LSASS, Credential Guard et LAPS
Cette couche protège les secrets d’authentification contre l’extraction mémoire et la réutilisation abusive. Sur les postes et serveurs compatibles, Credential Guard et la protection LSASS compliquent nettement les attaques de type vol d’identifiants.
Dans un environnement multi-serveurs, LAPS évite aussi le piège classique du mot de passe local identique partout. Cette mesure, souvent discrète, coupe court à une large part des mouvements latéraux après compromission.
À retenir :
- LSASS protégé en priorité
- Credential Guard activé sur matériel compatible
- LAPS pour mots de passe locaux uniques
- Comptes privilégiés séparés des comptes courants
| Mesure | But | Quand l’appliquer | Bénéfice principal |
|---|---|---|---|
| LSASS protégé | Bloquer le vol mémoire | Sur tous les serveurs sensibles | Réduction du vol d’identifiants |
| Credential Guard | Isoler les secrets | Matériel compatible VBS | Moins de réutilisation d’accès |
| LAPS | Un mot de passe par machine | Parc étendu | Freine les rebonds latéraux |
| WDAC | Contrôler les exécutables | Serveurs critiques | Moins de code non autorisé |
TLS, BitLocker et journalisation centralisée
Le dernier niveau d’hygiène sécurise les flux, les données et l’observation globale. Selon Microsoft, TLS 1.0 et 1.1 doivent être désactivés, BitLocker peut protéger les volumes système, et les journaux doivent remonter vers une console de supervision.
Cette combinaison fait la différence au moment où un incident se joue vite. Un administrateur voit alors une alerte, relie une connexion RDP, un échec NTLM et une création de groupe, puis réagit avant l’escalade.
À retenir :
- TLS obsolètes désactivés
- BitLocker activé sur les volumes utiles
- Journaux centralisés vers SIEM
- Règles RDP et SMB maintenues strictes
Lorsque ces réglages sont tenus dans la durée, la surface d’attaque baisse réellement et les écarts deviennent plus visibles pour les équipes de défense.
Source : Microsoft, documentation Windows Server sur Secured-Core, Credential Guard et BitLocker ; CIS, Windows Server Benchmark ; ANSSI, recommandations d’hygiène informatique.
Comptes locaux, mots de passe et verrouillage
Cette logique protège d’abord les comptes locaux, souvent négligés lors des déploiements rapides. Une politique solide combine longueur minimale, historique, expiration raisonnable et verrouillage après plusieurs échecs.
Dans une PME fictive, le simple renommage du compte Administrateur a facilité l’identification des usages anormaux dans les journaux. Le geste paraît modeste, pourtant il freine les attaques opportunistes qui ciblent les noms par défaut.
À retenir :
- Administrateur renommé
- Invité désactivé
- Mots de passe d’au moins 14 caractères
- Verrouillage après cinq tentatives
| Réglage | Valeur conseillée | Effet pratique | Impact opérationnel |
|---|---|---|---|
| Longueur mot de passe | 14 caractères | Résistance accrue | Faible si SSO bien géré |
| Historique | 24 mots de passe | Évite les recyclages | Modéré |
| Verrouillage | 5 tentatives | Freine la force brute | Faible |
| Âge maximal | 60 à 90 jours selon contexte | Réduit la persistance | À tester selon le rôle |
Audit des connexions et traces PowerShell
Les contrôles d’identité gagnent en efficacité quand chaque action laisse une trace exploitable. Selon l’ANSSI et Microsoft, l’audit des connexions, des échecs, des créations de comptes et des usages PowerShell aide à repérer les signaux faibles.
Un responsable sécurité m’a décrit un cas simple : une connexion réussie en dehors des horaires habituels a révélé un compte de service mal documenté. Sans journalisation, l’alerte serait restée invisible, et le diagnostic aurait pris des heures.
