Constrained Language Mode

Définition

Le Constrained Language Mode est un mode de fonctionnement restreint de PowerShell limitant l'accès aux fonctionnalités les plus puissantes et potentiellement dangereuses du langage, notamment l'appel direct à des API Windows via .NET, la manipulation de types COM, et l'exécution de code compilé dynamiquement, tout en conservant la disponibilité des cmdlets PowerShell standards nécessaires aux tâches d'administration courantes. Ce mode constitue une mesure de durcissement particulièrement efficace contre de nombreux outils offensifs distribués sous forme de scripts PowerShell, comme certaines versions historiques de PowerView ou de Mimikatz portées en PowerShell, ces outils s'appuyant fréquemment sur des appels directs à des API Windows bas niveau pour manipuler la mémoire ou interagir avec des structures système sensibles, des opérations bloquées lorsque le Constrained Language Mode est activement appliqué. Son déploiement s'articule généralement avec AppLocker ou Windows Defender Application Control (WDAC), qui déterminent automatiquement le niveau de langage appliqué à une session PowerShell en fonction des règles de confiance définies pour l'utilisateur ou le système concerné, un utilisateur non privilégié se voyant typiquement restreint à ce mode tandis qu'un administrateur de confiance conserve l'accès complet au Full Language Mode. Cette restriction reste contournable par des techniques de bypass documentées, d'où son intégration dans une défense en profondeur plutôt qu'une mesure isolée.