├── .github
    ├── linters
    │   └── .powershell-psscriptanalyzer.psd1
    └── workflows
    │   └── linting.yml
├── AdditionalDebugPolicies.admx
├── AdditionalDefenderPolicies.admx
├── AdditionalHardening.admx
├── AdditionalHardeningFromMicrosoft.admx
├── AdditionalLegacyHardening.admx
├── AdditionalNetworkHardening.admx
├── AdditionalSystemHardening.admx
├── CHANGELOG.md
├── LICENSE
├── PoliciesTemplate.md
├── README.md
├── en-US
    ├── AdditionalDebugPolicies.adml
    ├── AdditionalDefenderPolicies.adml
    ├── AdditionalHardening.adml
    ├── AdditionalHardeningFromMicrosoft.adml
    ├── AdditionalLegacyHardening.adml
    ├── AdditionalNetworkHardening.adml
    └── AdditionalSystemHardening.adml
├── fr-FR
    ├── AdditionalDebugPolicies.adml
    ├── AdditionalDefenderPolicies.adml
    ├── AdditionalHardening.adml
    ├── AdditionalHardeningFromMicrosoft.adml
    ├── AdditionalLegacyHardening.adml
    ├── AdditionalNetworkHardening.adml
    └── AdditionalSystemHardening.adml
└── install.ps1


/.github/linters/.powershell-psscriptanalyzer.psd1:
--------------------------------------------------------------------------------
1 | @{
2 |     ExcludeRules = @('PSPlaceCloseBrace')
3 | }


--------------------------------------------------------------------------------
/.github/workflows/linting.yml:
--------------------------------------------------------------------------------
 1 | name: Linting
 2 | on:
 3 |   push:
 4 |     branches: [ main ]
 5 | jobs:
 6 |     linting-main:
 7 |         runs-on: ubuntu-latest
 8 |         container:
 9 |             image: fstossesds/admx-lint
10 |         steps:
11 |             - 
12 |                 name: Checkout
13 |                 uses: actions/checkout@v4.2.2
14 |             - 
15 |                 name: Lint ADMX files
16 |                 run: admx-lint --input_file AdditionalHardening.admx
17 |     linting-debug:
18 |         runs-on: ubuntu-latest
19 |         container:
20 |             image: fstossesds/admx-lint
21 |         steps:
22 |             - 
23 |                 name: Checkout
24 |                 uses: actions/checkout@v4.2.2
25 |             - 
26 |                 name: Lint ADMX files
27 |                 run: admx-lint --input_file AdditionalDebugPolicies.admx
28 |     linting-defender:
29 |         runs-on: ubuntu-latest
30 |         container:
31 |             image: fstossesds/admx-lint
32 |         steps:
33 |             - 
34 |                 name: Checkout
35 |                 uses: actions/checkout@v4.2.2
36 |             - 
37 |                 name: Lint ADMX files
38 |                 run: admx-lint --input_file AdditionalDefenderPolicies.admx
39 |     linting-MSFT:
40 |         runs-on: ubuntu-latest
41 |         container:
42 |             image: fstossesds/admx-lint
43 |         steps:
44 |             - 
45 |                 name: Checkout
46 |                 uses: actions/checkout@v4.2.2
47 |             - 
48 |                 name: Lint ADMX files
49 |                 run: admx-lint --input_file AdditionalHardeningFromMicrosoft.admx
50 |     linting-legacy:
51 |         runs-on: ubuntu-latest
52 |         container:
53 |             image: fstossesds/admx-lint
54 |         steps:
55 |             - 
56 |                 name: Checkout
57 |                 uses: actions/checkout@v4.2.2
58 |             - 
59 |                 name: Lint ADMX files
60 |                 run: admx-lint --input_file AdditionalLegacyHardening.admx
61 |     linting-network:
62 |         runs-on: ubuntu-latest
63 |         container:
64 |             image: fstossesds/admx-lint
65 |         steps:
66 |             - 
67 |                 name: Checkout
68 |                 uses: actions/checkout@v4.2.2
69 |             - 
70 |                 name: Lint ADMX files
71 |                 run: admx-lint --input_file AdditionalNetworkHardening.admx
72 |     linting-system:
73 |         runs-on: ubuntu-latest
74 |         container:
75 |             image: fstossesds/admx-lint
76 |         steps:
77 |             - 
78 |                 name: Checkout
79 |                 uses: actions/checkout@v4.2.2
80 |             - 
81 |                 name: Lint ADMX files
82 |                 run: admx-lint --input_file AdditionalSystemHardening.admx
83 |     linting-script:
84 |         runs-on: ubuntu-latest
85 |         steps:
86 |             - 
87 |                 name: Checkout code
88 |                 uses: actions/checkout@v4.2.2
89 | 
90 |             - 
91 |                 name: Invoke PSScriptAnalyzer
92 |                 uses: PSModule/Invoke-ScriptAnalyzer@v3.0.0
93 |                 with:
94 |                     Settings: Custom
95 |                     Output_CIFormat: GithubActions
96 |                     CodeCoverage_Enabled: false
97 |     


--------------------------------------------------------------------------------
/AdditionalDebugPolicies.admx:
--------------------------------------------------------------------------------
 1 | <?xml version="1.0" encoding="utf-8"?>
 2 | <policyDefinitions xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0" xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
 3 | 	<policyNamespaces>
 4 | 		<target prefix="AddDebugPolicies" namespace="AddDebugPolicies.Policies.AddDebugPolicies" />
 5 |     <using prefix="windows" namespace="Microsoft.Policies.Windows" />
 6 | 		<using prefix="parent" namespace="AddHard.Policies.AddHard" />
 7 | 	</policyNamespaces>
 8 | 	<resources minRequiredRevision="1.0" />
 9 | 	<policies>
10 | 		<!-- Hardening policies section -->
11 | 		<!-- DEBUG SETTINGS -->
12 | 		<policy name="EnableKASAN" class="Machine" displayName="$(string.EnableKASAN)" explainText="$(string.EnableKASAN_Explain)" key="SYSTEM\CurrentControlSet\Control\Session Manager\Kernel" valueName="KasanEnabled">
13 | 			<parentCategory ref="parent:Cat_Debug" />
14 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0" />
15 | 			<enabledValue>
16 | 				<decimal value="1" />
17 | 			</enabledValue>
18 | 			<disabledValue>
19 | 				<decimal value="0" />
20 | 			</disabledValue>
21 | 		</policy>
22 | 		<policy name="EnableDetailedBSOD" class="Machine" displayName="$(string.EnableDetailedBSOD)" explainText="$(string.EnableDetailedBSOD_Explain)" key="SYSTEM\CurrentControlSet\Control\CrashControl" valueName="DisplayParameters">
23 | 			<parentCategory ref="parent:Cat_Debug" />
24 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0" />
25 | 			<enabledValue>
26 | 				<decimal value="1" />
27 | 			</enabledValue>
28 | 			<disabledValue>
29 | 				<decimal value="0" />
30 | 			</disabledValue>
31 | 		</policy>
32 | 	</policies>
33 | </policyDefinitions>
34 | 


--------------------------------------------------------------------------------
/AdditionalDefenderPolicies.admx:
--------------------------------------------------------------------------------
  1 | <?xml version="1.0" encoding="utf-8"?>
  2 | <policyDefinitions xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0" xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  3 | 	<policyNamespaces>
  4 | 		<target prefix="AddDefenderPolicies" namespace="AddDefenderPolicies.Policies.AddDefenderPolicies" />
  5 | 		<using prefix="windows" namespace="Microsoft.Policies.Windows" />
  6 | 		<using prefix="parent" namespace="AddHard.Policies.AddHard" />
  7 | 	</policyNamespaces>
  8 | 	<resources minRequiredRevision="1.0" />
  9 | 	<categories>
 10 | 		<!-- Subcategories -->
 11 | 		<category name="Defender" displayName="$(string.Defender)">
 12 | 			<parentCategory ref="parent:Cat_AddHard" />
 13 | 		</category>
 14 | 		<category name="ASR" displayName="$(string.ASR)">
 15 | 			<parentCategory ref="Defender" />
 16 | 		</category>
 17 | 	</categories>
 18 | 	<policies>
 19 | 		<!-- Hardening policies section -->
 20 | 		<!-- DEFENDER SETTINGS -->
 21 | 		<policy name="DefenderSandboxing" class="Machine" displayName="$(string.DefenderSandboxing)" explainText="$(string.DefenderSandboxing_Explain)" key="SYSTEM\CurrentControlSet\Control\Session Manager\Environment" valueName="MP_FORCE_USE_SANDBOX">
 22 | 			<parentCategory ref="Defender" />
 23 | 			<supportedOn ref="windows:SUPPORTED_Windows_6_3" />
 24 | 			<enabledValue>
 25 | 				<string>1</string>
 26 | 			</enabledValue>
 27 | 			<disabledValue>
 28 | 				<string>0</string>
 29 | 			</disabledValue>
 30 | 		</policy>
 31 | 		<!-- Block abuse of exploited vulnerable signed drivers -->
 32 | 		<policy name="ExploitGuard_ASR_Rules_Drivers" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_Drivers)" explainText="$(string.ExploitGuard_ASR_Rules_Drivers_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_Drivers)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
 33 | 			<parentCategory ref="ASR" />
 34 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
 35 | 			<elements>
 36 | 				<enum id="ExploitGuard_ASR_Rules_Drivers_Options" valueName="56a863a9-875e-4185-98a7-b882c64b5ce5" required="true">
 37 | 					<item displayName="$(string.DisabledMode)">
 38 | 						<value>
 39 | 							<string>0</string>
 40 | 						</value>
 41 | 					</item>
 42 | 					<item displayName="$(string.AuditMode)">
 43 | 						<value>
 44 | 							<string>2</string>
 45 | 						</value>
 46 | 					</item>
 47 | 					<item displayName="$(string.WarnMode)">
 48 | 						<value>
 49 | 							<string>6</string>
 50 | 						</value>
 51 | 					</item>
 52 | 					<item displayName="$(string.BlockMode)">
 53 | 						<value>
 54 | 							<string>1</string>
 55 | 						</value>
 56 | 					</item>
 57 | 				</enum>
 58 | 			</elements>
 59 | 		</policy>
 60 | 		<!-- Block Adobe Reader from creating child processes -->
 61 | 		<policy name="ExploitGuard_ASR_Rules_AdobeReader" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_AdobeReader)" explainText="$(string.ExploitGuard_ASR_Rules_AdobeReader_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_AdobeReader)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
 62 | 			<parentCategory ref="ASR" />
 63 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS5" />
 64 | 			<elements>
 65 | 				<enum id="ExploitGuard_ASR_Rules_AdobeReader_Options" valueName="7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c" required="true">
 66 | 					<item displayName="$(string.DisabledMode)">
 67 | 						<value>
 68 | 							<string>0</string>
 69 | 						</value>
 70 | 					</item>
 71 | 					<item displayName="$(string.AuditMode)">
 72 | 						<value>
 73 | 							<string>2</string>
 74 | 						</value>
 75 | 					</item>
 76 | 					<item displayName="$(string.WarnMode)">
 77 | 						<value>
 78 | 							<string>6</string>
 79 | 						</value>
 80 | 					</item>
 81 | 					<item displayName="$(string.BlockMode)">
 82 | 						<value>
 83 | 							<string>1</string>
 84 | 						</value>
 85 | 					</item>
 86 | 				</enum>
 87 | 			</elements>
 88 | 		</policy>
 89 | 		<!-- Block all Office applications from creating child processes -->
 90 | 		<policy name="ExploitGuard_ASR_Rules_Office_CreateProcess" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_Office_CreateProcess)" explainText="$(string.ExploitGuard_ASR_Rules_Office_CreateProcess_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_Office_CreateProcess)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
 91 | 			<parentCategory ref="ASR" />
 92 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
 93 | 			<elements>
 94 | 				<enum id="ExploitGuard_ASR_Rules_Office_CreateProcess_Options" valueName="d4f940ab-401b-4efc-aadc-ad5f3c50688a" required="true">
 95 | 					<item displayName="$(string.DisabledMode)">
 96 | 						<value>
 97 | 							<string>0</string>
 98 | 						</value>
 99 | 					</item>
100 | 					<item displayName="$(string.AuditMode)">
101 | 						<value>
102 | 							<string>2</string>
103 | 						</value>
104 | 					</item>
105 | 					<item displayName="$(string.WarnMode)">
106 | 						<value>
107 | 							<string>6</string>
108 | 						</value>
109 | 					</item>
110 | 					<item displayName="$(string.BlockMode)">
111 | 						<value>
112 | 							<string>1</string>
113 | 						</value>
114 | 					</item>
115 | 				</enum>
116 | 			</elements>
117 | 		</policy>
118 | 		<!-- Block credential stealing from the Windows local security authority subsystem (lsass.exe) -->
119 | 		<policy name="ExploitGuard_ASR_Rules_Lsass" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_Lsass)" explainText="$(string.ExploitGuard_ASR_Rules_Lsass_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_Lsass)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
120 | 			<parentCategory ref="ASR" />
121 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS4" />
122 | 			<elements>
123 | 				<enum id="ExploitGuard_ASR_Rules_Lsass_Options" valueName="9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2" required="true">
124 | 					<item displayName="$(string.DisabledMode)">
125 | 						<value>
126 | 							<string>0</string>
127 | 						</value>
128 | 					</item>
129 | 					<item displayName="$(string.AuditMode)">
130 | 						<value>
131 | 							<string>2</string>
132 | 						</value>
133 | 					</item>
134 | 					<!--The Block credential stealing from the Windows local security authority subsystem ASR rule doesn't support WARN mode. -->
135 | 					<item displayName="$(string.BlockMode)">
136 | 						<value>
137 | 							<string>1</string>
138 | 						</value>
139 | 					</item>
140 | 				</enum>
141 | 			</elements>
142 | 		</policy>
143 | 		<!-- Block executable content from email client and webmail -->
144 | 		<policy name="ExploitGuard_ASR_Rules_Email" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_Email)" explainText="$(string.ExploitGuard_ASR_Rules_Email_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_Email)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
145 | 			<parentCategory ref="ASR" />
146 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
147 | 			<elements>
148 | 				<enum id="ExploitGuard_ASR_Rules_Email_Options" valueName="be9ba2d9-53ea-4cdc-84e5-9b1eeee46550" required="true">
149 | 					<item displayName="$(string.DisabledMode)">
150 | 						<value>
151 | 							<string>0</string>
152 | 						</value>
153 | 					</item>
154 | 					<item displayName="$(string.AuditMode)">
155 | 						<value>
156 | 							<string>2</string>
157 | 						</value>
158 | 					</item>
159 | 					<item displayName="$(string.WarnMode)">
160 | 						<value>
161 | 							<string>6</string>
162 | 						</value>
163 | 					</item>
164 | 					<item displayName="$(string.BlockMode)">
165 | 						<value>
166 | 							<string>1</string>
167 | 						</value>
168 | 					</item>
169 | 				</enum>
170 | 			</elements>
171 | 		</policy>
172 | 		<!-- Block executable files from running unless they meet a prevalence, age, or trusted list criterion -->
173 | 		<policy name="ExploitGuard_ASR_Rules_SmartScreen" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_SmartScreen)" explainText="$(string.ExploitGuard_ASR_Rules_SmartScreen_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_SmartScreen)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
174 | 			<parentCategory ref="ASR" />
175 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS4" />
176 | 			<elements>
177 | 				<enum id="ExploitGuard_ASR_Rules_SmartScreen_Options" valueName="01443614-cd74-433a-b99e-2ecdc07bfc25" required="true">
178 | 					<item displayName="$(string.DisabledMode)">
179 | 						<value>
180 | 							<string>0</string>
181 | 						</value>
182 | 					</item>
183 | 					<item displayName="$(string.AuditMode)">
184 | 						<value>
185 | 							<string>2</string>
186 | 						</value>
187 | 					</item>
188 | 					<item displayName="$(string.WarnMode)">
189 | 						<value>
190 | 							<string>6</string>
191 | 						</value>
192 | 					</item>
193 | 					<item displayName="$(string.BlockMode)">
194 | 						<value>
195 | 							<string>1</string>
196 | 						</value>
197 | 					</item>
198 | 				</enum>
199 | 			</elements>
200 | 		</policy>
201 | 		<!-- Block execution of potentially obfuscated scripts -->
202 | 		<policy name="ExploitGuard_ASR_Rules_Obfuscated" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_Obfuscated)" explainText="$(string.ExploitGuard_ASR_Rules_Obfuscated_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_Obfuscated)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
203 | 			<parentCategory ref="ASR" />
204 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
205 | 			<elements>
206 | 				<enum id="ExploitGuard_ASR_Rules_Obfuscated_Options" valueName="5beb7efe-fd9a-4556-801d-275e5ffc04cc" required="true">
207 | 					<item displayName="$(string.DisabledMode)">
208 | 						<value>
209 | 							<string>0</string>
210 | 						</value>
211 | 					</item>
212 | 					<item displayName="$(string.AuditMode)">
213 | 						<value>
214 | 							<string>2</string>
215 | 						</value>
216 | 					</item>
217 | 					<item displayName="$(string.WarnMode)">
218 | 						<value>
219 | 							<string>6</string>
220 | 						</value>
221 | 					</item>
222 | 					<item displayName="$(string.BlockMode)">
223 | 						<value>
224 | 							<string>1</string>
225 | 						</value>
226 | 					</item>
227 | 				</enum>
228 | 			</elements>
229 | 		</policy>
230 | 		<!-- Block JavaScript or VBScript from launching downloaded executable content -->
231 | 		<policy name="ExploitGuard_ASR_Rules_Script_Staging" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_Script_Staging)" explainText="$(string.ExploitGuard_ASR_Rules_Script_Staging_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_Script_Staging)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
232 | 			<parentCategory ref="ASR" />
233 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
234 | 			<elements>
235 | 				<enum id="ExploitGuard_ASR_Rules_Script_Staging_Options" valueName="d3e037e1-3eb8-44c8-a917-57927947596d" required="true">
236 | 					<item displayName="$(string.DisabledMode)">
237 | 						<value>
238 | 							<string>0</string>
239 | 						</value>
240 | 					</item>
241 | 					<item displayName="$(string.AuditMode)">
242 | 						<value>
243 | 							<string>2</string>
244 | 						</value>
245 | 					</item>
246 | 					<item displayName="$(string.WarnMode)">
247 | 						<value>
248 | 							<string>6</string>
249 | 						</value>
250 | 					</item>
251 | 					<item displayName="$(string.BlockMode)">
252 | 						<value>
253 | 							<string>1</string>
254 | 						</value>
255 | 					</item>
256 | 				</enum>
257 | 			</elements>
258 | 		</policy>
259 | 		<!-- Block Office applications from creating executable content -->
260 | 		<policy name="ExploitGuard_ASR_Rules_Office_CreateExecutable" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_Office_CreateExecutable)" explainText="$(string.ExploitGuard_ASR_Rules_Office_CreateExecutable_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_Office_CreateExecutable)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
261 | 			<parentCategory ref="ASR" />
262 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
263 | 			<elements>
264 | 				<enum id="ExploitGuard_ASR_Rules_Office_CreateExecutable_Options" valueName="3b576869-a4ec-4529-8536-b80a7769e899" required="true">
265 | 					<item displayName="$(string.DisabledMode)">
266 | 						<value>
267 | 							<string>0</string>
268 | 						</value>
269 | 					</item>
270 | 					<item displayName="$(string.AuditMode)">
271 | 						<value>
272 | 							<string>2</string>
273 | 						</value>
274 | 					</item>
275 | 					<item displayName="$(string.WarnMode)">
276 | 						<value>
277 | 							<string>6</string>
278 | 						</value>
279 | 					</item>
280 | 					<item displayName="$(string.BlockMode)">
281 | 						<value>
282 | 							<string>1</string>
283 | 						</value>
284 | 					</item>
285 | 				</enum>
286 | 			</elements>
287 | 		</policy>
288 | 		<!-- Block Office applications from injecting code into other processes -->
289 | 		<policy name="ExploitGuard_ASR_Rules_Office_Injection" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_Office_Injection)" explainText="$(string.ExploitGuard_ASR_Rules_Office_Injection_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_Office_Injection)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
290 | 			<parentCategory ref="ASR" />
291 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
292 | 			<elements>
293 | 				<enum id="ExploitGuard_ASR_Rules_Office_Injection_Options" valueName="75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84" required="true">
294 | 					<item displayName="$(string.DisabledMode)">
295 | 						<value>
296 | 							<string>0</string>
297 | 						</value>
298 | 					</item>
299 | 					<item displayName="$(string.AuditMode)">
300 | 						<value>
301 | 							<string>2</string>
302 | 						</value>
303 | 					</item>
304 | 					<!-- The Block applications from injecting code into other processes ASR rule doesn't support WARN mode. -->
305 | 					<item displayName="$(string.BlockMode)">
306 | 						<value>
307 | 							<string>1</string>
308 | 						</value>
309 | 					</item>
310 | 				</enum>
311 | 			</elements>
312 | 		</policy>
313 | 		<!-- Block Office communication application from creating child processes -->
314 | 		<policy name="ExploitGuard_ASR_Rules_OfficeComm_CreateProcess" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_OfficeComm_CreateProcess)" explainText="$(string.ExploitGuard_ASR_Rules_OfficeComm_CreateProcess_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_OfficeComm_CreateProcess)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
315 | 			<parentCategory ref="ASR" />
316 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
317 | 			<elements>
318 | 				<enum id="ExploitGuard_ASR_Rules_OfficeComm_CreateProcess_Options" valueName="26190899-1602-49e8-8b27-eb1d0a1ce869" required="true">
319 | 					<item displayName="$(string.DisabledMode)">
320 | 						<value>
321 | 							<string>0</string>
322 | 						</value>
323 | 					</item>
324 | 					<item displayName="$(string.AuditMode)">
325 | 						<value>
326 | 							<string>2</string>
327 | 						</value>
328 | 					</item>
329 | 					<item displayName="$(string.WarnMode)">
330 | 						<value>
331 | 							<string>6</string>
332 | 						</value>
333 | 					</item>
334 | 					<item displayName="$(string.BlockMode)">
335 | 						<value>
336 | 							<string>1</string>
337 | 						</value>
338 | 					</item>
339 | 				</enum>
340 | 			</elements>
341 | 		</policy>
342 | 		<!-- Block persistence through WMI event subscription -->
343 | 		<policy name="ExploitGuard_ASR_Rules_WMIPersistence" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_WMIPersistence)" explainText="$(string.ExploitGuard_ASR_Rules_WMIPersistence_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_WMIPersistence)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
344 | 			<parentCategory ref="ASR" />
345 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS6" />
346 | 			<elements>
347 | 				<enum id="ExploitGuard_ASR_Rules_WMIPersistence_Options" valueName="e6db77e5-3df2-4cf1-b95a-636979351e5b" required="true">
348 | 					<item displayName="$(string.DisabledMode)">
349 | 						<value>
350 | 							<string>0</string>
351 | 						</value>
352 | 					</item>
353 | 					<item displayName="$(string.AuditMode)">
354 | 						<value>
355 | 							<string>2</string>
356 | 						</value>
357 | 					</item>
358 | 					<item displayName="$(string.WarnMode)">
359 | 						<value>
360 | 							<string>6</string>
361 | 						</value>
362 | 					</item>
363 | 					<item displayName="$(string.BlockMode)">
364 | 						<value>
365 | 							<string>1</string>
366 | 						</value>
367 | 					</item>
368 | 				</enum>
369 | 			</elements>
370 | 		</policy>
371 | 		<!-- Block process creations originating from PSExec and WMI commands -->
372 | 		<policy name="ExploitGuard_ASR_Rules_PSExec" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_PSExec)" explainText="$(string.ExploitGuard_ASR_Rules_PSExec_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_PSExec)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
373 | 			<parentCategory ref="ASR" />
374 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS4" />
375 | 			<elements>
376 | 				<enum id="ExploitGuard_ASR_Rules_PSExec_Options" valueName="d1e49aac-8f56-4280-b9ba-993a6d77406c" required="true">
377 | 					<item displayName="$(string.DisabledMode)">
378 | 						<value>
379 | 							<string>0</string>
380 | 						</value>
381 | 					</item>
382 | 					<item displayName="$(string.AuditMode)">
383 | 						<value>
384 | 							<string>2</string>
385 | 						</value>
386 | 					</item>
387 | 					<item displayName="$(string.WarnMode)">
388 | 						<value>
389 | 							<string>6</string>
390 | 						</value>
391 | 					</item>
392 | 					<item displayName="$(string.BlockMode)">
393 | 						<value>
394 | 							<string>1</string>
395 | 						</value>
396 | 					</item>
397 | 				</enum>
398 | 			</elements>
399 | 		</policy>
400 | 		<!-- Block rebooting machine in Safe Mode (preview) -->
401 | 		<policy name="ExploitGuard_ASR_Rules_SafeMode" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_SafeMode)" explainText="$(string.ExploitGuard_ASR_Rules_SafeMode_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_SafeMode)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
402 | 			<parentCategory ref="ASR" />
403 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
404 | 			<elements>
405 | 				<enum id="ExploitGuard_ASR_Rules_SafeMode_Options" valueName="33ddedf1-c6e0-47cb-833e-de6133960387" required="true">
406 | 					<item displayName="$(string.DisabledMode)">
407 | 						<value>
408 | 							<string>0</string>
409 | 						</value>
410 | 					</item>
411 | 					<item displayName="$(string.AuditMode)">
412 | 						<value>
413 | 							<string>2</string>
414 | 						</value>
415 | 					</item>
416 | 					<item displayName="$(string.WarnMode)">
417 | 						<value>
418 | 							<string>6</string>
419 | 						</value>
420 | 					</item>
421 | 					<item displayName="$(string.BlockMode)">
422 | 						<value>
423 | 							<string>1</string>
424 | 						</value>
425 | 					</item>
426 | 				</enum>
427 | 			</elements>
428 | 		</policy>
429 | 		<!-- Block untrusted and unsigned processes that run from USB -->
430 | 		<policy name="ExploitGuard_ASR_Rules_USB" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_USB)" explainText="$(string.ExploitGuard_ASR_Rules_USB_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_USB)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
431 | 			<parentCategory ref="ASR" />
432 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
433 | 			<elements>
434 | 				<enum id="ExploitGuard_ASR_Rules_USB_Options" valueName="b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4" required="true">
435 | 					<item displayName="$(string.DisabledMode)">
436 | 						<value>
437 | 							<string>0</string>
438 | 						</value>
439 | 					</item>
440 | 					<item displayName="$(string.AuditMode)">
441 | 						<value>
442 | 							<string>2</string>
443 | 						</value>
444 | 					</item>
445 | 					<item displayName="$(string.WarnMode)">
446 | 						<value>
447 | 							<string>6</string>
448 | 						</value>
449 | 					</item>
450 | 					<item displayName="$(string.BlockMode)">
451 | 						<value>
452 | 							<string>1</string>
453 | 						</value>
454 | 					</item>
455 | 				</enum>
456 | 			</elements>
457 | 		</policy>
458 | 		<!-- Block use of copied or impersonated system tools (preview) -->
459 | 		<policy name="ExploitGuard_ASR_Rules_ToolCopy" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_ToolCopy)" explainText="$(string.ExploitGuard_ASR_Rules_ToolCopy_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_ToolCopy)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
460 | 			<parentCategory ref="ASR" />
461 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
462 | 			<elements>
463 | 				<enum id="ExploitGuard_ASR_Rules_ToolCopy_Options" valueName="c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb" required="true">
464 | 					<item displayName="$(string.DisabledMode)">
465 | 						<value>
466 | 							<string>0</string>
467 | 						</value>
468 | 					</item>
469 | 					<item displayName="$(string.AuditMode)">
470 | 						<value>
471 | 							<string>2</string>
472 | 						</value>
473 | 					</item>
474 | 					<item displayName="$(string.WarnMode)">
475 | 						<value>
476 | 							<string>6</string>
477 | 						</value>
478 | 					</item>
479 | 					<item displayName="$(string.BlockMode)">
480 | 						<value>
481 | 							<string>1</string>
482 | 						</value>
483 | 					</item>
484 | 				</enum>
485 | 			</elements>
486 | 		</policy>
487 | 		<!-- Block Webshell creation for Servers -->
488 | 		<policy name="ExploitGuard_ASR_Rules_Webshell" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_Webshell)" explainText="$(string.ExploitGuard_ASR_Rules_Webshell_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_Webshell)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
489 | 			<parentCategory ref="ASR" />
490 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
491 | 			<elements>
492 | 				<enum id="ExploitGuard_ASR_Rules_Webshell_Options" valueName="a8f5898e-1dc8-49a9-9878-85004b8a61e6" required="true">
493 | 					<item displayName="$(string.DisabledMode)">
494 | 						<value>
495 | 							<string>0</string>
496 | 						</value>
497 | 					</item>
498 | 					<item displayName="$(string.AuditMode)">
499 | 						<value>
500 | 							<string>2</string>
501 | 						</value>
502 | 					</item>
503 | 					<item displayName="$(string.WarnMode)">
504 | 						<value>
505 | 							<string>6</string>
506 | 						</value>
507 | 					</item>
508 | 					<item displayName="$(string.BlockMode)">
509 | 						<value>
510 | 							<string>1</string>
511 | 						</value>
512 | 					</item>
513 | 				</enum>
514 | 			</elements>
515 | 		</policy>
516 | 		<!-- Block Win32 API calls from Office macros -->
517 | 		<policy name="ExploitGuard_ASR_Rules_Office_MacroWin32API" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_Office_MacroWin32API)" explainText="$(string.ExploitGuard_ASR_Rules_Office_MacroWin32API_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_Office_MacroWin32API)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
518 | 			<parentCategory ref="ASR" />
519 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS3" />
520 | 			<elements>
521 | 				<enum id="ExploitGuard_ASR_Rules_Office_MacroWin32API_Options" valueName="92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b" required="true">
522 | 					<item displayName="$(string.DisabledMode)">
523 | 						<value>
524 | 							<string>0</string>
525 | 						</value>
526 | 					</item>
527 | 					<item displayName="$(string.AuditMode)">
528 | 						<value>
529 | 							<string>2</string>
530 | 						</value>
531 | 					</item>
532 | 					<item displayName="$(string.WarnMode)">
533 | 						<value>
534 | 							<string>6</string>
535 | 						</value>
536 | 					</item>
537 | 					<item displayName="$(string.BlockMode)">
538 | 						<value>
539 | 							<string>1</string>
540 | 						</value>
541 | 					</item>
542 | 				</enum>
543 | 			</elements>
544 | 		</policy>
545 | 		<!-- Use advanced protection against ransomware -->
546 | 		<policy name="ExploitGuard_ASR_Rules_Ransomware" class="Machine" displayName="$(string.ExploitGuard_ASR_Rules_Ransomware)" explainText="$(string.ExploitGuard_ASR_Rules_Ransomware_Explain)" presentation="$(presentation.ExploitGuard_ASR_Rules_Ransomware)" key="Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules">
547 | 			<parentCategory ref="ASR" />
548 | 			<supportedOn ref="windows:SUPPORTED_Windows_10_0_RS4" />
549 | 			<elements>
550 | 				<enum id="ExploitGuard_ASR_Rules_Ransomware_Options" valueName="c1db55ab-c21a-4637-bb3f-a12568109d35" required="true">
551 | 					<item displayName="$(string.DisabledMode)">
552 | 						<value>
553 | 							<string>0</string>
554 | 						</value>
555 | 					</item>
556 | 					<item displayName="$(string.AuditMode)">
557 | 						<value>
558 | 							<string>2</string>
559 | 						</value>
560 | 					</item>
561 | 					<item displayName="$(string.WarnMode)">
562 | 						<value>
563 | 							<string>6</string>
564 | 						</value>
565 | 					</item>
566 | 					<item displayName="$(string.BlockMode)">
567 | 						<value>
568 | 							<string>1</string>
569 | 						</value>
570 | 					</item>
571 | 				</enum>
572 | 			</elements>
573 | 		</policy>
574 | 	</policies>
575 | </policyDefinitions>


