Alignement de l’image Windows Azure Kubernetes Service (AKS) sur le benchmark CIS (Center for Internet Security)

En tant que service sécurisé, Azure Kubernetes Service (AKS) est conforme aux normes SOC, ISO, PCI DSS et HIPAA. Cet article décrit la configuration de sécurité du système d’exploitation appliquée à l’image Windows utilisée par AKS. Cette configuration de sécurité s’appuie sur la base de référence de sécurité X Azure qui s’aligne sur le benchmark CIS. Pour plus d’informations sur la sécurité AKS, consultez Concepts de sécurité pour les applications et les clusters dans AKS (Azure Kubernetes Service). Pour plus d’informations sur la sécurité AKS, consultez Concepts de sécurité pour les applications et les clusters dans AKS (Azure Kubernetes Service). Pour plus d’informations sur le point de référence CIS, consultez Points de référence CIS (Center for Internet Security). Pour plus d’informations sur les bases de référence de sécurité Azure pour Windows, consultez la section Base de référence de sécurité Windows.

Windows Server 2022

Les clusters AKS sont déployés sur des machines virtuelles hôtes, qui exécutent un système d’exploitation doté de configurations sécurisées intégrées. Ce système d’exploitation est utilisé pour les conteneurs s’exécutant sur AKS. Le système d’exploitation hôte est basé sur une image Windows Server 2022 sur laquelle sont appliquées des configurations de sécurité.

Dans le cadre du système d’exploitation optimisé pour la sécurité :

  • AKS fournit un système d’exploitation hôte optimisé pour la sécurité par défaut, mais aucune option pour sélectionner un autre système d’exploitation.
  • Le système d’exploitation hôte optimisé pour la sécurité est conçu et géré spécifiquement pour AKS. Il n’est pas pris en charge en dehors de la plateforme AKS.
  • Certains pilotes de module de noyau inutiles ont été désactivés dans le système d’exploitation pour réduire la surface d’attaque.

Notes

Azure applique aux hôtes de machines virtuelles AKS des correctifs quotidiens (y compris de sécurité) sans lien avec les benchmarks CIS.

L’objectif de la configuration sécurisée intégrée dans le système d’exploitation hôte est de réduire la surface d’attaque et d’optimiser le déploiement sécurisé de conteneurs.

Voici les résultats des recommandations CIS Azure Compute Microsoft Windows Server 2022 Benchmark v1.0.0 - 01-26-2023.

Les recommandations peuvent avoir les raisons suivantes :

  • Impact potentiel de l’opération : la suggestion n’a pas été appliquée, car elle aurait un effet négatif sur le service.
  • Couverte ailleurs : la recommandation est couverte par un autre contrôle dans le calcul cloud Azure.

Voici les règles CIS implémentées :

