Une politique de verrouillage des comptes locaux sur vos appareils gérés constitue un fondement de la sécurité de votre entreprise. Elle empêche les tentatives de connexion par force brute, aide à détecter les dépassements de vos seuils d’utilisation abusive des comptes et aligne vos appareils sur les protocoles de sécurité de référence.

Dans les environnements de grandes entreprises, l’automatisation de ce processus reste la meilleure approche. Elle garantit que votre politique de verrouillage s’applique de façon homogène sur tous vos appareils gérés et avertit immédiatement les administrateurs lorsqu’un appareil n’est pas conforme.

Si vous préférez regarder une vidéo plutôt que lire, consultez la nôtre : Comment mettre en place des politiques de verrouillage des comptes locaux de façon homogène chez tous les clients avec PowerShell et les politiques locales.

Guide d’automatisation de la politique de verrouillage des comptes locaux

Plusieurs étapes sont nécessaires avant de pouvoir automatiser entièrement les politiques de verrouillage des comptes locaux. Commencez par rédiger la politique de verrouillage des comptes locaux, puis déposez-la sur un stockage cloud accessible.

Les politiques de verrouillage des comptes peuvent être appliquées via les politiques locales ou Windows PowerShell. Vous pouvez également suivre et vérifier leur statut à l’aide des clés de registre et de l’invite de commande.

📌 Prérequis :

• Vous devez disposer de privilèges d’administrateur sur tous les appareils que vous souhaitez modifier.
• PowerShell 5.1 ou une version ultérieure doit être installé sur tous vos systèmes gérés.
• Une solution RMM comme NinjaOne pour le déploiement et le suivi des politiques.
• Facultatif : vous pouvez utiliser des outils d’audit pour valider le registre et examiner le journal d’événements.

Étape 1 : définir des valeurs de politique de verrouillage standard

Les administrateurs doivent définir des politiques de verrouillage standard en fonction des besoins et des exigences de leur entreprise. Voici les valeurs recommandées d’après les référentiels CIS et les recommandations de Microsoft.

• Les utilisateurs sont verrouillés hors de leur compte après 5 tentatives de connexion non valides.
• Le compte reste verrouillé pendant 15 minutes.
• Le compteur de tentatives avant verrouillage est réinitialisé après 15 minutes de verrouillage.

Documentez votre référence de configuration et appliquez les politiques de façon homogène sur vos appareils gérés. Assurez-vous également que vos politiques de verrouillage respectent les exigences contractuelles et réglementaires. Vous pouvez déposer ce document sur une plateforme de partage de fichiers comme SharePoint pour le rendre accessible à toutes les personnes concernées.

Étape 2 : appliquer la politique de verrouillage avec la stratégie de groupe locale sur les systèmes autonomes

📌 Cas d’utilisation : cette étape s’applique à tous les appareils gérés dotés de stratégies de groupe.

1. Ouvrez l’éditeur d’objets de stratégie de groupe de l’une des manières suivantes :
   • Ouvrez le menu Démarrer et recherchez Modifier la stratégie de groupe pour lancer le programme.
   • Appuyez sur Touche Windows + R pour ouvrir la boîte de dialogue Exécuter. Saisissez gpedit.msc et appuyez sur Entrée.
2. Accédez à Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies de comptes > Stratégie de verrouillage du compte.
3. Configurez les politiques suivantes :
   • Seuil de verrouillage du compte : 5
   • Durée de verrouillage du compte : 15
   • Réinitialiser le compteur de verrouillages du compte après : 15

Ces valeurs varient selon les exigences de votre entreprise et les politiques de verrouillage de vos appareils. Appliquez cette modification à toutes les unités concernées de votre parc géré.

💡Remarque : pour valider l’application de la politique, ouvrez l’invite de commande avec des autorisations élevées et utilisez cette commande : gpresult /h C:\GPO_Lockout_Report.html. Dans les environnements de grandes entreprises, vous pouvez recourir aux scripts NinjaOne pour collecter et confirmer l’application de la politique sur chaque terminal.

Étape 3 : appliquer les paramètres de verrouillage avec PowerShell sur les systèmes autonomes

1. Ouvrez le menu Démarrer et recherchez Windows PowerShell.
2. Faites un clic droit sur Windows PowerShell > Exécuter en tant qu’administrateur.
3. Saisissez cette commande :

(Get-Content C:\secpol.cfg).replace("LockoutBadCount = 0", "LockoutBadCount = 5") |

Set-Content C:\secpol.cfg

(Get-Content C:\secpol.cfg).replace("ResetLockoutCount = 0", "ResetLockoutCount = 15") |

Set-Content C:\secpol.cfg

(Get-Content C:\secpol.cfg).replace("LockoutDuration = 0", "LockoutDuration = 15") |

Set-Content C:\secpol.cfg

secedit /configure /db C:\windows\security\local.sdb /cfg C:\secpol.cfg /areas SECURITYPOLICY

💡Remarque : Secpol.cfg contient les données relatives à vos politiques de verrouillage. Ce script modifie les paramètres du système en fonction des données de ce fichier. Il peut donc échouer si le fichier contient déjà des valeurs différentes.

