Dossier d'Audit de Sécurité & Conformité
Référentiel ANSSI • Cible : DESKTOP-DEMO (192.168.56.1) (Windows 11 Pro)
Périmètre : DESKTOP-DEMO (192.168.56.1) (Windows 11 Pro)
Score Global : 85%
Évalués : 145 points
Attestation d'évaluation et d'approbation technique :
Le présent rapport consigne l'examen automatisé de la posture de sécurité de l'infrastructure audite. L'analyse des configurations atteste d'un niveau de conformité de 85% par rapport aux recommandations de l'ANSSI. Les mécanismes de protection et d'authentification relevés permettent d'approuver officiellement le système audité au regard de la gestion des risques.
Gestion des authentifiants
| Configurer la stratégie pour exiger la mémorisation d'au moins 24 mots de passe uniques avant de pouvoir réutiliser un ancien mot de passe. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27)
État relevé : Valeur attendue : >=24
Risques & Impact : ANSSI (R27) recommande, lors du contrôle de robustesse d'un mot de passe, d'interdire la réutilisation d'un mot de passe parmi les derniers utilisés. ANSSI ne fixe pas de valeur précise : 24 est la valeur usuelle des référentiels Microsoft/CIS mettant en œuvre ce principe.
Plan de Remédiation : Aller dans Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies de comptes > Stratégie de mot de passe, puis définir 'Enregistrer l'historique des mots de passe' à 24 ou plus.
| Pour les comptes à privilèges (majoritaires sur les machines auditées par cet outil), imposer un renouvellement du mot de passe entre 1 et 3 ans (365 à 1095 jours) ; ne jamais laisser la valeur à 0 (expiration désactivée). |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R24/R25)
État relevé : Valeur attendue : 1-1095
Risques & Impact : ANSSI a fait évoluer sa position : R24 recommande de ne plus imposer par défaut d'expiration sur les comptes standards (une expiration trop fréquente pousse à des mots de passe itérés et donc plus faibles), mais R25 recommande d'imposer une expiration comprise entre 1 et 3 ans pour les comptes à privilèges (administrateurs). Ce contrôle porte sur la politique de mot de passe par défaut de la machine ; sur les postes et serveurs d'administration visés par cet audit, la posture R25 est retenue.
Plan de Remédiation : Configurer 'Âge maximal du mot de passe' entre 365 et 1095 jours (jamais 0) via l'éditeur de stratégie de groupe locale ; pour les comptes utilisateurs standards sans privilèges, évaluer si une expiration est réellement nécessaire (R24).
| Configurer l'âge minimal du mot de passe à 1 jour ou plus pour empêcher les modifications en chaîne. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R27)
État relevé : Conforme
| Exiger une longueur minimale de 15 caractères ou plus pour tous les mots de passe locaux. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R21, Table 3)
État relevé : Valeur attendue : >=15
Risques & Impact : La table 3 de R21 fixe la longueur minimale recommandée selon le niveau de sensibilité visé : 9-11 caractères (faible à moyen), 12-14 (moyen à fort), au moins 15 (fort à très fort). Les machines et comptes concernés par cet audit relevant d'un niveau de sensibilité élevé, le seuil de 15 caractères est retenu.
Plan de Remédiation : Définir 'Longueur minimale du mot de passe' à 15 caractères ou plus dans les stratégies de mot de passe.
| Activer l'exigence de complexité pour obliger l'utilisation de majuscules, minuscules, chiffres et caractères spéciaux. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R23)
État relevé : Conforme
| Activer cette clé de registre pour lever la restriction historique limitant l'application de mots de passe longs au-delà de 14 caractères. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R22)
État relevé : Conforme
| Désactiver impérativement le stockage des mots de passe à l'aide d'un chiffrement réversible. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R13)
État relevé : Conforme
| Définir la durée de verrouillage du compte à 15 minutes ou plus. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Conforme
| Définir le seuil de verrouillage du compte entre 1 et 10 tentatives de connexion invalides (jamais 0, qui désactive le verrouillage). |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Valeur attendue : 1-10
Risques & Impact : R10 impose de limiter le nombre de tentatives d'authentification sur une période donnée pour réduire la probabilité de succès d'une attaque en ligne par force brute, tout en évitant un seuil de 0 qui désactiverait toute protection.
