Microsoft AZ-801: Sécurité et renforcement de Windows Server — Guide d'étude

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Fait partie du Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Guide d’étude. Entraînez-vous avec des réponses vérifiées dans le centre d’examens Microsoft, ou passez des tests chronométrés sur ExamRoll.io.

Vue d’ensemble

Le durcissement de Windows Server est un exercice à plusieurs niveaux qui donne la priorité à l’isolation des identités, au contrôle des applications, à l’atténuation des exploits et des logiciels malveillants, et à des limites réseau strictes, appliquées de manière cohérente avec des référentiels reproductibles. L’objectif est d’empêcher le vol d’informations d’identification, de réduire la surface d’attaque avec des contrôles de refus par défaut, de détecter et de contenir les comportements malveillants, et de vérifier l’efficacité de la configuration par le biais de rapports. Les fonctionnalités décrites ci-dessous sont natives de Windows Server moderne et s’intègrent à la gestion à grande échelle via la stratégie de groupe, PowerShell et les services de sécurité Microsoft.

Protection de l’identité et des informations d’identification

Windows Defender Credential Guard utilise la sécurité basée sur la virtualisation (VBS) pour isoler les secrets du système d’exploitation afin que les informations d’identification dans LSASS ne puissent pas être extraites par des logiciels malveillants. Les prérequis pour la VBS incluent UEFI 2.3.1 avec Secure Boot, la virtualisation assistée par matériel (Intel VT-x/AMD-V avec SLAT) et TPM 2.0 (fortement recommandé pour la protection des clés). Pour les machines virtuelles, utilisez la Génération 2 avec Secure Boot et un vTPM ; la VBS s’exécute à l’aide de l’hyperviseur Windows et ne nécessite pas l’installation du rôle Hyper-V.

Activez Credential Guard via la stratégie de groupe : Configuration ordinateur > Modèles d’administration > Système > Device Guard > Activer la sécurité basée sur la virtualisation. Réglez la protection de l’intégrité du code basée sur la virtualisation sur Activé, puis choisissez la configuration de Credential Guard sur Activé avec Secure Boot (ou avec Secure Boot et protection DMA si pris en charge). Un redémarrage est requis. Vérifiez dans msinfo32 : Sécurité basée sur la virtualisation : En cours d’exécution ; Credential Guard : Activé. Les événements apparaissent sous Microsoft-Windows-CodeIntegrity/Operational et DeviceGuard.

La protection de l’autorité de sécurité locale (LSA) complète Credential Guard. Configurez LSASS pour qu’il s’exécute en tant que processus protégé (PPL) afin de bloquer l’injection de code non signé, même par les administrateurs. Utilisez la stratégie de groupe : Configuration ordinateur > Modèles d’administration > Système > Autorité de sécurité locale > Configurer LSASS pour qu’il s’exécute en tant que processus protégé. Cela définit RunAsPPL, forçant l’utilisation exclusive de pilotes signés et approuvés. Credential Guard isole les secrets dans un processus LSAISO sécurisé par VSM ; LSASS PPL durcit la limite du processus LSASS. Activez les deux pour une défense en profondeur.

Les stations de travail à accès privilégié (PAW) opérationnalisent l’isolation des informations d’identification. Adoptez un modèle d’administration à plusieurs niveaux :

Niveau 0 : AD DS, ADFS, PKI, racines de confiance pour l’identité et la sécurité
Niveau 1 : serveurs d’application et d’infrastructure
Niveau 2 : postes de travail des utilisateurs Chaque niveau utilise des comptes administrateur distincts et des PAW dédiées. Les PAW sont durcies avec Credential Guard, WDAC, HVCI (Intégrité de la mémoire), SmartScreen, une navigation restreinte et des règles de sortie de pare-feu strictes. Bloquez les chemins de connexion inter-niveaux (aucun administrateur de niveau 0 ne se connecte à des appareils de niveau 1 ou 2). Ce modèle réduit considérablement le rayon d’impact du vol d’informations d’identification.

Contrôle d’application et gestion de la surface d’attaque

Windows Defender Application Control (WDAC) applique une stratégie de refus par défaut pour le code. Les types de stratégies incluent une stratégie de base unique (SiPolicy) et des stratégies supplémentaires optionnelles pour étendre les règles d’autorisation sans modifier la base. Les versions modernes de Windows Server prennent en charge plusieurs stratégies simultanément. WDAC régit à la fois les binaires/scripts en mode utilisateur et les pilotes en mode noyau. La confiance peut être définie par les signatures Microsoft, WHQL, le Windows Store, votre certificat de signature de code d’entreprise, le hachage de fichier, les attributs d’éditeur/de fichier, ou un Programme d’installation géré (Managed Installer) qui marque le code déployé comme étant de confiance. Déployez d’abord en mode Audit pour collecter les événements, puis passez en mode Imposé (Enforced) pour bloquer. Créez les stratégies à l’aide du module PowerShell ConfigCI :

undefined

;

undefined

pour la consolidation ;

undefined

pour estampiller les ID de stratégie ;

undefined

pour générer le fichier .p7b signé ; déployez vers

undefined

ou via une stratégie de groupe (Group Policy). WDAC peut également restreindre l’utilisation et l’enregistrement des classes COM pour prévenir les abus malveillants de COM.