Numéro de paragraphe CIS Description de la recommandation Statut Motif
1.1.1 Vérifiez que « Appliquer l’historique des mots de passe » est défini sur « 24 mots de passe ou plus » Échec
1.1.2 Vérifiez que « Âge maximum du mot de passe » est défini sur « 365 jours ou moins, mais pas 0 » Réussite
1.1.3 Vérifiez que « Âge minimum du mot de passe » est défini sur « 1 jour ou plus » Échec
1.1.4 Vérifiez que « Longueur minimale du mot de passe » est défini sur « 14 caractères ou plus » Échec
1.1.5 Vérifiez que « Le mot de passe doit respecter des exigences de complexité » est défini sur « Activé » Réussite
1.1.6 Vérifiez que « Enregistrer les mots de passe en utilisant un chiffrement réversible » est défini sur « Désactivé » Réussite
2.2.1 Vérifiez que « Accéder au gestionnaire d'informations d'identification en tant qu’appelant fiable » est défini sur « Personne » Réussite
2.2.2 Vérifiez que « Accéder à cet ordinateur à partir du réseau » est défini sur « Administrateurs, Utilisateurs authentifiés, CONTRÔLEURS DE DOMAINE D'ENTREPRISE » (CD uniquement) Échec
2.2.4 Vérifiez que « Agir en tant que partie du système d'exploitation » est défini sur « Personne » Réussite
2.2.5 Vérifiez que « Ajouter des stations de travail au domaine » est défini sur « Administrateurs » (CD uniquement) N/A
2.2.6 Vérifiez que « Ajuster les quotas de mémoire pour un processus » est défini sur « Administrateurs, SERVICE LOCAL, SERVICE RÉSEAU » Réussite
2.2.7 Vérifiez que « Permettre l'ouverture de session en local » est défini sur « Administrateurs » Échec
2.2.8 Vérifiez que « Permettre l'ouverture de session par services de bureau à distance » est défini sur « Administrateurs » (CD uniquement) Réussite
2.2.10 Vérifiez que « Sauvegarder les fichiers et les répertoires » est défini sur « Administrateurs, opérateurs de sauvegarde » Réussite
2.2.11 Vérifiez que « Modifier l’heure système » est défini sur « Administrateurs, SERVICE LOCAL » Réussite
2.2.12 Vérifiez que « Modifier le fuseau horaire » est défini sur « Administrateurs, SERVICE LOCAL » Réussite
2.2.13 Vérifiez que « Créer un fichier de page » est défini sur « Administrateurs » Réussite
2.2.14 Vérifiez que « Créer un objet de jeton » est défini sur « Personne » Réussite
2.2.15 Vérifiez que « Créer des objets globaux » est défini sur « Administrateurs, SERVICE LOCAL, SERVICE RÉSEAU, SERVICE » Réussite
2.2.16 Vérifiez que « Créer des objets partagés permanents » est défini sur « Personne ». Réussite
2.2.17 Vérifiez que « Créer des liens symboliques » est défini sur « Administrateurs » (CD uniquement) Réussite
2.2.19 Vérifiez que « Programmes de débogage » est défini sur « Administrateurs » Réussite
2.2.20 Vérifiez que « Refuser l'accès à cet ordinateur à partir du réseau » inclut « Invités » Échec
2.2.21 Vérifiez que « Refuser l’ouverture de session en tant que programme de traitement par lots » inclut « Invités » Échec
2.2.22 Vérifiez que « Refuser l’ouverture de session en tant que service » inclut « Invités » Échec
2.2.23 Vérifiez que « Refuser l’ouverture de session en local » inclut « Invités » Échec
2.2.24 Vérifiez que « Refuser l’ouverture de session par services de bureau à distance » inclut « Invités » Échec
2.2.25 Vérifiez que « Activer l’ordinateur et les comptes d’utilisateur approuvés pour la délégation » est défini sur « Administrateurs » (CD uniquement) Réussite
2.2.27 Vérifiez que « Forcer l’arrêt à partir d’un système distant » est défini sur « Administrateurs » Réussite
2.2.28 Vérifiez que « Générer des audits de sécurité » est défini sur « SERVICE LOCAL, SERVICE RÉSEAU » N/A
2.2.29 Vérifiez que « Emprunter l'identité d'un client après authentification » est défini sur « Administrateurs, SERVICE LOCAL, SERVICE RÉSEAU, SERVICE » (CD uniquement) Réussite
2.2.31 Vérifiez que « Augmenter la priorité de planification » est défini sur « Administrateurs » Échec
2.2.32 Vérifiez que « Charger et décharger les pilotes de périphérique » est défini sur « Administrateurs » Réussite
2.2.33 Vérifiez que « Verrouillage des pages en mémoire » est défini sur « Personne ». Réussite
2.2.34 Vérifiez que « Gérer les journaux d'audit et de sécurité » est défini sur « Administrateurs » et (lorsqu’Exchange est en cours d’exécution dans l’environnement) « Serveurs Exchange » (CD uniquement) Réussite
2.2.36 Vérifiez que « Modifier une étiquette d’objet » est défini sur « Personne ». Réussite
2.2.37 Vérifiez que « Modifier les valeurs d’environnement du microprogramme » est défini sur « Administrateurs » Réussite
