Durcissement du système d’exploitation et protection des données : un seul programme avec des ICP partagés

Le durcissement du système d’exploitation consiste à optimiser le système d’exploitation d’un terminal pour atteindre un niveau de sécurité maximal. Supprimer les logiciels inutilisés et appliquer le principe du « moindre privilège » contribue à durcir votre système d’exploitation, mais associer ces mesures à des stratégies de protection des données réduit encore davantage votre surface d’exposition aux attaques.

Combinez la protection du système d’exploitation et les workflows de sécurité des données. Cet article propose un cadre structuré pour appliquer efficacement les méthodes de durcissement du système d’exploitation et les pratiques de sécurité de l’information en parallèle.

Renforcer la protection des données sur l’ensemble de votre parc

Le durcissement du système d’exploitation complique la tâche des malwares et des acteurs malveillants qui cherchent à s’emparer de données sensibles de l’entreprise. Évaluez vos contraintes techniques avant d’appliquer les méthodes suivantes :

📌 Prérequis :

• Une référence de configuration de durcissement standard par plateforme et par rôle
• Des politiques de sauvegarde avec immuabilité et des RPO (recovery point objective)/RTO (recovery time objective) définis par niveau
• Des responsables pour les références de configuration, les exceptions, les exercices de restauration et le reporting mensuel
• Un espace de travail pour les configurations, les diffs, les journaux d’exercices et le dossier mensuel

Étape 1 : associer les contrôles de référence aux résultats de restauration

Dans un tableur, recensez les contrôles système préventifs qui facilitent une restauration des données plus rapide et une meilleure auditabilité. Faire cet exercice dès le départ fournit des actions concrètes et aide votre équipe à donner la priorité à la sécurité des données pendant les opérations de restauration.

Voici un exemple :

Contrôle	Bénéfice pour la restauration	Système concerné
Désactiver SMBv1	Freine les exploits de type ver après une restauration	Serveurs de fichiers
Imposer une bonne hygiène des identifiants	Réduit le risque d’identifiants réutilisés ou compromis après une restauration.	Contrôleurs de domaine (DC)
Activer la journalisation d’audit	Améliore l’analyse forensique numérique	Tous les postes clients
Limiter les services en cours d’exécution	Réduit la surface d’exposition aux attaques et simplifie la validation après restauration.	Serveurs applicatifs

Étape 2 : traiter en priorité ce qui réduit le rayon d’impact

Mettez en place des mesures de cloisonnement pour limiter l’accès dont pourrait disposer un attaquant à votre système une fois vos défenses franchies.

📌 Cas d’usage : supprimer les canaux non sécurisés pour durcir les systèmes en cas de faille de sécurité.

📌 Prérequis : Windows 11 Education, Enterprise ou Pro, privilèges administrateur.

Appliquer le moindre privilège

1. Appuyez sur Win + R, saisissez gpedit.msc et appuyez sur Entrée.
2. Accédez à :

Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Attribution des droits utilisateur

3. Configurez les politiques suivantes :
   1. Interdire l’accès à cet ordinateur à partir du réseau
      1. Cliquez sur Ajouter un utilisateur ou un groupe…
      2. Ajoutez Invités (ainsi que tout autre groupe ou compte qui ne doit jamais accéder à l’appareil via le réseau dans votre environnement).

💡Remarque : ce paramètre prévaut sur Accéder à cet ordinateur à partir du réseau pour les comptes soumis aux deux

1. 2. Interdire l’ouverture de session locale
      1. Cliquez sur Ajouter un utilisateur ou un groupe…
      2. Ajoutez les utilisateurs ou groupes précis auxquels vous souhaitez interdire la connexion à la console (généralement Invité/Invités, ainsi que d’autres groupes non interactifs ou restreints explicitement nommés, selon votre politique).

💡Important : cette politique prévaut sur Permettre l’ouverture d’une session locale si un compte figure dans les deux.

