Windows Server 2025 / Vérifier Defender et les règles du Pare-feu Windows

La sécurité de base de Windows Server 2025 associe les mises à jour, des comptes d'administration distincts, la protection antimalware et un accès réseau limité. Vérifiez l'état de Microsoft Defender Antivirus et du Pare-feu Windows, n'ajoutez que les exceptions nécessaires au rôle du serveur, puis contrôlez que la protection et les services attendus fonctionnent encore.

Recenser le rôle et l'état de sécurité initial

Un contrôleur de domaine, un serveur de fichiers et un serveur web n'ont pas les mêmes besoins réseau. Notez le rôle, les voies d'administration, les sauvegardes et l'état des mises à jour avant de modifier des paramètres communs.

• Séparez les comptes d'usage quotidien des comptes administrateurs.
• Limitez l'administration à distance aux postes et réseaux approuvés.
• Documentez les services, protocoles et ports nécessaires à chaque rôle.
• Intégrez les mises à jour de sécurité et les essais de restauration à la maintenance habituelle.

Une configuration de référence sert à examiner les écarts, pas à appliquer sans analyse les mêmes modifications du Registre à tous les serveurs. Vérifiez la compatibilité de chaque réglage, ses effets sur le service et la manière de revenir en arrière.

Vérifier le mode et les mises à jour de Defender

Dans une console PowerShell élevée, comparez le mode actif ou passif à la solution antivirus prévue pour ce serveur. La documentation Microsoft sur les modes de Defender Antivirus précise le comportement de chacun.

Get-MpComputerStatus | Select-Object AMRunningMode,AntivirusEnabled,RealTimeProtectionEnabled,AntivirusSignatureLastUpdated
Get-MpPreference | Select-Object ExclusionPath,ExclusionProcess,ExclusionExtension

Contrôlez l'actualité du moteur et des signatures ; pour un serveur isolé, prévoyez une source de mise à jour maîtrisée. Si la commande échoue, vérifiez l'installation, l'état de l'antivirus et les droits du compte avant de conclure. Les exclusions personnalisées doivent répondre à un besoin précis : Defender applique déjà des exclusions intégrées et liées à certains rôles serveur. N'excluez pas un volume entier ou tous les programmes par facilité.

Examiner les profils et les règles de pare-feu effectives

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction,DefaultOutboundAction
Get-NetFirewallRule -PolicyStore ActiveStore | Where-Object Enabled -eq 'True' | Select-Object DisplayName,Direction,Action,Profile

Le profil Domaine, Privé ou Public dépend de l'identification du réseau. Si un serveur joint au domaine n'utilise pas le profil Domaine, vérifiez le DNS et l'accès au domaine avant de forcer un autre profil. Le magasin ActiveStore montre les règles effectives issues notamment des paramètres locaux et des GPO.

La documentation du Pare-feu Windows recommande de le laisser actif. Pour chaque flux autorisé, vérifiez la destination, le protocole, le port, l'adresse source et le profil. Ajouter une règle étroite ne supprime pas une autre règle d'autorisation plus large déjà en vigueur.

Créer puis retirer une règle de test limitée

Sur le réseau de laboratoire isolé, autorisez sur FS1 uniquement les requêtes d'écho ICMPv4 venant de CLIENT1. Vérifiez d'abord l'adresse IPv4 actuellement attribuée à CLIENT1 sur sa console et assurez-vous que le nom Lab-ICMPv4-From-Client n'est pas déjà utilisé. Exécutez ensuite sur FS1 :

$clientAddress = [ipaddress](Read-Host 'Current CLIENT1 IPv4 address')
New-NetFirewallRule -Name 'Lab-ICMPv4-From-Client' -DisplayName 'Lab ICMPv4 from CLIENT1' -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress $clientAddress -Profile Domain -Action Allow

Depuis CLIENT1, envoyez un ping à l'adresse de laboratoire 172.24.50.20 de FS1. La règle vise uniquement le profil Domaine : vérifiez le profil réellement actif et les éventuelles autorisations ICMP déjà présentes avant d'attribuer le résultat à cette nouvelle règle. Consultez la gestion du pare-feu en ligne de commande.

Après l'essai, supprimez uniquement la règle créée pour cet exercice :

Remove-NetFirewallRule -Name 'Lab-ICMPv4-From-Client'

Si le ping réussit encore, une autre règle peut déjà l'autoriser. Ne supprimez pas toutes les règles apparentées simplement pour obtenir un échec de démonstration.

Contrôler la protection et le fonctionnement du service

Après chaque changement, testez l'accès d'administration autorisé et le service que fournit le serveur : authentification de domaine, DNS, partage de fichiers ou réponse web. Notez l'heure du test et l'adresse source pour rapprocher un échec des journaux du pare-feu et des événements de sécurité.

Si le service cesse de fonctionner, comparez la configuration avant et après, puis annulez uniquement la règle ou l'exception modifiée. Si le service ne fonctionne que lorsque la protection est coupée, définissez plus précisément le flux ou l'exception nécessaire. Préservez l'accès à la console et aux sauvegardes pendant la correction.