2.2.38 Vérifiez que « Effectuer des tâches de maintenance sur les volumes » est défini sur « Administrateurs » Réussite
2.2.39 Vérifiez que « Unique processus de profil » est défini sur « Administrateurs » Réussite
2.2.40 Vérifiez que « Performances du système de profil » est défini sur « Administrateurs, SERVICE NT\WdiServiceHost » Réussite
2.2.41 Vérifiez que « Remplacer un jeton au niveau du processus » est défini sur « SERVICE LOCAL, SERVICE RÉSEAU » Réussite
2.2.42 Vérifiez que « Restaurer les fichiers et les répertoires » est défini sur « Administrateurs, opérateurs de sauvegarde » Réussite
2.2.43 Vérifiez que « Arrêter le système » est défini sur « Administrateurs, opérateurs de sauvegarde » Réussite
2.2.44 Vérifiez que « Synchroniser les données du service d’annuaire » est défini sur « Personne » (CD uniquement) N/A
2.2.45 Vérifiez que « S’approprier des fichiers ou d’autres objets » est défini sur « Administrateurs » Réussite
2.3.1.1 Vérifiez que « Comptes : bloquer les comptes Microsoft » est défini sur « Les utilisateurs ne peuvent pas ajouter de comptes Microsoft ni se connecter avec » Réussite
2.3.1.3 Vérifiez que « Comptes : limiter l’utilisation d’un compte local de mots de passe vides à l’ouverture de session de la console uniquement » est défini sur « Activé » Réussite
2.3.1.4 Configurez « Comptes : renommer un compte d’administrateur » Réussite
2.3.1.5 Configurez « Comptes : renommer un compte d’invité » Réussite
2.3.2.1 Vérifiez que « Audit : force les paramètres de sous-catégorie de stratégie d’audit (Windows Vista ou version ultérieure) à se substituer aux paramètres de catégorie de stratégie d’audit » est défini sur « Activé » Réussite
2.3.2.2 Vérifiez que « Audit : arrêter immédiatement le système s'il n'est pas possible de se connecter aux audits de sécurité » est défini sur « Désactivé » Réussite
2.3.4.1 Vérifiez que « Appareils : autorisés à formater et éjecter les supports amovibles » est défini sur « Administrateurs » Réussite
2.3.4.2 Vérifiez que « Appareils : empêcher les utilisateurs d’installer des pilotes d’imprimante » est défini sur « Activé » Réussite
2.3.5.1 Vérifiez que « Contrôleur de domaine : autoriser les opérateurs de serveur à planifier des tâches » est défini sur « Désactivé » (CD uniquement) N/A
2.3.5.2 Vérifiez que « Contrôleur de domaine : autoriser les connexions de canaux sécurisés Netlogon vulnérables » est défini sur « Non configuré » (CD uniquement) N/A
2.3.5.3 Vérifiez que « Contrôleur de domaine : exigences du jeton de liaison de canal de serveur LDAP » est défini sur « Toujours » (CD uniquement) N/A
2.3.5.4 Vérifiez que « Contrôleur de domaine : conditions de signature du serveur LDAP » est défini sur « Exiger la signature » (CD uniquement) N/A
2.3.5.5 Vérifier que « Contrôleur de domaine : refuser les modifications du mot de passe du compte d’ordinateur » est défini sur « Désactivé » (CD uniquement) N/A
2.3.6.1 Vérifier que « Membre du domaine : Chiffrer numériquement ou signer les données de canal sécurisé (toujours) » est toujours défini sur « Activé » Réussite
2.3.6.2 Vérifier que « Membre du domaine : Chiffrer numériquement les données de canal sécurisé (quand c’est possible) » est défini sur « Activé » Réussite
2.3.6.3 Vérifier que « Membre du domaine : Signer numériquement les données de canal sécurisé (quand c’est possible) » est défini sur « Activé » Réussite
2.3.6.4 Vérifier que « Membre de domaine : Désactiver les modifications du mot de passe du compte d’ordinateur » est défini sur « Désactivé » Réussite
2.3.6.5 Vérifier que « Membre de domaine : Ancienneté maximale du mot de passe du compte d’ordinateur » est défini sur « 30 jours ou moins, mais pas sur 0 » Réussite
2.3.7.1 Vérifiez que « Ouverture de session interactive : limite d’inactivité de machine » est défini sur « 900 secondes ou moins, mais pas 0 » Réussite
2.3.7.2 Configurez « Ouverture de session interactive : texte du message pour les utilisateurs qui tentent de se connecter » Échec
2.3.7.3 Configurez « Ouverture de session interactive : titre du message pour les utilisateurs qui tentent de se connecter » Échec
2.3.7.4 Vérifiez que « Ouverture de session interactive : inviter l’utilisateur à modifier le mot de passe avant l’expiration » est défini sur « Entre 5 et 14 jours » Réussite
2.3.8.1 Vérifiez que « Client réseau Microsoft : signer numériquement les communications (toujours) » est défini sur « Activé » Échec