--------------------------------------------------------------------------------
/AdditionalHardening.admx:
--------------------------------------------------------------------------------
 1 | <?xml version="1.0" encoding="utf-8"?>
 2 | <!--
 3 | Author: Florian Stosse <florian.stosse@gmail.com>
 4 | Version: 1.2.0
 5 | Date: 2025-05-13
 6 | -->
 7 | <policyDefinitions xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0" xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
 8 | 	<policyNamespaces>
 9 | 		<target prefix="AddHard" namespace="AddHard.Policies.AddHard" />
10 | 	</policyNamespaces>
11 | 	<resources minRequiredRevision="1.0" />
12 | 	<categories>
13 | 		<!-- Main categories -->
14 | 		<category name="Cat_AddHard" displayName="$(string.Cat_AddHard)" />
15 | 		<category name="Cat_Debug" displayName="$(string.Cat_Debug)" />
16 | 		<category name="Cat_MSFT" displayName="$(string.Cat_MSFT)" />
17 | 		<category name="Cat_Legacy" displayName="$(string.Cat_Legacy)" />
18 | 	</categories>
19 | </policyDefinitions>
20 | 


--------------------------------------------------------------------------------
/AdditionalLegacyHardening.admx:
--------------------------------------------------------------------------------
  1 | <?xml version="1.0" encoding="utf-8"?>
  2 | <policyDefinitions xmlns:xsd="http://www.w3.org/2001/XMLSchema"
  3 |   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0"
  4 |   xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  5 |   <policyNamespaces>
  6 |     <target prefix="AddLegacyHard" namespace="AddSystemHard.Policies.AddLegacyHard" />
  7 | 		<using prefix="windows" namespace="Microsoft.Policies.Windows" />
  8 | 		<using prefix="parent" namespace="AddHard.Policies.AddHard" />
  9 |   </policyNamespaces>
 10 |   <resources minRequiredRevision="1.0" />
 11 | 
 12 |   <policies>
 13 |     <policy name="Pol_MSS_AutoAdminLogon" class="Machine" displayName="$(string.DisableAutoLogon)" explainText="$(string.DisableAutoLogon_Help)" key="Software\Microsoft\Windows NT\CurrentVersion\Winlogon" valueName="AutoAdminLogon">
 14 |       <parentCategory ref="parent:Cat_Legacy" />
 15 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
 16 |       <enabledValue>
 17 |         <string>1</string>
 18 |       </enabledValue>
 19 |       <disabledValue>
 20 |         <string>0</string>
 21 |       </disabledValue>
 22 |     </policy>
 23 | 
 24 |     <policy name="Pol_MSS_AutoReboot" class="Machine" displayName="$(string.AutoReboot)" explainText="$(string.AutoReboot_Help)" key="SYSTEM\CurrentControlSet\Control\CrashControl" valueName="AutoReboot">
 25 |       <parentCategory ref="parent:Cat_Legacy" />
 26 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
 27 |       <enabledValue>
 28 |         <decimal value="1" />
 29 |       </enabledValue>
 30 |       <disabledValue>
 31 |         <decimal value="0" />
 32 |       </disabledValue>
 33 |     </policy>
 34 | 
 35 |     <policy name="Pol_MSS_DisableSavePassword" class="Machine" displayName="$(string.DisableSavePassword)" explainText="$(string.DisableSavePassword_Help)" key="SYSTEM\CurrentControlSet\Services\RasMan\Parameters" valueName="DisableSavePassword">
 36 |       <parentCategory ref="parent:Cat_Legacy" />
 37 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
 38 |       <enabledValue>
 39 |         <decimal value="1" />
 40 |       </enabledValue>
 41 |       <disabledValue>
 42 |         <decimal value="0" />
 43 |       </disabledValue>
 44 |     </policy>
 45 | 
 46 |     <policy name="Pol_MSS_EnableDeadGWDetect" class="Machine" displayName="$(string.EnableDeadGWDetect)" explainText="$(string.EnableDeadGWDetect_Help)" key="System\CurrentControlSet\Services\Tcpip\Parameters" valueName="EnableDeadGWDetect">
 47 |       <parentCategory ref="parent:Cat_Legacy" />
 48 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
 49 |       <enabledValue>
 50 |         <decimal value="1" />
 51 |       </enabledValue>
 52 |       <disabledValue>
 53 |         <decimal value="0" />
 54 |       </disabledValue>
 55 |     </policy>
 56 | 
 57 |     <policy name="Pol_MSS_EnableICMPRedirect" class="Machine" displayName="$(string.EnableICMPRedirect)" explainText="$(string.EnableICMPRedirect_Help)" key="System\CurrentControlSet\Services\Tcpip\Parameters" valueName="EnableICMPRedirect">
 58 |       <parentCategory ref="parent:Cat_Legacy" />
 59 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
 60 |       <enabledValue>
 61 |         <decimal value="1" />
 62 |       </enabledValue>
 63 |       <disabledValue>
 64 |         <decimal value="0" />
 65 |       </disabledValue>
 66 |     </policy>
 67 | 
 68 |     <policy name="Pol_MSS_HideFromBrowseList" class="Machine" displayName="$(string.HideFromBrowseList)" explainText="$(string.HideFromBrowseList_Help)" key="System\CurrentControlSet\Services\Lanmanserver\Parameters" valueName="Hidden">
 69 |       <parentCategory ref="parent:Cat_Legacy" />
 70 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
 71 |       <enabledValue>
 72 |         <decimal value="1" />
 73 |       </enabledValue>
 74 |       <disabledValue>
 75 |         <decimal value="0" />
 76 |       </disabledValue>
 77 |     </policy>
 78 | 
 79 |     <policy name="Pol_MSS_NoNameReleaseOnDemand" class="Machine" displayName="$(string.NoNameReleaseOnDemand)" explainText="$(string.NoNameReleaseOnDemand_Help)" key="System\CurrentControlSet\Services\Netbt\Parameters" valueName="NoNameReleaseOnDemand">
 80 |       <parentCategory ref="parent:Cat_Legacy" />
 81 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
 82 |       <enabledValue>
 83 |         <decimal value="1" />
 84 |       </enabledValue>
 85 |       <disabledValue>
 86 |         <decimal value="0" />
 87 |       </disabledValue>
 88 |     </policy>
 89 | 
 90 |     <policy name="Pol_MSS_PerformRouterDiscovery" class="Machine" displayName="$(string.PerformRouterDiscovery)" explainText="$(string.PerformRouterDiscovery_Help)" key="System\CurrentControlSet\Services\Tcpip\Parameters" valueName="PerformRouterDiscovery">
 91 |       <parentCategory ref="parent:Cat_Legacy" />
 92 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
 93 |       <enabledValue>
 94 |         <decimal value="1" />
 95 |       </enabledValue>
 96 |       <disabledValue>
 97 |         <decimal value="0" />
 98 |       </disabledValue>
 99 |     </policy>
100 | 
101 |     <policy name="Pol_MSS_SafeDllSearchMode" class="Machine" displayName="$(string.SafeDllSearchMode)" explainText="$(string.SafeDllSearchMode_Help)" key="SYSTEM\CurrentControlSet\Control\Session Manager" valueName="SafeDllSearchMode">
102 |       <parentCategory ref="parent:Cat_Legacy" />
103 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
104 |       <enabledValue>
105 |         <decimal value="1" />
106 |       </enabledValue>
107 |       <disabledValue>
108 |         <decimal value="0" />
109 |       </disabledValue>
110 |     </policy>
111 | 
112 | 
113 |     <policy name="Pol_MSS_ScreenSaverGracePeriod" class="Machine" displayName="$(string.ScreenSaverGracePeriod)" explainText="$(string.ScreenSaverGracePeriod_Help)" presentation="$(presentation.ScreenSaverGracePeriod)" key="Software\Microsoft\Windows NT\CurrentVersion\Winlogon">
114 |       <parentCategory ref="parent:Cat_Legacy" />
115 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
116 |       <elements>
117 |         <decimal id="ScreenSaverGracePeriod" storeAsText="true" valueName="ScreenSaverGracePeriod"/>
118 |       </elements>
119 |     </policy>
120 | 
121 |     <policy name="Pol_MSS_TcpMaxDataRetransmissions" class="Machine" displayName="$(string.TcpMaxDataRetransmissions)" explainText="$(string.TcpMaxDataRetransmissions_Help)" presentation="$(presentation.TcpMaxDataRetransmissions)" key="System\CurrentControlSet\Services\Tcpip\Parameters">
122 |       <parentCategory ref="parent:Cat_Legacy" />
123 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
124 |       <elements>
125 |         <decimal id="TcpMaxDataRetransmissions" valueName="TcpMaxDataRetransmissions"/>
126 |       </elements>
127 |     </policy>
128 | 
129 |     <policy name="Pol_MSS_TcpMaxDataRetransmissionsIPv6" class="Machine" displayName="$(string.TcpMaxDataRetransmissionsIPv6)" explainText="$(string.TcpMaxDataRetransmissionsIPv6_Help)" presentation="$(presentation.TcpMaxDataRetransmissions)" key="System\CurrentControlSet\Services\Tcpip6\Parameters">
130 |       <parentCategory ref="parent:Cat_Legacy" />
131 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
132 |       <elements>
133 |         <decimal id="TcpMaxDataRetransmissions" valueName="TcpMaxDataRetransmissions"/>
134 |       </elements>
135 |     </policy>
136 | 
137 |     <policy name="Pol_MSS_NtfsDisable8dot3NameCreation" class="Machine" displayName="$(string.NtfsDisable8dot3NameCreation)" explainText="$(string.NtfsDisable8dot3NameCreation_Help)" presentation="$(presentation.NtfsDisable8dot3NameCreation)" key="System\CurrentControlSet\Control\FileSystem">
138 |       <parentCategory ref="parent:Cat_Legacy" />
139 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
140 |       <elements>
141 |         <enum id="NtfsDisable8dot3NameCreation" valueName="NtfsDisable8dot3NameCreation" required="true">
142 |           <item displayName="$(string.NtfsDisable8dot3NameCreation0)"> <value> <decimal value="0"/> </value> </item>
143 |           <item displayName="$(string.NtfsDisable8dot3NameCreation1)"> <value> <decimal value="1"/> </value> </item>
144 |           <item displayName="$(string.NtfsDisable8dot3NameCreation2)"> <value> <decimal value="2"/> </value> </item>
145 |           <item displayName="$(string.NtfsDisable8dot3NameCreation3)"> <value> <decimal value="3"/> </value> </item>
146 |         </enum>
147 |       </elements>
148 |     </policy>
149 | 
150 |     <policy name="Pol_MSS_KeepAliveTime" class="Machine" displayName="$(string.KeepAliveTime)" explainText="$(string.KeepAliveTime_Help)" presentation="$(presentation.KeepAliveTime)" key="System\CurrentControlSet\Services\Tcpip\Parameters">
151 |       <parentCategory ref="parent:Cat_Legacy" />
152 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
153 |       <elements>
154 |         <enum id="KeepAliveTime" valueName="KeepAliveTime" required="true">
155 |           <item displayName="$(string.KeepAliveTime0)"> <value> <decimal value="150000"/> </value> </item>
156 |           <item displayName="$(string.KeepAliveTime1)"> <value> <decimal value="300000"/> </value> </item>
157 |           <item displayName="$(string.KeepAliveTime2)"> <value> <decimal value="600000"/> </value> </item>
158 |           <item displayName="$(string.KeepAliveTime3)"> <value> <decimal value="1200000"/> </value> </item>
159 |           <item displayName="$(string.KeepAliveTime4)"> <value> <decimal value="2400000"/> </value> </item>
160 |           <item displayName="$(string.KeepAliveTime5)"> <value> <decimal value="3600000"/> </value> </item>
161 |           <item displayName="$(string.KeepAliveTime6)"> <value> <decimal value="7200000"/> </value> </item>
162 |         </enum>
163 |       </elements>
164 |     </policy>
165 | 
166 |     <policy name="Pol_MSS_NoDefaultExempt" class="Machine" displayName="$(string.NoDefaultExempt)" explainText="$(string.NoDefaultExempt_Help)" presentation="$(presentation.NoDefaultExempt)" key="System\CurrentControlSet\Services\IPSEC">
167 |       <parentCategory ref="parent:Cat_Legacy" />
168 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
169 |       <elements>
170 |         <enum id="NoDefaultExempt" valueName="NoDefaultExempt" required="true">
171 |           <item displayName="$(string.NoDefaultExempt0)"> <value> <decimal value="0"/> </value> </item>
172 |           <item displayName="$(string.NoDefaultExempt1)"> <value> <decimal value="1"/> </value> </item>
173 |           <item displayName="$(string.NoDefaultExempt2)"> <value> <decimal value="2"/> </value> </item>
174 |           <item displayName="$(string.NoDefaultExempt3)"> <value> <decimal value="3"/> </value> </item>
175 |         </enum>
176 |       </elements>
177 |     </policy>
178 | 
179 |     <policy name="Pol_MSS_SynAttackProtect" class="Machine" displayName="$(string.SynAttackProtect)" explainText="$(string.SynAttackProtect_Help)" presentation="$(presentation.SynAttackProtect)" key="System\CurrentControlSet\Services\Tcpip\Parameters">
180 |       <parentCategory ref="parent:Cat_Legacy" />
181 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
182 |       <elements>
183 |         <enum id="SynAttackProtect" valueName="SynAttackProtect" required="true">
184 |           <item displayName="$(string.SynAttackProtect0)"> <value> <decimal value="0"/> </value> </item>
185 |           <item displayName="$(string.SynAttackProtect1)"> <value> <decimal value="1"/> </value> </item>
186 |         </enum>
187 |       </elements>
188 |     </policy>
189 | 
190 |     <policy name="Pol_MSS_TcpMaxConnectResponseRetransmissions" class="Machine" displayName="$(string.TcpMaxConnectResponseRetransmissions)" explainText="$(string.TcpMaxConnectResponseRetransmissions_Help)" presentation="$(presentation.TcpMaxConnectResponseRetransmissions)" key="System\CurrentControlSet\Services\Tcpip\Parameters">
191 |       <parentCategory ref="parent:Cat_Legacy" />
192 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
193 |       <elements>
194 |         <enum id="TcpMaxConnectResponseRetransmissions" valueName="TcpMaxConnectResponseRetransmissions" required="true">
195 |           <item displayName="$(string.TcpMaxConnectResponseRetransmissions0)"> <value> <decimal value="0"/> </value> </item>
196 |           <item displayName="$(string.TcpMaxConnectResponseRetransmissions1)"> <value> <decimal value="1"/> </value> </item>
197 |           <item displayName="$(string.TcpMaxConnectResponseRetransmissions2)"> <value> <decimal value="2"/> </value> </item>
198 |           <item displayName="$(string.TcpMaxConnectResponseRetransmissions3)"> <value> <decimal value="3"/> </value> </item>
199 |         </enum>
200 |       </elements>
201 |     </policy>
202 | 
203 |     <policy name="Pol_MSS_WarningLevel" class="Machine" displayName="$(string.WarningLevel)" explainText="$(string.WarningLevel_Help)" presentation="$(presentation.WarningLevel)" key="SYSTEM\CurrentControlSet\Services\Eventlog\Security">
204 |       <parentCategory ref="parent:Cat_Legacy" />
205 |       <supportedOn ref="windows:SUPPORTED_WindowsVista" />
206 |       <elements>
207 |         <enum id="WarningLevel" valueName="WarningLevel" required="true">
208 |           <item displayName="$(string.WarningLevel0)"> <value> <decimal value="50"/> </value> </item>
209 |           <item displayName="$(string.WarningLevel1)"> <value> <decimal value="60"/> </value> </item>
210 |           <item displayName="$(string.WarningLevel2)"> <value> <decimal value="70"/> </value> </item>
211 |           <item displayName="$(string.WarningLevel3)"> <value> <decimal value="80"/> </value> </item>
212 |           <item displayName="$(string.WarningLevel4)"> <value> <decimal value="90"/> </value> </item>
213 |         </enum>
214 |       </elements>
215 |     </policy>
216 | 
217 |   </policies>
218 | </policyDefinitions>


