Conforme
| Interdire l'utilisation de comptes locaux sans mot de passe à travers le réseau. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R20)
État relevé : Conforme
| Désactiver que l'ordinateur ne plante si le journal de sécurité est saturé. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Empêcher les utilisateurs standard d'installer eux-mêmes des pilotes d'imprimante. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Exiger le chiffrement ou la signature numérique Netlogon. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Désactiver le service de passerelle audio Bluetooth (BTAGService) s'il n'est pas utilisé. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de support Bluetooth (bthserv) si la technologie n'est pas exploitée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le gestionnaire de cartes téléchargées (MapsBroker). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de géolocalisation (lfsvc). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le spouleur d'impression (Spooler) sur les postes ou serveurs ne gérant pas d'imprimantes. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver impérativement le service de Registre à distance (Remote Registry). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de découverte SSDP (SSDPSRV). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver l'hôte de périphérique UPnP (upnphost). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver la Gestion à distance Windows (WinRM) si l'administration PowerShell distante n'est pas exploitée. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante)
État relevé : Valeur attendue : 4
Risques & Impact : Le chapitre 5 de PA-099 impose d'encadrer et de restreindre l'usage des clients de connexion distante. Un service WinRM actif et non nécessaire élargit la surface d'attaque et peut permettre des mouvements latéraux en cas de compromission d'identifiants.
Plan de Remédiation : Désactiver le service WinRM sur les postes bureautiques standard, ou le restreindre strictement aux postes d'administration dédiés.
| Désactiver le service de gestion des accessoires Xbox (XboxGipSvc) sur les postes d'entreprise. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service OpenSSH SSH Server s'il n'est pas requis pour l'administration de la machine. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + Recommandations pour un usage sécurisé d'[OPEN]SSH, note technique, août 2016
État relevé : Conforme
| Désactiver le service Bureau à distance (TermService) si la machine est gérée uniquement en physique. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante)
État relevé : Conforme
| Désactiver le service Serveur (LanmanServer) si le poste n'héberge aucun partage de fichiers ou d'imprimantes. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de rapport d'erreurs Windows (WerSvc). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Sécurité réseau et protocoles
| Sécurité RDP (Bureau à distance) : S'assurer que l'authentification au niveau du réseau (NLA) est obligatoire pour toute connexion distante. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante) + Application des security baselines Microsoft (R18)
État relevé : Conforme
| S'assurer que l'état du pare-feu pour le profil Domaine est configuré sur 'Activé'. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Valeur attendue : 1
Risques & Impact : La mesure 17 impose l'activation du pare-feu local afin de limiter les déplacements latéraux d'un attaquant ayant pris le contrôle d'un poste, les flux de poste à poste étant rares dans un réseau bureautique classique.
Plan de Remédiation : Configurer 'Pare-feu WindowsProfil DomaineÉtat du pare-feu' sur 'Activé' via la stratégie de groupe.
| Configurer les connexions entrantes du profil Domaine sur 'Bloquer (par défaut)'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Configurer 'Afficher une notification' sur 'Non' pour le profil Domaine. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| S'assurer que l'état du pare-feu pour le profil Privé est configuré sur 'Activé'. |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Valeur attendue : 1
Risques & Impact : La mesure 17 impose l'activation du pare-feu local quel que soit le profil réseau actif, y compris sur un réseau privé approuvé.
Plan de Remédiation : Configurer 'Pare-feu WindowsProfil PrivéÉtat du pare-feu' sur 'Activé'.
| Configurer les connexions entrantes du profil Privé sur 'Bloquer'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| S'assurer que l'état du pare-feu pour le profil Public est configuré sur 'Activé'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Configurer les connexions entrantes du profil Public sur 'Bloquer'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Désactiver l'envoi de mots de passe en clair vers des serveurs tiers. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Configurer la coupure automatique des sessions SMB inactives après 15 minutes maximum. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Activer la signature numérique obligatoire pour le client SMB. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R76)
État relevé : Conforme
| Activer la signature numérique obligatoire pour le serveur SMB. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R76)
État relevé : Valeur attendue : 1
Risques & Impact : R76 exige que les ressources exposant des partages SMB imposent la signature SMB pour ne pas être une cible des relais d'authentification NTLM (Net-NTLMv2 relay).
