CIS Benchmarks · EDR · Hardening · Devis sous 48h

Audit Sécurité Postes de Travail & Endpoints

Les postes de travail sont le premier point d'entrée des attaquants : phishing, malware, vol d'identifiants. Nous auditons la configuration de sécurité de vos endpoints Windows, macOS et Linux selon les CIS Benchmarks et les guides ANSSI.

Couverture : hardening OS, gestion des privilèges locaux, EDR/antivirus, chiffrement de disque, télémétrie SIEM et politique de mises à jour. Compatible NIS 2 et ISO 27001.

Demander un devis gratuit Voir le périmètre

Configuration Baseline CIS

Évaluation de la conformité de chaque poste aux CIS Benchmarks Windows 10/11 Server, macOS et Linux. Score de conformité par catégorie et liste des écarts avec recommandation corrective.

Gestion des Privilèges Locaux

Audit des comptes administrateurs locaux, politiques PAM/EPM (Endpoint Privilege Management), LAPS pour Windows, et gestion des droits sudo sur Linux/macOS. Identification des postes suivi « admin permanent ».

EDR & Télémétrie SIEM

Évaluation de la couverture EDR (Microsoft Defender for Endpoint, CrowdStrike, SentinelOne), des politiques de détection, des exclusions à risque et de la remontée des logs vers le SIEM.

Périmètre d'Audit

OS & Hardening

▸ Configurations OS : Windows 10/11, Server 2019/2022, macOS, Ubuntu/RHEL
▸ Chiffrement de disque : BitLocker (TPM, clé de récupération), FileVault, LUKS
▸ Secure Boot, UEFI, démarrage réseau et périphériques USB
▸ Politique de mises à jour : Windows Update, WSUS, MECM, patches tiers
▸ AppLocker / Windows Defender Application Control (WDAC) : règles et lacunes
▸ Firewall local, attaque de réseau local (LAN), DNS-over-HTTPS

Détection & Contrôle

▸ EDR : couverture, politiques, exclusions, remontée logs SIEM
▸ Antivirus / protection temps réel : configuration, base de signatures
▸ MDM/UEM : Microsoft Intune, Jamf, VMware Workspace ONE — conformité des profils
▸ Inventaire logiciel : applications non autorisées, versions vulnérables
▸ Partage de fichiers locaux, données sensibles sur les postes
▸ VPN et accès distants : Split tunneling, certificats, MFA

Notre Méthodologie en 5 Phases

Inventaire & Cartographie

Recensement des types d'endpoints (postes, laptops, serveurs, VDI), des OS et des outils de gestion en place (MDM, WSUS, MECM).

Analyse des Configurations

Évaluation automatisée par scripts CIS-CAT ou Nessus + revue manuelle des GPO, profils MDM et politiques de sécurité.

Tests sur Échantillon

Tests pratiques sur un échantillon représentatif de postes : tentative d'escalade de privilèges locaux, bypass de contrôles, accès aux données chiffrées.

Scoring & Benchmarking

Score de conformité CIS par catégorie, comparaison avec la moyenne sectorielle, priorisation des écarts par impact réel.

Rapport & Script Hardening

Rapport + scripts de remediation (GPO, PowerShell, Ansible) et session de restitution avec les équipes IT.

Outils & Référentiels

Outils d'Analyse Endpoint

CIS-CAT Pro Nessus / Tenable.io OpenSCAP Sysinternals (Autoruns, ProcMon) PowerShell SCAP Scripts OSQuery

Référentiels & Standards

CIS Benchmarks (Windows/Linux/macOS) ANSSI — Guide de configuration Windows Microsoft Security Baseline MITRE ATT&CK — Endpoint ISO 27001:2022 A.8 NIS 2 art. 21

Questions Fréquentes

Pour une organisation de moins de 200 postes, nous auditons l'ensemble (via scripts automatisés, non invasifs). Pour les parcs plus importants, un échantillon statistique représentatif par type de poste (standard, VIP, développeur, nomade) suffit. La configuration est généralement homogène si un MDM est en place — nous l'évaluons via les politiques plutôt que poste par poste.

Oui. Les postes en télétravail (VPN, accès cloud), les postes hors domaine (BYOD, prestataires) et les équipements personnels utilisés à des fins professionnelles sont une priorité — ils représentent souvent les maillons les plus faibles. Nous les couvrons via MDM, Intune Compliance Policies ou des scripts de collecte déployables à distance.

Oui. Pour les écarts standards (registre Windows, GPO, sudo), nous livrons des scripts PowerShell, des GPO prêtes à importer et des playbooks Ansible. Pour les configurations MDM (Intune, Jamf), nous fournissons les profils de configuration exportables. Chaque script est testé sur environnement de recette avant livraison.

L'audit postes de travail réduit la surface d'attaque initiale (exploitation de vulnérabilités OS, macros Office, exécution de code non autorisé) mais une défense en profondeur nécessite également un audit Active Directory (latéralisation et escalade) et un audit des sauvegardes (résilience post-incident). Nous proposons des packages combinés avec tarif préférentiel.

Nos autres prestations d'audit

Audit Infrastructure

Serveurs, réseau, hardening CIS

Audit Active Directory

BloodHound, Kerberos, ADCS

Audit Messagerie

SPF, DKIM, DMARC, phishing

Audit Sauvegarde

3-2-1-1, résilience ransomware

Audit Sécurité Réseau

Firewall, VPN, segmentation

Audit Microsoft 365

Tenant M365, Exchange, Teams

Vos postes de travail sont-ils la porte d'entrée des attaquants ?

85 % des ransomwares débutent par un poste de travail mal configuré ou un utilisateur sans privilèges locaux restreints. Évaluons ensemble la résistance de vos endpoints.

Planifier un audit endpoint