Plan de Remédiation : Dans la Stratégie de verrouillage du compte, définir 'Seuil de verrouillage du compte' entre 1 et 10 tentatives de connexion non valides.
| Assujettir le compte Administrateur local intégré aux règles de verrouillage. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 (R10/R25) - Recommandations relatives à l'authentification multifacteur et aux mots de passe
État relevé : Conforme
| Réinitialiser le compteur de verrouillage du compte après 15 minutes ou plus. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R10)
État relevé : Conforme
| S'assurer que le compte Invité local est désactivé. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 8 - Identifier nommément chaque personne accédant au système)
État relevé : Conforme
| Configurer le niveau d'authentification LAN Manager sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R72)
État relevé : Valeur attendue : 5
Risques & Impact : R72 (durcir la configuration de NTLM sur les systèmes) exige explicitement que le protocole NTLM ne soit utilisé que dans sa version NTLMv2 avec un chiffrement à 128 bits, et interdit les anciennes versions LM/NTLMv1 vulnérables au cassage et à l'interception.
Plan de Remédiation : Définir 'Sécurité réseau : niveau d'authentification LAN Manager' sur 'Envoyer uniquement des réponses NTLMv2. Refuser LM et NTLM'.
Contrôle d'accès et cloisonnement
| Activer le contrôle de compte d'utilisateur (UAC). |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : R18 recommande d'appliquer les security baselines Microsoft (ou plus restrictives) sur les systèmes sensibles. L'UAC, activé par défaut dans ces baselines, isole les privilèges administrateur et exige une validation explicite pour toute action sensible.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\User Account Control: Run all administrators in Admin Approval Mode.
| Activer le mode d'approbation administrateur pour le compte Administrateur intégré. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : force le compte Administrateur natif à valider les actions sensibles via l'UAC, évitant l'exécution silencieuse de code malveillant avec des privilèges maximaux.
Plan de Remédiation : Activer le paramètre 'Contrôle de compte d'utilisateur : Mode d'approbation administrateur pour le compte Administrateur' via les stratégies de sécurité.
| Configurer le comportement de l'invite d'élévation pour les administrateurs sur 'Demander le consentement sur le bureau sécurisé'. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Configurer le comportement de l'invite d'élévation pour les utilisateurs standard sur 'Refuser automatiquement les demandes d'élévation'. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Activer la détection des installations d'applications pour exiger une élévation de privilèges. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Désactiver le filtrage du jeton de compte local pour les accès distants. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Obliger l'utilisateur à appuyer sur Ctrl+Alt+Suppr. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Masquer le nom de la dernière personne connectée. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : évite de divulguer des identifiants valides à des personnes ayant un accès physique ou visuel à la console.
Plan de Remédiation : Activer l'option sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Don't display last signed-in.
| Définir un délai d'inactivité maximal de 900 secondes (15 minutes) ou moins. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : <=900
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) ; répond également au principe général de verrouillage systématique de la session en cas d'absence de l'utilisateur (Guide d'hygiène informatique, mesure 2).
Plan de Remédiation : Configurer l'inactivité à 900 secondes maximum sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Machine inactivity limit.
| Limiter à 2 ou moins le nombre de profils en cache local. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (durcissement usuel des identifiants en cache)
État relevé : Conforme
| Définir le comportement au retrait de la carte à puce sur verrouillage. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| S'assurer qu'un message d'avertissement personnalisé est configuré pour s'afficher avant la connexion. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| S'assurer qu'un titre de fenêtre est défini pour la bannière d'avertissement. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
Protection du système et des services
| Exécuter le sous-système LSASS (Local Security Authority Subsystem Service) en tant que processus protégé (PPL). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Protection des secrets d'authentification en mémoire vive)
État relevé : Conforme
| S'assurer que la protection contre la falsification (Tamper Protection) de Microsoft Defender est activée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Niveau de sécurité minimal du parc informatique)
État relevé : Conforme
| Activer la journalisation des blocs de scripts PowerShell sur le poste. |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R2, Annexe B.4.1)
État relevé : Valeur attendue : 1
Risques & Impact : R2 impose d'activer les journaux Windows utiles à la détection, dont le journal Microsoft-Windows-PowerShell/Operational détaillé en annexe B.4.1 : l'activation de la journalisation des blocs de script y est explicitement recommandée, PowerShell étant un vecteur majeur d'attaques 'living-off-the-land'.