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Microsoft network server: Digitally sign communications (always).
| Interdire la lecture anonyme des comptes SAM locaux. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche un utilisateur non authentifié de lister les comptes et groupes de la machine.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Network access: Do not allow anonymous enumeration of SAM accounts.
| Bloquer l'énumération anonyme des comptes SAM et des partages. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Interdire au Gestionnaire d'identités de stocker des mots de passe en cache réseau. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Conservation en mémoire vive des condensats NTLM et secrets Kerberos)
État relevé : Conforme
| Désactiver l'application des permissions 'Tout le monde' aux utilisateurs anonymes. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Restreindre l'accès anonyme aux canaux nommés (Named Pipes) et aux partages. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Désactiver le protocole de partage de fichiers SMBv1 obsolète sur la machine. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (section 4.15.2.3)
État relevé : Valeur attendue : 0
Risques & Impact : PA-099 rappelle explicitement que SMBv1 est déprécié et de facto prohibé : il présente d'importants risques de sécurité historiques (ex. EternalBlue/WannaCry) et ne permet pas d'exiger la signature SMB imposée par R76.
Plan de Remédiation : Configurer la valeur DWORD 'SMB1' à 0 sous le chemin registre LanmanServer\Parameters ou désactiver la fonctionnalité Windows correspondante.
| Désactiver la résolution de noms NetBIOS (NetBIOS Name Resolution / NBT-NS) sur la machine. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 21 - Utiliser des protocoles réseaux sécurisés dès qu'ils existent)
État relevé : Conforme
| Désactiver le protocole de résolution de noms multicast local (LLMNR). |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 21 - Utiliser des protocoles réseaux sécurisés dès qu'ils existent)
État relevé : Valeur attendue : 0
Risques & Impact : Comme pour NetBIOS, la mesure 21 impose d'abandonner les protocoles non sécurisés. LLMNR est vulnérable aux mêmes attaques d'empoisonnement de cache et d'écoute réseau que NetBIOS, exploitées pour capturer puis relayer des condensats NTLM (cf. ANSSI-PA-099, chapitre 4).
Plan de Remédiation : Créer ou modifier la valeur DWORD 'EnableMulticast' à 0 sous le chemin registre Policies\Microsoft\Windows NT\DNSClient.
Intégrité logicielle et licences
| Configurer le comportement de téléchargement et d'installation des mises à jour automatiques. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 34 - Définir une politique de mise à jour des composants du SI)
État relevé : Conforme
| S'assurer que la désactivation des mises à jour automatiques n'est pas activée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 34 - Définir une politique de mise à jour des composants du SI)
État relevé : Conforme
Active Directory (Sécurité Avancée)
| Renouvellement du mot de passe du compte krbtgt (Golden Ticket). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R41)
État relevé : Conforme
| Aucune machine (hors contrôleur de domaine) ne doit avoir la délégation non contrainte activée. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R65)
État relevé : Conforme
| Aucun compte utilisateur ne doit avoir l'option 'Ne pas exiger de préauthentification Kerberos' activée. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R66/R67)
État relevé : Conforme
| Aucun compte membre des groupes Admins du domaine ou Enterprise Admins ne doit posséder de Service Principal Name (SPN). |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R69/R70, section 4.13)
État relevé : Valeur attendue : 0
Risques & Impact : PA-099 détaille en section 4.13 les dangers des attaques par Kerberoasting : un compte à privilèges possédant un SPN expose son secret réutilisable à une attaque hors ligne, pouvant mener à la compromission complète du domaine.
Plan de Remédiation : Retirer le SPN du compte ou migrer le service concerné vers un compte de service managé (gMSA) dépourvu de privilèges d'administration du domaine.
| Les groupes intégrés Opérateurs de serveur, Opérateurs de compte, Opérateurs de sauvegarde et Opérateurs d'impression doivent rester vides. |
NON CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R27) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Valeur attendue : 0
Risques & Impact : R27 : l'appartenance à ces groupes prédéfinis équivaut de fait à un statut d'Administrateur du domaine sur les contrôleurs de domaine ; leur usage doit être remplacé par des groupes de sécurité dédiés et des délégations fines. NP-17 (2014) n'est plus diffusé par l'ANSSI, mais ce principe reste intégralement valide et cohérent avec le modèle Tier 0 d'ANSSI-PA-099 (2023).
