🛡️ Hardening Windows Server & Patch Management

🎯 Objectifs

• Appliquer les mesures CIS Benchmark niveau 1 sur Windows Server 2022
• Désactiver les protocoles obsolètes (SMBv1, NTLMv1)
• Configurer le pare-feu Windows et sécuriser les comptes administrateurs locaux (LAPS)
• Activer l'audit des événements de sécurité critiques
• Comprendre et appliquer un processus de patch management avec WSUS

🔥 Accroche — WannaCry et NotPetya (2017)

En mai–juin 2017, les ransomwares WannaCry et NotPetya ont exploité la vulnérabilité SMBv1 EternalBlue (MS17-010). Malgré un correctif publié deux mois plus tôt, de nombreuses organisations n'avaient pas patché. Coût mondial estimé : 10 milliards de dollars. La leçon est simple : le patch management n'est pas optionnel, c'est une obligation opérationnelle.

📖 Section 1 — Hardening Windows Server 2022 (CIS Benchmark niveau 1)

Le Center for Internet Security (CIS) publie des benchmarks classés par niveaux. Le niveau 1 regroupe des mesures essentielles à fort impact sécuritaire et faible coût opérationnel. Dans un contexte PME, appliquez prioritairement ces recommandations.

Désactiver SMBv1

SMBv1 est vulnérable à EternalBlue. Sa désactivation est une mesure prioritaire sur tout contrôleur de domaine ou serveur de fichiers.

# Vérifier si SMBv1 est actif
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol

# Désactiver SMBv1
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

# Vérification
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol

Forcer NTLMv2 (désactiver NTLMv1)

NTLMv1 est obsolète. La valeur 5 force Send NTLMv2 response only, refuse LM & NTLM.

# Vérifier la valeur actuelle
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel -ErrorAction SilentlyContinue

# Forcer NTLMv2 (valeur 5)
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' -Name 'LmCompatibilityLevel' -Value 5 -Type DWord

# Vérification
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' -Name LmCompatibilityLevel

Pare-feu Windows — activer sur tous les profils

# Activer les profils Domain / Private / Public
Set-NetFirewallProfile -Profile Domain,Private,Public -Enabled True

# Créer une règle autorisant HTTPS entrant
New-NetFirewallRule -DisplayName "HTTPS Inbound" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

# Bloquer RDP depuis l'extérieur
New-NetFirewallRule -DisplayName "Block RDP External" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress Any -Action Block

# Lister les règles actives
Get-NetFirewallRule | Where-Object {$_.Enabled -eq "True"} | Select-Object DisplayName, Direction, Action

Comptes administrateurs locaux — LAPS

LAPS (Local Administrator Password Solution) génère un mot de passe unique et aléatoire par machine, stocké dans Active Directory. Cela évite le partage du même mot de passe admin sur 35 machines (qui facilite le mouvement latéral).

# Désactiver le compte Administrateur local
Disable-LocalUser -Name "Administrateur" -ErrorAction SilentlyContinue
Disable-LocalUser -Name "Administrator" -ErrorAction SilentlyContinue

Audit des événements de sécurité

Events ID critiques à surveiller :

# Activer l'audit des connexions (succès et échecs)
auditpol /set /subcategory:"Logon" /success:enable /failure:enable
auditpol /set /subcategory:"Account Management" /success:enable /failure:enable

# Vérifier les événements récents
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,4648,4720,4726,4732,4776} -MaxEvents 50 | Format-Table TimeCreated,Id,Message -AutoSize

📖 Section 2 — Patch management (WSUS)

Microsoft publie les mises à jour selon le Patch Tuesday (2e mardi du mois). En cas de 0-day critique, des correctifs out-of-band sont publiés hors cycle.

Niveaux de criticité et SLA recommandés

WSUS (Windows Server Update Services) centralise les mises à jour, permet d'approuver et tester les correctifs sur un groupe pilote avant déploiement complet, et réduit la bande passante Internet. Architecture type : WSUS ← synchronisation Microsoft → approbation admin → groupes (Pilot / Production) → reporting.

Patches Linux — rappel rapide

# Vérifier les mises à jour disponibles
sudo apt update && apt list --upgradable

# Appliquer uniquement les mises à jour de sécurité
sudo unattended-upgrade -d

# Automatiser les patches de sécurité
sudo apt install unattended-upgrades
sudo dpkg-reconfigure unattended-upgrades

🛠️ TP — Checklist CIS Benchmark niveau 1 sur DC01 (85 min)

Objectif : appliquer 8 des 10 points de la checklist, documenter chaque action (avant → commande → vérification → après).

Phase 0 — Capturer l'état initial

# Services actifs avant durcissement
Get-Service | Where-Object {$_.Status -eq "Running"} | Select-Object Name,DisplayName | Export-Csv C:\hardening-services-before.csv -NoTypeInformation

# Ports en écoute
netstat -an | findstr LISTENING > C:\listening-before.txt

# État SMBv1, pare-feu, NTLM
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol | Out-File C:\smbv1-before.txt
Get-NetFirewallProfile | Select-Object Name,Enabled | Export-Csv C:\firewall-before.csv -NoTypeInformation

Verrouillage de compte (point 8 de la checklist)

# Configurer le verrouillage après 5 tentatives
net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30
# Vérification
net accounts

Désactiver AutoRun/AutoPlay (point 9)

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" -Name NoDriveTypeAutoRun -Value 255 -Type DWord
# Vérification
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" -Name NoDriveTypeAutoRun

Phase 2 — Rapport final

Get-Service | Where-Object {$_.Status -eq "Running"} | Select-Object Name,DisplayName | Export-Csv C:\hardening-services-after.csv -NoTypeInformation
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol
Get-NetFirewallProfile | Select-Object Name,Enabled
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,4648,4720,4726,4732,4776} -MaxEvents 500 | Export-Csv C:\audit-events.csv -NoTypeInformation

💬 Synthèse — Question finale

📝 QCM — Testez vos connaissances