Durcis authentification, protocoles, Defender et pare-feu par GPO

L’idée reçue

« Plus une GPO bloque immédiatement, plus elle est sûre. »

Une restriction sans inventaire ni pilote peut supprimer DNS, Kerberos, WinRM ou l’application.

01Sépare les familles

SecurityOptions · Authentication · Protocols · Defender · Firewall · LAPS

Chaque famille possède ses dépendances, tests et rollback. La GPO du lab porte le préfixe SORIA-LAB- et ne doit être liée qu’à une OU sous OU=SORIA-Lab.

02Inspecte les fragments non importables

head "$lab/source/gpo/security-options.inf"
head "$lab/source/gpo/registry-policy.xml"

Le marqueur SYNTHETIC — DO NOT IMPORT empêche de présenter ces fixtures comme une sauvegarde ou un export GPO utilisable.

03Audite les protocoles

column -s, -t "$lab/source/protocols/protocol-policy.csv"

SMBv1 peut être retiré après dépendances. NTLM, LDAP signing et TLS progressent de l’audit au pilote. Une restriction générale sans preuve de dépendance est bloquée.

04Maintiens les protections

column -s, -t "$lab/source/gpo/defender-settings.csv"
column -s, -t "$lab/source/gpo/firewall-rules.csv"

Le pare-feu reste actif. Les règles WinRM n’acceptent que win-mgmt-01. Defender n’est jamais désactivé comme méthode de compatibilité.

05Prépare l’application autorisée

.\module4-windows-ad-hardening.ps1 -Action Apply `
  -PilotOU 'OU=ServersPilot,OU=SORIA-Lab,DC=soria,DC=lab' `
  -ConfirmAuthorizedLab -WhatIf

Le script exige l’autorisation, un nom SORIA-LAB-*, une OU pilote et une sauvegarde si le GPO existe déjà.

06Vérifie les refus

NEG-03 bloque une portée à la racine du domaine. NEG-04 bloque la perte du management ou une protection désactivée. NEG-05 bloque un protocole imposé sans preuve.

07Définis les critères d’arrêt

Arrête si l’accès d’administration, DNS, Kerberos, l’application, la supervision ou le traitement GPO échoue. Ne généralise jamais sur la seule réussite syntaxique.

Livrable

Présente une GPO pilote

Explique portée, familles, dépendances, règles de management, tests positifs et négatifs, critères d’arrêt, sauvegarde et rollback.

✓À retenir

Une GPO de durcissement est un changement progressif. Elle doit protéger sans supprimer les fonctions ni le chemin d’administration.