À retenir :
- Connexions réussies et échouées auditées
- Créations de comptes surveillées
- Script Block Logging activé
- Transcription PowerShell conservée
Ces traces deviennent vraiment utiles lorsqu’elles sont croisées avec le durcissement des protocoles, car le comportement anormal d’un compte se voit mieux dans un environnement fermé.
Durcir les services, le chiffrement et la supervision continue
Quand les comptes sont mieux maîtrisés, le dernier effort porte sur les briques qui parlent entre elles. C’est là que la protection des données, le chiffrement et l’audit sécurité donnent une cohérence durable à l’ensemble.
Selon CIS, les environnements critiques gagnent à désactiver les vieux protocoles, renforcer LSASS, activer Credential Guard quand le matériel le permet et surveiller les événements sensibles. Ce niveau de rigueur aide aussi le monitoring réseau à distinguer une activité normale d’une tentative de contournement.
LSASS, Credential Guard et LAPS
Cette couche protège les secrets d’authentification contre l’extraction mémoire et la réutilisation abusive. Sur les postes et serveurs compatibles, Credential Guard et la protection LSASS compliquent nettement les attaques de type vol d’identifiants.
Dans un environnement multi-serveurs, LAPS évite aussi le piège classique du mot de passe local identique partout. Cette mesure, souvent discrète, coupe court à une large part des mouvements latéraux après compromission.
À retenir :
- LSASS protégé en priorité
- Credential Guard activé sur matériel compatible
- LAPS pour mots de passe locaux uniques
- Comptes privilégiés séparés des comptes courants
| Mesure | But | Quand l’appliquer | Bénéfice principal |
|---|---|---|---|
| LSASS protégé | Bloquer le vol mémoire | Sur tous les serveurs sensibles | Réduction du vol d’identifiants |
| Credential Guard | Isoler les secrets | Matériel compatible VBS | Moins de réutilisation d’accès |
| LAPS | Un mot de passe par machine | Parc étendu | Freine les rebonds latéraux |
| WDAC | Contrôler les exécutables | Serveurs critiques | Moins de code non autorisé |
TLS, BitLocker et journalisation centralisée
Le dernier niveau d’hygiène sécurise les flux, les données et l’observation globale. Selon Microsoft, TLS 1.0 et 1.1 doivent être désactivés, BitLocker peut protéger les volumes système, et les journaux doivent remonter vers une console de supervision.
Cette combinaison fait la différence au moment où un incident se joue vite. Un administrateur voit alors une alerte, relie une connexion RDP, un échec NTLM et une création de groupe, puis réagit avant l’escalade.
À retenir :
- TLS obsolètes désactivés
- BitLocker activé sur les volumes utiles
- Journaux centralisés vers SIEM
- Règles RDP et SMB maintenues strictes
Lorsque ces réglages sont tenus dans la durée, la surface d’attaque baisse réellement et les écarts deviennent plus visibles pour les équipes de défense.
Source : Microsoft, documentation Windows Server sur Secured-Core, Credential Guard et BitLocker ; CIS, Windows Server Benchmark ; ANSSI, recommandations d’hygiène informatique.
En 2026, un serveur Windows laissé avec ses réglages d’usine attire encore des attaques très concrètes. Une configuration serveur sécurisée commence par des gestes simples, mais vérifiables, surtout quand les outils d’administration restent exposés.
La même logique s’applique aux équipes qui gèrent la sécurité informatique au quotidien : réduire la surface d’attaque, surveiller les comptes, et contrôler les flux avant qu’un incident n’échappe au monitoring réseau. Cette checklist sécurité met l’accent sur le durcissement serveur, la protection des données et la prévention des intrusions, avec des contrôles qui aident aussi la gestion des accès et l’audit sécurité.
