Configuration des audits de démarrage sous Windows pour détecter les anomalies
Introduction• Ce tutoriel explique comment configurer des audits de démarrage sous Windows afin de détecter d’éventuelles anomalies système.
• L’activation des audits permet d’identifier les événements critiques dès le démarrage du système, tels que des modifications non autorisées ou des tentatives d'accès suspectes.
Prérequis• Un système sous Windows 10 ou Windows 11.
• Un compte administrateur.
• Activer l'audit des événements via l’éditeur de stratégies de groupe ou PowerShell.
Méthodologie• Méthode 1 : Utilisation de l’éditeur de stratégies de groupe (GPO).
• Méthode 2 : Activation de l’audit via PowerShell.
Avantages des 2 méthodes• Méthode 1 : Interface conviviale et intégration avec Active Directory.
• Méthode 2 : Automatisation et gestion avancée.
Inconvénients des 2 méthodes• Méthode 1 : Moins adaptée aux environnements nécessitant une configuration rapide.
• Méthode 2 : Nécessite des connaissances en PowerShell.
Étapes pour chaque méthode
Méthode 1 : Activation via l’éditeur de stratégies de groupe
Ouvrir l’éditeur de stratégies de groupe avec gpedit.msc.
Naviguer vers : Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Stratégie d’audit.
Activer les audits pour les événements de connexion, de modification du système et de démarrage/arrêt.
Méthode 2 : Activation via PowerShell Ouvrir PowerShell en mode administrateur. Exécuter la commande suivante pour activer l’audit du démarrage :
Code:
auditpol /set /subcategory:"System Integrity" /success:enable /failure:enable
Code:
Get-EventLog -LogName Security -Newest 20
Astuce• Configurer une alerte par e-mail en cas d’événement critique dans les journaux Windows.
Mise en garde• Une mauvaise configuration peut générer un grand nombre d’événements et ralentir le système.
Conseil• Examiner régulièrement les journaux pour détecter toute anomalie.
Solution alternative• Utiliser Microsoft Defender for Endpoint pour surveiller les événements système.
Références• Microsoft - Audit de sécurité
• Support Microsoft
Conclusion• L’activation des audits permet une surveillance proactive des événements système.
• L’utilisation de PowerShell facilite l’automatisation de la gestion des audits.
