Audit de conformité et RSoP¶

Déployer une GPO ne signifie pas que les paramètres sont appliqués. L'héritage, les filtres de sécurité, les WMI filters, les liens désactivés et les conflits de priorité entre GPO peuvent silencieusement modifier le résultat.

Un audit de conformité vérifie ce qui est réellement en vigueur sur le poste, pas ce qui devrait l'être en théorie.

1. Pourquoi le déploiement GPO n'est pas une garantie¶

1.1 Les raisons d'un écart de conformité¶

Un paramètre GPO peut ne pas atteindre sa cible pour de nombreuses raisons, toutes silencieuses.

1.2 Conséquences pratiques¶

Un poste qui semble dans l'OU cible peut ne pas avoir reçu la GPO de hardening.

Les paramètres de sécurité peuvent être écrasés par une GPO plus ancienne ou moins restrictive, créée pour un besoin temporaire et jamais supprimée.

Sans vérification active, ces écarts restent invisibles. Le poste apparaît dans le bon scope AD mais fonctionne avec une configuration non durcie.

2. RSoP (Resultant Set of Policy)¶

2.1 Qu'est-ce que RSoP¶

RSoP calcule le jeu de paramètres effectivement appliqué à un poste ou un utilisateur donné.

Il tient compte de l'héritage, des filtres, des priorités et des conflits entre GPO. Le résultat montre la GPO gagnante pour chaque paramètre.

Deux modes existent :

2.2 Lancer RSoP en mode Logging¶

Sur le poste ciblé, ouvrir avec Win+R puis taper rsop.msc.

La console affiche les paramètres effectifs organisés par catégorie (Computer Configuration, User Configuration). Chaque paramètre indique la GPO source.

Les paramètres en conflit montrent la GPO gagnante. Les GPO perdantes ne sont pas affichées dans RSoP, ce qui est une limite importante.

2.3 Limitations de RSoP¶

RSoP ne couvre pas tous les types de paramètres. Certaines extensions CSE (Client-Side Extensions) ne sont pas représentées dans la console RSoP :

• Les règles de pare-feu Windows.
• Les politiques AppLocker et WDAC.
• Les paramètres de sécurité avancés qui ne passent pas par les templates ADMX.

RSoP ne montre pas les GPO qui auraient dû s'appliquer mais ne se sont pas appliquées (filtre, lien désactivé). Pour ces cas, gpresult est plus informatif.

3. gpresult — l'outil de diagnostic GPO¶

3.1 Syntaxe de base¶

3.2 Lire la sortie¶

Le rapport gpresult /H contient deux sections clés :

Applied Group Policy Objects : liste les GPO effectivement appliquées au poste, dans l'ordre de priorité (de la plus prioritaire à la moins prioritaire).

Denied Group Policy Objects : liste les GPO liées au périmètre AD du poste mais non appliquées, avec la raison de l'exclusion.

3.3 Vérifier un paramètre spécifique¶

gpresult montre quelles GPO sont appliquées mais ne liste pas chaque valeur de registre individuelle.

Pour vérifier qu'un paramètre de hardening est effectivement à la bonne valeur, combinez deux vérifications :

1. gpresult /H pour confirmer que la GPO source est appliquée.
2. Get-ItemProperty pour lire la valeur de registre effective.

# Vérifier que WDigest est désactivé
Get-ItemProperty `
    "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest" `
    -Name UseLogonCredential

Si la GPO est appliquée (gpresult la montre dans "Applied") mais la valeur de registre est incorrecte, il y a un conflit avec une GPO de priorité supérieure ou un paramètre local qui écrase la valeur.

4. Identifier les conflits de GPO¶

4.1 Priorité et ordre d'application¶

L'ordre d'application des GPO suit la hiérarchie AD :

Local Policy → Site → Domain → OU parent → OU enfant

La GPO la plus proche de l'objet dans l'AD a la priorité la plus haute. Elle écrase les paramètres définis par les GPO plus éloignées.

À priorité égale dans une même OU, le numéro de lien détermine l'ordre : le lien avec le numéro le plus bas a la priorité la plus haute.

Le flag Enforced (anciennement "No Override") force une GPO à ne jamais être écrasée par une GPO de priorité plus haute. C'est un mécanisme puissant mais à utiliser avec parcimonie.

4.2 Détecter les conflits¶

4.3 Conflits courants en hardening¶

Trois scénarios reviennent régulièrement :

GPO d'exception temporaire jamais supprimée. Un projet pilote a nécessité la réactivation de SMBv1 pour un applicatif ancien. La GPO d'exception est toujours active six mois plus tard, alors que l'applicatif a été remplacé.

Héritage bloqué sur une OU de test. Les postes de cette OU ne re��oivent pas la GPO de hardening. Si des postes de production y sont déplacés par erreur, ils perdent silencieusement leur durcissement.

