Stratégies de sécurité (mot de passe, audit, droits)¶

Le mécanisme d'application : scecli.dll et GptTmpl.inf¶

Un fichier différent de registry.pol¶

Quand on pense à l'application des GPO, on pense naturellement à registry.pol. Mais les paramètres de sécurité ignorent ce fichier.

La CSE Security utilise son propre format : un fichier texte INI nommé GptTmpl.inf. Ce fichier contient l'ensemble des paramètres de sécurité configurés dans la GPO, organisés en sections.

Son chemin dans SYSVOL suit le schéma suivant :

\\DOMAIN\SYSVOL\DOMAIN\Policies\{GUID}\Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf

Anatomie d'un GptTmpl.inf¶

Un fichier GptTmpl.inf complet ressemble à ceci :

[Unicode]
Unicode=yes

[System Access]
MinimumPasswordLength = 12
PasswordComplexity = 1
MaximumPasswordAge = 365
MinimumPasswordAge = 1
PasswordHistorySize = 10
ClearTextPassword = 0
LockoutBadCount = 5
LockoutDuration = 30
ResetLockoutCount = 30

[Audit Policy]
AuditLogonEvents = 3
AuditAccountManage = 3
AuditObjectAccess = 1
AuditPolicyChange = 1

[Privilege Rights]
SeDebugPrivilege = *S-1-5-32-544
SeTcbPrivilege =
SeBackupPrivilege = *S-1-5-32-544,*S-1-5-32-551

[Registry Values]
MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel=4,5
MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\RequireSecuritySignature=4,1

[Version]
signature="$CHICAGO$"
Revision=1

Chaque section correspond à une catégorie distincte de paramètres de sécurité. Les valeurs numériques dans [Audit Policy] suivent un encodage binaire (bit 0 = succès, bit 1 = échec, donc 3 = succès + échec).

La CSE Security : GUID et DLL¶

La CSE responsable des paramètres de sécurité est identifiée par :

Sa clé de registre expose des comportements importants qu'il faut connaître :

NoBackgroundPolicy = 0   (peut s'exécuter en arrière-plan)
NoGPOListChanges = 1     (optimisation activée par défaut)
MaxNoGPOListChangesInterval = 960  (minutes = 16 heures)

La réapplication automatique toutes les 16 heures¶

La valeur MaxNoGPOListChangesInterval = 960 est un comportement fondamental à comprendre.

Même si la liste des GPO applicables n'a pas changé depuis le dernier traitement, scecli.dll force une réapplication complète des paramètres de sécurité toutes les 16 heures. C'est un mécanisme de drift remediation : si un administrateur local modifie manuellement un paramètre de sécurité, la GPO le rétablit dans les 16 heures au plus tard.

La base de données de sécurité locale¶

scecli.dll ne lit pas GptTmpl.inf et n'applique pas directement. Elle fusionne d'abord toutes les GPO applicables dans une base de données de sécurité locale :

%SystemRoot%\security\database\secedit.sdb

C'est cette base qui est la source de vérité pour l'état courant des paramètres. L'outil secedit.exe permet de l'interroger directement.

# Export the current security configuration from the local database
secedit /export /cfg C:\Temp\security-current.inf /quiet

Politique de mot de passe de domaine¶

La règle de la racine du domaine¶

C'est l'une des règles les plus mal comprises de Group Policy. La politique de mot de passe s'applique aux comptes de domaine. Pour ces comptes, Windows lit la politique de mot de passe uniquement dans les GPO liées à la racine du domaine.

Une GPO liée à OU=Utilisateurs,DC=contoso,DC=com peut très bien contenir des paramètres de mot de passe — ils seront ignorés pour les comptes de domaine. En revanche, ils s'appliqueront aux comptes locaux des machines dans cette OU.

Paramètres de la politique de mot de passe¶

Le chemin GPMC complet : Computer Configuration → Policies → Windows Settings → Security Settings → Account Policies → Password Policy

Lire la politique en vigueur¶

# Read the effective domain password policy
Get-ADDefaultDomainPasswordPolicy | Select-Object `
    MinPasswordLength,
    PasswordHistoryCount,
    MaxPasswordAge,
    MinPasswordAge,
    ComplexityEnabled,
    LockoutThreshold,
    LockoutDuration,
    LockoutObservationWindow |
    Format-List

MinPasswordLength        : 12
PasswordHistoryCount     : 10
MaxPasswordAge           : 365.00:00:00
MinPasswordAge           : 1.00:00:00
ComplexityEnabled        : True
LockoutThreshold         : 5
LockoutDuration          : 00:30:00
LockoutObservationWindow : 00:30:00

Fine-Grained Password Policy (FGPP)¶

Pourquoi les PSOs existent¶

La limitation du "une seule politique pour tout le domaine" est souvent inacceptable en entreprise. Les comptes de service, les administrateurs et les utilisateurs standards ont des besoins différents.