2.3.8.2 Vérifiez que « Client réseau Microsoft : signer numériquement les communications (si le serveur l’accepte) » est défini sur « Activé » Réussite
2.3.8.3 Vérifiez que « Client réseau Microsoft : envoyer un mot de passe non chiffré aux serveurs SMB tiers » est défini sur « Désactivé » Réussite
2.3.9.1 Vérifiez que « Serveur réseau Microsoft : durée d’inactivité avant la suspension de la session » est défini sur « 15 minutes ou moins » Réussite
2.3.9.2 Vérifiez que « Serveur réseau Microsoft : signer numériquement les communications (toujours) » est défini sur « Activé » Échec
2.3.9.3 Vérifiez que « Serveur réseau Microsoft : signer numériquement les communications (si le client l’accepte) » est défini sur « Activé » Échec
2.3.9.4 Vérifiez que « Serveur réseau Microsoft : déconnecter les clients à l'expiration du délai de la durée de session » est défini sur « Activé » Réussite
2.3.10.1 Vérifiez que « Accès réseau : autoriser la traduction du SID/nom anonyme » est défini sur « Désactivé » Réussite
2.3.10.4 Vérifiez que « Accès réseau : les autorisations spécifiques des utilisateurs appartenant au groupe Tout le monde s’appliquent aux utilisateurs anonymes » est défini sur « Désactivé » Réussite
2.3.10.5 Configurez « Accès réseau : canaux nommés accessibles de manière anonyme » (CD uniquement) Réussite
2.3.10.7 Configurez « Accès réseau : chemins de registre accessibles à distance » Réussite
2.3.10.8 Configurez « Accès réseau : chemins et sous-chemins de registre accessibles à distance » Réussite
2.3.10.9 Vérifiez que « Accès réseau : restreindre l’accès anonyme aux canaux et partages nommés » est défini sur « Activé » Réussite
2.3.10.11 Vérifiez que « Accès réseau : partages accessibles de manière anonyme » est défini sur « Personne » N/A
2.3.10.12 Vérifiez que « Accès réseau : modèle de partage et de sécurité pour les comptes locaux » est défini sur « Classique : les utilisateurs locaux s'authentifient eux-mêmes » Réussite
2.3.11.1 Vérifiez que « Sécurité réseau : autoriser le système local à utiliser l’identité de l’ordinateur pour NTLM » est défini sur « Activé » Échec
2.3.11.2 Vérifiez que « Sécurité réseau : autoriser le secours de session NULL LocalSystem » est défini sur « Désactivé » Réussite
2.3.11.3 Vérifiez que « Sécurité réseau : autoriser les demandes d’authentification PKU2U pour cet ordinateur pour utiliser les identités en ligne » est défini sur « Désactivé » Réussite
2.3.11.4 Vérifiez que « Sécurité réseau : Configurer les types de chiffrement autorisés pour Kerberos » est défini sur « AES128_HMAC_SHA1, AES256_HMAC_SHA1, types de chiffrement futurs » Réussite
2.3.11.5 Vérifiez que « Sécurité réseau : ne pas stocker de valeurs de hachage de niveau LAN Manager sur la prochaine modification de mot de passe » est défini sur « Activé » Réussite
2.3.11.6 Définissez « Sécurité réseau : niveau d’authentification de LAN Manager » sur « Envoyer la réponse NTLMv2 uniquement. Refuser LM et NTLM » Échec
2.3.11.7 Vérifiez que « Sécurité réseau : exigences de signature du client LDAP » est défini sur « Négocier la signature » ou une option plus stricte Réussite
2.3.11.8 Vérifiez que « Sécurité réseau : sécurité de session minimale pour les clients basés sur SSP NTLM (y compris RPC sécurisé) » est défini sur « Exiger la sécurité de session NTLMv2 ; exiger un chiffrement 128 bits » Échec
2.3.11.9 Vérifiez que « Sécurité réseau : sécurité de session minimale pour les serveurs basés sur SSP NTLM (y compris RPC sécurisé) » est défini sur « Exiger la sécurité de session NTLMv2 ; exiger un chiffrement 128 bits » Échec
2.3.13.1 Vérifiez que « Arrêt : permet d’arrêter le système sans avoir à vous connecter » est défini sur « Désactivé » Réussite
2.3.15.1 Vérifiez que « Objets système : les différences entre majuscules et minuscules ne doivent pas être prises en compte pour les sous-systèmes autres que Windows » est défini sur « Activé » Réussite
2.3.15.2 Vérifiez que « Objets système : renforcer les autorisations par défaut des objets système internes (comme les liens de symboles) » est défini sur « Activé » Réussite
2.3.17.1 Vérifiez que « Contrôle de compte d’utilisateur : mode Approbation administrateur pour le compte Administrateur intégré » est défini sur « Activé » Échec
2.3.17.2 Vérifiez que « Contrôle de compte d'utilisateur : comportement de l'invite d'élévation pour les administrateurs en mode d'approbation Administrateur » est défini sur « Demande de consentement sur le bureau sécurisé » Échec
