Durcissement Windows Server 2025 — Le guide complet : 96 contrôles ANSSI/NIS2

Présentation des 96 contrôles ANSSI/NIS2

Le guide Durcissement Windows Server 2025 structure ses 96 contrôles de sécurité en familles thématiques couvrant l'ensemble de la surface d'attaque d'un serveur Windows en production. Chaque contrôle est présenté avec sa référence ANSSI (guide de recommandations de configuration Windows Server) et son alignement NIS 2 (article 21, mesures de sécurité des réseaux et des systèmes d'information), permettant une mise en conformité simultanée sur les deux référentiels.

Familles de contrôles couvertes

Les 96 contrôles sont organisés en 12 familles thématiques : (1) Configuration de l'OS — désactivation des services inutiles, gestion des fonctionnalités optionnelles, chiffrement des données au repos (BitLocker) ; (2) Gestion des comptes et des identités — politique de mots de passe, LAPS, comptes de service gMSA, Protected Users ; (3) Authentification et contrôle d'accès — UAC, Windows Hello for Business, groupes locaux d'administration restreints ; (4) Réseau et pare-feu — Windows Defender Firewall, IPSEC, désactivation des protocoles obsolètes (SMBv1, NTLMv1) ; (5) Cryptographie et PKI — suite cryptographique TLS 1.3, désactivation RC4/3DES, GPO de gestion des certificats ; (6) Journalisation et audit — GPO d'audit avancé (Advanced Audit Policy Configuration), Sysmon, transmission vers SIEM ; (7) Gestion des mises à jour — Windows Update for Business, WSUS, gestion des drivers tiers ; (8) Protection contre les logiciels malveillants — Microsoft Defender Antivirus, AMSI, Credential Guard, HVCI ; (9) Contrôle des applications — AppLocker, WDAC (Windows Defender Application Control) ; (10) Sécurité Active Directory — Tier model, ESAE/PAW, Protected Users, Kerberos hardening ; (11) Sauvegarde et restauration — VSS, Windows Server Backup, RPO/RTO, test de restauration ; (12) Conformité et documentation — politique de sécurité documentée, procédures de configuration, preuves d'audit.

Applicabilité et prérequis

Les 96 contrôles sont applicables aux environnements Windows Server 2025 et rétrocompatibles avec Windows Server 2022 pour la grande majorité. Pour les organisations sans expertise Windows Server interne, le guide inclut des scripts PowerShell prêts à l'emploi pour l'audit (lecture de la configuration actuelle) et la remédiation (application des paramètres recommandés). Ces scripts respectent les principes d'idempotence — ils peuvent être exécutés plusieurs fois sans effets de bord — et génèrent un rapport HTML de conformité avec les référentiels ANSSI et NIS 2.

Méthodologie de déploiement recommandée

Pour un déploiement sécurisé des 96 contrôles en production, la méthodologie recommandée s'articule en quatre phases : (1) Audit baseline — application des scripts d'audit sur un serveur de référence pour mesurer l'écart par rapport aux recommandations, sans modification de la configuration ; (2) Validation en laboratoire — test des remédiation dans un environnement identique à la production, avec vérification de la continuité des services applicatifs et des accès utilisateurs ; (3) Déploiement progressif — application via GPO ou désigné Microsoft Endpoint Configuration Manager par vague (serveurs non-critiques en premier, puis serveurs de production critiques) avec fenêtre de maintenance définie ; (4) Audit post-déploiement — re-exécution des scripts d'audit pour mesurer le taux de conformité atteint et identifier les exceptions documentées. Cette approche minimise les risques d'interruption de service tout en garantissant un niveau de conformité mesurable et défendable lors d'un audit externe.

Techniques de Durcissement Windows Server 2025

Windows Server 2025 introduit de nouvelles fonctionnalités de sécurité que le guide couvre en détail, en particulier la gestion améliorée du SMB (Secured-Core Server), le Kerberos armoring (FAST) par défaut, et les améliorations de Windows Defender Credential Guard.

Secured-Core Server

Windows Server 2025 renforce le concept de Secured-Core Server introduit avec Windows Server 2022. Les serveurs Secured-Core activent automatiquement plusieurs protections hardwares : Virtualization Based Security (VBS), Hypervisor-Protected Code Integrity (HVCI), et Secure Boot avec UEFI. Ces protections isolent les secrets (credentials, clés de chiffrement) dans un environnement protégé par le processeur, résistant aux attaques DMA et aux compromissions de pilotes en mode noyau. La configuration Secured-Core est vérifiable via la commande PowerShell Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard qui retourne les propriétés SecurityServicesConfigured et SecurityServicesRunning. Les valeurs 1 (Credential Guard) et 2 (HVCI) doivent être présentes dans SecurityServicesRunning pour une protection complète.