Plan de Remédiation : Activer la stratégie 'Activer la journalisation des blocs de script PowerShell' (valeur DWORD 'EnableScriptBlockLogging' à 1).
| Le service de synchronisation d'horloge Windows (W32Time) ne doit pas être désactivé. |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R1 - Veiller à la synchronisation des horloges)
État relevé : Conforme
| Interdire l'utilisation de comptes locaux sans mot de passe à travers le réseau. |
NON CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R20)
État relevé : Valeur attendue : 1
Risques & Impact : R20 impose la mise en place d'une politique de sécurité des mots de passe cohérente ; un compte local dépourvu de mot de passe et accessible via le réseau viole ce principe et ouvre une voie d'authentification triviale à un attaquant.
Plan de Remédiation : Activer le paramètre sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Accounts: Limit local account use of blank passwords to console logon only.
| Désactiver que l'ordinateur ne plante si le journal de sécurité est saturé. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Empêcher les utilisateurs standard d'installer eux-mêmes des pilotes d'imprimante. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Exiger le chiffrement ou la signature numérique Netlogon. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Désactiver le service de passerelle audio Bluetooth (BTAGService) s'il n'est pas utilisé. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de support Bluetooth (bthserv) si la technologie n'est pas exploitée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le gestionnaire de cartes téléchargées (MapsBroker). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de géolocalisation (lfsvc). |
NON CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Valeur attendue : 4
Risques & Impact : La mesure 14 impose de limiter les composants installés/actifs aux seuls nécessaires ; ce service est sans utilité sur un poste ou serveur d'entreprise et expose des données de localisation superflues.
Plan de Remédiation : Passer le service lfsvc en mode 'Désactivé'.
| Désactiver le spouleur d'impression (Spooler) sur les postes ou serveurs ne gérant pas d'imprimantes. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver impérativement le service de Registre à distance (Remote Registry). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de découverte SSDP (SSDPSRV). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver l'hôte de périphérique UPnP (upnphost). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver la Gestion à distance Windows (WinRM) si l'administration PowerShell distante n'est pas exploitée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante)
État relevé : Conforme
| Désactiver le service de gestion des accessoires Xbox (XboxGipSvc) sur les postes d'entreprise. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service OpenSSH SSH Server s'il n'est pas requis pour l'administration de la machine. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + Recommandations pour un usage sécurisé d'[OPEN]SSH, note technique, août 2016
État relevé : Conforme
| Désactiver le service Bureau à distance (TermService) si la machine est gérée uniquement en physique. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14) + ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante)
État relevé : Conforme
| Désactiver le service Serveur (LanmanServer) si le poste n'héberge aucun partage de fichiers ou d'imprimantes. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
| Désactiver le service de rapport d'erreurs Windows (WerSvc). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 14 - Limiter les applications et services aux seuls nécessaires)
État relevé : Conforme
Sécurité réseau et protocoles
| Sécurité RDP (Bureau à distance) : S'assurer que l'authentification au niveau du réseau (NLA) est obligatoire pour toute connexion distante. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 5 - Encadrement des clients de connexion distante) + Application des security baselines Microsoft (R18)
État relevé : Conforme
| S'assurer que l'état du pare-feu pour le profil Domaine est configuré sur 'Activé'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Configurer les connexions entrantes du profil Domaine sur 'Bloquer (par défaut)'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Configurer 'Afficher une notification' sur 'Non' pour le profil Domaine. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| S'assurer que l'état du pare-feu pour le profil Privé est configuré sur 'Activé'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Configurer les connexions entrantes du profil Privé sur 'Bloquer'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| S'assurer que l'état du pare-feu pour le profil Public est configuré sur 'Activé'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Configurer les connexions entrantes du profil Public sur 'Bloquer'. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 17 - Activer et configurer le pare-feu local des postes de travail)
État relevé : Conforme
| Désactiver l'envoi de mots de passe en clair vers des serveurs tiers. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Configurer la coupure automatique des sessions SMB inactives après 15 minutes maximum. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : <=15
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : libère les ressources du serveur et limite l'exposition des sessions ouvertes abandonnées.