Les Password Settings Objects (PSOs) résolvent ce problème. Ce sont des objets AD de classe msDS-PasswordSettings, stockés dans :

CN=Password Settings Container,CN=System,DC=contoso,DC=com

Ils peuvent être appliqués à des groupes de sécurité ou à des utilisateurs individuels (déconseillé pour la maintenabilité).

La résolution de priorité¶

Quand plusieurs PSOs s'appliquent à un utilisateur (via différents groupes), Windows utilise l'attribut msDS-PasswordSettingsPrecedence. La valeur la plus basse l'emporte.

La politique de domaine (GPO) a une priorité inférieure à tout PSO. Un utilisateur membre d'un groupe avec un PSO ne sera jamais soumis à la politique de domaine pour les paramètres couverts par le PSO.

Créer et assigner un PSO¶

# Create a Fine-Grained Password Policy for admin accounts
New-ADFineGrainedPasswordPolicy `
    -Name "PSO-Admins" `
    -Precedence 10 `
    -MinPasswordLength 16 `
    -PasswordHistoryCount 20 `
    -MaxPasswordAge "90.00:00:00" `
    -MinPasswordAge "1.00:00:00" `
    -ComplexityEnabled $true `
    -ReversibleEncryptionEnabled $false `
    -LockoutThreshold 3 `
    -LockoutDuration "00:30:00" `
    -LockoutObservationWindow "00:30:00"

# Apply the PSO to a security group
Add-ADFineGrainedPasswordPolicySubject `
    -Identity "PSO-Admins" `
    -Subjects "GRP-Admins-IT"

# Get the resultant PSO for a specific user account
Get-ADUserResultantPasswordPolicy -Identity "j.martin" | Select-Object `
    Name, Precedence, MinPasswordLength, MaxPasswordAge, LockoutThreshold

Name              : PSO-Admins
Precedence        : 10
MinPasswordLength : 16
MaxPasswordAge    : 90.00:00:00
LockoutThreshold  : 3

Exemple d'architecture PSO¶

Verrouillage de compte¶

Les trois paramètres à configurer ensemble¶

Le verrouillage de compte repose sur trois paramètres interdépendants. Les définir indépendamment ou partiellement génère des comportements inattendus.

LockoutDuration = 0 signifie que seul un administrateur peut déverrouiller le compte. C'est une option valide pour les environnements haute sécurité, mais elle augmente la charge de support.

Event IDs de diagnostic du verrouillage¶

Ces Event IDs sont enregistrés sur les contrôleurs de domaine, dans le journal Security.

Trouver la source d'un verrouillage¶

# Query the PDC Emulator for account lockout events
$pdc = (Get-ADDomain).PDCEmulator

Get-WinEvent -ComputerName $pdc `
    -FilterHashtable @{LogName = 'Security'; Id = 4740} `
    -MaxEvents 20 |
    Select-Object TimeCreated,
        @{N = "LockedAccount";    E = { $_.Properties[0].Value }},
        @{N = "CallerComputer";   E = { $_.Properties[1].Value }},
        @{N = "CallerDomain";     E = { $_.Properties[5].Value }} |
    Format-Table -AutoSize

TimeCreated           LockedAccount   CallerComputer  CallerDomain
-----------           -------------   --------------  ------------
2026-04-04 08:12:44   j.martin        LAPTOP-HR-042   CONTOSO
2026-04-04 08:11:53   j.martin        LAPTOP-HR-042   CONTOSO

# Check lockout status across all domain controllers
Get-ADDomainController -Filter * | ForEach-Object {
    $dc = $_.HostName
    $user = Get-ADUser "j.martin" -Server $dc `
        -Properties LockedOut, BadLogonCount, LastBadPasswordAttempt, BadPwdCount
    [PSCustomObject]@{
        DC                    = $dc
        LockedOut             = $user.LockedOut
        BadLogonCount         = $user.BadLogonCount
        LastBadPasswordAttempt = $user.LastBadPasswordAttempt
    }
} | Format-Table -AutoSize

Stratégie d'audit¶

Deux systèmes coexistent¶

Windows dispose de deux systèmes d'audit qui coexistent et peuvent se contredire :

1. Audit Policy classique — 9 catégories, héritées de Windows 2000, configurées dans Security Settings → Local Policies → Audit Policy
2. Advanced Audit Policy Configuration — 53 sous-catégories, introductes avec Vista, configurées dans Security Settings → Advanced Audit Policy Configuration

Les sous-catégories avancées sont plus précises et doivent être préférées. Elles permettent par exemple d'auditer les ouvertures de session réussies sans auditer les fermetures de session, ou d'auditer uniquement la création de processus sans tout l'accès aux objets.