La protection contre les exploits (Exploit protection) fournit des mesures d’atténuation des processus au niveau global et par application. Les mesures d’atténuation au niveau du système incluent DEP, ASLR (relocalisation forcée, randomisation bottom-up, haute entropie), CFG, SEHOP, et des stratégies strictes de gestion des handles et de chargement d’images. Les remplacements au niveau de l’application permettent un réglage granulaire, comme l’activation/désactivation de la création de processus enfants (Child Process Creation), du filtrage des adresses d’exportation (Export Address Filtering), ou de la protection contre le code arbitraire (Arbitrary Code Guard) pour un exécutable spécifique. Gérez avec l’application Sécurité Windows (Contrôle des applications et du navigateur > Protection contre les exploits) ou PowerShell :

undefined

;

undefined

;

undefined

. Exportez/Importez en XML pour un déploiement à grande échelle :

undefined

. Lorsqu’une application métier (line-of-business) doit créer des processus enfants, créez un remplacement par application désactivant cette mesure d’atténuation uniquement pour cet exécutable.

Les règles de réduction de la surface d’attaque (ASR) bloquent les techniques de logiciels malveillants au niveau de la couche comportementale. Configurez chaque règle en mode Blocage (Block), Audit ou Avertissement (Warn). Les ID de règles courants incluent :

D4F940AB-401B-4EFC-AADC-AD5F3C50688A : Bloquer la création de processus enfants par les applications Office
3B576869-A4EC-4529-8536-B80A7769E899 : Bloquer la création de contenu exécutable par les applications Office
75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84 : Bloquer l’injection de code dans d’autres processus par les applications Office
BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550 : Bloquer le contenu exécutable provenant des clients de messagerie et de webmail
D3E037E1-3EB8-44C8-A917-57927947596D : Bloquer le lancement d’exécutables téléchargés par JavaScript/VBScript
5BEB7EFE-FD9A-4556-801D-275E5FFC04CC : Bloquer l’exécution de scripts potentiellement obfusqués
D1E49AAC-8F56-4280-B9BA-993A6D77406C : Bloquer les créations de processus provenant des commandes PSExec et WMI
01443614-CD74-433A-B99E-2ECDC07BFC25 : Bloquer les exécutables sauf s’ils répondent à des critères de prévalence, d’âge ou de liste de confiance
9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2 : Bloquer le vol d’informations d’identification depuis LSASS Gérez avec PowerShell :

undefined

. Définissez des exclusions de processus/fichiers qui s’appliquent uniquement à ASR avec

undefined

. Signalez les événements dans l’Observateur d’événements (Event Viewer) sous Microsoft-Windows-Windows Defender/Operational et, si l’appareil est intégré à Microsoft Defender for Endpoint, dans les tableaux de repérage avancé (advanced hunting) (DeviceEvents, DeviceSecurityEvents) avec les identifiants de règle ASR explicites.

L’accès contrôlé aux dossiers (CFA) déjoue les rançongiciels (ransomware) en empêchant les processus non approuvés d’écrire dans les dossiers protégés. Par défaut, cela inclut les dossiers Documents, Images, Bureau, Favoris du profil utilisateur, et plus encore ; vous pouvez ajouter des chemins personnalisés (y compris des volumes de données hébergeant des partages d’applications). Autorisez des binaires métier spécifiques à écrire via les « applications autorisées ». Gérez à l’aide de

undefined

;

undefined

;

undefined

. Surveillez les blocages dans les journaux d’événements de Windows Defender et ajustez les applications autorisées en vous basant sur des preuves, et non sur des suppositions.