A retenir :
- Réduire les services hérités et les protocoles exposés
- Renforcer les comptes, les mots de passe, les droits
- Tracer les connexions, les scripts et les actions sensibles
- Limiter RDP, SMB et PowerShell aux usages utiles
Préparer Windows Server avant toute exposition réseau
Cette première étape prolonge l’idée directrice de la checklist : un serveur sain se prépare avant l’ouverture aux utilisateurs. Dans beaucoup d’environnements, les incidents commencent quand une machine fraîchement déployée rejoint le réseau sans correctifs ni filtrage.
Correctifs, versions et surface d’attaque
Selon Microsoft, la première défense utile consiste à maintenir le système à jour et à éliminer les composants obsolètes. Sur Windows Server, cela touche notamment SMBv1, Telnet et plusieurs fonctions inutiles qui élargissent la surface d’attaque sans rendre service au métier.
Sur un serveur de fichiers fictif, l’équipe de Léa a vu disparaître un bruit étrange après avoir retiré SMBv1 et désactivé un client Telnet oublié. Le gain n’était pas spectaculaire à l’écran, mais il a supprimé plusieurs vecteurs d’attaque connus et a simplifié le suivi des écarts.
À retenir :
- Correctifs récents avant toute mise en production
- SMBv1 désactivé sans exception durable
- Telnet et fonctions héritées supprimés
- Services inutiles arrêtés puis bloqués
| Contrôle | Objectif | Risque réduit | Outil courant |
|---|---|---|---|
| Correctifs | Fermer les failles connues | Exploitation immédiate | Windows Update, WSUS |
| SMBv1 | Supprimer un protocole ancien | EternalBlue et rebonds latéraux | PowerShell, GPO |
| Telnet | Écarter un accès non chiffré | Capture d’identifiants | Fonctionnalités Windows |
| Services inutiles | Réduire l’exposition | Exploration et élévation | Services.msc, PowerShell |
Pare-feu, ports et accès administratifs
Ce durcissement prend toute sa valeur quand les flux administratifs restent limités au strict nécessaire. Selon CIS, les profils du pare-feu doivent être activés partout, avec les connexions entrantes bloquées par défaut, puis rouvertes seulement pour les besoins réels.
Un administrateur qui garde RDP ouvert à tout le réseau se met souvent en difficulté sans le voir immédiatement. Mieux vaut créer des règles précises, réserver WinRM et RDP à un sous-réseau de gestion, puis vérifier régulièrement les règles actives.
À retenir :
- Pare-feu actif sur Domain, Public, Private
- Entrant bloqué par défaut
- RDP limité au réseau de gestion
- WinRM cantonné aux postes autorisés
Ce socle réseau prépare la gestion des comptes, car un accès correctement filtré reste faible sans authentification robuste et sans journalisation.
Renforcer les comptes et l’authentification sur Windows Server
Une fois les portes réseau resserrées, la vraie question devient celle des identités. C’est souvent là que les attaquants cherchent une faille, en profitant d’un mot de passe faible, d’un compte oublié ou d’un privilège trop large.
Selon Microsoft, le compte Administrateur intégré doit être renommé, le compte Invité désactivé, et les politiques de mots de passe doivent imposer une longueur forte. Cette discipline soutient directement la gestion des accès et limite les déplacements latéraux entre serveurs.
Comptes locaux, mots de passe et verrouillage
Cette logique protège d’abord les comptes locaux, souvent négligés lors des déploiements rapides. Une politique solide combine longueur minimale, historique, expiration raisonnable et verrouillage après plusieurs échecs.
Dans une PME fictive, le simple renommage du compte Administrateur a facilité l’identification des usages anormaux dans les journaux. Le geste paraît modeste, pourtant il freine les attaques opportunistes qui ciblent les noms par défaut.
