Une baseline de sécurité dit normalement à Windows comment il devrait être configuré. La baseline STIG Audit pose une autre question : comment ce poste est-il configuré en ce moment? Selon le billet de Patch My PC publié le 26 octobre 2026, cette fonction commence à apparaître dans les tenants commerciaux et pas seulement dans les environnements gouvernementaux. Avant de la déployer, il vaut la peine de comprendre ce qu'elle fait réellement une fois le profil créé.
Je n'ai pas reproduit ces captures de laboratoire. Les détails de trajet et de journaux repris ci-dessous proviennent de l'analyse de Patch My PC. Mon objectif ici est d'en tirer les décisions concrètes pour une équipe TI.
Un audit, pas un durcissement
STIG signifie Security Technical Implementation Guide. La DISA, la Defense Information Systems Agency, publie ces guides pour définir les exigences de sécurité de produits comme Windows. Le STIG de Windows 11 couvre les stratégies de compte, le chiffrement, la journalisation d'audit, les services, les droits utilisateurs et les options de sécurité.
Le point central pour toute la suite : la baseline compare la configuration attendue dans le benchmark DISA avec la configuration trouvée sur le poste. Windows fait l'évaluation locale et Intune fournit le rapport. Si un paramètre requis n'est pas en place, l'audit signale une constatation. Il n'active pas le paramètre pour vous. Les changements de configuration restent du ressort du Settings Catalog ou d'une autre stratégie de gestion adaptée.
Deux limites sont documentées dès le départ. L'évaluation automatisée s'appuie sur un benchmark SCAP, le contenu lisible par machine qui exécute les vérifications. Toutes les exigences STIG ne peuvent pas être évaluées automatiquement : les exigences manuelles demandent encore une revue séparée. Les règles portent un identifiant de référence et une catégorie de sévérité, CAT I pour élevée, CAT II pour moyenne et CAT III pour faible, ce qui permet de relier une constatation du rapport à l'exigence visée.
Créer le profil
Dans le centre d'administration Intune, ouvrez Endpoint security puis Security baselines et sélectionnez Microsoft Windows 11 STIG SCAP Benchmark. Choisissez Create profile et donnez-lui un nom utile. La page des paramètres de configuration n'est pas celle d'une baseline classique : il n'y a pas de règles individuelles à choisir ni de valeurs attendues à modifier. Le profil active simplement l'audit des paramètres inclus dans la baseline.
Ajoutez les scope tags au besoin, sélectionnez les groupes d'appareils dans Assignments puis terminez par Review + create. Commencer avec un petit groupe réduit le nombre d'appareils et de constatations à suivre lors du premier passage. Une fois le profil créé, ouvrez Audit report et choisissez Generate. C'est la mise en place côté admin. Ce n'est pas un signe que l'appareil a déjà terminé son évaluation.
Le trajet réel vers Windows
D'après les captures de Patch My PC, le flux observé est le suivant : Intune livre la définition d'audit, Windows la confie au Device Inventory Agent, l'agent évalue les règles et Windows renvoie le statut lors d'une session de gestion ultérieure.
- Windows reçoit une notification WNS et démarre une session OMA DM. La notification ne contient pas le benchmark : elle invite Windows à contacter Intune.
- Les commandes ciblent Windows Declared Configuration (WinDC). Le document Complete porte la définition d'audit signée et le document Inventory identifie les rapports de paramètres attendus.
- La pile Declared Configuration valide le document puis le traite de façon asynchrone. Une réponse réussie signifie que Windows a accepté le document, pas que toutes les vérifications sont terminées.
- Le Microsoft Device Inventory Agent prend le relais, analyse les paramètres et exécute la collecte.
./Device/Vendor/MSFT/DeclaredConfiguration/Host/Complete/Documents/<DocId>/Document
./Device/Vendor/MSFT/DeclaredConfiguration/Host/Inventory/Documents/<DocId>/DocumentLa collecte locale tourne séparément de la réception de la stratégie. Dans une des captures, environ quatre minutes se sont écoulées entre la commande de gestion terminée et le début de la collecte, déclenchée par un évènement PolicyChange. Point important pour le dépannage : dans cette capture, appuyer sur Sync n'a pas relancé immédiatement secedit et auditpol. La session de gestion lisait le résultat en cache pendant que l'agent gérait la collecte de son côté.