Hardening SMB 3.x sur Windows Server 2025

SMB 3.1.1 sur Windows Server 2025 bénéficie de nouvelles options de sécurité qui doivent être activées explicitement. La signature SMB (SMB Signing) est désormais obligatoire par défaut pour les nouvelles installations de Windows Server 2025, mais les mises à jour depuis des versions antérieures peuvent conserver l'ancienne configuration. Le chiffrement SMB (SMB Encryption) via AES-256-GCM protège les données en transit sur les partages réseau — configurable par partage (Set-SmbShare -Name "ShareName" -EncryptData ) ou globalement (Set-SmbServerConfiguration -EncryptData ). La désactivation des dialectes SMB1 et SMB2 (conservation de SMB3 uniquement) réduit la surface d'attaque tout en maintenant la compatibilité avec les clients Windows modernes.

Kerberos Armoring (FAST) et Credential Guard

Kerberos Flexible Authentication Secure Tunneling (FAST), aussi connu sous le nom de Kerberos Armoring, est activé par défaut dans Windows Server 2025 pour les domaines Active Directory dont le niveau fonctionnel est Windows Server 2016 minimum. FAST chiffre les échanges Kerberos pré-authentification, empêchant les attaques de type AS-REP Roasting sur les comptes sensibles et rendant plus difficile l'extraction d'informations sur les comptes depuis les exchanges Kerberos réseaux. La configuration se fait via GPO : Computer Configuration → Windows Settings → Security Settings → Account Policies → Kerberos Policy → « Support Dynamic Access Control and Kerberos armoring » à « Enabled ». Windows Defender Credential Guard, disponible sur les machines avec TPM 2.0 et UEFI Secure Boot, isole les hashes NTLM et les tickets Kerberos dans un conteneur VBS, rendant les attaques Pass-the-Hash et Pass-the-Ticket inopérantes depuis l'espace utilisateur.

Conformité ANSSI et NIS 2 : Mapping Opérationnel

Le mapping entre les 96 contrôles du guide et les référentiels ANSSI/NIS 2 est l'une des valeurs ajoutées principales de l'ouvrage. Chaque contrôle est annoté avec sa référence dans le guide ANSSI «Recommandations de configuration d'un système GNU/Linux» (transposé aux systèmes Windows) et son article NIS 2 applicable.

Référentiel ANSSI

L'ANSSI publie des guides de recommandations de configuration pour les systèmes d'exploitation les plus répandus. Pour Windows, les recommandations s'articulent autour des thèmes suivants : configuration de base du système (désactivation des services inutiles, gestion des mises à jour), sécurisation des comptes (politique de mots de passe, droits d'administration), sécurisation du réseau (pare-feu, protocoles chiffrés), et journalisation. Le guide Durcissement Windows Server 2025 traduit ces recommandations abstraites en configurations concrètes applicables via GPO, PowerShell ou registre Windows, avec les valeurs recommandées et les valeurs par défaut pour faciliter la comparaison et le déploiement.

Exigences NIS 2

L'article 21 de la directive NIS 2 impose des mesures techniques et organisationnelles appropriées pour gérer les risques pesant sur la sécurité des réseaux et des systèmes d'information. Pour les entités essentielles et importantes, les mesures techniques minimales incluent : politiques de sécurité des systèmes d'information (sous-catégorie 21.2.a), gestion des incidents (21.2.b), continuité d'activité (21.2.c), sécurité de la chaîne d'approvisionnement (21.2.d), sécurité liée aux ressources humaines (21.2.e), pratiques d'hygiène informatique (21.2.f), politiques de chiffrement (21.2.g), sécurité des ressources humaines (21.2.h), et solutions d'authentification multifacteur (21.2.i). Les 96 contrôles du guide s'alignent sur ces catégories NIS 2, fournissant une base solide pour démontrer la conformité aux autorités nationales compétentes (ANSSI en France).

Environnement de test et laboratoire pratique

La maîtrise des techniques de sécurité offensive et défensive requiert un environnement de pratique dédié. L'installation d'un laboratoire virtuel sur votre poste (VMware Workstation, VirtualBox, ou Proxmox pour une infrastructure plus élaborée) permet de tester les concepts présentés dans cet article sans risque pour les systèmes de production.

Configuration recommandée du lab

Pour reproduire les scénarios décrits, une configuration minimale comprend : un hyperviseur disposant d'au moins 16 Go de RAM et 4 cœurs CPU, un réseau virtuel isolé (host-only ou internal network sans accès Internet pour les VMs malveillantes), et un snapshot de base avant chaque manipulation pour faciliter le retour arrière. Les distributions spécialisées Kali Linux (offensive) et Parrot OS Security Edition couvrent l'ensemble des outils nécessaires sans configuration manuelle. Pour l'aspect défensif, Security Onion déploie en une seule VM un stack complet (Zeek, Suricata, Elasticsearch, Kibana) qui permet de visualiser l'impact des techniques testées.

Ressources de formation complémentaires

Les plateformes d'entraînement permettent de consolider la pratique dans des environnements légaux et structurés. HackTheBox et TryHackMe proposent des machines virtuelles sur lesquelles appliquer les techniques décrites, avec des difficultés progressives adaptées aux débutants comme aux experts. Pour les scénarios d'entreprise (Active Directory, Cloud, applications web complexes), les labs Pro de HackTheBox ou les modules DFIR/SOC de Blue Team Labs Online offrent des cas réalistes. Les CTF compétitifs (Hack The Box CTF, DEFCON CTF, PicoCTF) développent la créativité et l'adaptabilité face à des challenges inédits. La régularité de pratique (1-2 heures hebdomadaires minimum) prime sur l'intensité ponctuelle pour développer des réflexes durables.

