Comment aligner les politiques clients sur les contrôles CIS avec les profils de configuration Intune

La sécurité est loin d’être le seul défi des MSP qui gèrent plusieurs tenants : la cohérence, la préparation aux audits et la réduction des risques comptent tout autant. L’alignement des politiques avec Intune est l’un des moyens dont disposent les équipes informatiques pour atteindre ces objectifs et respecter les normes importantes définies par le Center for Internet Security. Les professionnels de l’informatique qui souhaitent aligner les politiques de sécurité Windows sur les contrôles CIS peuvent donc utiliser ce guide comme point de départ.

Pour une explication en images, regardez la vidéo Comment aligner les politiques clients sur les contrôles CIS à l’aide des profils de configuration Intune.

Guide : utiliser Intune pour aligner les politiques sur les contrôles CIS

Utilisez le tableau pour choisir la méthode qui vous convient et accéder directement aux étapes correspondantes.

📌 Prérequis :

• Licence Microsoft 365 Business Premium ou Enterprise
• Licence Microsoft Intune et inscription des appareils effectuées
• Rôles Administrateur général ou Administrateur Intune
• PowerShell 5.1+ installé avec des privilèges d’administration (Vérifiez votre version de PowerShell)
• Connaissance des CIS Benchmarks (niveau 1/2)
• Terminaux Windows 10/11 joints à Azure AD ou en jonction hybride
• Une bonne maîtrise des CIS Benchmarks (niveau 1 et niveau 2)

👉 Rappel : certaines étapes peuvent varier selon les valeurs par défaut du système ou les paramètres actifs.

💡 Astuce : consultez la section Points de vigilance pour des conseils sur la gestion des risques potentiels.

Méthode 1 : passer en revue les contrôles CIS et les mapper au catalogue de paramètres Intune

Le catalogue de paramètres Intune est le moyen le plus rapide d’appliquer la plupart des contrôles CIS sans écrire de script.

📌 Cas d’utilisation : configuration générale, déploiement à l’échelle de l’entreprise

1. Téléchargez la dernière version du CIS Benchmark pour Windows 10/11.
2. Identifiez les contrôles pertinents selon les benchmarks de niveau 1 ou de niveau 2.
3. Ouvrez le centre d’administration Microsoft Intune → Appareils → Profils de configuration.
4. Créez un profil :
   • Plateforme : Windows 10 et versions ultérieures
   • Type de profil : catalogue de paramètres
5. Recherchez et appliquez les paramètres correspondant aux contrôles, par exemple :
   • Politique de verrouillage de compte
   • Application du chiffrement BitLocker
   • Paramètres de Windows Defender
   • Restriction du Bureau à distance
   • Restrictions d’installation d’applications
6. Documentez chaque correspondance en vue des audits.

Méthode 2 : appliquer des profils de configuration à plusieurs tenants

L’export et l’import de profils peuvent renforcer votre stratégie de déploiement, en particulier pour garder des politiques cohérentes et à jour sur plusieurs tenants.

📌 Cas d’utilisation : MSP, grandes entreprises, déploiement multi-tenant

Vous pouvez utiliser Microsoft Lighthouse (préversion) pour déployer des modèles de sécurité partagés entre tenants, ou exporter et importer des profils JSON avec PowerShell ou l’API Graph.

Export-IntuneConfigurationPolicy -PolicyName "CIS-Level1-Profile" -Path "C:\IntunePolicies\CIS_Level1.json"

Import-IntuneConfigurationPolicy -Path "C:\IntunePolicies\CIS_Level1.json"

💡 Remarque : ce script peut s’exécuter ou échouer sans afficher de confirmation ni d’invite. Pour vérifier que les modifications ont bien été appliquées, contrôlez les clés de registre ou les paramètres système correspondants.

Méthode 3 : utiliser PowerShell pour les politiques CIS absentes d’Intune

Utilisez PowerShell lorsque le catalogue de paramètres Intune ne propose pas de correspondance directe pour un contrôle.

📌 Cas d’utilisation : politiques CIS non couvertes par le catalogue Intune

1. Téléchargez la dernière version du CIS Benchmark correspondant à votre système d’exploitation cible (Windows 10 ou 11).
2. Passez en revue vos profils de paramètres Intune existants pour voir quelles recommandations CIS sont déjà appliquées.
3. Repérez les contrôles que vous ne trouvez ni dans le catalogue de paramètres ni via les CSP (Configuration Service Providers) intégrés à Intune.

Exemple : la désactivation du protocole SMBv1 (contrôle CIS 4.4.1) n’est pas exposée dans le catalogue de paramètres, mais elle peut être configurée avec PowerShell.

4. Pour chaque contrôle manquant, rédigez une commande ou un script PowerShell qui modifie la configuration Windows en conséquence.

💡 Astuce : les CIS Benchmarks fournissent la liste des paramètres recommandés, et la documentation d’Intune indique quels paramètres sont disponibles nativement. Tout ce qui manque (par exemple, configurer les paramètres du client NTP ou désactiver l’énumération anonyme des SID) est un bon candidat pour un script PowerShell.