Sous-catégories avancées recommandées¶

Les 9 catégories classiques vs sous-catégories avancées¶

Vérifier et configurer l'audit¶

# Display the current effective audit policy for all subcategories
auditpol /get /category:* | Where-Object { $_ -match "Success|Failure|No Auditing" }

  Account Logon
    Credential Validation                  Success and Failure
    Kerberos Authentication Service        No Auditing
    Kerberos Service Ticket Operations     No Auditing
  Logon/Logoff
    Logon                                  Success and Failure
    Logoff                                 Success
    Account Lockout                        Failure

# Enable Logon auditing (success and failure)
auditpol /set /subcategory:"Logon" /success:enable /failure:enable

# Enable Process Creation (success only — for SIEM/EDR)
auditpol /set /subcategory:"Process Creation" /success:enable

# Enable Directory Service Changes (success only)
auditpol /set /subcategory:"Directory Service Changes" /success:enable

Droits utilisateur (User Rights Assignment)¶

Qu'est-ce qu'un droit utilisateur ?¶

Les droits utilisateur (ou privilèges) sont distincts des permissions sur les objets (fichiers, clés de registre). Ce sont des droits système accordés à des comptes ou groupes, indépendamment de tout objet.

Windows définit 44 privilèges. Ils sont configurés dans la section [Privilege Rights] de GptTmpl.inf et appliqués via le sous-système LSA.

Le chemin GPMC : Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → User Rights Assignment

Droits critiques à contrôler¶

Interroger les droits utilisateur¶

# Display all privileges for the current user session
whoami /priv | Format-Table -AutoSize

# Get user rights assignment from a GPO report
$gpoName = "SEC-Postes-Baseline"
$report = Get-GPOReport -Name $gpoName -ReportType Xml
$xml = [xml]$report

# Extract User Rights Assignment section
$xml.GPO.Computer.ExtensionData.Extension.UserRightsAssignment |
    ForEach-Object {
        [PSCustomObject]@{
            Privilege = $_.Name
            Members   = ($_.Member.Name | Where-Object { $_ }) -join ", "
        }
    } |
    Format-Table -AutoSize

Privilege                      Members
---------                      -------
SeDebugPrivilege               BUILTIN\Administrators
SeNetworkLogonRight            NT AUTHORITY\Authenticated Users, BUILTIN\Administrators
SeDenyNetworkLogonRight        CONTOSO\GRP-AdminsLocaux
SeInteractiveLogonRight        BUILTIN\Administrators
SeRemoteInteractiveLogonRight  BUILTIN\Administrators, BUILTIN\Remote Desktop Users

# Check who has a specific privilege on a remote machine
$computer = "SRV-APP-01"
$session  = New-PSSession -ComputerName $computer

Invoke-Command -Session $session -ScriptBlock {
    # Use secedit to export and read privilege assignments
    $tempFile = "$env:TEMP\privs.inf"
    secedit /export /cfg $tempFile /quiet
    $content = Get-Content $tempFile | Where-Object { $_ -match "SeDebugPrivilege" }
    $content
    Remove-Item $tempFile -Force
}
Remove-PSSession $session

Recommandations de durcissement des droits¶

Ces recommandations s'alignent avec les baselines Microsoft Security (STIG/CIS) :

Options de sécurité critiques¶

Présentation¶

Les Security Options sont des paramètres de sécurité système qui ne rentrent dans aucune autre catégorie. Ils contrôlent des comportements du noyau, du protocole d'authentification, des communications réseau et de l'interface UAC.

Leur chemin GPMC : Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options

Dans GptTmpl.inf, ils apparaissent dans la section [Registry Values].

Options critiques et leurs clés de registre¶

NTLMv2 et la dégradation d'authentification¶

NTLMv1 et LM (LAN Manager) sont des protocoles cryptographiquement faibles, vulnérables aux attaques par dictionnaire et aux relais NTLM.