--------------------------------------------------------------------------------
/CHANGELOG.md:
--------------------------------------------------------------------------------
  1 | # Changelog
  2 | 
  3 | All notable changes to this project will be documented in this file.
  4 | 
  5 | The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.0.0/).
  6 | 
  7 | ## [v1.2.0] - 2025-05-13
  8 | 
  9 | ### Added
 10 | 
 11 | - Policy to enable or disable detailed BSODs
 12 | - Policies to control Attack Surface Reduction rules in Windows Defender
 13 |   - Credits to @MichaelGrafnetter and his project: https://github.com/MichaelGrafnetter/defender-asr-admx
 14 | - Policy to enable or disable remote DCOM traffic
 15 | 
 16 | ### Changed
 17 | 
 18 | - Updated translations, wording and descriptions for consistency in en-US and fr-FR
 19 | - Fixed a typo in Microsoft's SecGuide template
 20 | 
 21 | ## [v1.1.1] - 2024-12-08
 22 | 
 23 | ### Added
 24 | 
 25 | - New policy to enable or disable the Windows Defender sandbox
 26 | 
 27 | ### Fixed
 28 | 
 29 | - Indentation value for REG_SZ-based policies
 30 | 
 31 | ## [v1.1] - 2024-12-08
 32 | 
 33 | ### Changed
 34 | 
 35 | - Major refactoring of the codebase
 36 |   - Better consistency of indentation and formatting
 37 |   - Split in several file for network, system and debugging categories
 38 | 
 39 | ### Added
 40 | 
 41 | - Additional settings from the Microsoft Security Guide and the legacy MSS settings
 42 |   - Not translated to fr-FR for now
 43 |   - Settings were removed if already present in the main ADMX files
 44 | 
 45 | ## [v1.0.37] - 2024-11-12
 46 | 
 47 | ### Added
 48 | 
 49 | - New policy to enable or disable the support for KASAN
 50 | 
 51 | ### Fixed
 52 | 
 53 | - Fix the Registry path for the Mandatory VBS flag introduced in v1.0.36
 54 | 
 55 | ## [v1.0.36] - 2024-11-03
 56 | 
 57 | ### Added
 58 | 
 59 | - New policy to configure the Mandatory mode for Virtualization-Based Security
 60 | 
 61 | ## [v1.0.35] - 2024-10-18
 62 | 
 63 | ### Added
 64 | 
 65 | - New policy to configure the behavior of the Sudo command, introduced in Windows 11 24H2
 66 |   - Cf. @mobilejon blog post about the command: <https://mobile-jon.com/2024/10/14/deep-dive-into-windows-sudo/>
 67 | - New policy to control the state of the generative AI features in Acrobat and Acrobat Reader products
 68 | 
 69 | ## [v1.0.34] - 2024-09-27
 70 | 
 71 | ### Added
 72 | 
 73 | - Added all the steps required to update the bootloader against the BlackLotus vulnerability CVE-2023-24932
 74 |   - Cf. Microsoft documentation at <https://support.microsoft.com/en-us/topic/kb5025885-how-to-manage-the-windows-boot-manager-revocations-for-secure-boot-changes-associated-with-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d#bkmk_mitigation_guidelines>
 75 | 
 76 | ## [v1.0.33] - 2024-01-05
 77 | 
 78 | ### Fixed
 79 | 
 80 | - `supportedOn` value for the DTLS 1.3 policy
 81 | 
 82 | ## [v1.0.32] - 2023-12-03
 83 | 
 84 | ### Added
 85 | 
 86 | - Dropdown selection list for Schannel verbosity levels
 87 | - Mitigation for the BlackLotus vulnerability CVE-2023-24932
 88 | 
 89 | ## [v1.0.31] - 2023-11-26
 90 | 
 91 | ### Added
 92 | 
 93 | - Support for DTLS 1.3 in Schannel section
 94 | 
 95 | ## [v1.0.30] - 2023-11-26
 96 | 
 97 | ### Fixed
 98 | 
 99 | - Typo in the MsCacheV2 hardening policy description : MSCHAPv2 -> MsCacheV2
100 | - Improved the overall wording of the description
101 | 
102 | ## [v1.0.29] - 2023-03-14
103 | 
104 | ### Added
105 | 
106 | - Added the new policy "Enable support for TLS 1.2 only" for WinHTTP (<https://github.com/Harvester57/Security-ADMX/issues/16>)
107 |   - Thanks @Deas-h for the suggestion :)
108 | 
109 | ## [v1.0.28] - 2023-01-28
110 | 
111 | ### Changed
112 | 
113 | - Updated the default value for PBKDF2-HMAC-SHA1 rounds and the associated policy description
114 | 
115 | ## [v1.0.27] - 2023-01-08
116 | 
117 | ### Added
118 | 
119 | - Added "Prevent standard users to install root certificates" policy
120 | - Added a new category of policies, for Domain Controllers specific parameters
121 |   - This is empty for now, will soon be populated...
122 | 
123 | ## [v1.0.26] - 2022-12-03
124 | 
125 | ### Added
126 | 
127 | - Added "Configure the maximum/minimum SMB2 client dialect supported" policies
128 | - Added a NOTE to the "Enable PowerShell Constrained Language Mode" policy
129 | 
130 | ### Changed
131 | 
132 | - Updated the "Available Settings" pages
133 | 
134 | ### Fixed
135 | 
136 | - Typos and wording, both for en-US and fr-FR templates
137 | 
138 | ## [v1.0.25] - 2022-11-19
139 | 
140 | ### Added
141 | 
142 | - Configuration profiles for Schannel TLS cipher suites
143 |   - Loosely based on [Mozilla recommendations](https://wiki.mozilla.org/Security/Server_Side_TLS), [ANSSI recommendations](https://www.ssi.gouv.fr/guide/recommandations-de-securite-relatives-a-tls/) and best practices
144 | 
145 | ## [v1.0.24] - 2022-11-17
146 | 
147 | ### Fixed
148 | 
149 | - Apply "EnableCertPaddingCheck" as REG_SZ, not DWORD
150 | - Improve Schannel-related descriptions
151 | 
152 | ## [v1.0.23] - 2022-10-17
153 | 
154 | ### Added
155 | 
156 | - "Disable the strong-name bypass feature" policy for .NET Framework
157 |   - More infos in the .NET documentation: <https://learn.microsoft.com/en-us/dotnet/standard/assembly/disable-strong-name-bypass-feature>
158 | - "Disable the SAM server TCP listener"
159 |   - More details in this Twitter thread: <https://twitter.com/agowa338/status/1581205232238796800>
160 |   - Credits to @tyranid for the registry key
161 | 
162 | ## [v1.0.22] - 2022-08-29
163 | 
164 | ### Added
165 | 
166 | - "Disable Time-Travel Debugging" policy (<https://github.com/Harvester57/Security-ADMX/issues/11>)
167 | - "Remove current working directory from DLL search" policy (<https://github.com/Harvester57/Security-ADMX/issues/10>)
168 | 
169 | ### Fixed
170 | 
171 | - Typo in the fr-FR description of the "Number of PBKDF2 iterations for cached logons credentials hashing" policy
172 | 
173 | ## [v1.0.21] - 2022-08-12
174 | 
175 | ### Fixed
176 | 
177 | - Typo in the "Disabled list of the NET 2 Strong Crypto" policy (<https://github.com/Harvester57/Security-ADMX/issues/9>)
178 | 
179 | ## [v1.0.20] - 2022-07-23
180 | 
181 | ### Added
182 | 
183 | - "Disable the WPBT functionnality" policy (<https://github.com/Harvester57/Security-ADMX/issues/8>)
184 | 
185 | ## [v1.0.19] - 2022-05-23
186 | 
187 | ### Added
188 | 
189 | - New policy to enable/disable kCET support on 21H2+ systems
190 |   - Thanks to Yarden Shafir (@yarden_shafir) and Connor McGarr (@33y0re)
191 |   - Cf. <https://connormcgarr.github.io/hvci/> (#Conclusion)
192 | 
193 | ## [v1.0.18] - 2022-02-07
194 | 
195 | ### Added
196 | 
197 | - "Disable standard user in safe boot mode" policy (<https://github.com/Harvester57/Security-ADMX/issues/5>)
198 | 
199 | ## [v1.0.17] - 2022-01-09
200 | 
201 | ### Added
202 | 
203 | - Strict Authenticode signatures verification (<https://github.com/Harvester57/Security-ADMX/issues/4>)
204 | 
205 | ## [v1.0.16] - 2021-12-30
206 | 
207 | ### Changed
208 | 
209 | - Changed the default value for the MSCHAPv2 hashing algorithm required rounds to 1 048 576 (`NL$IterationCount = 1024`)
210 | 
211 | ### Fixed
212 | 
213 | - Fixed a typo in fr-FR
214 | 
215 | ### Removed
216 | 
217 | - Remove support for Diffie-Hellman and PKCS 1024 bit modulus
218 | 
219 | ## [v1.0.15] - 2021-12-28
220 | 
221 | ### Changed
222 | 
223 | - Reworked the MSCHAPv2 hashing algorithm description, and changed the minimum value allowed for the `NL$IterationCount` key
224 | 


--------------------------------------------------------------------------------
/LICENSE:
--------------------------------------------------------------------------------
 1 | MIT License
 2 | 
 3 | Copyright (c) 2025 Florian Stosse
 4 | 
 5 | Permission is hereby granted, free of charge, to any person obtaining a copy
 6 | of this software and associated documentation files (the "Software"), to deal
 7 | in the Software without restriction, including without limitation the rights
 8 | to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
 9 | copies of the Software, and to permit persons to whom the Software is
10 | furnished to do so, subject to the following conditions:
11 | 
12 | The above copyright notice and this permission notice shall be included in all
13 | copies or substantial portions of the Software.
14 | 
15 | THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
16 | IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
17 | FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
18 | AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
19 | LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
20 | OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
21 | SOFTWARE.
22 | 


--------------------------------------------------------------------------------
/PoliciesTemplate.md:
--------------------------------------------------------------------------------
1 | ### CATEGORY
2 | 
3 | #### POLICY TITLE
4 | 
5 | - **Registry path(s):**
6 | - **Registry key(s):**
7 | - **Values:**
8 | - **Description:**
9 | 


--------------------------------------------------------------------------------
/en-US/AdditionalDebugPolicies.adml:
--------------------------------------------------------------------------------
 1 | <?xml version="1.0" encoding="utf-8"?>
 2 | <policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema"
 3 |       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0"
 4 |       xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
 5 |       <displayName>
 6 |             Additional system debugging policies
 7 |       </displayName>
 8 |       <description>
 9 |             Additional system debugging policies
10 |       </description>
11 |       <resources>
12 |             <stringTable>
13 |                   <string id="EnableKASAN">Enable Kernel Address Sanitizer</string>
14 |                   <string id="EnableKASAN_Explain">The Kernel Address Sanitizer (KASAN) is a bug detection technology supported on Windows kernel drivers that enables you to detect several classes of illegal memory accesses, such as buffer overflows and use-after-free events.
15 | 
16 | It requires you to enable KASAN on your system and recompile your kernel driver with a specific MSVC compiler flag.
17 | 
18 | This policy controls KASAN support in the kernel. Enabling this policy enables KASAN support. Disabling this policy disables KASAN support.</string>
19 |                   <string id="EnableDetailedBSOD">Enable detailed Blue Screens of Death (BSOD)</string>
20 |                   <string id="EnableDetailedBSOD_Explain">This policy controls whether detailed information is displayed during a Blue Screen of Death (BSOD):
21 | 
22 | - If this policy is disabled, Windows will not display detailed stop error information on the blue screen (default).
23 | - If this policy is enabled, Windows will display detailed information, similar to older versions of Windows, which can be useful for troubleshooting the cause of the BSOD.</string>
24 |             </stringTable>
25 |       </resources>
26 | </policyDefinitionResources>