Indicateurs de maturité et métriques de sécurité

Mesurer l'efficacité des mesures de sécurité implémentées est indispensable pour justifier les investissements et guider les priorités. Les métriques suivantes constituent un tableau de bord de sécurité applicable aux organisations de toutes tailles.

Métriques de couverture et de détection

Les indicateurs clés à suivre mensuellement : taux de couverture MITRE ATT&CK (pourcentage des techniques adversariales couvertes par des règles de détection actives) ; Mean Time To Detect (MTTD) pour les incidents de sécurité confirmés ; Mean Time To Respond (MTTR) depuis l'alerte jusqu'à la résolution ; taux de faux positifs sur les alertes SIEM (objectif : moins de 5% pour les règles de haute priorité) ; pourcentage de systèmes avec agents EDR installés et actifs (objectif : 100% des endpoints gérés). Ces métriques, compilées dans un rapport mensuel pour la direction, permettent de démontrer la valeur des investissements sécurité et d'identifier les domaines nécessitant des ressources supplémentaires.

Amélioration continue par les exercices

Les organisations les plus matures en matière de cybersécurité organisent régulièrement des exercices pour tester et améliorer leurs capacités. Les exercices tabletop (simulation de crise sur table, sans activation des systèmes techniques) développent la coordination des équipes et valident les procédures de communication de crise. Les tests de pénétration (pentest) annuels fournissent une évaluation objective de la résistance technique de l'infrastructure. Les exercices Red/Blue/Purple Team (1-2 fois par an pour les organisations matures) permettent d'aligner les équipes offensive et défensive autour d'objectifs communs d'amélioration. Chaque exercice doit donner lieu à un plan d'action formalisé avec des jalons de correction mesurables, intégré dans la feuille de route sécurité de l'organisation.

Synthèse et perspectives 2026

Les techniques et recommandations présentées dans ce guide s'inscrivent dans un contexte de menaces en constante évolution. La cybersécurité offensive et défensive sont deux faces d'une même médaille : comprendre les mécanismes d'attaque est indispensable pour construire des défenses robustes et résilientes face aux acteurs malveillants les plus sophistiqués.

Pour les équipes sécurité, l'enjeu de 2026 est double : maintenir une veille continue sur les nouvelles techniques publiées par la communauté de recherche (CVE, exploit-db, GitHub, Secrech, SSTIC) tout en assurant le durcissement progressif de l'infrastructure existante. Le référentiel MITRE ATT&CK reste le fil conducteur le plus efficace pour structurer un programme de détection et de réponse face aux tactiques, techniques et procédures des groupes APT ciblant les secteurs critiques.

La formation continue des équipes, la simulation régulière d'incidents (exercices tabletop, exercices Red/Blue/Purple Team), et l'automatisation des tâches répétitives via des outils SOAR constituent les piliers d'une organisation cyber mature. Les organisations qui investissent dans ces trois axes démontrent systématiquement de meilleures métriques de détection et de réponse (MTTD et MTTR réduits de 40% en moyenne selon les benchmarks sectoriels) face aux incidents de sécurité.

Bonnes pratiques et recommandations complémentaires

Au-delà des techniques et outils présentés dans cet article, plusieurs principes transverses guident les professionnels de la cybersécurité dans leur approche quotidienne. La défense en profondeur (defense-in-depth) reste le principe fondateur : aucune mesure de sécurité unique n'est suffisante, et la multiplication des couches de protection — même imparfaites individuellement — crée une résilience globale supérieure à la somme de ses parties.

Veille et mise à jour continue

La cybersécurité est un domaine où l'obsolescence est rapide. Une technique ou un outil efficace en 2024 peut être contourné en 2026. Les équipes sécurité maintiennent leur efficacité en s'appuyant sur des sources de veille fiables : bulletins CERT-FR et ANSSI, advisories des éditeurs (Microsoft MSRC, Google Project Zero, Cisco Talos), recherches académiques (USENIX Security, IEEE S&P, CCS), et publications de la communauté (threat intel reports des grands éditeurs, articles de blog de chercheurs reconnus).

Documentation et partage de connaissances

La capitalisation des connaissances est un enjeu organisationnel critique dans les équipes de sécurité. Les runbooks d'investigation, les post-mortems d'incidents, les procédures de réponse documentées, et les bases de connaissance internes permettent de maintenir la cohérence des pratiques indépendamment des rotations d'équipe et de réduire le temps de résolution des incidents récurrents. L'utilisation d'un wiki sécurisé (Confluence, Notion avec contrôles d'accès stricts) pour centraliser ces connaissances est une pratique adoptée par la majorité des équipes SOC matures. La documentation proactive, rédigée juste après les incidents pendant que les détails sont frais, est systématiquement plus précise et utile que la documentation rédigée après coup.