Pour les données qu'il doit lire, l'agent combine des lectures de registre, des requêtes WMI, un export de la stratégie de sécurité locale et une interrogation de la stratégie d'audit. Il réutilise la sortie des commandes en cache plutôt que de relancer un processus par règle.
secedit /export /cfg <fichier temporaire>
auditpol /get /category:*Lire le rapport sans se tromper
À la fin de l'exécution capturée, la portion audit du journal rapportait 150 Success, 56 Validation Failure et 10 Not Applicable pour 216 paramètres traités. Ce ne sont pas des comptes d'appareils conformes. Les Validation Failure regroupaient à la fois des comparaisons en échec et des problèmes d'analyse ou d'évaluation des données collectées. Cette distinction compte : une règle qui trouve une valeur hors benchmark n'est pas la même chose qu'une règle qui n'a pas pu être évaluée de façon fiable.
| Catégorie du harvester | Nombre (capture) |
|---|---|
| Success | 150 |
| Validation Failure | 56 |
| Not Applicable | 10 |
| Total traité | 216 |
Le délai de visibilité est une autre limite documentée. Statut renvoyé ne veut pas dire visible immédiatement dans le rapport d'audit. Microsoft prévoit jusqu'à 24 heures pour les premiers résultats et les mises à jour ultérieures peuvent accuser un ou deux cycles de check-in. Dans le test de l'auteur, le profil créé à 12 h 30 UTC le 13 octobre 2026 affichait encore un rapport vide à 18 h 52 UTC et montrait 216 items le lendemain matin. Cela représente environ 18 heures entre la création et la vérification du rapport rempli, pas une preuve d'un délai de traitement de 18 heures. Le bouton Generate rafraîchit le rapport à partir des dernières données disponibles. Il ne lance pas un nouvel audit local.
Dans le rapport, le résumé liste chaque règle avec son identifiant de référence, sa sévérité et un décompte Success devices qui porte sur la vérification individuelle et non sur la baseline entière. Pass, Fail, Not applicable et Error ont des significations différentes. Unknown signifie qu'aucun résultat n'a encore été rapporté. Le rapport n'affiche pas la valeur sous-jacente de l'appareil.
Un écart de décompte à garder en tête
Un détail mérite d'être isolé des instructions de mise en place. Dans le tenant observé, le template actif exposait 216 paramètres et le rapport montrait 216 items, alors que Microsoft Learn en liste encore 197. Les identifiants de paramètres capturés référencent Win11STIGV2R7. L'auteur indique ne pas avoir d'explication vérifiée pour cette différence. Conséquence pratique : validez vous-même le nombre et la version du template dans votre tenant plutôt que de vous fier au compte documenté.
Diagnostiquer un rapport vide
Un rapport vide au départ n'est pas en soi la preuve que l'appareil a échoué à exécuter l'audit. Commencez par le Device assignment status du profil puis suivez la trace côté appareil : Windows a-t-il reçu le travail, l'adaptor l'a-t-il remis au service d'inventaire et le harvester a-t-il exécuté les vérifications? Les sources utiles dans cette investigation étaient les journaux d'évènements DeviceManagement Enterprise Diagnostics Provider, le fichier InventoryAdaptor.log et le IntuneInventoryHarvesterLog.
Dernier réflexe de prudence : conservez l'identifiant de stratégie avec vos preuves. Recréer un profil lui donne un nouvel identifiant alors qu'un instantané local peut encore contenir le statut d'une évaluation antérieure. Ne supposez pas qu'un ancien résultat en cache appartient au profil actuellement ouvert dans le portail.
La configuration visible est courte. Dessous, Windows reçoit le travail, WinDC passe la définition d'audit à l'agent et l'agent vérifie la configuration courante. Une session de gestion ultérieure renvoie le statut en cache, puis le rapport arrive. STIG Audit vous dit où enquêter. Appliquer la configuration appropriée reste une tâche distincte.