--------------------------------------------------------------------------------
/en-US/AdditionalDefenderPolicies.adml:
--------------------------------------------------------------------------------
  1 | <?xml version="1.0" encoding="utf-8"?>
  2 | <policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema"
  3 |       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0"
  4 |       xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  5 |       <displayName>
  6 |             Additional hardening policies for Defender
  7 |       </displayName>
  8 |       <description>
  9 |             Additional hardening policies for Defender
 10 |       </description>
 11 |       <resources>
 12 |             <stringTable>
 13 |                   <!-- CATEGORIES -->
 14 |                   <string id="Defender">Additional Windows Defender hardening settings</string>
 15 |                   <string id="ASR">ASR rules configuration</string>
 16 |                   <!-- POLICIES -->
 17 |                   <string id="DefenderSandboxing">Enable Windows Defender sandbox</string>
 18 |                   <string id="DefenderSandboxing_Explain">This policy enables the sandbox (content process) for the main process of Windows Defender.
 19 | 
 20 | The new content processes, which run with low privileges, aggressively leverage all available mitigation policies to reduce the attack surface. They enable and prevent runtime changes for modern exploit mitigation techniques such as Data Execution Prevention (DEP), Address space layout randomization (ASLR), and Control Flow Guard (CFG). They also disable Win32K system calls and all extensibility points, as well as enforce that only signed and trusted code is loaded.
 21 | 
 22 | More information: https://www.microsoft.com/en-us/security/blog/2018/10/26/windows-defender-antivirus-can-now-run-in-a-sandbox/</string>
 23 |                   <string id="ExploitGuard_ASR_Rules_Lsass">Block credential stealing from the Windows local security authority subsystem (lsass.exe)</string>
 24 |                   <string id="ExploitGuard_ASR_Rules_Lsass_Explain">This rule helps prevent credential stealing by blocking code injection attempts targeting lsass.exe.
 25 | Enabling this rule doesn't provide additional protection if you have LSA protection enabled since the ASR rule and LSA protection work similarly. However, when LSA protection cannot be enabled, this rule can be configured to provide equivalent protection against malware that target lsass.exe.</string>
 26 |                   <string id="ExploitGuard_ASR_Rules_Drivers">Block abuse of exploited vulnerable signed drivers</string>
 27 |                   <string id="ExploitGuard_ASR_Rules_Drivers_Explain">This rule prevents an application from writing a vulnerable signed driver to disk.</string>
 28 |                   <string id="ExploitGuard_ASR_Rules_AdobeReader">Block Adobe Reader from creating child processes</string>
 29 |                   <string id="ExploitGuard_ASR_Rules_AdobeReader_Explain">This rule prevents attacks by blocking Adobe Reader from creating processes.</string>
 30 |                   <string id="ExploitGuard_ASR_Rules_Office_CreateProcess">Block all Office applications from creating child processes</string>
 31 |                   <string id="ExploitGuard_ASR_Rules_Office_CreateProcess_Explain">This rule blocks Office apps from creating child processes. Office apps include Word, Excel, PowerPoint, OneNote, and Access.</string>
 32 |                   <string id="ExploitGuard_ASR_Rules_Email">Block executable content from email client and webmail</string>
 33 |                   <string id="ExploitGuard_ASR_Rules_Email_Explain">This rule blocks email opened within the Microsoft Outlook application, or Outlook.com and other popular webmail providers from propagating the following file types:
 34 | - Executable files (such as .exe, .dll, or .scr)
 35 | - Script files (such as a PowerShell .ps1, Visual Basic .vbs, or JavaScript .js file)</string>
 36 |                   <string id="ExploitGuard_ASR_Rules_SmartScreen">Block executable files from running unless they meet a prevalence, age, or trusted list criterion</string>
 37 |                   <string id="ExploitGuard_ASR_Rules_SmartScreen_Explain">This rule blocks executable files, such as .exe, .dll, or .scr, from launching. Thus, launching untrusted or unknown executable files can be risky, as it might not be initially clear if the files are malicious.
 38 | 
 39 | You must enable cloud-delivered protection to use this rule.</string>
 40 |                   <string id="ExploitGuard_ASR_Rules_Obfuscated">Block execution of potentially obfuscated scripts</string>
 41 |                   <string id="ExploitGuard_ASR_Rules_Obfuscated_Explain">This rule blocks scripts that appear to be obfuscated to hide malicious content.
 42 | 
 43 | You must enable cloud-delivered protection to use this rule.</string>
 44 |                   <string id="ExploitGuard_ASR_Rules_Script_Staging">Block JavaScript or VBScript from launching downloaded executable content</string>
 45 |                   <string id="ExploitGuard_ASR_Rules_Script_Staging_Explain">This rule prevents scripts from launching potentially malicious downloaded content. Malware written in JavaScript or VBScript often acts as a downloader to fetch and launch other malware from the Internet. Although not common, line-of-business applications sometimes use scripts to download and launch installers.</string>
 46 |                   <string id="ExploitGuard_ASR_Rules_Office_CreateExecutable">Block Office applications from creating executable content</string>
 47 |                   <string id="ExploitGuard_ASR_Rules_Office_CreateExecutable_Explain">This rule prevents Office apps, including Word, Excel, and PowerPoint, from creating potentially malicious executable content, by blocking malicious code from being written to disk.</string>
 48 |                   <string id="ExploitGuard_ASR_Rules_Office_Injection">Block Office applications from injecting code into other processes</string>
 49 |                   <string id="ExploitGuard_ASR_Rules_Office_Injection_Explain">This rule blocks code injection attempts from Office apps into other processes. This rule applies to Word, Excel, OneNote, and PowerPoint.</string>
 50 |                   <string id="ExploitGuard_ASR_Rules_OfficeComm_CreateProcess">Block Office communication application from creating child processes</string>
 51 |                   <string id="ExploitGuard_ASR_Rules_OfficeComm_CreateProcess_Explain">This rule prevents Outlook from creating child processes, while still allowing legitimate Outlook functions. This rule applies to Outlook and Outlook.com only.</string>
 52 |                   <string id="ExploitGuard_ASR_Rules_WMIPersistence">Block persistence through WMI event subscription</string>
 53 |                   <string id="ExploitGuard_ASR_Rules_WMIPersistence_Explain">This rule prevents malware from abusing WMI to attain persistence on a device.</string>
 54 |                   <string id="ExploitGuard_ASR_Rules_PSExec">Block process creations originating from PSExec and WMI commands</string>
 55 |                   <string id="ExploitGuard_ASR_Rules_PSExec_Explain">This rule blocks processes created through PsExec and WMI from running.</string>
 56 |                   <string id="ExploitGuard_ASR_Rules_SafeMode">Block rebooting machine in Safe Mode (preview)</string>
 57 |                   <string id="ExploitGuard_ASR_Rules_SafeMode_Explain">his rule prevents the execution of commands to restart machines in Safe Mode.</string>
 58 |                   <string id="ExploitGuard_ASR_Rules_USB">Block untrusted and unsigned processes that run from USB</string>
 59 |                   <string id="ExploitGuard_ASR_Rules_USB_Explain">With this rule, admins can prevent unsigned or untrusted executable files from running from USB removable drives, including SD cards. Blocked file types include executable files (such as .exe, .dll, or .scr).</string>
 60 |                   <string id="ExploitGuard_ASR_Rules_ToolCopy">Block use of copied or impersonated system tools (preview)</string>
 61 |                   <string id="ExploitGuard_ASR_Rules_ToolCopy_Explain">This rule blocks the use of executable files that are identified as copies of Windows system tools. These files are either duplicates or impostors of the original system tools.</string>
 62 |                   <string id="ExploitGuard_ASR_Rules_Webshell">Block Webshell creation for Servers</string>
 63 |                   <string id="ExploitGuard_ASR_Rules_Webshell_Explain">This rule blocks web shell script creation on Microsoft Server, Exchange Role.</string>
 64 |                   <string id="ExploitGuard_ASR_Rules_Office_MacroWin32API">Block Win32 API calls from Office macros</string>
 65 |                   <string id="ExploitGuard_ASR_Rules_Office_MacroWin32API_Explain">This rule prevents VBA macros from calling Win32 APIs. Most organizations don't rely on the ability to call Win32 APIs in their day-to-day functioning, even if they use macros in other ways.</string>
 66 |                   <string id="ExploitGuard_ASR_Rules_Ransomware">Use advanced protection against ransomware</string>
 67 |                   <string id="ExploitGuard_ASR_Rules_Ransomware_Explain">This rule provides an extra layer of protection against ransomware. It uses both client and cloud heuristics to determine whether a file resembles ransomware. This rule doesn't block files that have one or more of the following characteristics:
 68 | - The file has already been found to be unharmful in the Microsoft cloud.
 69 | - The file is a valid signed file.
 70 | - The file is prevalent enough to not be considered as ransomware.
 71 | 
 72 | You must enable cloud-delivered protection to use this rule.</string>
 73 |                   <string id="AuditMode">Audit</string>
 74 |                   <string id="WarnMode">Warn</string>
 75 |                   <string id="BlockMode">Block</string>
 76 |                   <string id="DisabledMode">Disabled</string>
 77 |             </stringTable>
 78 |             <presentationTable>
 79 |                   <presentation id="ExploitGuard_ASR_Rules_Lsass">
 80 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Lsass_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
 81 |                         <text>ASR rule modes:
 82 | Not configured or Disable: The state in which the ASR rule isn't enabled.
 83 | Block: The state in which the ASR rule is enabled.
 84 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
 85 |             
 86 | Note: The Block credential stealing from the Windows local security authority subsystem ASR rule doesn't support WARN mode.</text>
 87 |                   </presentation>
 88 |                   <presentation id="ExploitGuard_ASR_Rules_Drivers">
 89 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Drivers_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
 90 |                         <text>ASR rule modes:
 91 | Not configured or Disable: The state in which the ASR rule isn't enabled.
 92 | Block: The state in which the ASR rule is enabled.
 93 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
 94 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
 95 |                   </presentation>
 96 |                   <presentation id="ExploitGuard_ASR_Rules_AdobeReader">
 97 |                         <dropdownList refId="ExploitGuard_ASR_Rules_AdobeReader_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
 98 |                         <text>ASR rule modes:
 99 | Not configured or Disable: The state in which the ASR rule isn't enabled.
100 | Block: The state in which the ASR rule is enabled.
101 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
102 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
103 |                   </presentation>
104 |                   <presentation id="ExploitGuard_ASR_Rules_Office_CreateProcess">
105 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Office_CreateProcess_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
106 |                         <text>ASR rule modes:
107 | Not configured or Disable: The state in which the ASR rule isn't enabled.
108 | Block: The state in which the ASR rule is enabled.
109 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
110 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
111 |                   </presentation>
112 |                   <presentation id="ExploitGuard_ASR_Rules_Email">
113 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Email_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
114 |                         <text>ASR rule modes:
115 | Not configured or Disable: The state in which the ASR rule isn't enabled.
116 | Block: The state in which the ASR rule is enabled.
117 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
118 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
119 |                   </presentation>
120 |                   <presentation id="ExploitGuard_ASR_Rules_SmartScreen">
121 |                         <dropdownList refId="ExploitGuard_ASR_Rules_SmartScreen_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
122 |                         <text>ASR rule modes:
123 | Not configured or Disable: The state in which the ASR rule isn't enabled.
124 | Block: The state in which the ASR rule is enabled.
125 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
126 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
127 |                   </presentation>
128 |                   <presentation id="ExploitGuard_ASR_Rules_Obfuscated">
129 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Obfuscated_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
130 |                         <text>ASR rule modes:
131 | Not configured or Disable: The state in which the ASR rule isn't enabled.
132 | Block: The state in which the ASR rule is enabled.
133 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
134 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
135 |                   </presentation>
136 |                   <presentation id="ExploitGuard_ASR_Rules_Script_Staging">
137 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Script_Staging_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
138 |                         <text>ASR rule modes:
139 | Not configured or Disable: The state in which the ASR rule isn't enabled.
140 | Block: The state in which the ASR rule is enabled.
141 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
142 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
143 |                   </presentation>
144 |                   <presentation id="ExploitGuard_ASR_Rules_Office_CreateExecutable">
145 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Office_CreateExecutable_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
146 |                         <text>ASR rule modes:
147 | Not configured or Disable: The state in which the ASR rule isn't enabled.
148 | Block: The state in which the ASR rule is enabled.
149 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
150 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
151 |                   </presentation>
152 |                   <presentation id="ExploitGuard_ASR_Rules_Office_Injection">
153 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Office_Injection_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
154 |                         <text>ASR rule modes:
155 | Not configured or Disable: The state in which the ASR rule isn't enabled.
156 | Block: The state in which the ASR rule is enabled.
157 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
158 |             
159 | Note: The Block applications from injecting code into other processes ASR rule doesn't support WARN mode.</text>
160 |                   </presentation>
161 |                   <presentation id="ExploitGuard_ASR_Rules_OfficeComm_CreateProcess">
162 |                         <dropdownList refId="ExploitGuard_ASR_Rules_OfficeComm_CreateProcess_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
163 |                         <text>ASR rule modes:
164 | Not configured or Disable: The state in which the ASR rule isn't enabled.
165 | Block: The state in which the ASR rule is enabled.
166 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
167 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
168 |                   </presentation>
169 |                   <presentation id="ExploitGuard_ASR_Rules_WMIPersistence">
170 |                         <dropdownList refId="ExploitGuard_ASR_Rules_WMIPersistence_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
171 |                         <text>ASR rule modes:
172 | Not configured or Disable: The state in which the ASR rule isn't enabled.
173 | Block: The state in which the ASR rule is enabled.
174 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
175 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
176 |                   </presentation>
177 |                   <presentation id="ExploitGuard_ASR_Rules_PSExec">
178 |                         <dropdownList refId="ExploitGuard_ASR_Rules_PSExec_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
179 |                         <text>ASR rule modes:
180 | Not configured or Disable: The state in which the ASR rule isn't enabled.
181 | Block: The state in which the ASR rule is enabled.
182 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
183 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
184 |                   </presentation>
185 |                   <presentation id="ExploitGuard_ASR_Rules_SafeMode">
186 |                         <dropdownList refId="ExploitGuard_ASR_Rules_SafeMode_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
187 |                         <text>ASR rule modes:
188 | Not configured or Disable: The state in which the ASR rule isn't enabled.
189 | Block: The state in which the ASR rule is enabled.
190 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
191 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
192 |                   </presentation>
193 |                   <presentation id="ExploitGuard_ASR_Rules_USB">
194 |                         <dropdownList refId="ExploitGuard_ASR_Rules_USB_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
195 |                         <text>ASR rule modes:
196 | Not configured or Disable: The state in which the ASR rule isn't enabled.
197 | Block: The state in which the ASR rule is enabled.
198 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
199 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
200 |                   </presentation>
201 |                   <presentation id="ExploitGuard_ASR_Rules_ToolCopy">
202 |                         <dropdownList refId="ExploitGuard_ASR_Rules_ToolCopy_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
203 |                         <text>ASR rule modes:
204 | Not configured or Disable: The state in which the ASR rule isn't enabled.
205 | Block: The state in which the ASR rule is enabled.
206 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
207 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
208 |                   </presentation>
209 |                   <presentation id="ExploitGuard_ASR_Rules_Webshell">
210 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Webshell_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
211 |                         <text>ASR rule modes:
212 | Not configured or Disable: The state in which the ASR rule isn't enabled.
213 | Block: The state in which the ASR rule is enabled.
214 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
215 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
216 |                   </presentation>
217 |                   <presentation id="ExploitGuard_ASR_Rules_Office_MacroWin32API">
218 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Office_MacroWin32API_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
219 |                         <text>ASR rule modes:
220 | Not configured or Disable: The state in which the ASR rule isn't enabled.
221 | Block: The state in which the ASR rule is enabled.
222 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
223 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
224 |                   </presentation>
225 |                   <presentation id="ExploitGuard_ASR_Rules_Ransomware">
226 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Ransomware_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
227 |                         <text>ASR rule modes:
228 | Not configured or Disable: The state in which the ASR rule isn't enabled.
229 | Block: The state in which the ASR rule is enabled.
230 | Audit: The state in which the ASR rule is evaluated for the effect it would have on the organization or environment if enabled (set to block or warn).
231 | Warn: The state in which the ASR rule is enabled and presents a notification to the end-user, but permits the end-user to bypass the block.</text>
232 |                   </presentation>
233 |             </presentationTable>
234 |       </resources>
235 | </policyDefinitionResources>


--------------------------------------------------------------------------------
/en-US/AdditionalHardening.adml:
--------------------------------------------------------------------------------
 1 | <?xml version="1.0" encoding="utf-8"?>
 2 | <policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema"
 3 |       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0"
 4 |       xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
 5 |       <displayName>
 6 |             Additional hardening policies
 7 |       </displayName>
 8 |       <description>
 9 |             Additional hardening policies
10 |       </description>
11 |       <resources>
12 |             <stringTable>
13 |                   <!-- CATEGORIES -->
14 |                   <string id="Cat_AddHard">Additional hardening settings</string>
15 |                   <string id="Cat_Debug">Additional debug-related settings</string>
16 |                   <string id="Cat_MSFT">Additional hardening settings from Microsoft Security Guide</string>
17 |                   <string id="Cat_Legacy">Additional legacy settings from MSS</string>
18 |             </stringTable>
19 |       </resources>
20 | </policyDefinitionResources>


--------------------------------------------------------------------------------
/en-US/AdditionalHardeningFromMicrosoft.adml:
--------------------------------------------------------------------------------
  1 | <?xml version="1.0" encoding="utf-8"?>
  2 | <!--  (c) 2014-2018 Microsoft Corporation  -->
  3 | <policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0" xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  4 |       <displayName>
  5 |             Microsoft Security Guide
  6 |       </displayName>
  7 |       <description>
  8 |             Microsoft Security Guide mitigations
  9 |       </description>
 10 |       <resources>
 11 |             <stringTable>
 12 |                   <string id="SUPPORTED_WindowsServer2008AndNewer">Windows Server 2008 and newer</string>
 13 |                   <string id="Pol_SecGuide_LATFP">Apply UAC restrictions to local accounts on network logons</string>
 14 |                   <string id="Pol_SecGuide_LATFP_Help">This setting controls whether local accounts can be used for remote administration via network logon (e.g., NET USE, connecting to C$, etc.). Local accounts are at high risk for credential theft when the same account and password is configured on multiple systems.  Enabling this policy significantly reduces that risk.
 15 | 
 16 | Enabled (recommended): Applies UAC token-filtering to local accounts on network logons. Membership in powerful groups such as Administrators is disabled and powerful privileges are removed from the resulting access token. This configures the LocalAccountTokenFilterPolicy registry value to 0. This is the default behavior for Windows.
 17 | 
 18 | Disabled: Allows local accounts to have full administrative rights when authenticating via network logon, by configuring the LocalAccountTokenFilterPolicy registry value to 1.
 19 | 
 20 | For more information about local accounts and credential theft, see "Mitigating Pass-the-Hash (PtH) Attacks and Other Credential Theft Techniques": http://www.microsoft.com/en-us/download/details.aspx?id=36036.
 21 | 
 22 | For more information about LocalAccountTokenFilterPolicy, see http://support.microsoft.com/kb/951016.</string>
 23 |                   <string id="Pol_SecGuide_WDigestAuthn">WDigest Authentication (disabling may require KB2871997)</string>
 24 |                   <string id="Pol_SecGuide_WDigestAuthn_Help">When WDigest authentication is enabled, Lsass.exe retains a copy of the user's plaintext password in memory, where it can be at risk of theft. Microsoft recommends disabling WDigest authentication unless it is needed.
 25 | 
 26 | If this setting is not configured, WDigest authentication is disabled in Windows 8.1 and in Windows Server 2012 R2; it is enabled by default in earlier versions of Windows and Windows Server.
 27 | 
 28 | Update KB2871997 must first be installed to disable WDigest authentication using this setting in Windows 7, Windows 8, Windows Server 2008 R2, and Windows Server 2012.
 29 | 
 30 | Enabled: Enables WDigest authentication.
 31 | 
 32 | Disabled (recommended): Disables WDigest authentication. For this setting to work on Windows 7, Windows 8, Windows Server 2008 R2, or Windows Server 2012, KB2871997 must first be installed.
 33 | 
 34 | For more information, see http://support.microsoft.com/kb/2871997 and http://blogs.technet.com/b/srd/archive/2014/06/05/an-overview-of-kb2871997.aspx.</string>
 35 |                   <string id="Pol_SecGuide_LsassAudit">Lsass.exe audit mode</string>
 36 |                   <string id="Pol_SecGuide_LsassAudit_Help">Enable auditing of Lsass.exe to evaluate feasibility of enabling LSA protection. For more information, see http://technet.microsoft.com/en-us/library/dn408187.aspx</string>
 37 |                   <string id="Pol_SecGuide_LsassRunAsPPL">LSA Protection</string>
 38 |                   <string id="Pol_SecGuide_LsassRunAsPPL_Help">For Windows 11, version 22H2 and beyond, a new setting is used to configure this. It can be located at 'System\Local Security Authority\Configures LSASS to run as a protected process', which provides additional configuration options.
 39 | 	  
 40 | Enable LSA protection.
 41 | 	  
 42 | For more information, see http://technet.microsoft.com/en-us/library/dn408187.aspx</string>
 43 |                   <string id="Pol_SecGuide_RemoveRunasdifferentuser">Remove "Run As Different User" from context menus</string>
 44 |                   <string id="Pol_SecGuide_RemoveRunasdifferentuser_Help">This setting controls whether "Run As Different User" appears on the Shift+right-click context menu for .bat, .cmd, .exe, and .msc files.
 45 | 
 46 | Enabled (recommended): Keeps "Run As Different User" from appearing in the context menu when the user holds Shift while right-clicking on a .bat, .cmd, .exe, or .msc file in Explorer.
 47 | 
 48 | Disabled: Restores the Windows default behavior for "Run As Different User."</string>
 49 |                   <string id="Pol_SecGuide_SEHOP">Enable Structured Exception Handling Overwrite Protection (SEHOP)</string>
 50 |                   <string id="Pol_SecGuide_SEHOP_Help">If this setting is enabled, SEHOP is enforced. For more information, see https://support.microsoft.com/en-us/help/956607/how-to-enable-structured-exception-handling-overwrite-protection-sehop-in-windows-operating-systems.
 51 | 
 52 | If this setting is disabled or not configured, SEHOP is not enforced for 32-bit processes.</string>
 53 |                   <string id="Pol_SecGuide_SMBv1Server">Configure SMBv1 server</string>
 54 |                   <string id="Pol_SecGuide_SMBv1Server_Help">Disabling this setting disables server-side processing of the SMBv1 protocol. (Recommended.)
 55 | 
 56 | Enabling this setting enables server-side processing of the SMBv1 protocol. (Default.)
 57 | 
 58 | Changes to this setting require a reboot to take effect.
 59 | 
 60 | For more information, see https://support.microsoft.com/kb/2696547</string>
 61 |                   <string id="Pol_SecGuide_SMBv1ClientDriver">Configure SMBv1 client driver</string>
 62 |                   <string id="Pol_SecGuide_SMBv1ClientDriver_Help">Configures the SMBv1 client driver's start type.
 63 | 
 64 | To disable client-side processing of the SMBv1 protocol, select the "Enabled" radio button, then select "Disable driver" from the dropdown.
 65 | WARNING: DO NOT SELECT THE "DISABLED" RADIO BUTTON UNDER ANY CIRCUMSTANCES!
 66 | 
 67 | For Windows 7 and Windows Server 2008, Windows Server 2008 R2, and Windows Server 2012, you must also configure the "Configure SMBv1 client (extra setting needed for pre-Win8.1/2012R2)" setting.
 68 | 
 69 | To restore default SMBv1 client-side behavior, select "Enabled" and choose the correct default from the dropdown:
 70 | * "Manual start" for Windows 7 and Windows Server 2008, Windows Server 2008 R2, and Windows Server 2012;
 71 | * "Automatic start" for Windows 8.1 and Windows Server 2012 R2 and newer.
 72 | 
 73 | Changes to this setting require a reboot to take effect.
 74 | 
 75 | For more information, see https://support.microsoft.com/kb/2696547</string>
 76 |                   <string id="SMB1DriverDisable">Disable driver (recommended)</string>
 77 |                   <string id="SMB1DriverManualStart">Manual start (default for Windows 7/Server 2008/Server 2008 R2/Server 2012)</string>
 78 |                   <string id="SMB1DriverAutomaticStart">Automatic start (default for Windows 8.1/Server 2012 R2/newer)</string>
 79 |                   <!-- NetBT NodeTYpe -->
 80 |                   <string id="Pol_SecGuide_NetbtNodeTypeCfg">NetBT NodeType configuration</string>
 81 |                   <string id="Pol_SecGuide_NetbtNodeTypeCfg_Help">The NetBT NodeType setting determines what methods NetBT uses to register and resolve names:
 82 | * A B-node computer uses broadcasts.
 83 | * A P-node computer uses only point-to-point name queries to a name server (WINS).
 84 | * An M-node computer broadcasts first, and then queries the name server.
 85 | * An H-node computer queries the name server first, and then broadcasts.
 86 | Resolution through LMHOSTS or DNS follows these methods. If the NodeType value is present, it overrides any DhcpNodeType value.
 87 | If neither NodeType nor DhcpNodeType is present, the computer uses B-node if there are no WINS servers configured for the network, or H-node if there is at least one WINS server configured.</string>
 88 |                   <string id="NetBtNodeTypeB">B-node</string>
 89 |                   <string id="NetBtNodeTypeP">P-node (recommended)</string>
 90 |                   <string id="NetBtNodeTypeM">M-node</string>
 91 |                   <string id="NetBtNodeTypeH">H-node</string>
 92 |                   <string id="Pol_SecGuide_Block_Flash">Block Flash activation in Office documents</string>
 93 |                   <string id="Pol_SecGuide_Block_Flash_Help">This policy setting controls whether the Adobe Flash control can be activated by Office documents. Note that activation blocking applies only within Office processes.
 94 | 
 95 | If you enable this policy setting, you can choose from three options to control whether and how Flash is blocked from activation:
 96 | 
 97 | 1. "Block all activation" prevents the Flash control from being loaded, whether directly referenced by the document or indirectly by another embedded object.
 98 | 
 99 | 2. "Block embedding/linking, allow other activation" prevents the Flash control from being loaded when directly referenced by the document, but does not prevent activation through another object.
100 | 
101 | 3. "Allow all activation" restores Office's default behavior, allowing the Flash control to be activated.
102 | 
103 | Because this setting is not a true Group Policy setting and "tattoos" the registry, enabling the "Allow all activation" option is the only way to restore default behavior after either of the "Block" options has been applied. We do not recommend configuring this setting to "Disabled," nor to "Not Configured" after it has been enabled.</string>
104 |                   <string id="BlockFlash_BlockActivation">Block all activation</string>
105 |                   <string id="BlockFlash_BlockEmbedded">Block embedding/linking, allow other activation</string>
106 |                   <string id="BlockFlash_AllowAll">Allow all activation</string>
107 |                   <string id="Pol_SecGuide_Legacy_JScript">Restrict legacy JScript execution for Office</string>
108 |                   <string id="Pol_SecGuide_Legacy_JScript_Help">This policy setting controls JScript execution per Security Zone within Internet Explorer and WebBrowser Control (WebOC) for Office applications.
109 | 
110 | It's important to determine whether legacy JScript is being used to provide business-critical functionality before you enable this setting.
111 | 
112 | If enabled, Office applications will not execute legacy JScript for the Internet or Restricted Sites zones, and users aren't notified by the application that legacy JScript execution is restricted. Modern JScript9 will continue to function for all zones.
113 | 
114 | If disabled or not configured, legacy JScript will function without any restrictions.
115 | 
116 | The values are set in hexadecimal and should be converted prior to changing the setting value. To learn more about Internet Explorer Feature Control Key and the Restrict JScript process-level policy for Windows, please refer to: https://docs.microsoft.com/en-us/previous-versions/windows/internet-explorer/ie-developer/general-info/ee330734(v=vs.85)#restrict-jscript-at-a-process-level</string>
117 |                   <string id="Pol_SecGuide_RpcIncomingAuthenticationLevelPolicy">Configure RPC packet level privacy setting for incoming connections</string>
118 |                   <string id="Pol_SecGuide_RpcIncomingAuthenticationLevelPolicy_Help">This policy setting controls whether packet level privacy is enabled for RPC for incoming connections.
119 | 
120 | By default, packet level privacy is enabled for RPC for incoming connections.
121 | 
122 | If you enable or do not configure this policy setting, packet level privacy is enabled for RPC for incoming connections.</string>
123 |             </stringTable>
124 |             <presentationTable>
125 |                   <presentation id="Pol_SecGuide_SMBv1ClientDriver">
126 |                         <dropdownList refId="Pol_SecGuide_SMB1ClientDriver" noSort="true" defaultItem="0">Configure MrxSmb10 driver:</dropdownList>
127 |                   </presentation>
128 |                   <presentation id="Pol_SecGuide_SMBv1ClientWin7">
129 |                         <multiTextBox refId="Pol_SecGuide_SMB1Win7LMSDepends">Configure LanmanWorkstation dependencies</multiTextBox>
130 |                   </presentation>
131 |                   <presentation id="Pol_SecGuide_NetbtNodeTypeCfg">
132 |                         <dropdownList refId="Pol_SecGuide_SecGuide_NetbtNodeTypeCfg" noSort="true" defaultItem="0">Configure NetBT NodeType</dropdownList>
133 |                   </presentation>
134 |                   <presentation id="Pol_SecGuide_LdapEnforceChannelBinding">
135 |                         <dropdownList refId="Pol_SecGuide_LdapEnforceChannelBinding" noSort="true" defaultItem="0">Configure LdapEnforceChannelBinding</dropdownList>
136 |                   </presentation>
137 |                   <presentation id="Pol_SecGuide_Block_Flash">
138 |                         <dropdownList refId="Pol_SecGuide_Block_Flash" noSort="true" defaultItem="0">Block Flash Player in Office:</dropdownList>
139 |                   </presentation>
140 |                   <presentation id="Pol_SecGuide_Legacy_JScript">
141 |                         <decimalTextBox refId="POL_SG_excel" defaultValue="69632">Excel:</decimalTextBox>
142 |                         <decimalTextBox refId="POL_SG_mspub" defaultValue="69632">Publisher:</decimalTextBox>
143 |                         <decimalTextBox refId="POL_SG_powerpnt" defaultValue="69632">PowerPoint:</decimalTextBox>
144 |                         <decimalTextBox refId="POL_SG_onenote" defaultValue="69632">OneNote:</decimalTextBox>
145 |                         <decimalTextBox refId="POL_SG_visio" defaultValue="69632">Visio:</decimalTextBox>
146 |                         <decimalTextBox refId="POL_SG_winproj" defaultValue="69632">Project:</decimalTextBox>
147 |                         <decimalTextBox refId="POL_SG_winword" defaultValue="69632">Word:</decimalTextBox>
148 |                         <decimalTextBox refId="POL_SG_outlook" defaultValue="69632">Outlook:</decimalTextBox>
149 |                         <decimalTextBox refId="POL_SG_msaccess" defaultValue="69632">Access:</decimalTextBox>
150 |                   </presentation>
151 |                   <presentation id="CopyFilesPolicy">
152 |                         <text>Select the method by which Queue-specific files will be processed.</text>
153 |                         <dropdownList defaultItem="1" noSort="true" refId="CopyFilesPolicy_Enum">Manage processing of Queue-specific files:</dropdownList>
154 |                   </presentation>
155 |             </presentationTable>
156 |       </resources>
157 | </policyDefinitionResources>


