Comment durcir les postes de travail Windows en entreprise en 6 etapes

Le poste de travail Windows est le point d'entree numero un des cyberattaques en entreprise. Phishing, ransomware, mouvement lateral : dans 80 % des incidents que nous traitons chez WebGuard Agency, la compromission initiale passe par un poste utilisateur insuffisamment securise. Pourtant, durcir un parc Windows ne necessite ni budget astronomique ni expertise pointue. Les outils sont la, integres a Windows. Il suffit de les activer et de les configurer correctement.

Ce guide s'adresse aux responsables informatiques et RSSI de PME francaises qui souhaitent passer a l'action concretement. Chaque etape est detaillee avec les commandes, les configurations GPO et les pieges a eviter. Nous suivons les recommandations du guide d'hygiene informatique de l'ANSSI et les benchmarks CIS pour Windows.

— Etape 1 : Activer le chiffrement BitLocker sur tous les disques

Le chiffrement du disque est la premiere ligne de defense contre le vol physique et la compromission hors-ligne. BitLocker, integre a Windows Pro et Enterprise, chiffre l'integralite du disque systeme et des disques de donnees. Sans BitLocker, un poste vole ou un disque recupere lors d'une mise au rebut donne acces a toutes les donnees en clair — emails caches, fichiers temporaires, identifiants enregistres.

Configuration recommandee via GPO : creez ou editez la strategie Configuration ordinateur > Modeles d'administration > Composants Windows > Chiffrement de lecteur BitLocker. Activez le chiffrement automatique avec stockage de la cle de recuperation dans Active Directory (AD DS). Exigez le module TPM 2.0 comme protecteur principal. Pour les postes de direction et les profils sensibles, ajoutez un PIN au demarrage (pre-boot authentication) pour une protection contre les attaques cold-boot.

Verification rapide : sur un poste, ouvrez une invite de commande elevee et tapez manage-bde -status. Vous devez voir « Protection activee » et « Methode de chiffrement : XTS-AES 256 ». Si ce n'est pas le cas, lancez manage-bde -on C: -RecoveryPassword et sauvegardez la cle de recuperation dans AD.

Piege a eviter : ne chiffrez pas uniquement le lecteur C:. Les utilisateurs stockent souvent des fichiers sur des partitions secondaires (D:, E:) ou des cles USB. Activez BitLocker To Go pour les supports amovibles via la meme GPO, et bloquez l'acces aux peripheriques USB non chiffres si votre politique de securite le permet.

— Etape 2 : Deployer AppLocker pour controler les applications autorisees

AppLocker est l'outil de whitelisting d'applications integre a Windows Enterprise et Education. Son principe est simple : au lieu de tenter de bloquer les logiciels malveillants un par un (approche antivirus classique), on autorise uniquement les applications connues et approuvees. Tout le reste est bloque par defaut. C'est un changement de paradigme qui stoppe net les ransomwares, les outils de post-exploitation comme Cobalt Strike, et les scripts PowerShell malveillants.

Demarrage en mode audit : la cle du succes avec AppLocker est de ne jamais deployer directement en mode blocage. Commencez par creer des regles par defaut via Configuration ordinateur > Strategies > Parametres Windows > Strategies de securite > Strategies de controle d'application > AppLocker. Activez le mode « Audit uniquement » pendant 2 a 4 semaines. Analysez les journaux d'evenements (journal Applications and Services Logs > Microsoft > Windows > AppLocker) pour identifier les applications utilisees par vos collaborateurs qui ne sont pas couvertes par les regles par defaut.

Regles recommandees : creez des regles par editeur (publisher rules) pour les logiciels signes (Microsoft, Adobe, Google, etc.), des regles par chemin pour les applications internes installees dans des repertoires specifiques, et des regles par hash pour les executables non signes mais approuves. Bloquez explicitement l'execution depuis %USERPROFILE%, %TEMP% et %APPDATA% — ces repertoires sont les emplacements privilegies par les malwares.

Piege a eviter : n'oubliez pas de creer un processus de demande d'exception pour les utilisateurs. Sans cela, le premier logiciel metier bloque par AppLocker generera un ticket de support en urgence et une pression pour desactiver toute la politique. Documentez le processus (formulaire, validation manager + IT, delai 24h) et communiquez-le avant le passage en mode blocage.

