Établis une baseline Windows selon le rôle du serveur

L’idée reçue

« Une GPO unique convient à tous les serveurs. »

Un contrôleur de domaine, un serveur applicatif et un serveur d’administration n’ont ni les mêmes fonctions ni le même rollback.

01Observe les trois rôles

lab=/tmp/soria-hardening-windows-ad-$USER
bash module4-windows-fixtures-validator.sh setup "$lab"
column -s, -t "$lab/source/inventory/servers.csv"

Le scénario représente win-dc-01, win-app-01 et win-mgmt-01. Pour chacun, relève mission, OU pilote et chemin de management.

02Relie mission et dépendances

column -s, -t "$lab/source/inventory/role-requirements.csv"

Le contrôleur de domaine doit préserver DNS et Kerberos. Le serveur membre doit conserver l’application SORIAOrders. Le serveur d’administration doit rester joignable depuis le chemin prévu.

03Lis le contrat de baseline

column -s, -t "$lab/source/baseline/controls.csv"

Chaque ligne contient un rôle, une famille, un état initial, une cible, un propriétaire, un test, un rollback et une justification. Un champ absent rend le contrôle inexploitable.

04Distingue les familles

SecurityOptions
Authentication
Protocols
Defender
Firewall
LAPS

Une famille commune ne signifie pas une cible identique. Par exemple, retirer SMBv1 d’un serveur membre ne remplace pas les contrôles LDAP d’un contrôleur de domaine.

05Produit le delta représenté

bash module4-windows-fixtures-validator.sh run "$lab"
column -s, -t "$lab/output/gpo-delta.csv"

Le delta ne prouve pas l’application d’une GPO. Il prouve que l’état cible diffère de l’état initial de façon traçable.

06Préserve la fonction

column -s, -t "$lab/output/functional-test-report.csv"

Un durcissement bloquant DNS, Kerberos, l’application ou WinRM depuis win-mgmt-01 doit être arrêté, même si le contrôle isolé paraît plus strict.

07Prépare le rollback

Le contrôle référence RB-GPO-001. Sur un domaine autorisé, cela implique sauvegarde du GPO, lien limité à l’OU pilote, critères d’arrêt et restauration ou retrait du seul GPO du lab.

08Respecte la frontière de preuve

La CI établit la cohérence des fixtures et de la baseline. Elle ne démontre ni un domaine sain, ni le traitement d’une GPO, ni un redémarrage Windows.

Livrable

Défends une baseline par rôle

Choisis trois contrôles, explique pourquoi leur cible dépend du rôle, associe un test fonctionnel et un rollback, puis indique ce qui reste à vérifier sur Windows.

✓À retenir

Une baseline Windows commence par le rôle et la mission. Chaque contrôle doit être testable, réversible et borné par les fonctions à préserver.