1. 3. Permettre l’ouverture d’une session locale
      1. Vérifiez que seuls les rôles ou groupes approuvés disposent d’une connexion locale interactive (par exemple Administrateurs et un groupe Helpdesk (service d’assistance)/Support défini, si cela est pertinent pour cette catégorie d’appareils).
      2. Vérifiez que les comptes opérationnels nécessaires sont bien inclus (afin d’éviter tout blocage accidentel).

4. Appliquez et validez les modifications sur un compte non critique avant de vous reconnecter.

Sécuriser les canaux de communication

1. Appuyez sur Win + R, saisissez PowerShell, puis appuyez sur Ctrl + Maj + Entrée.
2. Exécutez la commande suivante pour désactiver SMBv1 :

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

3. Quittez PowerShell.
4. Sur l’appareil qui reçoit la connexion, ouvrez les Paramètres et accédez à Système > Bureau à distance.
5. Activez le Bureau à distance s’il ne l’est pas déjà.
6. Sélectionnez Exiger que les appareils utilisent l’authentification au niveau du réseau (NLA).
7. Redémarrez le système pour appliquer les modifications.

Segmenter les réseaux

1. Accédez à Panneau de configuration > Système et sécurité > Pare-feu Windows Defender.
2. Cliquez sur Paramètres avancés.
3. Créez des règles de trafic entrant/sortant :
   1. Bloquez le trafic entre les segments (par exemple, postes de travail ↔ serveurs).
   2. N’autorisez que les ports nécessaires (par exemple 443, 3389 avec NLA).
4. Utilisez la stratégie de groupe (gpedit.msc) pour déployer les règles sur plusieurs machines.

Appliquer un contrôle d’accès basé sur les rôles (RBAC)

1. Définissez les rôles au sein de votre entreprise (par exemple Admin, Helpdesk (service d’assistance), Auditeur).
2. Attribuez les autorisations en fonction du rôle via Active Directory (AD).
   1. Auditez régulièrement les appartenances aux groupes pour une sécurité maximale.
3. Retirez les droits d’administrateur local aux utilisateurs standard.
4. Gérez les identifiants administrateur de manière sécurisée avec des outils intégrés comme LAPS (Local Admin Password Solution).

Étape 3 : associer à chaque contrôle une étape de vérification

Vérifiez que vos contrôles fonctionnent correctement afin d’améliorer l’auditabilité. Pour cela, utilisez :

• les contrôles de type CIS : s’appuyer sur le consensus du secteur de la cybersécurité permet de garder vos solutions de durcissement du système d’exploitation pertinentes et efficaces.
• les revues de privilèges : exportez les rôles depuis AD pour vérifier le RBAC.
• les audits de services : exécutez des scripts PowerShell pour confirmer que vos contrôles sont bien actifs.
  • Par exemple : Get-Service | Where-Object {$_.Status -eq "Running"}
• les paramètres de journalisation : vérifiez les journaux d’événements concernés dans l’observateur d’événements.

Ensuite, conservez les preuves (captures d’écran, horodatages, sorties de commandes, etc.) dans un dossier partagé ou un SIEM.

Étape 4 : aligner la politique de sauvegarde sur la référence de configuration

Les sauvegardes doivent respecter les règles de sécurité de votre infrastructure. Ce niveau de chiffrement supplémentaire garantit que votre copie de données est aussi bien protégée que le reste de votre entreprise.

Appliquez des politiques d’immuabilité et de rétention, utilisez des étiquettes d’actifs pour suivre le durcissement du système d’exploitation, et veillez à signaler tout système non sécurisé avant de l’intégrer à votre plan de sauvegarde. Les outils de reprise d’activité après incident comme NinjaOne utilisent un chiffrement de niveau militaire au repos et en transit pour des sauvegardes rapides et sûres.