Plan de Remédiation : Configurer à 15 minutes maximum sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Microsoft network server: Amount of idle time required before suspending session.
| Activer la signature numérique obligatoire pour le client SMB. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R76)
État relevé : Conforme
| Activer la signature numérique obligatoire pour le serveur SMB. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R76)
État relevé : Conforme
| Interdire la lecture anonyme des comptes SAM locaux. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Valeur attendue : 1
Risques & Impact : Paramètre couvert par les security baselines Microsoft (R18) : empêche un utilisateur non authentifié de lister les comptes et groupes de la machine.
Plan de Remédiation : Activer sous Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Network access: Do not allow anonymous enumeration of SAM accounts.
| Bloquer l'énumération anonyme des comptes SAM et des partages. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Interdire au Gestionnaire d'identités de stocker des mots de passe en cache réseau. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Conservation en mémoire vive des condensats NTLM et secrets Kerberos)
État relevé : Conforme
| Désactiver l'application des permissions 'Tout le monde' aux utilisateurs anonymes. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Restreindre l'accès anonyme aux canaux nommés (Named Pipes) et aux partages. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (R18) - Application des security baselines Microsoft
État relevé : Conforme
| Désactiver le protocole de partage de fichiers SMBv1 obsolète sur la machine. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (section 4.15.2.3)
État relevé : Valeur attendue : 0
Risques & Impact : PA-099 rappelle explicitement que SMBv1 est déprécié et de facto prohibé : il présente d'importants risques de sécurité historiques (ex. EternalBlue/WannaCry) et ne permet pas d'exiger la signature SMB imposée par R76.
Plan de Remédiation : Configurer la valeur DWORD 'SMB1' à 0 sous le chemin registre LanmanServer\Parameters ou désactiver la fonctionnalité Windows correspondante.
| Désactiver la résolution de noms NetBIOS (NetBIOS Name Resolution / NBT-NS) sur la machine. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 21 - Utiliser des protocoles réseaux sécurisés dès qu'ils existent)
État relevé : Conforme
| Désactiver le protocole de résolution de noms multicast local (LLMNR). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 21 - Utiliser des protocoles réseaux sécurisés dès qu'ils existent)
État relevé : Conforme
Intégrité logicielle et licences
| Configurer le comportement de téléchargement et d'installation des mises à jour automatiques. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 34 - Définir une politique de mise à jour des composants du SI)
État relevé : Conforme
| S'assurer que la désactivation des mises à jour automatiques n'est pas activée. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 34 - Définir une politique de mise à jour des composants du SI)
État relevé : Conforme
Active Directory (Sécurité Avancée)
| Renouvellement du mot de passe du compte krbtgt (Golden Ticket). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R41)
État relevé : Conforme
| Aucune machine (hors contrôleur de domaine) ne doit avoir la délégation non contrainte activée. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R65)
État relevé : Conforme
| Aucun compte utilisateur ne doit avoir l'option 'Ne pas exiger de préauthentification Kerberos' activée. |
NON CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R66/R67)
État relevé : Valeur attendue : 0
Risques & Impact : R66/R67 (préserver la préauthentification Kerberos) : un compte sans préauthentification expose son secret réutilisable à une attaque hors ligne dite 'AS-REP Roasting', permettant de retrouver le mot de passe du compte sans générer d'alerte.