Protection des points de terminaison et bases de référence

L’antivirus Windows Defender sur les serveurs offre une protection en temps réel et une analyse planifiée/à la demande. Les types d’analyse incluent Rapide (Quick), Complète (Full) et Personnalisée (Custom) ; planifiez les mises à jour des définitions, du moteur et de la plateforme via une stratégie de groupe (Group Policy) ou WSUS. Utilisez

undefined

pour une analyse Complète, ou PowerShell

undefined

. Configurez les exclusions (chemins, processus, extensions) avec

undefined

, mais minimisez les exclusions et préférez des entrées précises basées sur les processus ; associez-les à ASR et WDAC pour éviter les risques de compensation. La protection anti-falsification (Tamper Protection) empêche les modifications non autorisées des paramètres de Defender (registre et WMI) par des logiciels malveillants ou des administrateurs locaux ; gérez-la de manière centralisée via la gestion des paramètres de sécurité de Microsoft Defender for Endpoint pour les serveurs. Activez la protection fournie par le cloud (MAPS) et la soumission automatique d’échantillons pour un blocage rapide des menaces émergentes ; vérifiez avec

undefined

(AMServiceEnabled, AntispywareSignatureLastUpdated, IsTamperProtected, CloudProtectionEnabled).

Les bases de référence de sécurité (Security baselines) implémentent un durcissement éprouvé à grande échelle. Utilisez le Microsoft Security Compliance Toolkit (MSCT) pour télécharger les bases de référence de Windows Server (sauvegardes de GPO et documentation). Importez les GPO de base de référence via la console de gestion des stratégies de groupe (clic droit sur Objets de stratégie de groupe > Importer les paramètres) ou appliquez-les localement avec

undefined

. Validez d’abord dans une unité d’organisation (UO) de test. Utilisez Policy Analyzer (inclus dans MSCT) pour comparer les GPO actuels et la stratégie locale à la base de référence, identifier les conflits et produire des rapports d’écarts. Documentez tout écart intentionnel avec une justification métier et un contrôle des changements, et réexécutez les comparaisons après les cycles de correctifs pour maintenir une conscience de la dérive de configuration.

Application du réseau et des stratégies

Le Pare-feu Windows Defender avec fonctions avancées de sécurité est stateful (à état) et sensible aux profils. Appliquez le moindre privilège avec un refus par défaut pour le trafic entrant et des autorisations explicites pour les services nécessaires, en limitant la portée par adresses distantes, interfaces et SID d’utilisateurs/services. Utilisez si possible des règles de renforcement de service pour lier le trafic au service correct, et non simplement à un port. Les règles de trafic sortant doivent être définies pour les serveurs qui initient des connexions vers des destinations restreintes, empêchant ainsi les mouvements latéraux et les sorties de données non autorisées. Les règles de sécurité de connexion ajoutent IPsec (authentification, intégrité et éventuellement chiffrement) au trafic ; n’oubliez pas qu’elles n’ouvrent pas de ports — associez-les à des règles de pare-feu. Pour une authentification forte et interopérable entre domaines et groupes de travail, utilisez l’authentification par certificat d’ordinateur. Configurez des exemptions IPsec lorsque des diagnostics comme tracert doivent rester en clair (WFAS > Propriétés > Paramètres IPsec > Exemptions IPsec). Appliquez les profils de domaine, privé et public de manière appropriée ; les interfaces de serveur connectées à des segments non approuvés doivent utiliser le profil public. Activez les scénarios de gestion à distance uniquement avec des groupes de règles ciblés (par exemple, Accès réseau COM+ (DCOM-In) et Gestion du journal des événements à distance pour la Gestion de l’ordinateur via DCOM et l’accès au journal des événements).

Comprenez comment la Stratégie de sécurité locale et la Stratégie de groupe interagissent. La Stratégie de sécurité locale (secpol.msc) est la couche de base, mais les GPO de domaine la remplacent en suivant le traitement LSDOU : Local, Site, Domaine, puis OU (le dernier rédacteur l’emporte pour chaque paramètre), certains paramètres de sécurité fusionnant (par exemple, les attributions de droits d’utilisateur agrègent les entrées « refuser » et « autoriser » avec des règles de précédence). Utilisez le Jeu de stratégies résultant (RSoP) via

undefined

(ou

undefined

) et l’Assistant Résultats de stratégie de groupe pour voir la configuration effective, y compris quel GPO et quel filtre WMI ont été appliqués. Lors du dépannage des paramètres de sécurité (Defender, pare-feu, déploiement progressif de WDAC, protection LSA), confirmez toujours le GPO appliqué et sa chaîne de précédence, puis exécutez

undefined

après les modifications.

Scénario de problème pratique

Contoso Ltd. déploie une nouvelle application RH sur Windows Server 2022 qui écrit sur un partage de données et génère des processus auxiliaires pour le reporting. La direction de la sécurité exige une résilience face aux ransomwares, la prévention du vol d’identifiants et une exécution en mode refus par défaut sur les serveurs de Niveau 1 (Tier 1) sans perturber l’application RH.