Étape 5 : réaliser des exercices de restauration sur des hôtes durcis

Après le durcissement du système d’exploitation, réalisez des exercices pour tester les workflows de restauration des données. Cela permet de vérifier que les contrôles de sécurité restent cohérents pendant tout le processus de restauration et fournit des indicateurs importants pour les revues d’activité trimestrielles (QBR).

1. Sélectionnez un hôte durci.
2. Restaurez à partir d’une sauvegarde avec votre outil de restauration de données (NinjaOne, Veeam, etc.).
3. Suivez des indicateurs tels que :
   1. Délai avant le début de la restauration : le temps écoulé entre le lancement de la demande de restauration et le démarrage effectif de la récupération des données.
   2. Durée totale de la restauration : le temps total nécessaire pour restaurer les données et remettre le système en état de fonctionnement.
   3. Débit de restauration : volume de données restaurées par unité de temps (facultatif, variable selon l’environnement).
   4. Contrôles après restauration : vos configurations de sécurité fonctionnent-elles toujours correctement ?

Étape 6 : gérer les exceptions avec une date d’expiration

Lorsque les mesures de durcissement ou l’immuabilité ne sont pas réalisables, des exceptions temporaires doivent être accordées sur un hôte. Dans ce cas, il est indispensable de consigner une entrée contenant les éléments suivants :

• Responsable
• Justification
• Contrôles compensatoires
• Date d’expiration

Passez ces entrées en revue chaque semaine et clôturez les exceptions expirées afin de réduire votre surface d’exposition aux attaques.

Étape 7 : détecter et corriger les dérives de configuration

Le durcissement du système d’exploitation exige de la cohérence, mais les systèmes peuvent lentement s’écarter d’un état préconfiguré au fil du temps, ce qui menace la protection des données. Ce type de « dérive » survient après de nombreux ajustements et interventions de dépannage : il faut donc prévoir une cadence régulière de contrôles des références de configuration.

Planifiez des analyses de dérive et comparez chaque résultat à la référence de configuration approuvée. Ouvrez ensuite des tickets pour les écarts constatés, joignez les preuves (captures d’écran, journaux d’événements, etc.) et intégrez les cas de dérive les plus marquants à votre revue mensuelle.

Étape 8 : conserver un nombre restreint d’ICP partagés

Les indicateurs clés de performance (ICP) permettent de mesurer les résultats et de démontrer la valeur apportée à vos parties prenantes. Cela dit, mieux vaut garder une liste d’indicateurs courte et ciblée pour que votre programme de surveillance reste efficace.

Pour suivre efficacement le durcissement du système d’exploitation, incluez les ICP suivants :

• Couverture des références de configuration : le pourcentage de systèmes restés conformes
• Conformité des correctifs : proportion de systèmes entièrement à jour dans l’infrastructure de vos clients
• Couverture des sauvegardes immuables : le nombre de vos terminaux qui disposent de copies hors ligne non modifiables de leurs données (autrement dit des sauvegardes immuables)
• Date de la dernière restauration réussie : l’ancienneté de la dernière restauration complète
• Ancienneté des exceptions : suivi des systèmes présentant des exceptions de sécurité exploitables et de leur échéance.

Étape 9 : préparer un dossier de preuves mensuel pour les QBR

Les QBR donnent un aperçu de votre posture globale de cybersécurité, mais les clients peuvent perdre de vue les avancées importantes durant les mois intermédiaires. Pour y remédier, envoyez chaque mois des dossiers faciles à assimiler, avec les indicateurs les plus importants, afin que toutes les parties prenantes soient sur la même page, au sens propre.

Si cette pratique est essentielle pour suivre la résilience opérationnelle et maintenir la confiance des clients, condenser chaque mois des informations importantes sur une seule page peut prendre beaucoup de temps, d’où l’intérêt de tableaux de bord centralisés. NinjaOne comble ce manque avec des visualisations automatisées et des alertes en temps réel.