À retenir :
- Administrateur renommé
- Invité désactivé
- Mots de passe d’au moins 14 caractères
- Verrouillage après cinq tentatives
| Réglage | Valeur conseillée | Effet pratique | Impact opérationnel |
|---|---|---|---|
| Longueur mot de passe | 14 caractères | Résistance accrue | Faible si SSO bien géré |
| Historique | 24 mots de passe | Évite les recyclages | Modéré |
| Verrouillage | 5 tentatives | Freine la force brute | Faible |
| Âge maximal | 60 à 90 jours selon contexte | Réduit la persistance | À tester selon le rôle |
Audit des connexions et traces PowerShell
Les contrôles d’identité gagnent en efficacité quand chaque action laisse une trace exploitable. Selon l’ANSSI et Microsoft, l’audit des connexions, des échecs, des créations de comptes et des usages PowerShell aide à repérer les signaux faibles.
Un responsable sécurité m’a décrit un cas simple : une connexion réussie en dehors des horaires habituels a révélé un compte de service mal documenté. Sans journalisation, l’alerte serait restée invisible, et le diagnostic aurait pris des heures.
À retenir :
- Connexions réussies et échouées auditées
- Créations de comptes surveillées
- Script Block Logging activé
- Transcription PowerShell conservée
Ces traces deviennent vraiment utiles lorsqu’elles sont croisées avec le durcissement des protocoles, car le comportement anormal d’un compte se voit mieux dans un environnement fermé.
Durcir les services, le chiffrement et la supervision continue
Quand les comptes sont mieux maîtrisés, le dernier effort porte sur les briques qui parlent entre elles. C’est là que la protection des données, le chiffrement et l’audit sécurité donnent une cohérence durable à l’ensemble.
Selon CIS, les environnements critiques gagnent à désactiver les vieux protocoles, renforcer LSASS, activer Credential Guard quand le matériel le permet et surveiller les événements sensibles. Ce niveau de rigueur aide aussi le monitoring réseau à distinguer une activité normale d’une tentative de contournement.
LSASS, Credential Guard et LAPS
Cette couche protège les secrets d’authentification contre l’extraction mémoire et la réutilisation abusive. Sur les postes et serveurs compatibles, Credential Guard et la protection LSASS compliquent nettement les attaques de type vol d’identifiants.
Dans un environnement multi-serveurs, LAPS évite aussi le piège classique du mot de passe local identique partout. Cette mesure, souvent discrète, coupe court à une large part des mouvements latéraux après compromission.
À retenir :
- LSASS protégé en priorité
- Credential Guard activé sur matériel compatible
- LAPS pour mots de passe locaux uniques
- Comptes privilégiés séparés des comptes courants
| Mesure | But | Quand l’appliquer | Bénéfice principal |
|---|---|---|---|
| LSASS protégé | Bloquer le vol mémoire | Sur tous les serveurs sensibles | Réduction du vol d’identifiants |
| Credential Guard | Isoler les secrets | Matériel compatible VBS | Moins de réutilisation d’accès |
| LAPS | Un mot de passe par machine | Parc étendu | Freine les rebonds latéraux |
| WDAC | Contrôler les exécutables | Serveurs critiques | Moins de code non autorisé |
TLS, BitLocker et journalisation centralisée
Le dernier niveau d’hygiène sécurise les flux, les données et l’observation globale. Selon Microsoft, TLS 1.0 et 1.1 doivent être désactivés, BitLocker peut protéger les volumes système, et les journaux doivent remonter vers une console de supervision.
Cette combinaison fait la différence au moment où un incident se joue vite. Un administrateur voit alors une alerte, relie une connexion RDP, un échec NTLM et une création de groupe, puis réagit avant l’escalade.
À retenir :
- TLS obsolètes désactivés
- BitLocker activé sur les volumes utiles
- Journaux centralisés vers SIEM
- Règles RDP et SMB maintenues strictes
Lorsque ces réglages sont tenus dans la durée, la surface d’attaque baisse réellement et les écarts deviennent plus visibles pour les équipes de défense.
Source : Microsoft, documentation Windows Server sur Secured-Core, Credential Guard et BitLocker ; CIS, Windows Server Benchmark ; ANSSI, recommandations d’hygiène informatique.