TP Final : Préparer un serveur Windows pour la production et résoudre un incident avec correction

Ce que vous allez apprendre dans ce TP

• Appliquer les mises à jour et une base de sécurité
• Chiffrer avec BitLocker et sauvegarder avec wbadmin
• Restaurer et diagnostiquer avec méthode

Introduction #

Ce que vous allez apprendre dans cette section

• Appliquer les mises à jour et une base de sécurité
• Chiffrer avec BitLocker et sauvegarder avec wbadmin
• Restaurer et diagnostiquer avec méthode

Contexte. Un nouveau serveur d'applications doit passer en production lundi. Vous appliquez la check-list d'exploitation, puis vous gérez un premier incident.

Prérequis : une VM Windows Server 2025 avec un second disque de 30 Go pour les sauvegardes  ·  Durée estimée : 90 min

Un serveur à jour, durci, chiffré et sauvegardé, une restauration réussie et un rapport d’incident.

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Mettre à jour

   Pourquoi ? Un serveur qui part en production sans les derniers correctifs est déjà vulnérable.

   Installez le module PSWindowsUpdate, appliquez les mises à jour disponibles et vérifiez s’il faut redémarrer.
   Voir la correction

   Install-PackageProvider NuGet -Force ; Install-Module PSWindowsUpdate -Scope AllUsers -Force
   Get-WindowsUpdate
   Install-WindowsUpdate -AcceptAll -IgnoreReboot
   Get-WURebootStatus
   Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 3

2. 2. Durcir

   Pourquoi ? Réduire la surface d’attaque avant l’exposition au réseau.

   Vérifiez l’absence de SMBv1, exigez la signature SMB, vérifiez Defender, activez le pare-feu sur les trois profils avec journalisation des rejets et désactivez le compte Invité.
   Voir la correction

   Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol | Select-Object State
   Set-SmbServerConfiguration -RequireSecuritySignature $true -Force
   Get-MpComputerStatus | Select-Object RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
   Update-MpSignature
   Set-NetFirewallProfile -Profile Domain, Private, Public -Enabled True -LogBlocked True
   Get-LocalUser | Where-Object SID -like '*-501' | Disable-LocalUser
   Get-LocalUser | Select-Object Name, Enabled

3. 3. Chiffrer le disque système

   Pourquoi ? BitLocker protège les données si le disque ou la VM est volé.

   Activez BitLocker sur C: (avec un TPM virtuel, ou un mot de passe de récupération seul en laboratoire), affichez l’état et notez la clé de récupération en lieu sûr.
   Voir la correction

   Install-WindowsFeature BitLocker -IncludeAllSubFeature -IncludeManagementTools -Restart
   Get-Tpm | Select-Object TpmPresent, TpmReady
   Enable-BitLocker -MountPoint 'C:' -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector
   Add-BitLockerKeyProtector -MountPoint 'C:' -RecoveryPasswordProtector
   (Get-BitLockerVolume C:).KeyProtector | Where-Object KeyProtectorType -eq RecoveryPassword | Select-Object KeyProtectorId, RecoveryPassword
   manage-bde -status C:

4. 4. Sauvegarder

   Pourquoi ? Sans sauvegarde testée, le serveur n’est pas prêt pour la production.

   Préparez le second disque en E:, installez Windows Server Backup, créez un dossier C:\AppData avec des fichiers, lancez une sauvegarde complète et planifiez-la chaque nuit.
   Voir la correction

   Get-Disk | Where-Object PartitionStyle -eq RAW | Initialize-Disk -PartitionStyle GPT -PassThru |
       New-Partition -UseMaximumSize -DriveLetter E | Format-Volume -FileSystem NTFS -NewFileSystemLabel Sauvegarde -Confirm:$false
   Install-WindowsFeature Windows-Server-Backup
   New-Item C:\AppData -ItemType Directory ; 1..20 | ForEach-Object { Set-Content "C:\AppData\fichier$_.txt" "donnée $_" }
   wbadmin start backup -backupTarget:E: -include:C: -allCritical -quiet
   wbadmin get versions -backupTarget:E:

5. 5. Restaurer un dossier

   Pourquoi ? Une sauvegarde n’existe vraiment qu’une fois restaurée.

   Supprimez C:\AppData, puis restaurez-le depuis la dernière version de sauvegarde dans C:\Restau et comparez le nombre de fichiers.
   Voir la correction

   Remove-Item C:\AppData -Recurse -Force
   $v = (wbadmin get versions -backupTarget:E: | Select-String 'Version identifier|Identificateur de version' | Select-Object -Last 1).Line.Split(':', 2)[1].Trim()
   wbadmin start recovery -version:$v -itemType:File -items:C:\AppData -recoveryTarget:C:\Restau -recursive -quiet
   (Get-ChildItem C:\Restau -Recurse -File).Count

6. 6. Résoudre un incident

   Pourquoi ? Méthode : symptôme, journaux, cause, correction, vérification, compte rendu.

   Votre collègue a « optimisé » le serveur : le service W32Time ne démarre plus. Reproduisez la panne avec la première commande, puis diagnostiquez sans la relire : état, journal Système, configuration du service, correction et vérification.
   Voir la correction

   Stop-Service W32Time -Force ; Set-Service W32Time -StartupType Disabled      # panne simulée
   # Diagnostic
   Get-Service W32Time | Select-Object Status, StartType
   Start-Service W32Time                                   # échoue : service désactivé
   Get-WinEvent -FilterHashtable @{ LogName = 'System'; Id = 7000, 7022, 7023, 7040; StartTime = (Get-Date).AddHours(-1) } -ErrorAction SilentlyContinue | Select-Object TimeCreated, Id, Message
   Get-CimInstance Win32_Service -Filter "Name='W32Time'" | Select-Object StartMode, StartName, PathName
   # Correction et vérification
   Set-Service W32Time -StartupType Automatic ; Start-Service W32Time
   w32tm /query /status
   # Compte rendu : symptôme, cause (type de démarrage Désactivé, événement 7040), correction, prévention (changements tracés)

Niveau de difficulté : ●●●●○ (4/5)