--------------------------------------------------------------------------------
/en-US/AdditionalLegacyHardening.adml:
--------------------------------------------------------------------------------
  1 | <policyDefinitionResources revision="1.0" schemaVersion="1.0">
  2 |   <displayName>MSS (Legacy)</displayName>
  3 |   <description>The legacy "MSS" settings that had been exposed in Secpol, Security Options, using LocalGPO.wsf /ConfigSCE.</description>
  4 |   <resources>
  5 |     <stringTable>
  6 |       <string id="MSS">MSS (Legacy)</string>
  7 | 
  8 |       <string id="AutoReboot">MSS: (AutoReboot) Allow Windows to automatically restart after a system crash</string>
  9 |       <string id="AutoReboot_Help">MSS: (AutoReboot) Allow Windows to automatically restart after a system crash</string>
 10 |       <string id="DisableAutoLogon">MSS: (AutoAdminLogon) Enable Automatic Logon</string>
 11 |       <string id="DisableAutoLogon_Help">MSS: (AutoAdminLogon) Enable Automatic Logon</string>
 12 |       <string id="DisableSavePassword">MSS: (DisableSavePassword) Prevent the dial-up password from being saved</string>
 13 |       <string id="DisableSavePassword_Help">MSS: (DisableSavePassword) Prevent the dial-up password from being saved</string>
 14 |       <string id="EnableDeadGWDetect">MSS: (EnableDeadGWDetect) Allow automatic detection of dead network gateways</string>
 15 |       <string id="EnableDeadGWDetect_Help">MSS: (EnableDeadGWDetect) Allow automatic detection of dead network gateways</string>
 16 |       <string id="EnableICMPRedirect">MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes</string>
 17 |       <string id="EnableICMPRedirect_Help">MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes</string>
 18 |       <string id="HideFromBrowseList">MSS: (Hidden) Hide Computer From the Browse List</string>
 19 |       <string id="HideFromBrowseList_Help">MSS: (Hidden) Hide Computer From the Browse List</string>
 20 |       <string id="KeepAliveTime">MSS: (KeepAliveTime) How often keep-alive packets are sent (in milliseconds)</string>
 21 |       <string id="KeepAliveTime_Help">MSS: (KeepAliveTime) How often keep-alive packets are sent (in milliseconds)</string>
 22 |       <string id="KeepAliveTime0">150000 or 2.5 minutes</string>
 23 |       <string id="KeepAliveTime1">300000 or 5 minutes (recommended)</string>
 24 |       <string id="KeepAliveTime2">600000 or 10 minutes</string>
 25 |       <string id="KeepAliveTime3">1200000 or 20 minutes</string>
 26 |       <string id="KeepAliveTime4">2400000 or 40 minutes</string>
 27 |       <string id="KeepAliveTime5">3600000 or 1 hour</string>
 28 |       <string id="KeepAliveTime6">7200000 or 2 hours (default value)</string>
 29 |       <string id="NoDefaultExempt">MSS: (NoDefaultExempt) Configure IPSec exemptions for various types of network traffic.</string>
 30 |       <string id="NoDefaultExempt_Help">MSS: (NoDefaultExempt) Configure IPSec exemptions for various types of network traffic.</string>
 31 |       <string id="NoDefaultExempt0">Allow all exemptions (least secure).</string>
 32 |       <string id="NoDefaultExempt1">Multicast, broadcast, and ISAKMP exempt.</string>
 33 |       <string id="NoDefaultExempt2">RSVP, Kerberos, and ISAKMP are exempt.</string>
 34 |       <string id="NoDefaultExempt3">Only ISAKMP is exempt.</string>
 35 |       <string id="NoNameReleaseOnDemand">MSS: (NoNameReleaseOnDemand) Allow the computer to ignore NetBIOS name release requests except from WINS servers</string>
 36 |       <string id="NoNameReleaseOnDemand_Help">MSS: (NoNameReleaseOnDemand) Allow the computer to ignore NetBIOS name release requests except from WINS servers</string>
 37 |       <string id="NtfsDisable8dot3NameCreation">MSS: (NtfsDisable8dot3NameCreation) Enable the computer to stop generating 8.3 style filenames</string>
 38 |       <string id="NtfsDisable8dot3NameCreation_Help">MSS: (NtfsDisable8dot3NameCreation) Enable the computer to stop generating 8.3 style filenames</string>
 39 |       <string id="NtfsDisable8dot3NameCreation0">Enable 8dot3 creation on all volumes.</string>
 40 |       <string id="NtfsDisable8dot3NameCreation1">Disable 8dot3 creation on all volumes.</string>
 41 |       <string id="NtfsDisable8dot3NameCreation2">Set 8dot3 name creation per volume using FSUTIL.</string>
 42 |       <string id="NtfsDisable8dot3NameCreation3">Disable 8dot3 creation on all volumes except the system volume.</string>
 43 |       <string id="PerformRouterDiscovery">MSS: (PerformRouterDiscovery) Allow IRDP to detect and configure Default Gateway addresses</string>
 44 |       <string id="PerformRouterDiscovery_Help">MSS: (PerformRouterDiscovery) Allow IRDP to detect and configure Default Gateway addresses</string>
 45 |       <string id="SafeDllSearchMode">MSS: (SafeDllSearchMode) Enable Safe DLL search mode</string>
 46 |       <string id="SafeDllSearchMode_Help">MSS: (SafeDllSearchMode) Enable Safe DLL search mode</string>
 47 |       <string id="ScreenSaverGracePeriod">MSS: (ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires</string>
 48 |       <string id="ScreenSaverGracePeriod_Help">MSS: (ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires</string>
 49 |       <string id="SynAttackProtect">MSS: (SynAttackProtect) SYN attack protection level</string>
 50 |       <string id="SynAttackProtect_Help">MSS: (SynAttackProtect) SYN attack protection level</string>
 51 |       <string id="SynAttackProtect0">No additional protection; use default settings.</string>
 52 |       <string id="SynAttackProtect1">Connections time out sooner if a SYN attack is detected.</string>
 53 |       <string id="TcpMaxConnectResponseRetransmissions">MSS: (TcpMaxConnectResponseRetransmissions) SYN-ACK retransmissions when a connection request is not acknowledged</string>
 54 |       <string id="TcpMaxConnectResponseRetransmissions_Help">MSS: (TcpMaxConnectResponseRetransmissions) SYN-ACK retransmissions when a connection request is not acknowledged</string>
 55 |       <string id="TcpMaxConnectResponseRetransmissions0">No retransmission; half-open connections dropped after 3 seconds.</string>
 56 |       <string id="TcpMaxConnectResponseRetransmissions1">3 seconds; half-open connections dropped after 9 seconds.</string>
 57 |       <string id="TcpMaxConnectResponseRetransmissions2">3 and 6 seconds; half-open connections dropped after 21 seconds.</string>
 58 |       <string id="TcpMaxConnectResponseRetransmissions3">3, 6, and 9 seconds; half-open connections dropped after 45 seconds.</string>
 59 |       <string id="TcpMaxDataRetransmissions">MSS: (TcpMaxDataRetransmissions) How many times unacknowledged data is retransmitted</string>
 60 |       <string id="TcpMaxDataRetransmissions_Help">MSS: (TcpMaxDataRetransmissions) How many times unacknowledged data is retransmitted</string>
 61 |       <string id="TcpMaxDataRetransmissionsIPv6">MSS: (TcpMaxDataRetransmissions IPv6) How many times unacknowledged data is retransmitted</string>
 62 |       <string id="TcpMaxDataRetransmissionsIPv6_Help">MSS: (TcpMaxDataRetransmissions IPv6) How many times unacknowledged data is retransmitted</string>
 63 |       <string id="WarningLevel">MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning</string>
 64 |       <string id="WarningLevel_Help">MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning</string>
 65 |       <string id="WarningLevel0">50%</string>
 66 |       <string id="WarningLevel1">60%</string>
 67 |       <string id="WarningLevel2">70%</string>
 68 |       <string id="WarningLevel3">80%</string>
 69 |       <string id="WarningLevel4">90%</string>
 70 | 
 71 |     </stringTable>
 72 | 
 73 |     <presentationTable>
 74 |       <presentation id="DisableIPSourceRouting">
 75 |         <dropdownList refId="DisableIPSourceRouting" noSort="true" defaultItem="1">DisableIPSourceRouting</dropdownList>
 76 |       </presentation>
 77 |       <presentation id="DisableIPSourceRoutingIPv6">
 78 |         <dropdownList refId="DisableIPSourceRoutingIPv6" noSort="true" defaultItem="1">DisableIPSourceRoutingIPv6</dropdownList>
 79 |       </presentation>
 80 |       <presentation id="KeepAliveTime">
 81 |         <dropdownList refId="KeepAliveTime" noSort="true" defaultItem="1">KeepAliveTime</dropdownList>
 82 |       </presentation>
 83 |       <presentation id="NoDefaultExempt">
 84 |         <dropdownList refId="NoDefaultExempt" noSort="true" defaultItem="1">NoDefaultExempt</dropdownList>
 85 |       </presentation>
 86 |       <presentation id="NtfsDisable8dot3NameCreation">
 87 |         <dropdownList refId="NtfsDisable8dot3NameCreation" noSort="true" defaultItem="0">NtfsDisable8dot3NameCreation</dropdownList>
 88 |       </presentation>
 89 |       <presentation id="ScreenSaverGracePeriod">
 90 |       <decimalTextBox refId="ScreenSaverGracePeriod" spinStep="1" defaultValue="5">ScreenSaverGracePeriod</decimalTextBox>
 91 |       </presentation>
 92 |       <presentation id="SynAttackProtect">
 93 |         <dropdownList refId="SynAttackProtect" noSort="true" defaultItem="0">SynAttackProtect</dropdownList>
 94 |       </presentation>
 95 |       <presentation id="TcpMaxConnectResponseRetransmissions">
 96 |         <dropdownList refId="TcpMaxConnectResponseRetransmissions" noSort="true" defaultItem="0">TcpMaxConnectResponseRetransmissions</dropdownList>
 97 |       </presentation>
 98 |       <presentation id="TcpMaxDataRetransmissions">
 99 |       <decimalTextBox refId="TcpMaxDataRetransmissions" spinStep="1" defaultValue="5">TcpMaxDataRetransmissions</decimalTextBox>
100 |       </presentation>
101 |       <presentation id="WarningLevel">
102 |         <dropdownList refId="WarningLevel" noSort="true" defaultItem="4">WarningLevel</dropdownList>
103 |       </presentation>
104 |     </presentationTable>
105 |   </resources>
106 | </policyDefinitionResources>
107 | 
108 | <!--
109 | ;========= Start of MSS Strings Values =========
110 | DisableAutoLogon = "MSS: (AutoAdminLogon) Enable Automatic Logon" 
111 | AutoReboot = "MSS: (AutoReboot) Allow Windows to automatically restart after a system crash"
112 | DisableSavePassword = "MSS: (DisableSavePassword) Prevent the dial-up passsword from being saved"
113 | EnableDeadGWDetect = "MSS: (EnableDeadGWDetect) Allow automatic detection of dead network gateways"
114 | EnableICMPRedirect = "MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes"
115 | HideFromBrowseList = "MSS: (Hidden) Hide Computer From the Browse List"
116 | KeepAliveTime = "MSS: (KeepAliveTime) How often keep-alive packets are sent in milliseconds"
117 | KeepAliveTime0 ="150000 or 2.5 minutes"
118 | KeepAliveTime1 ="300000 or 5 minutes" 
119 | KeepAliveTime2 ="600000 or 10 minutes"
120 | KeepAliveTime3 ="1200000 or 20 minutes"
121 | KeepAliveTime4 ="2400000 or 40 minutes"
122 | KeepAliveTime5 ="3600000 or 1 hour"
123 | KeepAliveTime6 ="7200000 or 2 hours"
124 | NoDefaultExempt = "MSS: (NoDefaultExempt) Configure IPSec exemptions for various types of network traffic." 
125 | NoDefaultExempt0 = "Allow all exemptions (least secure)."
126 | NoDefaultExempt1 = "Multicast, broadcast, & ISAKMP exempt"
127 | NoDefaultExempt2 = "RSVP, Kerberos, and ISAKMP are exempt."
128 | NoDefaultExempt3 = "Only ISAKMP is exempt" 
129 | NoNameReleaseOnDemand = "MSS: (NoNameReleaseOnDemand) Allow the computer to ignore NetBIOS name release requests except from WINS servers"
130 | NtfsDisable8dot3NameCreation = "MSS: (NtfsDisable8dot3NameCreation) Enable the computer to stop generating 8.3 style filenames"
131 | NtfsDisable8dot3NameCreation0 = "Enable 8Dot3 Creation on all Volumes"
132 | NtfsDisable8dot3NameCreation1 = "Disable 8Dot3 Creation on all Volumes"
133 | NtfsDisable8dot3NameCreation2 = "Set 8dot3 name creation per volume using FSUTIL
134 | NtfsDisable8dot3NameCreation3 = "Disable 8Dot3 name creation on all volumes except system volume"
135 | PerformRouterDiscovery = "MSS: (PerformRouterDiscovery) Allow IRDP to detect and configure Default Gateway addresses"
136 | SafeDllSearchMode = "MSS: (SafeDllSearchMode) Enable Safe DLL search mode"
137 | ScreenSaverGracePeriod = "MSS: (ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires"
138 | SynAttackProtect = "MSS: (SynAttackProtect) Syn attack protection level"
139 | SynAttackProtect0 = "No additional protection, use default settings"
140 | SynAttackProtect1 = "Connections time out sooner if a SYN attack is detected"
141 | TcpMaxConnectResponseRetransmissions = "MSS: (TcpMaxConnectResponseRetransmissions) SYN-ACK retransmissions when a connection request is not acknowledged"
142 | TcpMaxConnectResponseRetransmissions0 = "No retransmission, half-open connections dropped after 3 seconds"
143 | TcpMaxConnectResponseRetransmissions1 = "3 seconds, half-open connections dropped after 9 seconds"
144 | TcpMaxConnectResponseRetransmissions2 = "3 & 6 seconds, half-open connections dropped after 21 seconds"
145 | TcpMaxConnectResponseRetransmissions3 = "3, 6, & 9 seconds, half-open connections dropped after 45 seconds"
146 | TcpMaxDataRetransmissions = "MSS: (TcpMaxDataRetransmissions) How many times unacknowledged data is retransmitted"
147 | TcpMaxDataRetransmissionsIPv6 = "MSS: (TcpMaxDataRetransmissions IPv6) How many times unacknowledged data is retransmitted"
148 | WarningLevel = "MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning"
149 | WarningLevel0 = "50%"
150 | WarningLevel1 = "60%"
151 | WarningLevel2 = "70%"
152 | WarningLevel3 = "80%"
153 | WarningLevel4 = "90%"
154 | ;========= End of MSS Strings Values =========
155 | -->
156 | 