— Etape 3 : Supprimer les droits administrateur locaux avec LAPS

Les droits administrateur locaux sont le talon d'Achille de la securite des postes Windows. Dans 90 % des PME que nous auditons, les utilisateurs sont encore administrateurs de leur poste « pour pouvoir installer des logiciels ». Le probleme : un ransomware execute avec des droits admin peut chiffrer l'integralite du disque, modifier le registre, desactiver l'antivirus et se propager aux partages reseau. Un meme ransomware execute sans droits admin est cantonne a l'espace utilisateur et cause des degats limites.

Deployer Microsoft LAPS : LAPS (Local Administrator Password Solution) est un outil gratuit de Microsoft qui genere automatiquement un mot de passe administrateur local unique et aleatoire pour chaque poste, et le stocke de maniere securisee dans Active Directory. Installez le client LAPS sur chaque poste via GPO ou SCCM, configurez la politique de rotation (tous les 30 jours est un bon compromis), et formez votre equipe IT a recuperer le mot de passe via la console LAPS UI ou PowerShell quand un acces admin local est necessaire.

Supprimer les utilisateurs du groupe Administrateurs : via la GPO de groupes restreints (Configuration ordinateur > Strategies > Parametres Windows > Parametres de securite > Groupes restreints), definissez le contenu du groupe « Administrateurs » pour qu'il ne contienne que le compte administrateur local (gere par LAPS) et le groupe « Admins du domaine ». Tous les comptes utilisateur nommes seront automatiquement retires au prochain rafraichissement de la GPO.

Alternative pour les besoins ponctuels : mettez en place une solution d'elevation temporaire de privileges (PAM) comme MakeMeAdmin, BeyondTrust Privilege Management, ou CyberArk EPM. L'utilisateur peut demander une elevation temporaire (15-30 minutes) pour installer un logiciel approuve, sans disposer de droits admin permanents. L'action est journalisee et tracable.

— Etape 4 : Durcir le pare-feu Windows et les regles reseau

Le pare-feu Windows Defender Firewall est desactive ou en configuration permissive sur la majorite des postes que nous auditons. C'est une erreur strategique : le pare-feu local est votre derniere ligne de defense quand un attaquant est deja dans le reseau (mouvement lateral). Un pare-feu correctement configure sur chaque poste empeche un ransomware de se propager via SMB, un outil de pentest de pivoter entre les machines, et un attaquant d'exfiltrer des donnees via des canaux non autorises.

Configuration via GPO : dans Configuration ordinateur > Strategies > Parametres Windows > Pare-feu Windows Defender, configurez les trois profils (Domaine, Prive, Public) avec les regles suivantes :

• Connexions entrantes : bloquer par defaut, autoriser uniquement les ports necessaires (RDP restreint par IP source pour le support, partage de fichiers uniquement vers les serveurs de fichiers)
• Connexions sortantes : autoriser par defaut mais bloquer les ports sensibles (445/SMB sortant vers les autres postes, 3389/RDP sortant sauf vers les serveurs, 5985-5986/WinRM sauf pour les admins)
• Journalisation : activer la journalisation des connexions bloquees dans %systemroot%\system32\LogFiles\Firewall\pfirewall.log avec une taille maximale de 32 Mo

Piege a eviter : ne bloquez pas les connexions sortantes par defaut sur un premier deploiement. Cela cassera inevitablement des applications metier non documentees. Commencez par les regles entrantes restrictives et la journalisation sortante, puis affinez progressivement les regles sortantes sur la base des logs collectes.

— Etape 5 : Automatiser les mises a jour avec WSUS ou Intune

Les vulnerabilites non patchees sont le vecteur d'attaque le plus exploite apres le phishing. En 2025, le delai moyen entre la publication d'un correctif critique et sa premiere exploitation en masse est tombe a 48 heures. Votre processus de mise a jour doit etre capable de deployer un patch critique en moins de 72 heures sur l'ensemble de votre parc. Sans centralisation, c'est impossible.