Plan de Remédiation : Dans les propriétés du compte (onglet Compte), décocher 'Ne pas exiger de préauthentification Kerberos' ou positionner l'attribut userAccountControl en conséquence.
| Aucun compte membre des groupes Admins du domaine ou Enterprise Admins ne doit posséder de Service Principal Name (SPN). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R69/R70, section 4.13)
État relevé : Conforme
| Les groupes intégrés Opérateurs de serveur, Opérateurs de compte, Opérateurs de sauvegarde et Opérateurs d'impression doivent rester vides. |
CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R27) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
| Le nombre de comptes membres du groupe Admins du domaine doit être limité au strict nécessaire. |
CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R26/R30) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
| Tout compte marqué adminCount=1 mais n'appartenant plus à un groupe d'administration protégé doit être régularisé. |
CONFORME |
Réf ANSSI : ANSSI-NP-17 - Recommandations de sécurité relatives à Active Directory, 2014 (R40) - document retiré du corpus public ANSSI, principe repris par la doctrine de cloisonnement Tier 0 d'ANSSI-PA-099
État relevé : Conforme
| Le mot de passe du compte Administrateur intégré du domaine doit être renouvelé régulièrement. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R44)
État relevé : Conforme
| La signature des échanges LDAP doit être exigée par les contrôleurs de domaine ('Domain controller: LDAP server signing requirements Enforcement'). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R75)
État relevé : Conforme
| Le LDAP channel binding token doit être exigé par les contrôleurs de domaine ('Domain controller: LDAP server channel binding token requirements'). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 - Recommandations relatives à l'administration sécurisée des SI reposant sur Microsoft Active Directory (R75)
État relevé : Conforme
| Aucun mot de passe de Préférences de stratégie de groupe (GPP cpassword) ne doit être présent dans SYSVOL. |
CONFORME |
Réf ANSSI : ANSSI-PG-078 - Recommandations relatives à l'authentification multifacteur et aux mots de passe (R13 - Protéger les données d'authentification stockées)
État relevé : Conforme
| Aucun compte utilisateur activé ne doit être resté inactif (sans connexion) depuis plus de 90 jours. |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 5 - Disposer d'un inventaire exhaustif des comptes et le maintenir à jour)
État relevé : Conforme
| Aucun compte ordinateur activé ne doit exécuter un système d'exploitation en fin de support (Windows XP/Vista/7, Windows Server 2003/2008). |
CONFORME |
Réf ANSSI : ANSSI - Guide d'hygiène informatique (Mesure 35 - Anticiper la fin de la maintenance des logiciels et systèmes)
État relevé : Conforme
| Toute relation d'approbation externe ou de forêt doit avoir le filtrage SID (SID Filtering) activé. |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 3 - Cloisonnement du SI en zones de confiance et relations d'approbation entre domaines)
État relevé : Conforme
| Aucun compte ne doit avoir explicitement DES ou RC4 (sans AES) activé dans ses types de chiffrement Kerberos supportés (msDS-SupportedEncryptionTypes). |
CONFORME |
Réf ANSSI : ANSSI-PA-099 (Chapitre 4 - Dangers de NTLM et Kerberos, en complément de R72 relatif au durcissement de NTLM)
État relevé : Conforme
Serveur DNS
| Empêcher le transfert de zone DNS (AXFR) à n'importe quel serveur non identifié. |
CONFORME |
Réf ANSSI : ANSSI-PA-105 - Recommandations relatives aux architectures des services DNS
État relevé : Conforme
Journalisation et Audit Avancé (Stratégies d'audit Windows)
| Stratégie d'audit avancée [Connexion de compte] : Auditer la validation des informations d'identification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion de compte] : Auditer le service d'authentification Kerberos |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion de compte] : Auditer les opérations de ticket de service Kerberos |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion de compte] : Auditer d'autres évènements d'ouverture/fermeture de session (connexion de compte) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes d'applications |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des comptes d'ordinateur |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes de distribution |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer d'autres évènements de gestion des comptes |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des groupes de sécurité |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Gestion du compte] : Auditer la gestion des comptes d'utilisateur |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer l'activité DPAPI |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer l'activité Plug-and-Play (PNP) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer la création du processus |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer la fin du processus |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise la création de processus et l'activité DPAPI, des sources majeures pour la détection d'exécution de code malveillant et l'investigation post-incident.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Suivi détaillé\Auditer la fin du processus sur 'Aucun audit'.
| Stratégie d'audit avancée [Suivi détaillé] : Auditer les évènements RPC |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Suivi détaillé] : Auditer le jeton d'audit ajusté à droite (ajustement des privilèges d'un jeton d'authentification) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer la réplication du service d'annuaire détaillé |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie, spécifique aux contrôleurs de domaine, journalise les accès et modifications apportés aux objets Active Directory, permettant de détecter une exfiltration ou une altération de l'annuaire.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès au service d'annuaire\Auditer la réplication du service d'annuaire détaillé sur 'Succès et échec'.