--------------------------------------------------------------------------------
/en-US/AdditionalSystemHardening.adml:
--------------------------------------------------------------------------------
  1 | <?xml version="1.0" encoding="utf-8"?>
  2 | <policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0" xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  3 |       <displayName>
  4 | 		Additional system hardening policies
  5 | 	</displayName>
  6 |       <description>
  7 | 		Additional system hardening policies
  8 | 	</description>
  9 |       <resources>
 10 |             <stringTable>
 11 |                   <!-- CATEGORIES -->
 12 |                   <string id="System">Additional system hardening settings</string>
 13 |                   <string id="Adobe">Additional Adobe Acrobat settings</string>
 14 |                   <!-- POLICIES -->
 15 |                   <!-- System policies -->
 16 |                   <string id="RemoteDCOM">Block remote DCOM connections</string>
 17 |                   <string id="RemoteDCOM_Explain">If you enable this policy, no remote clients may launch servers or connect to objects on this computer. Local clients cannot access remote DCOM servers; all DCOM traffic is blocked.
 18 | 
 19 | If you disable this policy, launching of servers and connecting to objects by remote clients is allowed on a per-class basis according to the value and access permissions of the class's LaunchPermission registry value and the global DefaultLaunchPermission registry value.</string>
 20 |                   <string id="LSA_RunAsPPL">Enable additional LSA process hardening</string>
 21 |                   <string id="LSA_RunAsPPL_Explain">Enable this option to allow the LSA process to run as a PPL (Protected Process Light), in order to disallow its debugging.</string>
 22 |                   <string id="LSA_SamDisableListenOnTCP">Disable the SAM server TCP listener</string>
 23 |                   <string id="LSA_SamDisableListenOnTCP_Explain">By default, the SAM server (lsass.exe) is constantly listening on a random TCP port, bound to all network interfaces.
 24 | 
 25 | Enabling this policy disables the TCP listener.</string>
 26 |                   <string id="SafeBootUserAccess">Disable standard users in Safe Mode</string>
 27 |                   <string id="SafeBootUserAccess_Explain">An adversary with standard user credentials who can boot into Microsoft Windows using Safe Mode, Safe Mode with Networking, or Safe Mode with Command Prompt options may be able to bypass system protections and security functionality. To reduce this risk, users with standard credentials should be prevented from using Safe Mode options to log in.
 28 | 
 29 | Enabling this policy will prevent standard users from opening a session in Safe Mode.
 30 | 
 31 | Disabling this policy will allow standard users to open a session in Safe Mode.</string>
 32 |                   <string id="AuthenticodeCertVerification">Enable the strict Authenticode signature verification mechanism</string>
 33 |                   <string id="AuthenticodeCertVerification_Explain">The strict Authenticode signature verification mechanism disallows adding extraneous information to the WIN_CERTIFICATE structure.</string>
 34 |                   <string id="LoadAppInit_DLLs">Allow custom DLL loading list for application processes</string>
 35 |                   <string id="LoadAppInit_DLLs_Explain">The list is located in the registry key HKLM:\Software\Microsoft\Windows NT\CurrentVersion\WindowsAppInit_DLLs</string>
 36 |                   <string id="MicroarchHardening">Enable Spectre and Meltdown mitigations</string>
 37 |                   <string id="MicroarchHardening_Explain">The FeatureSettingsOverride registry key in Windows, typically found under SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management and often managed alongside FeatureSettingsOverrideMask, provides administrators with granular control over software-based mitigations for CPU speculative execution vulnerabilities like Spectre and Meltdown.
 38 | 
 39 | These vulnerabilities can potentially allow unauthorized access to sensitive data. Windows implements various mitigations to counter these threats, but they can sometimes introduce performance overhead. The FeatureSettingsOverride key allows for a tailored approach, enabling administrators to selectively enable or disable specific mitigations—such as those for different variants of Spectre (like v2 or Speculative Store Bypass - SSB) and Meltdown—or even to disable all of them if the performance impact is deemed too high for a particular environment, or to apply specific configurations like disabling Hyper-Threading on Intel CPUs in conjunction with these mitigations.</string>
 40 |                   <string id="MicroarchHardening_Option1">Intel and AMD: enable all mitigations</string>
 41 |                   <string id="MicroarchHardening_Option2">Intel: enable all mitigations (with Hyper-Threading disabled)</string>
 42 |                   <string id="MicroarchHardening_Option3">Intel: enable mitigations for Spectre v2, Meltdown, and SSB</string>
 43 |                   <string id="MicroarchHardening_Option4">Intel: enable mitigations for Spectre v2 and Meltdown</string>
 44 |                   <string id="MicroarchHardening_Option5">Intel: enable mitigations for Meltdown only</string>
 45 |                   <string id="MicroarchHardening_Option6">AMD and ARM: enable mitigations for Spectre v2</string>
 46 |                   <string id="MicroarchHardening_Option7">Disable all mitigations</string>
 47 |                   <string id="KCET">Enable kernel-level shadow stacks</string>
 48 |                   <string id="KCET_Explain">This policy enables kernel-level shadow stacks, also known as Intel CET (Control-flow Enforcement Technology) or AMD Shadow Stack.
 49 | 
 50 | Please note that this security function requires specific hardware support (AMD Zen 3 or Intel 11th Gen processors) and OS support (Windows 21H2 or newer).</string>
 51 |                   <string id="WPBT">Disable the WPBT functionality</string>
 52 |                   <string id="WPBT_Explain">This policy disables the Windows Platform Binary Table (WPBT) functionality, which can be used for persistence through a UEFI implant.</string>
 53 |                   <string id="TTD">Disable Time-Travel Debugging</string>
 54 |                   <string id="TTD_Explain">This policy disables the Time-Travel Debugging (TTD) functionality, which can be used to dump sensitive process memory content and to launch third-party executables.</string>
 55 |                   <string id="CWDIllegalInDllSearch">Remove current working directory from DLL search</string>
 56 |                   <string id="CWDIllegalInDllSearch_Explain">The CWDIllegalInDllSearch registry entry is used to remove the current working directory (CWD) from the DLL search order.</string>
 57 |                   <string id="SEHOP">Enable Structured Exception Handling Overwrite Protection (SEHOP)</string>
 58 |                   <string id="SEHOP_Explain">SEHOP blocks exploits that use the Structured Exception Handling overwrite technique, a common buffer overflow attack.
 59 | 
 60 | This policy is only effective on 32-bit systems.</string>
 61 |                   <string id="NLA">Enable Network Level Authentication (NLA) for RDP connections</string>
 62 |                   <string id="NLA_Explain">This policy enables Network Level Authentication for RDP connections, with the following settings:
 63 | 
 64 | - TLS is required for server authentication and link encryption.
 65 | - High level of encryption (128-bit) for the data link.
 66 | - User authentication is required at connection time.
 67 | 
 68 | Disabling this policy does nothing.</string>
 69 |                   <string id="LMAuth">Harden network logons and authentication security</string>
 70 |                   <string id="LMAuth_Explain">Enable this policy to disable LM and NTLM authentication modes and enable the use of NTLMv2 only.
 71 | 
 72 | Disable this policy to restore LM and NTLMv1 capabilities, in addition to NTLMv2.</string>
 73 |                   <string id="WDigest">Disable WDigest protocol</string>
 74 |                   <string id="WDigest_Explain">Enabling this policy will disable the WDigest protocol, now considered obsolete.
 75 | 
 76 | Keeping WDigest enabled could allow an attacker to retrieve plain-text passwords stored in the LSA service with a tool such as Mimikatz, and it is therefore recommended to enable this policy.</string>
 77 |                   <string id="Logon">Domain credential caching hardening</string>
 78 |                   <string id="Logon_Explain">Enabling this policy modifies two settings related to how the local system handles domain-related credentials:
 79 | 
 80 | - Reduce the caching count (2 cached credentials) of domain-related credentials for offline authentication if no domain controller is available
 81 | - The delay before the credentials are cleared from memory after a logoff is set to 30 seconds.
 82 | 
 83 | These settings reduce the exposure time of credentials to attack tools such as Mimikatz.
 84 | 
 85 | NOTE: These settings can prevent a new session opening if the network is not available or if a domain controller is not reachable.</string>
 86 |                   <string id="ASLR">Force the randomization of relocatable images (ASLR)</string>
 87 |                   <string id="ASLR_Explain">Enabling this policy will enable ASLR even for relocatable images that do not explicitly expose this capability.
 88 | 
 89 | Disabling this policy will explicitly disable the ASLR mechanism.</string>
 90 |                   <string id="User32_Exception">Additional registry fix for CVE-2015-6161</string>
 91 |                   <string id="User32_Exception_Explain">Enable this policy to change the registry value FEATURE_ALLOW_USER32_EXCEPTION_HANDLER_HARDENING to 1.
 92 | 
 93 | This modification is necessary to fully fix an ASLR bypass vulnerability (CVE-2015-6161). For more information, refer to the MS15-124 security bulletin (https://docs.microsoft.com/en-us/security-updates/SecurityBulletins/2015/ms15-124).</string>
 94 |                   <string id="Info_Disclosure">Additional registry fix for CVE-2017-8529</string>
 95 |                   <string id="Info_Disclosure_Explain">Enable this policy to change the registry value FEATURE_ENABLE_PRINT_INFO_DISCLOSURE_FIX to 1.
 96 | 
 97 | This modification is necessary to fully fix an information disclosure vulnerability in Microsoft browsers (CVE-2017-8529). For more information, refer to the related security update guide (https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8529).</string>
 98 |                   <string id="MSCacheV2_Iteration">Number of PBKDF2 iterations for cached logon credential hashing</string>
 99 |                   <string id="MSCacheV2_Iteration_Explain">For domain logons, if credential caching is enabled, credentials are stored as MSCacheV2 hashes, derived using the PBKDF2-SHA1 hashing algorithm.
100 | 
101 | The number of iterations for the PBKDF2-SHA1 algorithm used for hashing operations can be controlled with this policy, with the following logic:
102 | 
103 | - For a value lower than or equal to 10240, the setting acts as a 1024-multiplier (for example, setting it to 20 will result in 20480 iterations).
104 | - For a value greater than 10240, the setting acts as the chosen value (modulo 1024).
105 | 
106 | The recommended value depends on the target environment, the CPU power available, and the performance hit you are willing to tolerate at logon (a high value can incur a net performance penalty for the logon process).
107 | 
108 | When the policy is enabled, the default value configured is 1954 (2,000,896 rounds). This is the recommended value (as of December 2022) for the PBKDF2-HMAC-SHA1 algorithm, considering the compute power of an RTX 4090 GPU in an offline brute-force attack model.
109 | 
110 | More information:
111 | - https://tobtu.com/minimum-password-settings/
112 | - https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html#pbkdf2</string>
113 |                   <string id="PSLockDownPolicy">Enable PowerShell Constrained Language Mode</string>
114 |                   <string id="PSLockDownPolicy_Explain">Enable the Constrained Language Mode for PowerShell. This mode disallows several language elements that can be leveraged by attackers to perform sensitive API calls.
115 |       
116 | NOTE: Since this policy only rewrites the __PSLockdownPolicy environment variable, this is not a secure way to enable CLM and is intended for defense-in-depth only. CLM can only be securely enforced by AppLocker and/or WDAC.</string>
117 |                   <string id="AdminShare_Wks">Disable administrative shares for workstations</string>
118 |                   <string id="AdminShare_Wks_Explain">Not recommended, except for highly secure environments.</string>
119 |                   <string id="AdminShare_Srv">Disable administrative shares for servers</string>
120 |                   <string id="AdminShare_Srv_Explain">Not recommended, except for highly secure environments.</string>
121 |                   <string id="Pol_SecGuide_PrintDriver">Limits print driver installation to Administrators</string>
122 |                   <string id="Pol_SecGuide_PrintDriver_Help">Determines whether users who are not Administrators can install print drivers on this computer.
123 | 
124 | By default, users who are not Administrators cannot install print drivers on this computer.
125 | 
126 | If you enable this setting or do not configure it, print driver installation will be limited to Administrators on this computer.
127 | 
128 | If you disable this setting, users who are not Administrators will also be able to install print drivers on this computer.
129 | 
130 | Additional information: https://support.microsoft.com/en-us/topic/kb5005010-restricting-installation-of-new-printer-drivers-after-applying-the-july-6-2021-updates-31b91c02-05bc-4ada-a7ea-183b129578a7</string>
131 |                   <string id="ProtectedRoots">Prevent standard users from installing root certificates</string>
132 |                   <string id="ProtectedRoots_Help">This policy prevents standard (non-administrator) users from installing root certificate authorities to their user-specific trust store.
133 | 
134 | Enabling this policy can help prevent code signing certificate cloning attacks. It is recommended to enable this policy.</string>
135 |                   <string id="AcrobatAI">Enable Generative AI features in Acrobat and Acrobat Reader</string>
136 |                   <string id="AcrobatAI_Help">The generative AI features in Acrobat and Acrobat Reader are turned on by default. This policy controls the state of the feature.
137 | 
138 | Enabling this policy will enable the Generative AI feature.
139 | 
140 | Disabling this policy will disable the Generative AI feature. For privacy purposes, it is recommended to set this policy to Disabled.</string>
141 |                   <string id="BlackLotusMitigation">Enable Secure Boot and Code Integrity mitigations for BlackLotus (CVE-2023-24932)</string>
142 |                   <string id="BlackLotusMitigation_Help">This policy sets the registry keys needed to apply the updated Secure Boot denylist (DBX), the new signing certificate in the allowlist (DB), the anti-rollback mechanism (SVN), and the Code Integrity Boot Policy, to prevent untrusted/vulnerable Windows boot managers from loading when Secure Boot is turned on.
143 | 
144 | IMPORTANT: Carefully read the Microsoft documentation associated with this protection, as it can render your device unable to boot if you do not follow the required preliminary steps:
145 | 
146 | - https://support.microsoft.com/en-us/topic/kb5025885-how-to-manage-the-windows-boot-manager-revocations-for-secure-boot-changes-associated-with-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d
147 | - https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24932
148 | 
149 | In particular, you should read all the step descriptions present in the list and the associated manual operations you need to perform (reboots, additional checks, etc.) for each of them in the documentation section:
150 | 
151 | - https://support.microsoft.com/en-us/topic/kb5025885-how-to-manage-the-windows-boot-manager-revocations-for-secure-boot-changes-associated-with-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d#bkmk_mitigation_guidelines</string>
152 |                   <string id="BlackLotusMitigation_Option1">Step 1: add the "Windows UEFI CA 2023" certificate to the DB</string>
153 |                   <string id="BlackLotusMitigation_Option2">Step 2: update the boot manager of the device</string>
154 |                   <string id="BlackLotusMitigation_Option3">Step 3: add the "Windows Production CA 2011" certificate to the revocation list (DBX)</string>
155 |                   <string id="BlackLotusMitigation_Option4">Step 4: apply the SVN update to the firmware</string>
156 |                   <string id="SudoCommand">Configure the Windows Sudo command behavior</string>
157 |                   <string id="SudoCommand_Help">This policy configures the behavior of the Sudo command introduced in Windows 11 24H2.
158 |       
159 | Possible choices are:
160 | 
161 | - Force a new elevated window to open (default behavior)
162 | - Disable inputs to the elevated process
163 | - Run in the current window
164 | - Disable the functionality
165 | 
166 | It is recommended to use the default behavior and let the Sudo command open a new elevated window.</string>
167 |                   <string id="SudoCommand_Option1">Force a new elevated window</string>
168 |                   <string id="SudoCommand_Option2">Disable inputs</string>
169 |                   <string id="SudoCommand_Option3">Run in the current window</string>
170 |                   <string id="SudoCommand_Option4">Disable the functionality</string>
171 |                   <string id="MandatoryVBS">Enable Virtualization-Based Security in Mandatory mode</string>
172 |                   <string id="MandatoryVBS_Explain">This policy enables the Virtualization-Based Security (VBS) function in Mandatory mode.
173 | 
174 | Mandatory mode is a new functionality introduced to prevent the Windows Downdate attack (and other related downgrading attacks) by forcing the verification of the components of the Secure Kernel and the hypervisor at boot time. Consequently, enabling this functionality can lead to boot failure (and a denial of service) in case of a modification of a core component of the Secure Kernel, hypervisor, or a related dependent module.
175 | 
176 | NOTE: if you already have Virtualization-Based Security enabled with UEFI Lock, this setting will not do anything, as the VBS configuration is already written and locked in a UEFI variable. This variable needs to be deleted using the bcdedit.exe tool before deploying the Mandatory flag and the UEFI Lock. Guidance and more information about this procedure are available here:
177 | 
178 | https://learn.microsoft.com/en-us/windows/security/identity-protection/credential-guard/configure?tabs=reg#disable-virtualization-based-security
179 | 
180 | Enabling this policy will set the Mandatory flag and force the verification of the VBS components at boot time.
181 | 
182 | Enabling this policy with UEFI Lock already enabled will do nothing.
183 | 
184 | Disabling this policy will disable the verification of the components, only if the UEFI Lock is not enabled. Otherwise, disabling this policy will do nothing.</string>
185 |                   <string id="CoInstallers">Block driver co-installers</string>
186 |                   <string id="CoInstallers_Help">A co-installer is a user-mode Win32 DLL that typically writes additional configuration information to the registry or performs other installation tasks that require information not available when an INF is written.
187 | 
188 | If you enable this setting, co-installer execution will be prevented, and additional configuration software for specific devices (mouse devices, gaming keyboards, etc.) must be downloaded and manually installed from the manufacturer's website.
189 | 
190 | If you disable this setting, co-installer execution will be permitted, which is a significant security risk (potentially dangerous code execution).</string>
191 |             </stringTable>
192 |             <presentationTable>
193 |                   <presentation id="MSCacheV2_Iteration">
194 |                         <decimalTextBox refId="MSCacheV2_Iteration_count" defaultValue="1954">Number of PBKDF2 rounds:</decimalTextBox>
195 |                   </presentation>
196 |                   <presentation id="MicroarchHardening_Presentation">
197 |                         <dropdownList refId="MicroarchHardening_DropdownList" noSort="true" defaultItem="1">Select an option:</dropdownList>
198 |                         <checkBox refId="HyperVMitigations">Enable Hyper-V mitigations for virtual machines below version 8.0</checkBox>
199 |                   </presentation>
200 |                   <presentation id="BlackLotusMitigation_Presentation">
201 |                         <dropdownList refId="BlackLotusMitigation_DropdownList" noSort="true" defaultItem="0">Select a step:</dropdownList>
202 |                   </presentation>
203 |                   <presentation id="SudoCommand_Presentation">
204 |                         <dropdownList refId="SudoCommand_DropdownList" noSort="true" defaultItem="0">Select an option:</dropdownList>
205 |                   </presentation>
206 |             </presentationTable>
207 |       </resources>
208 | </policyDefinitionResources>


--------------------------------------------------------------------------------
/fr-FR/AdditionalDebugPolicies.adml:
--------------------------------------------------------------------------------
 1 | <?xml version="1.0" encoding="utf-8"?>
 2 | <policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema"
 3 |       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0"
 4 |       xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
 5 |       <displayName>
 6 |             Paramètres de débogage supplémentaires
 7 |       </displayName>
 8 |       <description>
 9 |             Paramètres de débogage supplémentaires
10 |       </description>
11 |       <resources>
12 |             <stringTable>
13 |                   <string id="EnableKASAN">Activer l'assainisseur d'adresses du noyau (KASAN)</string>
14 |                   <string id="EnableKASAN_Explain">L'assainisseur d'adresses du noyau (KASAN) est une technologie de détection de bogues prise en charge pour les pilotes du noyau Windows qui vous permet de détecter plusieurs classes d'accès à la mémoire illégaux, telles que les dépassements de mémoire tampon et les utilisations après libération (use-after-free).
15 | 
16 | Cela nécessite d'activer KASAN sur votre système et de recompiler votre pilote de noyau avec un paramètre de compilation MSVC spécifique.
17 | 
18 | Cette politique contrôle le support de KASAN au niveau du noyau. Activer cette politique activera le support de KASAN. Désactiver cette politique désactivera le support de KASAN.</string>
19 |                   <string id="EnableDetailedBSOD">Activer les écrans bleus de la mort (BSOD) détaillés</string>
20 |                   <string id="EnableDetailedBSOD_Explain">Cette politique contrôle si des informations détaillées sont affichées lors d'un écran bleu de la mort (BSOD) :
21 | 
22 | - Si cette politique est désactivée, Windows n'affichera pas d'informations d'erreur d'arrêt détaillées sur l'écran bleu (par défaut).
23 | - Si cette politique est activée, Windows affichera des informations détaillées, similaires aux anciennes versions de Windows, ce qui peut être utile pour dépanner la cause du BSOD.</string>
24 |             </stringTable>
25 |       </resources>
26 | </policyDefinitionResources>