2.3.17.3 Vérifiez que « Contrôle de compte d’utilisateur : comportement de l’invite d’élévation pour les utilisateurs standard » est défini sur « Refuser automatiquement les demandes d’élévation » Échec
2.3.17.4 Vérifiez que « Contrôle de compte d’utilisateur : détecter les installations d’applications et demander l’élévation » est défini sur « Activé » Réussite
2.3.17.5 Vérifiez que « Contrôle de compte d’utilisateur : élever uniquement les applications UIAccess installées à des emplacements sécurisés » est défini sur « Activé » Réussite
2.3.17.6 Vérifiez que « Contrôle de compte d’utilisateur : exécuter les comptes d'administrateurs en mode d'approbation d'administrateur » est défini sur « Activé » Réussite
2.3.17.7 Vérifiez que « Contrôle de compte d’utilisateur : passer au bureau sécurisé lors d’une demande d’élévation » est défini sur « Activé » Réussite
2.3.17.8 Vérifiez que « Contrôle de compte d’utilisateur : virtualiser les échecs d'écritures de fichiers et de Registre dans des emplacements définis par utilisateur » est défini sur « Activé » Réussite
5,1 Vérifiez que « Spouleur d’impression (spouler) » est défini sur « Désactivé » (CD uniquement) N/A
9.1.1 Vérifiez que « Pare-feu Windows : domaine : état du pare-feu » est défini sur « Activé (recommandé) » Échec
9.1.2 Vérifiez que « Pare-feu Windows : domaine : connexions entrantes » est défini sur « Bloquer (par défaut) » Réussite
9.1.3 Vérifiez que « Pare-feu Windows : domaine : connexions sortantes » est défini sur « Autoriser (par défaut) » Réussite
9.1.4 Vérifiez que « Pare-feu Windows : domaine : journalisation : nom » est défini sur « %SystemRoot%\System32\logfiles\firewall\domainfw.log » Réussite
9.1.5 Vérifiez que « Pare-feu Windows : domaine : journalisation : limite de taille (Ko) » est défini sur « 16 384 Ko ou plus » Réussite
9.1.6 Vérifiez que « Pare-feu Windows : domaine : journalisation : journaliser les paquets supprimés » est défini sur « Oui » Réussite
9.1.7 Vérifiez que « Pare-feu Windows : domaine : journalisation : journaliser les connexions réussies » est défini sur « Oui » Échec
9.2.1 Vérifiez que « Pare-feu Windows : privé : état du pare-feu » est défini sur « Activé (recommandé) » Échec
9.2.2 Vérifiez que « Pare-feu Windows : privé : connexions entrantes » est défini sur « Bloquer (par défaut) » Réussite
9.2.3 Vérifiez que « Pare-feu Windows : privé : connexions sortantes » est défini sur « Autoriser (par défaut) » Échec
9.2.4 Vérifiez que « Pare-feu Windows : privé : journalisation : nom » est défini sur « %SystemRoot%\System32\logfiles\firewall\privatefw.log » Réussite
9.2.5 Vérifiez que « Pare-feu Windows : privé : journalisation : limite de taille (Ko) » est défini sur « 16 384 Ko ou plus » Réussite
9.2.6 Vérifiez que « Pare-feu Windows : privé : journalisation : journaliser les paquets supprimés » est défini sur « Oui » Réussite
9.2.7 Vérifiez que « Pare-feu Windows : privé : journalisation : journaliser les connexions réussies » est défini sur « Oui » Réussite
9.3.1 Vérifiez que « Pare-feu Windows : public : état du pare-feu » est défini sur « Activé (recommandé) » Échec
9.3.2 Vérifiez que « Pare-feu Windows : public : connexions entrantes » est défini sur « Bloquer (par défaut) » Réussite
9.3.3 Vérifiez que « Pare-feu Windows : public : connexions sortantes » est défini sur « Autoriser (par défaut) » Échec
9.3.4 Vérifiez que « Pare-feu Windows : public : journalisation : nom » est défini sur « %SystemRoot%\System32\logfiles\firewall\publicfw.log » Réussite
9.3.5 Vérifiez que « Pare-feu Windows : public : journalisation : limite de taille (Ko) » est défini sur « 16 384 Ko ou plus » Échec
9.3.6 Vérifiez que « Pare-feu Windows : public : journalisation : journaliser les paquets supprimés » est défini sur « Oui » Réussite
9.3.7 Vérifiez que « Pare-feu Windows : public : journalisation : journaliser les connexions réussies » est défini sur « Oui » Réussite
17.1.1 Vérifiez que « Auditer la validation des informations d'identification » est défini sur « Succès et échec » Réussite
17.1.2 Vérifiez que « Auditer le service d’authentification Kerberos » est défini sur « Succès et échec » (CD uniquement) Réussite
17.2.1 Vérifiez que « Auditer la gestion des comptes d’ordinateur » est défini de sorte à inclure « Succès et échec » (CD uniquement) Réussite
17.2.2 Vérifiez que « Auditer la gestion des groupes de distribution » est défini de sorte à inclure « Succès et échec » (CD uniquement) Réussite