Si le fichier n’existe pas encore sur le système ou si vous n’êtes pas sûr des valeurs qu’il contient, exécutez cette commande pour le générer avant de le lire ou de le modifier : secedit /export /cfg C:\secpol.cfg

4. Documentez le déroulement de l’opération et conservez un journal des erreurs éventuelles. Cela sera utile pour générer des pistes d’audit.

Étape 4 : suivre et confirmer la politique avec les clés de registre

Les politiques de verrouillage ne sont pas facilement accessibles depuis le registre Windows. Vous pouvez toutefois journaliser la politique et son statut d’application à l’aide de clés personnalisées.

1. Ouvrez l’Éditeur du registre de l’une des manières suivantes :
   • Ouvrez le menu Démarrer et recherchez Éditeur du registre pour lancer le programme.
   • Appuyez sur Touche Windows + R pour ouvrir la boîte de dialogue Exécuter. Saisissez regedit et appuyez sur Entrée.
2. Accédez à cet emplacement : HKEY_LOCAL_MACHINE\SOFTWARE\Org\LockoutPolicy.
3. Vous pouvez journaliser l’activité et le statut d’application avec ces clés personnalisées :
   • LockoutThreshold (DWORD)
   • LockoutDuration (DWORD)
   • ResetCounterMinutes (DWORD)
   • LastPolicyUpdate (String)

💡Remarque : un script automatisé doit être écrit pour enregistrer dans ces valeurs de registre le seuil de verrouillage de l’ordinateur, la durée, les minutes de réinitialisation du compteur et la date de la dernière mise à jour de la politique. Ces clés ne modifient pas les politiques de verrouillage par elles-mêmes.

Vous pouvez en revanche utiliser un script personnalisé via votre outil RMM pour vérifier régulièrement les informations contenues dans ces clés et vous assurer que les politiques de votre entreprise sont bien à jour. Si vous modifiez les politiques de verrouillage, vous devez également mettre à jour les valeurs de registre.

Étape 5 : valider la politique de verrouillage avec CMD et les journaux de sécurité

Pour les audits et les tests de conformité, les administrateurs peuvent utiliser l’invite de commande afin de valider les politiques de verrouillage des appareils gérés.

1. Ouvrez le menu Démarrer et recherchez Invite de commande.
2. Faites un clic droit sur Invite de commande, puis sélectionnez > Exécuter en tant qu’administrateur.
3. Saisissez cette commande : net accounts
   
   L’invite de commande affiche la politique de verrouillage actuelle du système. Voici un exemple de ce qu’elle affiche, parmi d’autres paramètres :

Seuil de verrouillage : 5 tentatives de connexion non valides

Durée de verrouillage : 15 minutes

Fenêtre d’observation du verrouillage : 15 minutes

Après avoir vérifié la politique de verrouillage actuelle de l’appareil, vous pouvez aussi consulter les tentatives de connexion échouées avec cette commande : wevtutil qe Security "/q:*[System[(EventID=4625)]]" /c:5 /f:text

Elle affiche les dernières tentatives de connexion échouées sur l’appareil, le cas échéant. C’est utile lors des audits et pour démontrer la conformité aux normes de sécurité de votre entreprise ainsi que son efficacité.

⚠️ Points de vigilance

Autres éléments à prendre en compte pour automatiser les politiques de verrouillage des comptes locaux

• Activez la journalisation d’audit pour les verrouillages de comptes.
• Pensez à désactiver les comptes d’administrateur local dont vous n’avez pas besoin. Vous pouvez aussi randomiser leurs mots de passe pour renforcer encore la sécurité.
• Consignez l’application de la politique et l’horodatage pour chaque terminal dans les journaux d’audit.

Les services NinjaOne pour automatiser la politique de verrouillage des comptes locaux

Les outils RMM de NinjaOne renforcent l’application de votre politique de verrouillage. Ils permettent de :

• déployer à distance des scripts d’application basés sur PowerShell sur tous les terminaux concernés ;
• surveiller les clés de registre et le statut des tâches planifiées grâce aux automatisations et aux champs personnalisés ;
• alerter les administrateurs en cas d’échec d’application de la politique ou d’absence des valeurs de registre attendues ;
• auditer les sorties de scripts et les journaux de conformité depuis le tableau de bord centralisé de NinjaOne ;
• marquer les terminaux non conformes pour déclencher des workflows de remédiation et la création de tickets.

Renforcez la sécurité de votre entreprise en automatisant les politiques de verrouillage de vos terminaux

Automatiser les politiques de verrouillage des comptes locaux chez tous les clients améliore la posture de sécurité, garantit l’homogénéité et répond aux obligations de conformité. C’est possible avec l’éditeur de politiques locales et Windows PowerShell, et les clés de registre ainsi que l’invite de commande permettent de vérifier que les politiques s’appliquent bien sur l’ensemble des appareils.=

Sujets connexes :

• Guide de script PowerShell : détecter les comptes verrouillés sous Windows
• Comment modifier le seuil de verrouillage des comptes locaux sous Windows
• Comment modifier la durée de verrouillage des comptes locaux sous Windows