GPO de compatibilité qui réactive WDigest. Une GPO créée pour un applicatif ancien positionne UseLogonCredential = 1 pour résoudre un problème d'authentification. Elle écrase la GPO de hardening qui positionne la valeur à 0.

5. Automatiser la vérification de conformité¶

5.1 Principe¶

La vérification la plus fiable ne passe pas par les GPO. Elle lit directement les clés de registre sur le poste.

Les valeurs de registre sont la réalité. Les GPO ne sont qu'un mécanisme de déploiement. Un script de vérification indépendant détecte les écarts même si les GPO semblent correctes dans GPMC.

5.2 Script de vérification niveau 1¶

Le script suivant vérifie les contrôles critiques du niveau 1 (référence : checklist chapitre 18).

$checks = @(
    @{
        Name     = "WDigest désactivé"
        Key      = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest"
        Value    = "UseLogonCredential"
        Expected = 0
    },
    @{
        Name     = "RunAsPPL actif"
        Key      = "HKLM:\SYSTEM\CurrentControlSet\Control\LSA"
        Value    = "RunAsPPL"
        Expected = 1
    },
    @{
        Name     = "LmCompatibilityLevel = 5"
        Key      = "HKLM:\SYSTEM\CurrentControlSet\Control\LSA"
        Value    = "LmCompatibilityLevel"
        Expected = 5
    },
    @{
        Name     = "LLMNR désactivé"
        Key      = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient"
        Value    = "EnableMulticast"
        Expected = 0
    },
    @{
        Name     = "Script Block Logging actif"
        Key      = "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging"
        Value    = "EnableScriptBlockLogging"
        Expected = 1
    },
    @{
        Name     = "Pare-feu Domain actif"
        Key      = "HKLM:\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile"
        Value    = "EnableFirewall"
        Expected = 1
    },
    @{
        Name     = "Pare-feu Public actif"
        Key      = "HKLM:\SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile"
        Value    = "EnableFirewall"
        Expected = 1
    },
    @{
        Name     = "MAPS Advanced"
        Key      = "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet"
        Value    = "SpynetReporting"
        Expected = 2
    }
)

$results = foreach ($check in $checks) {
    try {
        $actual = Get-ItemPropertyValue -Path $check.Key `
            -Name $check.Value -ErrorAction Stop
        $status = if ($actual -eq $check.Expected) {
            "OK"
        } else {
            "ECART (valeur : $actual)"
        }
    } catch {
        $status = "ABSENT (clé ou valeur manquante)"
    }
    [PSCustomObject]@{
        Controle = $check.Name
        Statut   = $status
    }
}

$results | Format-Table -AutoSize

5.3 Interpréter les résultats¶

Un statut ABSENT ne signifie pas toujours un problème. Certains paramètres n'existent en registre que si la GPO a été appliquée au moins une fois. Mais si la GPO devrait être appliquée et que la clé est absente, c'est un signe de filtre, de lien désactivé ou de problème de réplication.

6. Outils complémentaires¶

6.1 Microsoft Security Compliance Toolkit (SCT)¶

SCT fournit des outils pour importer et exporter les GPO de baseline Microsoft.

• LGPO.exe : applique des GPO locales sans GPMC. Utile pour les postes standalone ou les images de déploiement.
• PolicyAnalyzer : compare deux ensembles de GPO ou l'état d'un poste avec une baseline de référence. Il identifie les écarts paramètre par paramètre.

6.2 Ping Castle et Purple Knight¶

Ping Castle audite la sécurité Active Directory dans son ensemble, pas seulement les GPO. Il identifie les GPO qui affaiblissent la posture de sécurité et attribue un score de risque.

Purple Knight (Semperis) fait un audit similaire avec un focus sur les indicateurs de compromission Active Directory. Il détecte les configurations qui facilitent les attaques de type DCSync, Golden Ticket ou Kerberoasting.

6.3 Intune Compliance Policies¶

Dans un contexte Intune, les politiques de conformité vérifient l'état des postes de manière continue.

Elles peuvent détecter : Defender désactivé, BitLocker absent, version OS obsolète, pare-feu inactif.

7. Tableau récapitulatif¶

flowchart TD
    A[Déploiement GPO hardening] --> B[Vérification gpresult /H]
    B --> C{Écart détecté ?}
    C -- Oui --> D[Identifier la cause]
    D --> E{Filtre de sécurité ?}
    D --> F{Conflit GPO ?}
    D --> G{Héritage bloqué ?}
    E --> H[Corriger les permissions]
    F --> I[Supprimer la GPO conflictuelle]
    G --> J[Supprimer le Block Inheritance\nou forcer via Enforced]
    H --> K[Revérifier]
    I --> K
    J --> K
    K --> B
    C -- Non --> L[Documenter l'état de conformité]
    L --> M[Cycle de revue suivant]