17.2.3 Vérifiez que « Auditer d’autres événements de gestion des comptes » est défini de sorte à inclure « Succès et échec » (CD uniquement) Réussite
17.2.4 Vérifiez que « Auditer la gestion des groupes de sécurité » de sorte à inclure « Succès » Réussite
17.2.5 Vérifiez que « Auditer la gestion des comptes d’utilisateur » est défini sur « Succès et échec » Réussite
17.3.1 Vérifiez que « Auditer l’activité PnP » est défini de sorte à inclure « Succès » Réussite
17.3.2 Vérifiez que « Auditer la création de processus » est défini de sorte à inclure « Succès » Réussite
17.5.1 Vérifiez que « Auditer le verrouillage du compte » est défini de sorte à inclure « Succès et échec » Réussite
17.5.2 Vérifiez que « Auditer l’appartenance à un groupe » est défini de sorte à inclure « Succès et échec » Réussite
17.5.3 Vérifiez que « Auditer la fermeture de session » est défini de sorte à inclure « Succès » Réussite
17.5.4 Vérifiez que « Auditer l’ouverture de session » est défini sur « Succès et échec » Réussite
17.5.5 Vérifiez que « Auditer d’autres événements d’ouverture/fermeture de session » est défini sur « succès et échec » Réussite
17.5.6 Vérifiez que « Auditer l’ouverture de session spéciale » est défini de sorte à inclure « Succès » Réussite
17.6.1 Vérifiez que « Auditer d’autres événements d’accès à l’objet » est défini sur « succès et échec » Échec
17.6.2 Vérifiez que « Auditer le stockage amovible » est défini sur « Succès et échec » Échec
17.7.1 Vérifiez que « Auditer la modification de la stratégie d’audit » est défini de sorte à inclure « Succès » Réussite
17.7.2 Vérifiez que « Auditer le changement de la stratégie d'authentification » est défini de sorte à inclure « Succès » Réussite
17.7.3 Vérifiez que « Auditer la modification de la stratégie de niveau règle MPSSVC » est défini sur « Succès et échec » Échec
17.8.1 Vérifiez que « Auditer l’utilisation de privilèges sensibles » est défini sur « Succès et échec » Réussite
17.9.1 Vérifiez que « Auditer la modification de l’état de la sécurité » est défini de sorte à inclure « Succès » Échec
17.9.2 Vérifiez que « Auditer l’extension du système de sécurité » est défini de sorte à inclure « Succès » Réussite
17.9.3 Vérifiez que « Auditer l’intégrité du système » est défini sur « Succès et échec » Réussite
18.1.2.2 Vérifiez que « Autoriser les utilisateurs à activer les services de reconnaissance vocale en ligne » est défini sur « Désactivé » Échec
18.3.1 Vérifiez que « Configurer le pilote client SMB v1 » est défini sur « Activé : désactiver le pilote (recommandé) » Réussite
18.3.2 Vérifiez que « Configurer le serveur SMB v1 » est défini sur « Désactivé » Réussite
18.3.3 Vérifiez que « Activer la protection contre le remplacement de la gestion des exceptions structurées (SEHOP) » est défini sur « Activé » Réussite
18.3.4 Vérifiez que « Configuration de NodeType NetBT » est défini sur « Activé : P-node (recommandé) » Réussite
18.3.5 Vérifiez que « Authentification WDigest » est défini sur « Désactivé » Réussite
18.4.1 Vérifiez que « MSS : (DisableIPSourceRouting IPv6) niveau de protection du routage source IP (protège contre l’usurpation de paquets) » est défini sur « Activé : protection la plus élevée ; le routage source est intégralement désactivé ». Réussite
18.4.2 Vérifiez que « MSS : (DisableIPSourceRouting) niveau de protection du routage source IP (protège contre l’usurpation de paquets) » est défini sur « Activé : protection la plus élevée ; le routage source est intégralement désactivé ». Réussite
18.4.3 Vérifiez que « MSS : (EnableICMPRedirect) autoriser les redirections ICMP à remplacer les routes générées par OSPF » est défini sur « Désactivé » Échec
18.4.4 Vérifiez que « MSS : (NoNameReleaseOnDemand) autoriser l’ordinateur à ignorer les demandes de publication de nom NetBIOS à l’exception des serveurs WINS » est défini sur « Désactivé » Réussite
18.5.4.1 Vérifiez que « Désactiver la résolution de noms de multidiffusion » est défini sur « Activé » Échec
18.5.8.1 Vérifiez que « Activer les ouvertures de session invité non sécurisées » est défini sur « Désactivé » Échec
18.5.11.2 Vérifiez que « Interdire l’installation et la configuration du pont réseau sur votre réseau de domaine DNS » est défini sur « Activé » Échec
18.5.11.3 Vérifiez que « Interdire l’utilisation du partage de connexions Internet sur votre réseau de domaine DNS » est défini sur « Activé » Échec