Méthode 4 : utiliser la stratégie de groupe comme référence ou solution de repli pour les clients hors Intune

Pour les clients qui utilisent encore Active Directory sur site, servez-vous des GPO pour appliquer des contrôles similaires alignés sur CIS.

📌 Cas d’utilisation : clients hors Intune

1. Appuyez sur Win + R, saisissez gpmc.msc, puis cliquez sur OK pour ouvrir la GPMC.
2. Accédez à Configuration ordinateur → Modèles d’administration → Système → Device Guard.

• • Activez Activer la sécurité basée sur la virtualisation
  • Configurez Credential Guard et le démarrage sécurisé

Si certains clients ne sont pas entièrement gérés dans le cloud au lancement d’un projet, la stratégie de groupe peut servir de passerelle ou de solution de repli pour appliquer des paramètres alignés sur CIS aux appareils hybrides ou sur site. Enfin, vous pouvez exporter les paramètres GPO comme référence au moment de les convertir en équivalents Intune.

Vous pouvez exécuter la commande gpupdate /force pour appliquer les modifications immédiatement. Sinon, les nouveaux paramètres seront appliqués au prochain intervalle de mise à jour.

👉 Regardez cette démonstration vidéo GPUpdate pour une référence visuelle.

Valider l’application des politiques et confirmer leur mise en œuvre

Les auditeurs et les équipes de sécurité attendent des preuves claires de conformité. Pour simplifier cette vérification, il est important de réaliser un auto-audit en amont chaque fois que vous ajoutez une nouvelle politique ou modifiez des configurations existantes.

Valider l’application des politiques avec l’Éditeur du registre

De nombreux paramètres de sécurité Windows se trouvent dans le registre. La vérification de ces valeurs permet de confirmer que les politiques Intune ou PowerShell ont bien été écrites sur le système. Voici quelques exemples :

Vérifier les préférences SmartScreen :

1. Accédez au chemin suivant ou copiez-le dans la barre d’adresse du registre.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System

2. La fonction est activée si la valeur EnableSmartScreen (DWORD) est définie sur 1.

Vérifier si Microsoft Defender Antivirus est activé ou désactivé :

1. Accédez au chemin suivant ou copiez-le dans la barre d’adresse du registre.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender

2. La fonction est désactivée si la valeur DisableAntiSpyware (DWORD) est définie sur 1.

Ces étapes peuvent faire partie de la validation de conformité ou de la revue post-déploiement.

Utiliser CMD (invite de commande) pour confirmer l’application ou alimenter les journaux

Les utilitaires en ligne de commande permettent de confirmer que les fonctions de sécurité principales sont actives. Ils sont également utiles pour le dépannage à distance ou les contrôles ponctuels rapides.

Voici quelques exemples de commandes :

• Vérifier l’état de BitLocker : manage-bde -status
• Valider le profil du pare-feu : netsh advfirewall show allprofiles
• Confirmer que Defender est actif : sc query WinDefend

Ces résultats peuvent être intégrés à des scripts d’onboarding, enregistrés dans des journaux de conformité ou joints aux rapports de sécurité des clients.

⚠️ Points de vigilance lors de l’alignement des politiques

Ce tableau présente les problèmes courants, leurs causes probables et quelques méthodes rapides pour auditer et résoudre ces conflits.

Ignorer ou retarder la correction des problèmes de déploiement risque de laisser des contrôles CIS critiques non appliqués. Envisagez d’automatiser l’audit et la validation pour garantir que les politiques restent cohérentes et appliquées comme prévu dans tout votre environnement informatique.

Gagnez en visibilité et en contrôle sur l’application et la validation des politiques avec NinjaOne

NinjaOne complète Intune en apportant une surveillance continue, un reporting inter-tenants et une remédiation automatisée. Voici quelques-unes des fonctions et des services qui peuvent vous aider à aligner vos politiques sur les contrôles CIS.

• Exécuter des scripts de vérification pour le registre, CMD (invite de commande) et les services
• Afficher des tableaux de bord d’audit des politiques
• Automatiser les modèles d’onboarding Intune + PowerShell
• Comparer les Secure Scores entre tenants
• Déclencher des alertes de remédiation lorsque les contrôles dérivent de la conformité

Associer le déploiement des politiques d’Intune à la surveillance en temps réel et à l’automatisation de NinjaOne Endpoint Management® donne aux MSP et aux équipes informatiques des capacités unifiées pour appliquer les normes et optimiser les opérations informatiques depuis un seul tableau de bord.

Un alignement proactif des politiques dans tous les environnements gérés

Aligner les terminaux Windows sur les contrôles CIS via Intune crée une norme cohérente et applicable pour des environnements informatiques maîtrisés. En combinant les capacités de déploiement d’Intune, la souplesse de PowerShell et l’audit et la validation continus de NinjaOne, les MSP peuvent à la fois appliquer la conformité et la prouver à grande échelle.

Une approche proactive de la sécurité et de la gestion informatique ne fait pas que durcir les défenses face aux menaces : elle facilite aussi la conformité réglementaire, un élément déterminant pour instaurer la confiance des clients et asseoir sa crédibilité dans le secteur.

Sujets connexes :

• Gestion de la configuration de sécurité
• Guide complet du durcissement des systèmes [Checklist]
• Conformité informatique : définition, normes et risques