Plan de Remédiation : Retirer tous les membres des groupes Server Operators, Account Operators, Backup Operators et Print Operators, et créer des groupes de sécurité dédiés avec délégation fine si nécessaire.
| Le nombre de comptes membres du groupe Admins du domaine doit être limité au strict nécessaire. |
CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R26/R30) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
| Tout compte marqué adminCount=1 mais n'appartenant plus à un groupe d'administration protégé doit être régularisé. |
CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R40) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
| Le mot de passe du compte Administrateur intégré du domaine doit être renouvelé régulièrement. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R44)
État relevé : Conforme
| La signature des échanges LDAP doit être exigée par les contrôleurs de domaine ('Domain controller: LDAP server signing requirements Enforcement'). |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R75)
État relevé : Valeur attendue : 2
Risques & Impact : R75 (protéger les services LDAP contre les relais NTLM) : sans signature obligatoire, les échanges LDAP en clair peuvent être interceptés et relayés (relais NTLM vers LDAP), permettant à un attaquant de s'authentifier et d'agir avec les droits de la victime.
Plan de Remédiation : Définir la valeur DWORD 'LDAPServerIntegrity' à 2 (Exiger la signature) sous HKLM:\SYSTEM\CurrentControlSet\Services\NTDS\Parameters, ou via la stratégie 'Contrôleur de domaine : Configuration requise pour la signature du serveur LDAP'.
| Le LDAP channel binding token doit être exigé par les contrôleurs de domaine ('Domain controller: LDAP server channel binding token requirements'). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R75)
État relevé : Conforme
| Aucun mot de passe de Préférences de stratégie de groupe (GPP cpassword) ne doit être présent dans SYSVOL. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R13 - Protéger les données d'authentification stockées)
État relevé : Conforme
| Aucun compte utilisateur activé ne doit être resté inactif (sans connexion) depuis plus de 90 jours. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 5 - Disposer d'un inventaire exhaustif des comptes et le maintenir à jour)
État relevé : Conforme
| Aucun compte ordinateur activé ne doit exécuter un système d'exploitation en fin de support (Windows XP/Vista/7, Windows Server 2003/2008). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 35 - Anticiper la fin de la maintenance des logiciels et systèmes)
État relevé : Conforme
| Toute relation d'approbation externe ou de forêt doit avoir le filtrage SID (SID Filtering) activé. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 3 - Cloisonnement du SI en zones de confiance et relations d'approbation entre domaines)
État relevé : Conforme
| Aucun compte ne doit avoir explicitement DES ou RC4 (sans AES) activé dans ses types de chiffrement Kerberos supportés (msDS-SupportedEncryptionTypes). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Dangers de NTLM et Kerberos, en complément de R72 relatif au durcissement de NTLM)
État relevé : Conforme
Serveur DNS
| Empêcher le transfert de zone DNS (AXFR) à n'importe quel serveur non identifié. |
CONFORME |
Réf ANSSI : ANSSI-PA-105 - Recommandations relatives aux architectures des services DNS
État relevé : Conforme
Journalisation et Audit Avancé (Stratégies d'audit Windows)
| Stratégie d'audit avancée [Connexion de compte] : Auditer la validation des informations d'identification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion de compte] : Auditer le service d'authentification Kerberos |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise les tentatives d'authentification auprès de la base de comptes locale ou d'Active Directory (Kerberos), essentielles pour détecter des attaques par force brute, du password spraying ou du Kerberoasting.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion de compte\Auditer le service d'authentification Kerberos sur 'Succès et échec'.
| Stratégie d'audit avancée [Connexion de compte] : Auditer les opérations de ticket de service Kerberos |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion de compte] : Auditer d'autres évènements d'ouverture/fermeture de session (connexion de compte) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes d'applications |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des comptes d'ordinateur |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes de distribution |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer d'autres évènements de gestion des comptes |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes de sécurité |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des comptes d'utilisateur |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer l'activité DPAPI |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer l'activité Plug-and-Play (PNP) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer la création du processus |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer la fin du processus |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise la création de processus et l'activité DPAPI, des sources majeures pour la détection d'exécution de code malveillant et l'investigation post-incident.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Suivi détaillé\Auditer la fin du processus sur 'Aucun audit'.
| Stratégie d'audit avancée [Suivi détaillé] : Auditer les évènements RPC |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer le jeton d'audit ajusté à droite (ajustement des privilèges d'un jeton d'authentification) |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise la création de processus et l'activité DPAPI, des sources majeures pour la détection d'exécution de code malveillant et l'investigation post-incident. Journaliser les réussites est intéressant mais s'avère trop verbeux au regard de la valeur ajoutée de ces évènements (note ANSSI).
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Suivi détaillé\Auditer le jeton d'audit ajusté à droite (ajustement des privilèges d'un jeton d'authentification) sur 'Aucun audit'.