18.5.14.1 Vérifiez que « Chemins d'accès UNC renforcés » est défini sur « Activé avec exigences d’authentification mutuelle et d’intégrité définies pour tous les partages NETLOGON et SYSVOL » Réussite
18.5.21.1 Vérifiez que « Réduire le nombre de connexions simultanées à Internet ou à un domaine Windows » est défini sur « Activé ; 1 = réduire le nombre de connexions simultanées » Réussite
18.8.3.1 Vérifiez que « Inclure la ligne de commande dans les événements de création de processus » est défini sur « Activé » Échec
18.8.4.1 Vérifiez que « Correction Oracle de chiffrement » est défini sur « Activé : forcer les clients mis à jour » Réussite
18.8.4.2 Vérifiez que « L’hôte distant autorise la délégation d’informations d’identification non exportables » est défini sur « Activé » Réussite
18.8.14.1 Vérifiez que « Stratégie d’initialisation du pilote de démarrage » est défini sur « Activé : bonne, inconnue et incorrecte, mais critique » Réussite
18.8.21.2 Vérifiez que « Configurer le traitement de la stratégie de Registre : Ne pas appliquer pendant le traitement en arrière-plan périodique » est défini sur « Activé : FALSE » Réussite
18.8.21.3 Vérifiez que « Configurer le traitement des stratégies de Registre : Traiter même si les objets de stratégie de groupe n’ont pas changé » est défini sur « Activé : TRUE » Réussite
18.8.21.4 Vérifiez que « Continuer les expériences sur cet appareil » est défini sur « désactivé » Réussite
18.8.21.5 Vérifiez que « Désactiver l’actualisation en arrière-plan de la stratégie de groupe » est défini sur « Désactivé » Réussite
18.8.22.1.1 Vérifiez que « Désactiver le téléchargement des pilotes d’imprimantes via HTTP » est défini sur « Activé » Échec
18.8.28.1 Vérifiez que « Empêcher l’utilisateur d’afficher des détails du compte à la connexion » est défini sur « Activé » Échec
18.8.28.2 Vérifiez que « Ne pas afficher l’interface utilisateur de sélection du réseau » est défini sur « Activé » Échec
18.8.36.1 Vérifiez que « Configurer l’assistance à distance de l’offre » est défini sur « Désactivé » Réussite
18.8.36.2 Vérifiez que « Configurer l'assistance à distance sollicitée » est défini sur « Désactivé » Échec
18.8.40.1 Vérifiez que « Configurer la validation des clés WHfB vulnérables ROCA lors de l’authentification » est défini sur « Activé : audit » ou une option plus stricte (CD uniquement) N/A
18.9.6.1 Vérifiez que « Autoriser les comptes Microsoft à être facultatifs » est défini sur « Activé » Échec
18.9.14.1 Vérifiez que « Désactiver le contenu d’état du compte de consommateur cloud » est défini sur « Activé » Réussite
18.9.14.2 Vérifiez que « Désactiver les expériences des consommateurs Microsoft » est défini sur « Activé » Réussite
18.9.16.1 Vérifiez que « Ne pas afficher le bouton Révéler le mot de passe » est défini sur « Activé » Échec
18.9.16.2 Vérifiez que « Énumérer les comptes d’administrateur lors de l’élévation » est défini sur « Désactivé » Réussite
18.9.17.1 Vérifiez que « Autoriser les données de diagnostic » est défini sur « Activé : envoyer les données de diagnostic requises » Échec
18.9.27.1.1 Vérifiez que « Application : contrôler le comportement du journal des événements lorsque le fichier journal atteint sa taille maximale » est défini sur « Désactivé » Réussite
18.9.27.1.2 Vérifiez que « Application : spécifiez la taille maximale du fichier journal (Ko) » est défini sur « Activé : 32 768 ou plus » Échec
18.9.27.2.1 Vérifiez que « Sécurité : contrôler le comportement du journal des événements lorsque le fichier journal atteint sa taille maximale » est défini sur « Désactivé » Réussite
18.9.27.2.2 Vérifiez que « Sécurité : spécifiez la taille maximale du fichier journal (Ko) » est défini sur « Activé : 196 608 ou plus » Échec
18.9.27.3.1 Vérifiez que « Configuration : contrôler le comportement du journal des événements lorsque le fichier journal atteint sa taille maximale » est défini sur « Désactivé » Réussite
18.9.27.3.2 Vérifiez que « Configuration : spécifiez la taille maximale du fichier journal (Ko) » est défini sur « Activé : 32 768 ou plus » Échec
18.9.27.4.1 Vérifiez que « Système : contrôler le comportement du journal des événements lorsque le fichier journal atteint sa taille maximale » est défini sur « Désactivé » Réussite
18.9.27.4.2 Vérifiez que « Système : spécifiez la taille maximale du fichier journal (Ko) » est défini sur « Activé : 32 768 ou plus » Échec
18.9.31.2 Vérifiez que « Désactiver la prévention d’exécution des données pour l’Explorateur » est défini sur « Désactivé » Réussite