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer l'accès au service d'annuaire |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer les modifications du service d'annuaire |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès au service d'annuaire] : Auditer la réplication du service d'annuaire |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le verrouillage du compte |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer les revendications utilisateur/de périphérique |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode étendu IPsec |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'appartenance à un groupe |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode principal IPsec |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le mode rapide IPsec |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer la fermeture de session |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'ouverture de session |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès et échec
Risques & Impact : Cette catégorie journalise les ouvertures et fermetures de session ainsi que les verrouillages de compte, au cœur de la détection de mouvement latéral et d'attaques par force brute. Génère les évènements 4624 (succès) et 4625 (échec), fondamentaux pour détecter une attaque par force brute ou un accès illégitime.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Connexion/déconnexion\Auditer l'ouverture de session sur 'Succès et échec'.
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer le serveur NPS (Network Policy Server) |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer d'autres évènements d'ouverture/fermeture de session |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Connexion/déconnexion] : Auditer l'ouverture de session spéciale |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer l'application générée |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer les services de certification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le partage de fichiers détaillé |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le partage de fichiers |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le système de fichiers |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer la connexion de la plateforme de filtrage |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Échec
Risques & Impact : Cette catégorie journalise les accès aux fichiers, partages, registre et supports amovibles. ANSSI recommande de n'activer que les sous-catégories les plus signifiantes afin d'éviter une volumétrie excessive ; les accès fins à des ressources spécifiques sont à configurer via des SACL ciblées plutôt que par une activation globale.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Accès aux objets\Auditer la connexion de la plateforme de filtrage sur 'Échec'.
| Stratégie d'audit avancée [Accès aux objets] : Auditer le rejet de paquet par la plateforme de filtrage |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer la manipulation de handle |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer l'objet de noyau |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer d'autres évènements d'accès à l'objet |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le Registre |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer le stockage amovible |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer SAM |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Accès aux objets] : Auditer la stratégie d'accès centralisée intermédiaire |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'audit |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'authentification |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie d'autorisation |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie de plateforme de filtrage |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer la modification de la stratégie de niveau règle MPSSVC |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Modification de la stratégie] : Auditer d'autres évènements de modification de stratégie |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer l'utilisation des privilèges non sensibles |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer l'utilisation de privilèges sensibles |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Aucun audit
Risques & Impact : Cette catégorie journalise l'usage de privilèges sensibles (ex. SeDebugPrivilege, SeBackupPrivilege), souvent exploités lors d'une élévation de privilèges ou d'une extraction de secrets en mémoire. ANSSI ne recommande pas son activation par défaut (volumétrie), à réévaluer pour des systèmes à rôle très spécifique (ex. postes d'administration).
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Utilisation des privilèges\Auditer l'utilisation de privilèges sensibles sur 'Aucun audit'.
| Stratégie d'audit avancée [Utilisation des privilèges] : Auditer d'autres évènements d'utilisation de privilèges |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer le pilote IPSEC |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer d'autres évènements système |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer la modification de l'état de la sécurité |
NON CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Valeur attendue : Succès
Risques & Impact : Cette catégorie journalise les évènements système fondamentaux (démarrage/arrêt, modification de l'état de sécurité), une base minimale pour toute investigation. Génère l'évènement 4608/4609 (démarrage/arrêt du système) et 4616 (changement d'heure système), utile pour détecter une manipulation de l'horodatage.
Plan de Remédiation : Configurer via Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration avancée de la stratégie d'audit\Stratégies d'audit système\Système\Auditer la modification de l'état de la sécurité sur 'Succès'.
| Stratégie d'audit avancée [Système] : Auditer l'extension du système de sécurité |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
| Stratégie d'audit avancée [Système] : Auditer l'intégrité du système |
CONFORME |
Réf ANSSI : ANSSI-PB-090 - Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory (R6, Annexe D, Tableau 4)
État relevé : Conforme
VISIR CyberSuite • Document officiel généré pour l'assurance et la conformité technique.