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer la réplication du service d'annuaire détaillé |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer l'accès au service d'annuaire |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie, spécifique aux contrôleurs de domaine, journalise les accès et modifications apportés aux objets Active Directory, permettant de détecter une exfiltration ou une altération de l'annuaire.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès au service d'annuaire\Auditer l'accès au service d'annuaire sur 'Succès et échec'.
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer les modifications du service d'annuaire |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer la réplication du service d'annuaire |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le verrouillage du compte |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer les revendications utilisateur/de périphérique |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise les ouvertures et fermetures de session ainsi que les verrouillages de compte, au cœur de la détection de mouvement latéral et d'attaques par force brute.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion/déconnexion\Auditer les revendications utilisateur/de périphérique sur 'Aucun audit'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode étendu IPsec |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'appartenance à un groupe |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode principal IPsec |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise les ouvertures et fermetures de session ainsi que les verrouillages de compte, au cœur de la détection de mouvement latéral et d'attaques par force brute.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion/déconnexion\Auditer le mode principal IPsec sur 'Aucun audit'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode rapide IPsec |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise les ouvertures et fermetures de session ainsi que les verrouillages de compte, au cœur de la détection de mouvement latéral et d'attaques par force brute.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion/déconnexion\Auditer le mode rapide IPsec sur 'Aucun audit'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer la fermeture de session |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'ouverture de session |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise les ouvertures et fermetures de session ainsi que les verrouillages de compte, au cœur de la détection de mouvement latéral et d'attaques par force brute. Génère les évènements 4624 (succès) et 4625 (échec), fondamentaux pour détecter une attaque par force brute ou un accès illégitime.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion/déconnexion\Auditer l'ouverture de session sur 'Succès et échec'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le serveur NPS (Network Policy Server) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer d'autres évènements d'ouverture/fermeture de session |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'ouverture de session spéciale |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer l'application générée |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise les accès aux fichiers, partages, registre et supports amovibles. ANSSI recommande de n'activer que les sous-catégories les plus signifiantes afin d'éviter une volumétrie excessive ; les accès fins à des ressources spécifiques sont à configurer via des SACL ciblées plutôt que par une activation globale.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès aux objets\Auditer l'application générée sur 'Aucun audit'.
| Stratégie d'audit avancée [Accès aux objets] : Auditer les services de certification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le partage de fichiers détaillé |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le partage de fichiers |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le système de fichiers |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Échec
Risques & Impact : Cette catégorie journalise les accès aux fichiers, partages, registre et supports amovibles. ANSSI recommande de n'activer que les sous-catégories les plus signifiantes afin d'éviter une volumétrie excessive ; les accès fins à des ressources spécifiques sont à configurer via des SACL ciblées plutôt que par une activation globale. Doit être activée pour que les SACL d'audit positionnées sur des fichiers/dossiers spécifiques soient effectivement appliquées.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès aux objets\Auditer le système de fichiers sur 'Échec'.
| Stratégie d'audit avancée [Accès aux objets] : Auditer la connexion de la plateforme de filtrage |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le rejet de paquet par la plateforme de filtrage |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer la manipulation de handle |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer l'objet de noyau |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer d'autres évènements d'accès à l'objet |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le Registre |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le stockage amovible |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer SAM |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise les accès aux fichiers, partages, registre et supports amovibles. ANSSI recommande de n'activer que les sous-catégories les plus signifiantes afin d'éviter une volumétrie excessive ; les accès fins à des ressources spécifiques sont à configurer via des SACL ciblées plutôt que par une activation globale.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès aux objets\Auditer SAM sur 'Aucun audit'.
| Stratégie d'audit avancée [Accès aux objets] : Auditer la stratégie d'accès centralisée intermédiaire |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'audit |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'authentification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'autorisation |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie de plateforme de filtrage |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie de niveau règle MPSSVC |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer d'autres évènements de modification de stratégie |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer l'utilisation des privilèges non sensibles |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer l'utilisation de privilèges sensibles |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer d'autres évènements d'utilisation de privilèges |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer le pilote IPSEC |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer d'autres évènements système |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer la modification de l'état de la sécurité |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer l'extension du système de sécurité |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise les évènements système fondamentaux (démarrage/arrêt, modification de l'état de sécurité), une base minimale pour toute investigation. Détecte le chargement d'extensions du sous-système de sécurité (ex. nouveau package d'authentification), un vecteur de persistance furtif.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Système\Auditer l'extension du système de sécurité sur 'Succès et échec'.
| Stratégie d'audit avancée [Système] : Auditer l'intégrité du système |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
VISIR CyberSuite • Document officiel généré pour l'assurance et la conformité technique.