18.9.31.3 Vérifiez que « Désactiver l’arrêt du segment de mémoire en cas d’altération » est défini sur « Désactivé » Réussite
18.9.31.4 Vérifiez que « Désactiver le mode protégé du protocole Shell » est défini sur « Désactivé » Réussite
18.9.46.1 Vérifiez que « Bloquer l’authentification utilisateur de tous les comptes Microsoft consommateurs » est défini sur « Activé » Réussite
18.9.47.15 Vérifiez que « Configurer la détection pour les applications potentiellement indésirables » est défini sur « Activé : bloquer » Réussite
18.9.47.16 Vérifiez que « Désactiver l’antivirus Microsoft Defender » est défini sur « Désactivé » Réussite
18.9.47.4.1 Vérifiez que « Configurer un remplacement de paramètre local pour la création de rapports sur Microsoft MAPS » est défini sur « Désactivé » Réussite
18.9.47.5.1.1 Vérifiez que « Configurer les règles de réduction de la surface d’attaque » est défini sur « Activé » Réussite
18.9.47.5.1.2 Vérifiez que « Configurer les règles de réduction de la surface d’attaque : définir l’état de chaque règle ASR » est configuré Réussite
18.9.47.5.3.1 Vérifiez que « Empêcher les utilisateurs et les applications d’accéder à des sites web dangereux » est défini sur « Activé : bloquer » Réussite
18.9.47.9.1 Vérifiez que « Analyser tous les fichiers et pièces jointes téléchargés » est défini sur « Activé » Réussite
18.9.47.9.2 Vérifiez que « Désactiver la protection en temps réel » est défini sur « Désactivé » Réussite
18.9.47.9.3 Vérifiez que « Activer la surveillance du comportement » est défini sur « Activé » Réussite
18.9.47.9.4 Vérifiez que « Activer l’analyse des scripts » est défini sur « Activé » Réussite
18.9.47.12.1 Vérifiez que « Activer l’analyse des e-mails » est défini sur « Activé » Échec
18.9.65.2.2 Vérifiez que « Ne pas autoriser l’enregistrement des mots de passe » est défini sur « Activé » Échec
18.9.65.3.3.1 Vérifiez que « Ne pas autoriser la redirection de lecteur » est défini sur « Activé » Réussite
18.9.65.3.9.1 Vérifiez que « Toujours demander le mot de passe lors de la connexion » est défini sur « Activé » Échec
18.9.65.3.9.2 Vérifiez que « Exiger une communication RPC sécurisée » est défini sur « Activé » Échec
18.9.65.3.9.3 Vérifiez que « Définir le niveau de chiffrement de la connexion client » est défini sur « Activé : niveau élevé » Réussite
18.9.65.3.11.1 Vérifiez que « Ne pas supprimer les dossiers temporaires en quittant » est défini sur « Désactivé » Réussite
18.9.65.3.11.2 Vérifiez que « Ne pas utiliser de dossiers temporaires par session » est défini sur « Désactivé » Réussite
18.9.66.1 Vérifiez que « Empêcher le téléchargement des fichiers joints » est défini sur « Activé » Échec
18.9.67.2 Vérifiez que « Autoriser l’indexation des fichiers chiffrés » est défini sur « Désactivé » Réussite
18.9.85.1.1 Vérifiez que « Configurer Windows Defender SmartScreen » est défini sur « Activé : avertir et empêcher le contournement » Échec
18.9.90.1 Vérifiez que « Autoriser le contrôle utilisateur sur les installations » est défini sur « Désactivé » Réussite
18.9.90.2 Vérifiez que « Toujours installer avec des privilèges élevés » est défini sur « Désactivé » Réussite
18.9.91.1 Vérifiez que «Connecter et verrouiller automatiquement le dernier utilisateur interactif après un redémarrage » est défini sur « Désactivé » Réussite
18.9.100.1 Vérifiez que « Activer la journalisation de blocs de scripts PowerShell » est défini sur « Activé » Échec
18.9.100.2 Vérifiez que « Activer la transcription PowerShell » est défini sur « Désactivé » Réussite
18.9.102.1.1 Vérifiez que « Autoriser l’authentification de base » est défini sur « Désactivé » Réussite
18.9.102.1.2 Vérifiez que « Autoriser le trafic non chiffré » est défini sur « Désactivé » Réussite
18.9.102.1.3 Vérifiez que « Désactiver l’authentification Digest » est défini sur « Activé » Échec
18.9.102.2.1 Vérifiez que « Autoriser l’authentification de base » est défini sur « Désactivé » Réussite
18.9.102.2.2 Vérifiez que « Autoriser le trafic non chiffré » est défini sur « Désactivé » Réussite
18.9.102.2.3 Vérifiez que « Ne pas autoriser WinRM à stocker des informations d'identification RunAs » est défini sur « Activé » Échec
18.9.105.2.1 Vérifiez que « Empêcher les utilisateurs de modifier les paramètres » est défini sur « Activé » Réussite

Étapes suivantes

Pour plus d’informations sur la sécurité AKS, consultez les articles suivants :

  • Dernière mise à jour :