Établir la frontière d’identité avec Credential Guard et la protection LSA

Action : Configurer Activer la sécurité basée sur la virtualisation (Credential Guard avec Secure Boot) et Configurer LSASS pour qu’il s’exécute en tant que processus protégé via un GPO renforcé « Tier 1 – Server Security » appliqué à l’OU des serveurs RH.
Pourquoi : Les secrets ne peuvent pas être extraits de LSASS, et le PPL empêche l’injection de code, réduisant ainsi l’impact d’une compromission du serveur.

Appliquer une liste blanche d’applications avec WDAC en mode audit, puis en mode renforcé

Action : Générer une politique WDAC de base en utilisant

undefined

avec les niveaux Publisher et FilePublisher à partir d’une version de référence (gold build) hébergeant l’application RH ; ajouter le Programme d’installation géré (Managed Installer) pour approuver la distribution de logiciels d’entreprise ; signer et déployer la politique en mode Audit, puis passer en mode Renforcé (Enforced) après examen des événements.

Pourquoi : WDAC fournit un refus par défaut pour les binaires, scripts et pilotes non autorisés tout en autorisant en toute sécurité l’application RH et les déploiements gérés.

Ajuster les mesures d’atténuation des exploits par application

Action : Appliquer CFG/ASLR globalement au système ; pour l’exécutable de reporting RH, définir une dérogation par application pour autoriser la création de processus enfants en utilisant

undefined

, tout en laissant les autres mesures d’atténuation activées.

Pourquoi : Maintient le renforcement contre les exploits largement actif tout en s’adaptant à un comportement légitime de l’application référencé par les opérations.

Bloquer les techniques d’attaque courantes avec les règles ASR et des exclusions ciblées

Action : Activer les règles ASR clés en mode Blocage (par exemple,

undefined

pour le blocage des processus enfants d’Office,

undefined

pour bloquer le vol d’identifiants de LSASS,

undefined

pour la confiance basée sur la prévalence/l’âge) et mettre en mode Audit toute règle initiale à fort impact ; ajouter une exclusion spécifique

undefined

pour le binaire signé de l’application RH si nécessaire.

Pourquoi : ASR réduit l’abus de macros, de scripts et de techniques « living-off-the-land » sans affaiblir globalement les défenses ; les exclusions sont précises et spécifiques à ASR.

Protéger les chemins de données avec l’Accès contrôlé aux dossiers

Action : Activer l’Accès contrôlé aux dossiers (CFA) en mode Blocage ; ajouter le chemin du partage de données RH et les dossiers de données de l’application aux dossiers protégés ; ajouter les binaires de l’application RH en tant qu’applications autorisées en se basant sur leur chemin signé.
Pourquoi : Empêche le chiffrement ou la modification non autorisés de données critiques par des processus non approuvés, offrant une résistance aux ransomwares.

Confirmer la posture de l’antivirus et la protection cloud

Action : S’assurer que la protection en temps réel, la protection fournie par le cloud et la soumission d’échantillons sont activées ; planifier des analyses complètes en dehors des heures de bureau ; examiner

undefined

; restreindre les exclusions au seul processus de l’application RH si c’est strictement nécessaire.

Pourquoi : Maintient une détection à jour avec une augmentation minimale de la surface d’attaque.

Verrouiller le plan réseau

Action : Configurer uniquement les règles de trafic entrant requises par le service RH en limitant la portée au SID du service ; définir des règles de trafic sortant minimales vers les bases de données et les points de terminaison de mise à jour ; si le trafic de serveur à serveur doit être chiffré, ajouter des règles de sécurité de connexion avec authentification par certificat ; ajouter des exemptions IPsec pour les besoins de diagnostic comme tracert.
Pourquoi : Un réseau précis basé uniquement sur des autorisations et IPsec empêchent les mouvements latéraux et l’écoute clandestine tout en préservant les opérations nécessaires.

Établir une base de référence et vérifier

Action : Importer la base de référence de sécurité de Windows Server depuis le Microsoft Security Compliance Toolkit dans le GPO de Niveau 1, l’examiner avec Policy Analyzer par rapport aux GPO existants, et documenter les déviations approuvées pour la charge de travail RH.
Pourquoi : Assure un renforcement complet au-delà des contrôles ponctuels et fournit une conformité mesurable et rapportable.

Cette combinaison a été choisie pour isoler les identifiants (Credential Guard, LSA PPL), refuser par défaut l’exécution de code (WDAC), bloquer les techniques d’attaque courantes (ASR, protection contre les exploits), empêcher la falsification de données (CFA), imposer la détection de logiciels malveillants (Defender AV avec le cloud), et combler les failles réseau (pare-feu et IPsec), avec des bases de référence et des rapports garantissant la cohérence et l’auditabilité.

Tous les domaines · Microsoft Defender for Cloud et sécurité des points de terminaison →

Entraînez-vous sur ces questions → · Tests chronométrés sur ExamRoll.io →