WSUS pour les environnements on-premise : Windows Server Update Services (WSUS) est gratuit et integre a Windows Server. Configurez-le pour synchroniser les mises a jour de securite automatiquement, approuvez les correctifs critiques dans les 48 heures suivant leur publication, et utilisez les groupes WSUS pour creer des anneaux de deploiement :

• Anneau pilote (J+1) : 5-10 postes representatifs de votre parc, incluant les configurations les plus exotiques
• Anneau standard (J+7) : l'ensemble du parc, apres validation que le patch n'a pas casse d'application metier sur les postes pilotes
• Anneau critique (J+2) : pour les correctifs exploites activement (marques « exploitation detected »), deploiement en 48 heures sans attendre la validation pilote complete

Intune pour les environnements hybrides ou full-cloud : si vous avez migre vers Microsoft 365, Intune offre une gestion des mises a jour plus granulaire avec des rapports de conformite detailles. Configurez les « Update rings » et les « Feature update policies » pour un controle fin du deploiement. L'avantage majeur d'Intune : les postes nomades sont mis a jour meme quand ils ne sont pas connectes au reseau d'entreprise.

Tableau de bord de conformite : quel que soit l'outil choisi, mettez en place un tableau de bord montrant le pourcentage de postes a jour. L'objectif est 95 % de conformite a J+14 pour les correctifs standard et 100 % a J+7 pour les correctifs critiques. Tout poste non conforme apres ces delais doit etre isole du reseau jusqu'a sa mise a jour.

— Etape 6 : Activer la journalisation avancee et la surveillance EDR

Les cinq etapes precedentes durcissent la surface d'attaque. Cette sixieme etape vous donne la visibilite pour detecter ce qui passe a travers les mailles du filet. Sans journalisation et surveillance, vous ne saurez qu'un poste est compromis que lorsque le ransomware chiffrera les fichiers — ou pire, lorsque les donnees volees apparaitront sur un forum cybercriminel.

Journalisation avancee via GPO : activez les strategies d'audit avancees dans Configuration ordinateur > Strategies > Parametres Windows > Configuration avancee de la strategie d'audit. Au minimum, activez la journalisation des evenements suivants :

• Connexion de compte : succes et echec (detecte le brute force et le credential stuffing)
• Acces aux objets : echec (detecte les tentatives d'acces non autorise aux fichiers)
• Modification de privileges : succes (detecte l'escalade de privileges)
• Changements de strategie : succes (detecte la desactivation des controles de securite)
• Execution de processus : succes avec ligne de commande (detecte l'execution de scripts et outils malveillants)

Deployer un EDR : un antivirus traditionnel ne suffit plus. Deployez un agent EDR (Endpoint Detection and Response) sur chaque poste. Les options incluent Microsoft Defender for Endpoint (inclus dans les licences Microsoft 365 E5), CrowdStrike Falcon, SentinelOne, ou Sophos Intercept X. L'EDR surveille en temps reel les comportements suspects : execution de scripts depuis des repertoires inhabituels, modification du registre de demarrage, injection de code dans les processus, et communication avec des serveurs de commande et controle (C2).

Centraliser les logs : configurez le transfert des journaux d'evenements Windows vers un serveur de collecte central (Windows Event Forwarding) ou directement vers votre SIEM. Un SIEM comme celui inclus dans nos offres SOC manage correle les evenements de plusieurs sources pour detecter les attaques complexes qui ne seraient pas visibles sur un seul poste.

— Conclusion : par ou commencer ?

Si vous ne pouvez pas tout faire en meme temps, voici l'ordre de priorite que nous recommandons en fonction du ratio effort/impact :

1. 1 LAPS + suppression droits admin (etape 3) — impact maximal, deploiement en 1 jour
2. 2 BitLocker (etape 1) — protection contre le vol, deploiement GPO en 1 jour
3. 3 WSUS/Intune (etape 5) — comble les failles connues, deploiement en 2 jours
4. 4 Pare-feu (etape 4), AppLocker (etape 2), EDR (etape 6) — a planifier sur les semaines suivantes

Le durcissement n'est pas un projet ponctuel mais un processus continu. Referez-vous aux benchmarks CIS pour Windows et aux guides de hardening de notre blog pour maintenir votre posture de securite dans le temps.