juil. 2026
Poste d'administration sécurisé et modèle en tiers
Un poste d'administration durci et des identités cloisonnées en tiers 0, 1 et 2 : un administrateur de domaine ne peut plus ouvrir de session sur un serveur.
Preuves
- 6 sur 6ouvertures de session interactives conformes à l'attenduSource : API Windows LogonUser
- 1385code renvoyé à chaque refusSource : ERROR_LOGON_TYPE_NOT_GRANTED
- PPLLSASS démarre en processus protégéSource : événement Wininit 12
- 443port sortant bloqué depuis le poste d'administrationSource : test de connexion sortante
Démonstration
La démonstration interactive se charge avec JavaScript.
Ce que j'ai fait
- ADM01, un Windows Server 2022 avec Secure Boot et vTPM, construit par ISO sans surveillance puis joint au domaine du lab.
- OU Tier 0, 1 et 2, comptes et groupes par tier, et 3 GPO de restriction d'ouverture de session.
- Durcissement du poste : LSASS protégé, WDigest à 0, BitLocker XTS-AES 256, web sortant bloqué.
- Pare-feu de DC01 et MEMBER01 en blocage entrant par défaut : RDP et WinRM ouverts au seul ADM01.
Limites
- Un seul poste d'administration sert aux tiers 0 et 1 : en production, il en faut un par tier.
- Seule l'ouverture de session interactive est testée : ni RDP, ni réseau, ni poste Tier 2.
- Credential Guard est configuré mais pas actif : VBS ne démarre pas en virtualisation imbriquée.
Outils et référentiels
- Windows Server 2022
- Active Directory
- GPO
- PowerShell
- WinRM
- BitLocker
- LSA Protection
- Pare-feu Windows
Compétences
- Identités et accès
- Active Directory
- Durcissement