Fin septembre, Microsoft a publié la security baseline Windows 11 26H2. Celle-ci permet de prendre en compte les dernières features supportées par Windows 11 26H2.
Cet article détaille les nouveautés incluses dans cette baseline. Avant toute chose, il est important de rappeler que chaque montée de version doit être testée et approuvée avant d’être adoptée sur votre parc informatique.
En quelques lignes, voici les nouveautés incluses dans cette version :
| Stratégie de sécurité | Résumé de la modification | Valeur |
|---|---|---|
| Printer\Configure Windows Ready Print driver ranking | Configurée sur « Enabled » afin de réduire la dépendance aux pilotes d’impression tiers et de limiter la surface d’attaque liée à l’impression. | Enabled |
| Internet Explorer\Internet Control Panel\Advanced Page\Turn off encryption support | Mise à jour de TLS 1.1 et TLS 1.2 vers TLS 1.2 et TLS 1.3 pour s’aligner sur les standards de sécurité actuels. | TLS 1.2 et TLS 1.3 (auparavant TLS 1.1 et TLS 1.2) |
| User Account Control: Configure type of Admin Approval Mode | Configurée sur « Admin Approval Mode with Administrator protection » pour activer Administrator protection. | Admin Approval Mode with Administrator protection |
| User Account Control: Behavior of the elevation prompt for administrators running with Administrator protection | Configurée sur « Prompt for credentials on the secure desktop » pour exiger une vérification des identifiants lors d’une élévation administrative. | Prompt for credentials on the secure desktop |
Ce paramètre permet à Windows de privilégier le pilote de classe Microsoft IPP lors de l’installation de nouvelles imprimantes compatibles avec ce protocole, lorsque la méthode de connexion utilisée prend en charge ce mécanisme.
Cette approche réduit la dépendance aux pilotes d’impression tiers et limite donc la surface d’attaque associée à leur utilisation. Une vérification de la compatibilité des imprimantes et de leurs fonctionnalités avancées reste toutefois nécessaire avant le déploiement.
Cette stratégie est mise à jour pour ne plus autoriser TLS 1.1 et conserver uniquement TLS 1.2 et TLS 1.3. Cette évolution s’inscrit dans l’objectif de renforcer la sécurité des communications en abandonnant un protocole obsolète.
Avant son déploiement, il est important de vérifier la compatibilité des applications et services encore susceptibles de dépendre de TLS 1.1.
Activée par défaut dans la security baseline 26H2, cette nouveauté renforce le contrôle de sécurité des comptes administrateur locaux en s’appuyant sur le principe du moindre privilège. Elle peut être pilotée via Intune ou par GPO. Un article dédié détaille le fonctionnement de cette fonctionnalité.
Cette nouvelle security baseline doit être testée et validée avant d’être adoptée sur votre parc informatique.
Le passage à chaque nouvelle phase est conditionné par la validation des tests, l’absence d’incident bloquant et l’approbation des responsables concernés. Toute anomalie doit être analysée et faire l’objet d’une décision documentée avant la poursuite du déploiement.
Il vous faudra procéder dans l’ordre :
* À l’exception des populations ou postes critiques, tels que les VIP ou les postes de production sensibles.