--------------------------------------------------------------------------------
/fr-FR/AdditionalDefenderPolicies.adml:
--------------------------------------------------------------------------------
  1 | <?xml version="1.0" encoding="utf-8"?>
  2 | <policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema"
  3 |       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0"
  4 |       xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  5 |       <displayName>
  6 |             Paramètres de durcissement supplémentaires pour Defender
  7 |       </displayName>
  8 |       <description>
  9 |             Paramètres de durcissement supplémentaires pour Defender
 10 |       </description>
 11 |       <resources>
 12 |             <stringTable>
 13 |                   <!-- CATEGORIES -->
 14 |                   <string id="Defender">Paramètres de durcissement pour Windows Defender</string>
 15 |                   <string id="ASR">Règles de réduction de la surface d'attaque (ASR)</string>
 16 |                   <!-- POLICIES -->
 17 |                   <string id="DefenderSandboxing">Activer le bac à sable de Windows Defender</string>
 18 |                   <string id="DefenderSandboxing_Explain">Cette politique permet d'activer le bac à sable pour le processus principal de Windows Defender, permettant à celui-ci d'appliquer des durcissements modernes au processus (ALSR, CFG, DEP, signature du code chargé, ...)
 19 | 
 20 | Plus d'informations : https://www.microsoft.com/en-us/security/blog/2018/10/26/windows-defender-antivirus-can-now-run-in-a-sandbox/</string>
 21 |                   <string id="ExploitGuard_ASR_Rules_Lsass">Bloquer le vol d'informations d'identification du sous-système de l'autorité de sécurité locale Windows (lsass.exe)</string>
 22 |                   <string id="ExploitGuard_ASR_Rules_Lsass_Explain">Cette règle aide à prévenir le vol d'informations d'identification en bloquant les tentatives d'injection de code ciblant lsass.exe.
 23 | 
 24 | L'activation de cette règle ne fournit pas de protection supplémentaire si la protection LSA est activée, car la règle ASR et la protection LSA fonctionnent de manière similaire. Cependant, lorsque la protection LSA ne peut pas être activée, cette règle peut être configurée pour fournir une protection équivalente contre les logiciels malveillants qui ciblent lsass.exe.</string>
 25 |                   <string id="ExploitGuard_ASR_Rules_Drivers">Bloquer l'abus de pilotes signés vulnérables exploités</string>
 26 |                   <string id="ExploitGuard_ASR_Rules_Drivers_Explain">Cette règle empêche une application d'écrire un pilote signé vulnérable sur le disque.</string>
 27 |                   <string id="ExploitGuard_ASR_Rules_AdobeReader">Empêcher Adobe Reader de créer des processus enfants</string>
 28 |                   <string id="ExploitGuard_ASR_Rules_AdobeReader_Explain">Cette règle prévient les attaques en empêchant Adobe Reader de créer des processus.</string>
 29 |                   <string id="ExploitGuard_ASR_Rules_Office_CreateProcess">Empêcher toutes les applications Office de créer des processus enfants</string>
 30 |                   <string id="ExploitGuard_ASR_Rules_Office_CreateProcess_Explain">Cette règle empêche les applications Office de créer des processus enfants. Les applications Office incluent Word, Excel, PowerPoint, OneNote et Access.</string>
 31 |                   <string id="ExploitGuard_ASR_Rules_Email">Bloquer le contenu exécutable du client de messagerie et du webmail</string>
 32 |                   <string id="ExploitGuard_ASR_Rules_Email_Explain">Cette règle empêche les e-mails ouverts dans l'application Microsoft Outlook, ou Outlook.com et d'autres fournisseurs de webmail populaires, de propager les types de fichiers suivants :
 33 | 
 34 | - Fichiers exécutables (fichiers avec l'extension .exe, .dll, ou .scr)
 35 | - Fichiers de script (fichiers PowerShell .ps1, Visual Basic .vbs, ou JavaScript .js)</string>
 36 |                   <string id="ExploitGuard_ASR_Rules_SmartScreen">Bloquer l'exécution des fichiers exécutables sauf s'ils répondent à un critère de prévalence, d'âge ou de liste de confiance</string>
 37 |                   <string id="ExploitGuard_ASR_Rules_SmartScreen_Explain">Cette règle empêche le lancement de fichiers exécutables, tels que .exe, .dll ou .scr. Ainsi, le lancement de fichiers exécutables non approuvés ou inconnus peut être risqué, car il n'est pas toujours clair au départ si les fichiers sont malveillants.
 38 | 
 39 | Vous devez activer la protection fournie par le cloud pour utiliser cette règle.</string>
 40 |                   <string id="ExploitGuard_ASR_Rules_Obfuscated">Bloquer l'exécution de scripts potentiellement obfusqués</string>
 41 |                   <string id="ExploitGuard_ASR_Rules_Obfuscated_Explain">Cette règle bloque les scripts qui semblent être obfusqués pour masquer un contenu malveillant.
 42 | 
 43 | Vous devez activer la protection fournie par le cloud pour utiliser cette règle.</string>
 44 |                   <string id="ExploitGuard_ASR_Rules_Script_Staging">Empêcher JavaScript ou VBScript de lancer du contenu exécutable téléchargé</string>
 45 |                   <string id="ExploitGuard_ASR_Rules_Script_Staging_Explain">Cette règle empêche les scripts de lancer du contenu téléchargé potentiellement malveillant. Les logiciels malveillants écrits en JavaScript ou VBScript agissent souvent comme des téléchargeurs pour récupérer et lancer d'autres logiciels malveillants depuis Internet. Bien que peu courant, les applications métier utilisent parfois des scripts pour télécharger et lancer des programmes d'installation.</string>
 46 |                   <string id="ExploitGuard_ASR_Rules_Office_CreateExecutable">Empêcher les applications Office de créer du contenu exécutable</string>
 47 |                   <string id="ExploitGuard_ASR_Rules_Office_CreateExecutable_Explain">Cette règle empêche les applications Office, y compris Word, Excel et PowerPoint, de créer du contenu exécutable potentiellement malveillant, en bloquant l'écriture de code malveillant sur le disque.</string>
 48 |                   <string id="ExploitGuard_ASR_Rules_Office_Injection">Empêcher les applications Office d'injecter du code dans d'autres processus</string>
 49 |                   <string id="ExploitGuard_ASR_Rules_Office_Injection_Explain">Cette règle bloque les tentatives d'injection de code des applications Office dans d'autres processus. Cette règle s'applique à Word, Excel, OneNote et PowerPoint.</string>
 50 |                   <string id="ExploitGuard_ASR_Rules_OfficeComm_CreateProcess">Empêcher l'application de communication Office de créer des processus enfants</string>
 51 |                   <string id="ExploitGuard_ASR_Rules_OfficeComm_CreateProcess_Explain">Cette règle empêche Outlook de créer des processus enfants, tout en autorisant les fonctions légitimes d'Outlook. Cette règle s'applique uniquement à Outlook et Outlook.com.</string>
 52 |                   <string id="ExploitGuard_ASR_Rules_WMIPersistence">Bloquer la persistance via l'abonnement aux événements WMI</string>
 53 |                   <string id="ExploitGuard_ASR_Rules_WMIPersistence_Explain">Cette règle empêche les logiciels malveillants d'abuser de WMI pour atteindre la persistance sur un appareil.</string>
 54 |                   <string id="ExploitGuard_ASR_Rules_PSExec">Bloquer les créations de processus issues des commandes PSExec et WMI</string>
 55 |                   <string id="ExploitGuard_ASR_Rules_PSExec_Explain">Cette règle bloque l'exécution des processus créés via PsExec et WMI.</string>
 56 |                   <string id="ExploitGuard_ASR_Rules_SafeMode">Bloquer le redémarrage de l'ordinateur en Mode sans échec (aperçu)</string>
 57 |                   <string id="ExploitGuard_ASR_Rules_SafeMode_Explain">Cette règle empêche l'exécution de commandes pour redémarrer les ordinateurs en Mode sans échec.</string>
 58 |                   <string id="ExploitGuard_ASR_Rules_USB">Bloquer les processus non approuvés et non signés exécutés depuis une clé USB</string>
 59 |                   <string id="ExploitGuard_ASR_Rules_USB_Explain">Avec cette règle, les administrateurs peuvent empêcher les fichiers exécutables non signés ou non approuvés de s'exécuter à partir de lecteurs amovibles USB, y compris les cartes SD. Les types de fichiers bloqués incluent les fichiers exécutables (tels que .exe, .dll ou .scr).</string>
 60 |                   <string id="ExploitGuard_ASR_Rules_ToolCopy">Bloquer l'utilisation d'outils système copiés ou usurpés (aperçu)</string>
 61 |                   <string id="ExploitGuard_ASR_Rules_ToolCopy_Explain">Cette règle bloque l'utilisation de fichiers exécutables identifiés comme des copies d'outils système Windows. Ces fichiers sont soit des doublons, soit des imposteurs des outils système d'origine.</string>
 62 |                   <string id="ExploitGuard_ASR_Rules_Webshell">Bloquer la création de Webshell pour les serveurs</string>
 63 |                   <string id="ExploitGuard_ASR_Rules_Webshell_Explain">Cette règle bloque la création de scripts web shell sur Microsoft Server, rôle Exchange.</string>
 64 |                   <string id="ExploitGuard_ASR_Rules_Office_MacroWin32API">Bloquer les appels d'API Win32 à partir des macros Office</string>
 65 |                   <string id="ExploitGuard_ASR_Rules_Office_MacroWin32API_Explain">Cette règle empêche les macros VBA d'appeler les API Win32. La plupart des organisations ne comptent pas sur la capacité d'appeler les API Win32 dans leur fonctionnement quotidien, même si elles utilisent des macros d'autres manières.</string>
 66 |                   <string id="ExploitGuard_ASR_Rules_Ransomware">Utiliser la protection avancée contre les rançongiciels</string>
 67 |                   <string id="ExploitGuard_ASR_Rules_Ransomware_Explain">Cette règle fournit une couche supplémentaire de protection contre les rançongiciels. Elle utilise des heuristiques client et cloud pour déterminer si un fichier ressemble à un rançongiciel. Cette règle ne bloque pas les fichiers qui présentent une ou plusieurs des caractéristiques suivantes :
 68 | 
 69 | - Le fichier a déjà été jugé comme sûr par le cloud Microsoft.
 70 | - Le fichier est un fichier signé valide.
 71 | - Le fichier est assez répandu pour ne pas être considéré comme un rançongiciel.
 72 | 
 73 | Vous devez activer la protection fournie par le cloud pour utiliser cette règle.</string>
 74 |                   <string id="AuditMode">Mode audit</string>
 75 |                   <string id="WarnMode">Mode avertissement</string>
 76 |                   <string id="BlockMode">Mode blocage</string>
 77 |                   <string id="DisabledMode">Désactivé</string>
 78 |             </stringTable>
 79 |             <presentationTable>
 80 |                   <presentation id="ExploitGuard_ASR_Rules_Lsass">
 81 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Lsass_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
 82 |                         <text>Modes des règles ASR :
 83 | 
 84 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
 85 | Mode blocage : État dans lequel la règle ASR est activée.
 86 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
 87 | 
 88 | Remarque : La règle ASR « Bloquer le vol d'informations d'identification du sous-système de l'autorité de sécurité locale Windows (lsass.exe) » ne prend pas en charge le mode AVERTISSEMENT.</text>
 89 |                   </presentation>
 90 |                   <presentation id="ExploitGuard_ASR_Rules_Drivers">
 91 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Drivers_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
 92 |                         <text>Modes des règles ASR :
 93 | 
 94 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
 95 | Mode blocage : État dans lequel la règle ASR est activée.
 96 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
 97 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
 98 |                   </presentation>
 99 |                   <presentation id="ExploitGuard_ASR_Rules_AdobeReader">
100 |                         <dropdownList refId="ExploitGuard_ASR_Rules_AdobeReader_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
101 |                         <text>Modes des règles ASR :
102 | 
103 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
104 | Mode blocage : État dans lequel la règle ASR est activée.
105 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
106 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
107 |                   </presentation>
108 |                   <presentation id="ExploitGuard_ASR_Rules_Office_CreateProcess">
109 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Office_CreateProcess_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
110 |                         <text>Modes des règles ASR :
111 | 
112 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
113 | Mode blocage : État dans lequel la règle ASR est activée.
114 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
115 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
116 |                   </presentation>
117 |                   <presentation id="ExploitGuard_ASR_Rules_Email">
118 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Email_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
119 |                         <text>Modes des règles ASR :
120 | 
121 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
122 | Mode blocage : État dans lequel la règle ASR est activée.
123 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
124 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
125 |                   </presentation>
126 |                   <presentation id="ExploitGuard_ASR_Rules_SmartScreen">
127 |                         <dropdownList refId="ExploitGuard_ASR_Rules_SmartScreen_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
128 |                         <text>Modes des règles ASR :
129 | 
130 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
131 | Mode blocage : État dans lequel la règle ASR est activée.
132 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
133 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
134 |                   </presentation>
135 |                   <presentation id="ExploitGuard_ASR_Rules_Obfuscated">
136 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Obfuscated_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
137 |                         <text>Modes des règles ASR :
138 | 
139 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
140 | Mode blocage : État dans lequel la règle ASR est activée.
141 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
142 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
143 |                   </presentation>
144 |                   <presentation id="ExploitGuard_ASR_Rules_Script_Staging">
145 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Script_Staging_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
146 |                         <text>Modes des règles ASR :
147 | 
148 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
149 | Mode blocage : État dans lequel la règle ASR est activée.
150 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
151 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
152 |                   </presentation>
153 |                   <presentation id="ExploitGuard_ASR_Rules_Office_CreateExecutable">
154 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Office_CreateExecutable_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
155 |                         <text>Modes des règles ASR :
156 | 
157 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
158 | Mode blocage : État dans lequel la règle ASR est activée.
159 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
160 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
161 |                   </presentation>
162 |                   <presentation id="ExploitGuard_ASR_Rules_Office_Injection">
163 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Office_Injection_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
164 |                         <text>Modes des règles ASR :
165 | 
166 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
167 | Mode blocage : État dans lequel la règle ASR est activée.
168 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
169 | 
170 | Remarque : La règle ASR « Empêcher les applications Office d'injecter du code dans d'autres processus » ne prend pas en charge le mode AVERTISSEMENT.</text>
171 |                   </presentation>
172 |                   <presentation id="ExploitGuard_ASR_Rules_OfficeComm_CreateProcess">
173 |                         <dropdownList refId="ExploitGuard_ASR_Rules_OfficeComm_CreateProcess_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
174 |                         <text>Modes des règles ASR :
175 | 
176 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
177 | Mode blocage : État dans lequel la règle ASR est activée.
178 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
179 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
180 |                   </presentation>
181 |                   <presentation id="ExploitGuard_ASR_Rules_WMIPersistence">
182 |                         <dropdownList refId="ExploitGuard_ASR_Rules_WMIPersistence_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
183 |                         <text>Modes des règles ASR :
184 | 
185 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
186 | Mode blocage : État dans lequel la règle ASR est activée.
187 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
188 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
189 |                   </presentation>
190 |                   <presentation id="ExploitGuard_ASR_Rules_PSExec">
191 |                         <dropdownList refId="ExploitGuard_ASR_Rules_PSExec_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
192 |                         <text>Modes des règles ASR :
193 | 
194 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
195 | Mode blocage : État dans lequel la règle ASR est activée.
196 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
197 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
198 |                   </presentation>
199 |                   <presentation id="ExploitGuard_ASR_Rules_SafeMode">
200 |                         <dropdownList refId="ExploitGuard_ASR_Rules_SafeMode_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
201 |                         <text>Modes des règles ASR :
202 | 
203 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
204 | Mode blocage : État dans lequel la règle ASR est activée.
205 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
206 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
207 |                   </presentation>
208 |                   <presentation id="ExploitGuard_ASR_Rules_USB">
209 |                         <dropdownList refId="ExploitGuard_ASR_Rules_USB_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
210 |                         <text>Modes des règles ASR :
211 | 
212 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
213 | Mode blocage : État dans lequel la règle ASR est activée.
214 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
215 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
216 |                   </presentation>
217 |                   <presentation id="ExploitGuard_ASR_Rules_ToolCopy">
218 |                         <dropdownList refId="ExploitGuard_ASR_Rules_ToolCopy_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
219 |                         <text>Modes des règles ASR :
220 | 
221 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
222 | Mode blocage : État dans lequel la règle ASR est activée.
223 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
224 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
225 |                   </presentation>
226 |                   <presentation id="ExploitGuard_ASR_Rules_Webshell">
227 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Webshell_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
228 |                         <text>Modes des règles ASR :
229 | 
230 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
231 | Mode blocage : État dans lequel la règle ASR est activée.
232 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
233 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
234 |                   </presentation>
235 |                   <presentation id="ExploitGuard_ASR_Rules_Office_MacroWin32API">
236 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Office_MacroWin32API_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
237 |                         <text>Modes des règles ASR :
238 | 
239 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
240 | Mode blocage : État dans lequel la règle ASR est activée.
241 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
242 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
243 |                   </presentation>
244 |                   <presentation id="ExploitGuard_ASR_Rules_Ransomware">
245 |                         <dropdownList refId="ExploitGuard_ASR_Rules_Ransomware_Options" defaultItem="1" noSort="true">Mode:</dropdownList>
246 |                         <text>Modes des règles ASR :
247 | 
248 | Non configuré ou Désactivé : État dans lequel la règle ASR n'est pas activée.
249 | Mode blocage : État dans lequel la règle ASR est activée.
250 | Mode audit : État dans lequel la règle ASR est évaluée pour l'effet qu'elle aurait sur l'organisation ou l'environnement si elle était activée (définie sur Mode blocage ou Mode avertissement).
251 | Mode avertissement : État dans lequel la règle ASR est activée et présente une notification à l'utilisateur final, mais permet à l'utilisateur final de contourner le blocage.</text>
252 |                   </presentation>
253 |             </presentationTable>
254 |       </resources>
255 | </policyDefinitionResources>


--------------------------------------------------------------------------------
/fr-FR/AdditionalHardening.adml:
--------------------------------------------------------------------------------
 1 | <?xml version="1.0" encoding="utf-8"?>
 2 | <policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema"
 3 |       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0"
 4 |       xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
 5 |       <displayName>
 6 |             Paramètres de durcissement supplémentaires
 7 |       </displayName>
 8 |       <description>
 9 |             Paramètres de durcissement supplémentaires
10 |       </description>
11 |       <resources>
12 |             <stringTable>
13 |                   <!-- CATEGORIES -->
14 |                   <string id="Cat_AddHard">Paramètres de durcissement supplémentaires</string>
15 |                   <string id="Cat_Debug">Paramètres de débogage supplémentaires</string>
16 |                   <string id="Cat_MSFT">Paramètres de durcissement du Microsoft Security Guide</string>
17 |                   <string id="Cat_Legacy">Paramètres de durcissement hérités MSS</string>
18 |             </stringTable>
19 |       </resources>
20 | </policyDefinitionResources>