LmCompatibilityLevel contrôle quel protocole le client envoie et ce que le serveur accepte :

Vérifier les options de sécurité en vigueur¶

# Read critical security option registry values
$keys = @{
    "LmCompatibilityLevel"    = "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa"
    "EnableLUA"               = "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"
    "ConsentPromptBehaviorAdmin" = "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"
    "NoLMHash"                = "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa"
}

$keys.GetEnumerator() | ForEach-Object {
    $value = (Get-ItemProperty -Path $_.Value -Name $_.Key -ErrorAction SilentlyContinue).$($_.Key)
    [PSCustomObject]@{
        Setting = $_.Key
        Value   = $value
        Path    = $_.Value
    }
} | Format-Table -AutoSize

Setting                     Value  Path
-------                     -----  ----
LmCompatibilityLevel        5      HKLM:\SYSTEM\CurrentControlSet\Control\Lsa
EnableLUA                   1      HKLM:\SOFTWARE\Microsoft\Windows\...\System
ConsentPromptBehaviorAdmin  1      HKLM:\SOFTWARE\Microsoft\Windows\...\System
NoLMHash                    1      HKLM:\SYSTEM\CurrentControlSet\Control\Lsa

Windows LAPS via CSE Security¶

Windows LAPS remplace l'ancien Microsoft LAPS legacy pour la gestion du mot de passe administrateur local. Il peut sauvegarder le secret dans Active Directory ou dans Entra ID selon le design.

Point important : Windows LAPS n'est pas une simple option [System Access] traitée par scecli.dll. Les stratégies sont exposées par ADMX et traitées par le composant Windows LAPS côté client. Dans le diagnostic GPO, il faut donc lire à la fois la GPO appliquée, le registre de stratégie et les journaux Windows LAPS.

Chemin GPO principal :

Computer Configuration → Administrative Templates → System → LAPS

Chemin registre de stratégie :

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\LAPS

Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\LAPS" `
    -ErrorAction SilentlyContinue |
    Select-Object BackupDirectory, PasswordAgeDays, PasswordLength, PasswordComplexity,
        ADPasswordEncryptionEnabled, PostAuthenticationActions

Flux d'application des stratégies de sécurité¶

Le diagramme suivant illustre le flux complet de traitement, de la détection des GPO jusqu'à l'application effective des paramètres sur le système.

sequenceDiagram
    participant GP  as gpsvc
    participant SC  as scecli.dll (CSE Security)
    participant SV  as SYSVOL
    participant DB  as secedit.sdb (DB locale)
    participant SY  as Système (SAM / LSA / auditpol)

    GP  ->> SC  : Déclencher traitement sécurité (foreground ou refresh 16h)
    SC  ->> SV  : Lire GptTmpl.inf de chaque GPO applicable
    SV  -->> SC : [System Access], [Audit Policy], [Privilege Rights], [Registry Values]
    SC  ->> DB  : Fusionner dans secedit.sdb (résolution de conflits par priorité GPO)
    SC  ->> SY  : Appliquer [System Access] → SAM (politique de compte)
    SC  ->> SY  : Appliquer [Privilege Rights] → LSA (droits utilisateur)
    SC  ->> SY  : Appliquer [Audit Policy] → auditpol (catégories classiques)
    SC  ->> SY  : Appliquer [Registry Values] → registre système
    SC  ->> GP  : Rapport succès (Event 4016 / 5016)
    Note over SC,SY : Réapplication forcée toutes les 16h<br/>(MaxNoGPOListChangesInterval = 960 min)<br/>même sans changement de GPO

Résolution des conflits entre GPO¶

Quand plusieurs GPO contiennent des paramètres de sécurité contradictoires, scecli.dll applique les règles LSDOU standard : la dernière GPO traitée (priorité la plus haute dans l'ordre d'application) l'emporte.

Pour les paramètres [System Access] (politique de mot de passe et de verrouillage), seules les GPO liées à la racine du domaine participent à cette résolution. Les GPO liées aux OUs enfants sont ignorées pour ces paramètres.

Diagnostic et dépannage¶

Event IDs de la CSE Security¶

# Get Security CSE processing events from the GP Operational log
Get-WinEvent -LogName "Microsoft-Windows-GroupPolicy/Operational" |
    Where-Object { $_.Id -in @(4016, 5016, 6016, 7016) } |
    Select-Object TimeCreated, Id, Message |
    Sort-Object TimeCreated -Descending |
    Select-Object -First 20 |
    Format-Table -Wrap -AutoSize

Secedit pour le diagnostic¶

secedit.exe est l'outil natif pour interagir directement avec la base de sécurité locale.

# Export the configured security template (from GPO)
secedit /export /cfg C:\Temp\sec-configured.inf /quiet

# Analyze the current system state against the configured template
secedit /analyze /db C:\Temp\sec-analysis.sdb `
        /cfg C:\Temp\sec-configured.inf `
        /log C:\Temp\sec-analysis.log `
        /quiet

# View the analysis results
Get-Content C:\Temp\sec-analysis.log | Select-String "Mismatch|mismatch"

# Force an immediate reapplication of security policy (bypasses 16h timer)
Invoke-GPUpdate -Force -Computer "LAPTOP-HR-042" -Target Computer

# Or locally:
gpupdate /force /target:computer

Références croisées¶