Incluez les éléments suivants dans votre prochain rapport mensuel :

• Graphique de couverture des références de configuration
• Principales dérives corrigées
• État de l’immuabilité
• Derniers temps mesurés lors des exercices
• Exceptions ouvertes et leur échéance

Étape 10 : progresser grâce à une rétrospective trimestrielle

Pour aller plus loin, passez en revue à la fin du trimestre les ICP, les tickets clôturés, les principaux problèmes rencontrés lors des restaurations de données et les autres résultats d’exercices. Identifiez les contrôles les moins performants, ajustez vos workflows en interne pour démontrer un ROI (retour sur investissement) clair, et partagez vos conclusions pour renforcer la préparation de votre équipe informatique face aux incidents.

Durcissement du système d’exploitation : bonnes pratiques pour les MSP et les équipes informatiques

Voici un tableau récapitulatif des bonnes pratiques de durcissement du système d’exploitation.

Pratique	Objectif	Valeur apportée
Relier les références de configuration aux bénéfices pour la restauration	Montrer l’impact des mesures de sécurité.	Justifie chaque contrôle de sécurité mis en place et améliore la clarté
Approche centrée sur le rayon d’impact	Contenir les menaces et limiter les options de l’attaquant.	Limitation des dégâts ; simplifie la restauration et réduit le risque de compromission supplémentaire
Vérification des contrôles	Confirmer que chaque contrôle de sécurité fonctionne comme prévu.	Aide à constituer des preuves pour les audits ultérieurs et démontre la posture de sécurité
Simulations de restauration sur systèmes durcis	Exécuter des restaurations de sauvegardes pour tester les systèmes durcis.	Valide la sécurité des systèmes restaurés
Rapports mensuels	Résumer la posture de sécurité pour les interlocuteurs métier.	Instaure la confiance, maintient l’attention entre deux QBR et propose des pistes d’amélioration concrètes

Exemple de point d’automatisation

Créer un programme de gestion unifié pour le durcissement du système d’exploitation et la restauration peut demander un suivi important et beaucoup de ressources humaines. L’automatisation des tâches répétitives aide à aligner les équipes sur les objectifs de protection des données, tout en réduisant le temps consacré et les risques d’erreur humaine.

Planifiez des scripts avec des outils de surveillance et gestion à distance (RMM) comme NinjaOne pour suivre les indicateurs de conformité aux références de configuration grâce à des alertes et des scripts configurés, et obtenez des informations en temps réel ainsi que des graphiques pour garder les indicateurs de sécurité visibles à chaque cycle de revue.

NinjaOne améliore la surveillance et le reporting des indicateurs de sécurité essentiels

Rendre opérationnels à la fois le durcissement du système d’exploitation et la protection des données permet de fusionner les checklists de cybersécurité et de simplifier la sécurité. L’automatisation est donc essentielle pour une remédiation rapide. Et NinjaOne offre une surveillance renforcée ainsi qu’une plateforme capable de s’adapter à des programmes et objectifs de sécurité spécifiques.

NinjaOne propose :

• Une visibilité en temps réel
• Des alertes personnalisables
• Une remédiation automatisée
• Des modèles personnalisables
• La planification automatisée des rapports
• L’analyse des tendances historiques

Simplifiez le durcissement du système d’exploitation chez tous vos clients

Ces processus sont indispensables, mais les règles de durcissement du système d’exploitation et de protection des données peuvent être regroupées pour gagner en efficacité. Grâce à la cartographie des références de configuration, à la mitigation, aux étapes de vérification et aux exercices, les équipes informatiques font d’une pierre deux coups : elles améliorent leurs cycles de revue trimestriels tout en instaurant la confiance dans des secteurs très exposés.

Sujets connexes :

• La sécurité des terminaux expliquée
• Méthodes de protection des données pour les équipes informatiques et les MSP
• Qu’est-ce qu’une sauvegarde immuable ?
• Comment les MSP peuvent créer et appliquer des checklists de durcissement des terminaux par système d’exploitation
• Guide complet du durcissement des systèmes [Checklist]