--------------------------------------------------------------------------------
/fr-FR/AdditionalHardeningFromMicrosoft.adml:
--------------------------------------------------------------------------------
  1 | <?xml version="1.0" encoding="utf-8"?>
  2 | <!--  (c) 2014-2018 Microsoft Corporation  -->
  3 | <policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0" xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  4 |       <displayName>
  5 |             Guide de sécurité Microsoft
  6 |       </displayName>
  7 |       <description>
  8 |             Mesures d'atténuation du Guide de sécurité Microsoft
  9 |       </description>
 10 |       <resources>
 11 |             <stringTable>
 12 |                   <string id="SUPPORTED_WindowsServer2008AndNewer">Windows Server 2008 et versions ultérieures</string>
 13 |                   <string id="Pol_SecGuide_LATFP">Appliquer les restrictions UAC aux comptes locaux lors des ouvertures de session réseau</string>
 14 |                   <string id="Pol_SecGuide_LATFP_Help">Ce paramètre contrôle si les comptes locaux peuvent être utilisés pour l'administration à distance via une ouverture de session réseau (par exemple, NET USE, connexion à C$, etc.). Les comptes locaux présentent un risque élevé de vol d'identifiants lorsque le même compte et le même mot de passe sont configurés sur plusieurs systèmes. L'activation de cette stratégie réduit considérablement ce risque.
 15 | 
 16 | Activé (recommandé) : Applique le filtrage des jetons UAC aux comptes locaux lors des ouvertures de session réseau. L'appartenance à des groupes privilégiés tels que les Administrateurs est désactivée et les privilèges élevés sont supprimés du jeton d'accès résultant. Cela configure la valeur de Registre LocalAccountTokenFilterPolicy à 0. C'est le comportement par défaut pour Windows.
 17 | 
 18 | Désactivé : Permet aux comptes locaux d'avoir des droits administratifs complets lors de l'authentification via une ouverture de session réseau, en configurant la valeur de Registre LocalAccountTokenFilterPolicy à 1.
 19 | 
 20 | Pour plus d'informations sur les comptes locaux et le vol d'identifiants, consultez « Atténuation des attaques Pass-the-Hash (PtH) et autres techniques de vol d'identifiants » : http://www.microsoft.com/en-us/download/details.aspx?id=36036.
 21 | 
 22 | Pour plus d'informations sur LocalAccountTokenFilterPolicy, consultez http://support.microsoft.com/kb/951016.</string>
 23 |                   <string id="Pol_SecGuide_WDigestAuthn">Authentification WDigest (nécessite KB2871997)</string>
 24 |                   <string id="Pol_SecGuide_WDigestAuthn_Help">Lorsque l'authentification WDigest est activée, Lsass.exe conserve une copie du mot de passe de l'utilisateur en texte clair en mémoire, où il peut être exposé au vol. Microsoft recommande de désactiver l'authentification WDigest sauf si elle est nécessaire.
 25 | 
 26 | Si ce paramètre n'est pas configuré, l'authentification WDigest est désactivée dans Windows 8.1 et Windows Server 2012 R2 ; elle est activée par défaut dans les versions antérieures de Windows et Windows Server.
 27 | 
 28 | La mise à jour KB2871997 doit d'abord être installée pour désactiver l'authentification WDigest à l'aide de ce paramètre dans Windows 7, Windows 8, Windows Server 2008 R2 et Windows Server 2012.
 29 | 
 30 | Activé : Active l'authentification WDigest.
 31 | 
 32 | Désactivé (recommandé) : Désactive l'authentification WDigest. Pour que ce paramètre fonctionne sur Windows 7, Windows 8, Windows Server 2008 R2 ou Windows Server 2012, KB2871997 doit d'abord être installé.
 33 | 
 34 | Pour plus d'informations, consultez http://support.microsoft.com/kb/2871997 et http://blogs.technet.com/b/srd/archive/2014/06/05/an-overview-of-kb2871997.aspx .</string>
 35 |                   <string id="Pol_SecGuide_LsassAudit">Mode audit de Lsass.exe</string>
 36 |                   <string id="Pol_SecGuide_LsassAudit_Help">Activer l'audit de Lsass.exe pour évaluer la faisabilité de l'activation de la protection LSA. Pour plus d'informations, consultez http://technet.microsoft.com/en-us/library/dn408187.aspx</string>
 37 |                   <string id="Pol_SecGuide_LsassRunAsPPL">Protection LSA</string>
 38 |                   <string id="Pol_SecGuide_LsassRunAsPPL_Help">Pour Windows 11, version 22H2 et ultérieures, un nouveau paramètre est utilisé pour configurer cela. Il se trouve sous 'Système\Autorité de sécurité locale\Configurer LSASS pour s'exécuter en tant que processus protégé', qui offre des options de configuration supplémentaires.
 39 | 	  
 40 | Activer la protection LSA.
 41 | 	  
 42 | Pour plus d'informations, consultez http://technet.microsoft.com/en-us/library/dn408187.aspx</string>
 43 |                   <string id="Pol_SecGuide_RemoveRunasdifferentuser">Supprimer « Exécuter en tant qu'utilisateur différent » des menus contextuels</string>
 44 |                   <string id="Pol_SecGuide_RemoveRunasdifferentuser_Help">Ce paramètre contrôle si « Exécuter en tant qu'utilisateur différent » apparaît dans le menu contextuel Maj+Clic droit pour les fichiers .bat, .cmd, .exe et .msc.
 45 | 
 46 | Activé (recommandé) : Empêche « Exécuter en tant qu'utilisateur différent » d'apparaître dans le menu contextuel lorsque l'utilisateur maintient la touche Maj enfoncée tout en cliquant avec le bouton droit sur un fichier .bat, .cmd, .exe ou .msc dans l'Explorateur.
 47 | 
 48 | Désactivé : Restaure le comportement par défaut de Windows pour « Exécuter en tant qu'utilisateur différent ».</string>
 49 |                   <string id="Pol_SecGuide_SEHOP">Activer la protection contre le remplacement de la gestion structurée des exceptions (SEHOP)</string>
 50 |                   <string id="Pol_SecGuide_SEHOP_Help">Si ce paramètre est activé, SEHOP est appliqué. Pour plus d'informations, consultez https://support.microsoft.com/en-us/help/956607/how-to-enable-structured-exception-handling-overwrite-protection-sehop-in-windows-operating-systems.
 51 | 
 52 | Si ce paramètre est désactivé ou non configuré, SEHOP n'est pas appliqué pour les processus 32 bits.</string>
 53 |                   <string id="Pol_SecGuide_SMBv1Server">Configurer le serveur SMB v1</string>
 54 |                   <string id="Pol_SecGuide_SMBv1Server_Help">La désactivation de ce paramètre désactive le traitement côté serveur du protocole SMBv1. (Recommandé.)
 55 | 
 56 | L'activation de ce paramètre active le traitement côté serveur du protocole SMBv1. (Par défaut.)
 57 | 
 58 | Les modifications apportées à ce paramètre nécessitent un redémarrage pour prendre effet.
 59 | 
 60 | Pour plus d'informations, consultez https://support.microsoft.com/kb/2696547</string>
 61 |                   <string id="Pol_SecGuide_SMBv1ClientDriver">Configurer le client SMB v1</string>
 62 |                   <string id="Pol_SecGuide_SMBv1ClientDriver_Help">Configure le type de démarrage du client SMB v1.
 63 | 
 64 | Pour désactiver le traitement côté client du protocole SMBv1, activez cette politique, puis sélectionnez « Désactiver le pilote » dans la liste déroulante.
 65 | 
 66 | AVERTISSEMENT : NE SÉLECTIONNEZ EN AUCUN CAS LE BOUTON RADIO « DÉSACTIVÉ » !
 67 | 
 68 | Pour Windows 7 et les versions Server 2008, 2008R2 et 2012, vous devez également configurer le paramètre « Configurer le client SMB v1 (paramètre supplémentaire requis pour les versions antérieures à Win8.1/2012R2) ».
 69 | 
 70 | Pour restaurer le comportement par défaut côté client de SMBv1, sélectionnez « Activé » et choisissez la valeur par défaut correcte dans la liste déroulante :
 71 | * « Démarrage manuel » pour Windows 7 et Windows Server 2008, 2008R2 et 2012 ;
 72 | * « Démarrage automatique » pour Windows 8.1 et Windows Server 2012R2 et versions ultérieures.
 73 | 
 74 | Les modifications apportées à ce paramètre nécessitent un redémarrage pour prendre effet.
 75 | 
 76 | Pour plus d'informations, consultez https://support.microsoft.com/kb/2696547 </string>
 77 |                   <string id="SMB1DriverDisable">Désactiver le service (recommandé)</string>
 78 |                   <string id="SMB1DriverManualStart">Démarrage manuel (par défaut pour Win7/2008/2008R2/2012)</string>
 79 |                   <string id="SMB1DriverAutomaticStart">Démarrage automatique (par défaut pour Win8.1/2012R2/ultérieur)</string>
 80 |                   <!-- NetBT NodeTYpe -->
 81 |                   <string id="Pol_SecGuide_NetbtNodeTypeCfg">Configuration du NodeType NetBT</string>
 82 |                   <string id="Pol_SecGuide_NetbtNodeTypeCfg_Help">Le paramètre NodeType NetBT détermine les méthodes utilisées par NetBT pour enregistrer et résoudre les noms :
 83 | 
 84 | * Un ordinateur de type B utilise les diffusions.
 85 | * Un ordinateur de type P utilise uniquement des requêtes de nom point à point vers un serveur de noms (WINS).
 86 | * Un ordinateur de type M diffuse d'abord, puis interroge le serveur de noms.
 87 | * Un ordinateur de type H interroge d'abord le serveur de noms, puis diffuse.
 88 | 
 89 | La résolution via LMHOSTS ou DNS suit ces méthodes. Si la valeur NodeType est présente, elle remplace toute valeur DhcpNodeType.
 90 | Si ni NodeType ni DhcpNodeType ne sont présents, l'ordinateur utilise le type B s'il n'y a pas de serveurs WINS configurés pour le réseau, ou le type H s'il y a au moins un serveur WINS configuré.</string>
 91 |                   <string id="NetBtNodeTypeB">Type B</string>
 92 |                   <string id="NetBtNodeTypeP">Type P (recommandé)</string>
 93 |                   <string id="NetBtNodeTypeM">Type M</string>
 94 |                   <string id="NetBtNodeTypeH">Type H</string>
 95 |                   <string id="Pol_SecGuide_Block_Flash">Bloquer l'activation de Flash dans les documents Office</string>
 96 |                   <string id="Pol_SecGuide_Block_Flash_Help">Ce paramètre de stratégie contrôle si le contrôle Adobe Flash peut être activé dans les documents Office. Notez que le blocage de l'activation s'applique uniquement au sein des processus Office.
 97 | 
 98 | Si vous activez ce paramètre de stratégie, vous pouvez choisir parmi trois options pour contrôler si et comment Flash est bloqué à l'activation :
 99 | 
100 | 1. « Bloquer toute activation » empêche le chargement du contrôle Flash, qu'il soit directement référencé par le document ou indirectement par un autre objet incorporé.
101 | 
102 | 2. « Bloquer l'incorporation/liaison, autoriser autre activation » empêche le chargement du contrôle Flash lorsqu'il est directement référencé par le document, mais n'empêche pas l'activation via un autre objet.
103 | 
104 | 3. « Autoriser toute activation » restaure le comportement par défaut d'Office, permettant l'activation du contrôle Flash.
105 | 
106 | Comme ce paramètre n'est pas un véritable paramètre de stratégie de groupe et qu'il « tatoue » le Registre, l'activation de l'option « Autoriser toute activation » est le seul moyen de restaurer le comportement par défaut après l'application de l'une des options « Bloquer ». Nous ne recommandons pas de configurer ce paramètre sur « Désactivé », ni sur « Non configuré » après son activation.</string>
107 |                   <string id="BlockFlash_BlockActivation">Bloquer toute activation</string>
108 |                   <string id="BlockFlash_BlockEmbedded">Bloquer l'incorporation/liaison, autoriser autre activation</string>
109 |                   <string id="BlockFlash_AllowAll">Autoriser toute activation</string>
110 |                   <string id="Pol_SecGuide_Legacy_JScript">Restreindre l'exécution de JScript hérité pour Office</string>
111 |                   <string id="Pol_SecGuide_Legacy_JScript_Help">Ce paramètre de stratégie contrôle l'exécution de JScript par zone de sécurité dans Internet Explorer et le contrôle WebBrowser (WebOC) pour les applications Office.
112 | 
113 | Il est important de déterminer si JScript hérité est utilisé pour fournir des fonctionnalités critiques pour l'entreprise avant d'activer ce paramètre.
114 | 
115 | Si activé, les applications Office n'exécuteront pas JScript hérité pour les zones Internet ou Sites sensibles et les utilisateurs ne sont pas informés par l'application que l'exécution de JScript hérité est restreinte. JScript9 moderne continuera de fonctionner pour toutes les zones.
116 | 
117 | Si désactivé ou non configuré, JScript fonctionnera sans aucune restriction.
118 | 
119 | Les valeurs sont définies en hexadécimal et doivent être converties avant de modifier la valeur du paramètre. Pour en savoir plus sur la clé de contrôle des fonctionnalités d'Internet Explorer et la stratégie de restriction de JScript au niveau du processus pour Windows, veuillez consulter : https://docs.microsoft.com/en-us/previous-versions/windows/internet-explorer/ie-developer/general-info/ee330734(v=vs.85)#restrict-jscript-at-a-process-level </string>
120 |                   <string id="Pol_SecGuide_RpcIncomingAuthenticationLevelPolicy">Configurer le paramètre de confidentialité au niveau des paquets RPC pour les connexions entrantes</string>
121 |                   <string id="Pol_SecGuide_RpcIncomingAuthenticationLevelPolicy_Help">Ce paramètre de stratégie contrôle si la confidentialité au niveau des paquets est activée pour RPC pour les connexions entrantes.
122 | 
123 | Par défaut, la confidentialité au niveau des paquets est activée pour RPC pour les connexions entrantes.
124 | 
125 | Si vous activez ou ne configurez pas ce paramètre de stratégie, la confidentialité au niveau des paquets est activée pour RPC pour les connexions entrantes.</string>
126 |             </stringTable>
127 |             <presentationTable>
128 |                   <presentation id="Pol_SecGuide_SMBv1ClientDriver">
129 |                         <dropdownList refId="Pol_SecGuide_SMB1ClientDriver" noSort="true" defaultItem="0">Configurer le pilote MrxSmb10</dropdownList>
130 |                   </presentation>
131 |                   <presentation id="Pol_SecGuide_SMBv1ClientWin7">
132 |                         <multiTextBox refId="Pol_SecGuide_SMB1Win7LMSDepends">Configurer les dépendances de LanmanWorkstation</multiTextBox>
133 |                   </presentation>
134 |                   <presentation id="Pol_SecGuide_NetbtNodeTypeCfg">
135 |                         <dropdownList refId="Pol_SecGuide_SecGuide_NetbtNodeTypeCfg" noSort="true" defaultItem="0">Configurer le NodeType NetBT</dropdownList>
136 |                   </presentation>
137 |                   <presentation id="Pol_SecGuide_LdapEnforceChannelBinding">
138 |                         <dropdownList refId="Pol_SecGuide_LdapEnforceChannelBinding" noSort="true" defaultItem="0">Configurer LdapEnforceChannelBinding</dropdownList>
139 |                   </presentation>
140 |                   <presentation id="Pol_SecGuide_Block_Flash">
141 |                         <dropdownList refId="Pol_SecGuide_Block_Flash" noSort="true" defaultItem="0">Bloquer le lecteur Flash dans Office</dropdownList>
142 |                   </presentation>
143 |                   <presentation id="Pol_SecGuide_Legacy_JScript">
144 |                         <decimalTextBox refId="POL_SG_excel" defaultValue="69632"> Excel : </decimalTextBox>
145 |                         <decimalTextBox refId="POL_SG_mspub" defaultValue="69632"> Publisher : </decimalTextBox>
146 |                         <decimalTextBox refId="POL_SG_powerpnt" defaultValue="69632"> PowerPoint : </decimalTextBox>
147 |                         <decimalTextBox refId="POL_SG_onenote" defaultValue="69632"> OneNote : </decimalTextBox>
148 |                         <decimalTextBox refId="POL_SG_visio" defaultValue="69632"> Visio : </decimalTextBox>
149 |                         <decimalTextBox refId="POL_SG_winproj" defaultValue="69632"> Project : </decimalTextBox>
150 |                         <decimalTextBox refId="POL_SG_winword" defaultValue="69632"> Word : </decimalTextBox>
151 |                         <decimalTextBox refId="POL_SG_outlook" defaultValue="69632"> Outlook : </decimalTextBox>
152 |                         <decimalTextBox refId="POL_SG_msaccess" defaultValue="69632"> Access : </decimalTextBox>
153 |                   </presentation>
154 |                   <presentation id="CopyFilesPolicy">
155 |                         <text>Sélectionnez la méthode par laquelle les fichiers spécifiques à la file d'attente seront traités.</text>
156 |                         <dropdownList defaultItem="1" noSort="true" refId="CopyFilesPolicy_Enum">Gérer le traitement des fichiers spécifiques à la file d'attente :</dropdownList>
157 |                   </presentation>
158 |             </presentationTable>
159 |       </resources>
160 | </policyDefinitionResources>


--------------------------------------------------------------------------------
/fr-FR/AdditionalLegacyHardening.adml:
--------------------------------------------------------------------------------
  1 | <policyDefinitionResources revision="1.0" schemaVersion="1.0">
  2 |   <displayName>MSS (Hérité)</displayName>
  3 |   <description>Les paramètres "MSS" hérités qui étaient exposés dans Secpol, Options de sécurité, en utilisant LocalGPO.wsf /ConfigSCE.</description>
  4 |   <resources>
  5 |     <stringTable>
  6 |       <string id="MSS">MSS (Hérité)</string>
  7 | 
  8 |       <string id="AutoReboot">MSS : (AutoReboot) Autoriser Windows à redémarrer automatiquement après un crash système</string>
  9 |       <string id="AutoReboot_Help">MSS : (AutoReboot) Autoriser Windows à redémarrer automatiquement après un crash système</string>
 10 |       <string id="DisableAutoLogon">MSS : (AutoAdminLogon) Activer l'ouverture de session automatique</string>
 11 |       <string id="DisableAutoLogon_Help">MSS : (AutoAdminLogon) Activer l'ouverture de session automatique</string>
 12 |       <string id="DisableSavePassword">MSS : (DisableSavePassword) Empêcher l'enregistrement du mot de passe de connexion commutée</string>
 13 |       <string id="DisableSavePassword_Help">MSS : (DisableSavePassword) Empêcher l'enregistrement du mot de passe de connexion commutée</string>
 14 |       <string id="EnableDeadGWDetect">MSS : (EnableDeadGWDetect) Autoriser la détection automatique des passerelles réseau inactives</string>
 15 |       <string id="EnableDeadGWDetect_Help">MSS : (EnableDeadGWDetect) Autoriser la détection automatique des passerelles réseau inactives</string>
 16 |       <string id="EnableICMPRedirect">MSS : (EnableICMPRedirect) Autoriser les redirections ICMP à remplacer les routes générées par OSPF</string>
 17 |       <string id="EnableICMPRedirect_Help">MSS : (EnableICMPRedirect) Autoriser les redirections ICMP à remplacer les routes générées par OSPF</string>
 18 |       <string id="HideFromBrowseList">MSS : (Hidden) Masquer l'ordinateur de la liste de navigation</string>
 19 |       <string id="HideFromBrowseList_Help">MSS : (Hidden) Masquer l'ordinateur de la liste de navigation</string>
 20 |       <string id="KeepAliveTime">MSS : (KeepAliveTime) Fréquence d'envoi des paquets keep-alive en millisecondes</string>
 21 |       <string id="KeepAliveTime_Help">MSS : (KeepAliveTime) Fréquence d'envoi des paquets keep-alive en millisecondes</string>
 22 |       <string id="KeepAliveTime0">150000 ou 2,5 minutes</string>
 23 |       <string id="KeepAliveTime1">300000 ou 5 minutes (recommandé)</string>
 24 |       <string id="KeepAliveTime2">600000 ou 10 minutes</string>
 25 |       <string id="KeepAliveTime3">1200000 ou 20 minutes</string>
 26 |       <string id="KeepAliveTime4">2400000 ou 40 minutes</string>
 27 |       <string id="KeepAliveTime5">3600000 ou 1 heure</string>
 28 |       <string id="KeepAliveTime6">7200000 ou 2 heures (valeur par défaut)</string>
 29 |       <string id="NoDefaultExempt">MSS : (NoDefaultExempt) Configurer les exemptions IPSec pour divers types de trafic réseau.</string>
 30 |       <string id="NoDefaultExempt_Help">MSS : (NoDefaultExempt) Configurer les exemptions IPSec pour divers types de trafic réseau.</string>
 31 |       <string id="NoDefaultExempt0">Autoriser toutes les exemptions.</string>
 32 |       <string id="NoDefaultExempt1">Multidiffusion, diffusion générale et ISAKMP exemptés.</string>
 33 |       <string id="NoDefaultExempt2">RSVP, Kerberos et ISAKMP sont exemptés.</string>
 34 |       <string id="NoDefaultExempt3">Seul ISAKMP est exempté.</string>
 35 |       <string id="NoNameReleaseOnDemand">MSS : (NoNameReleaseOnDemand) Autoriser l'ordinateur à ignorer les demandes de libération de nom NetBIOS sauf celles des serveurs WINS</string>
 36 |       <string id="NoNameReleaseOnDemand_Help">MSS : (NoNameReleaseOnDemand) Autoriser l'ordinateur à ignorer les demandes de libération de nom NetBIOS sauf celles des serveurs WINS</string>
 37 |       <string id="NtfsDisable8dot3NameCreation">MSS : (NtfsDisable8dot3NameCreation) Permettre à l'ordinateur de cesser de générer des noms de fichiers de style 8.3</string>
 38 |       <string id="NtfsDisable8dot3NameCreation_Help">MSS : (NtfsDisable8dot3NameCreation) Permettre à l'ordinateur de cesser de générer des noms de fichiers de style 8.3</string>
 39 |       <string id="NtfsDisable8dot3NameCreation0">Activer la création 8Dot3 sur tous les volumes</string>
 40 |       <string id="NtfsDisable8dot3NameCreation1">Désactiver la création 8Dot3 sur tous les volumes</string>
 41 |       <string id="NtfsDisable8dot3NameCreation2">Définir la création de noms 8dot3 par volume en utilisant FSUTIL</string>
 42 |       <string id="NtfsDisable8dot3NameCreation3">Désactiver la création de noms 8Dot3 sur tous les volumes sauf le volume système</string>
 43 |       <string id="PerformRouterDiscovery">MSS : (PerformRouterDiscovery) Autoriser IRDP à détecter et configurer les adresses de passerelle par défaut</string>
 44 |       <string id="PerformRouterDiscovery_Help">MSS : (PerformRouterDiscovery) Autoriser IRDP à détecter et configurer les adresses de passerelle par défaut</string>
 45 |       <string id="SafeDllSearchMode">MSS : (SafeDllSearchMode) Activer le mode de recherche sécurisé des DLL</string>
 46 |       <string id="SafeDllSearchMode_Help">MSS : (SafeDllSearchMode) Activer le mode de recherche sécurisé des DLL</string>
 47 |       <string id="ScreenSaverGracePeriod">MSS : (ScreenSaverGracePeriod) Le délai en secondes avant l'expiration du délai de grâce de l'économiseur d'écran</string>
 48 |       <string id="ScreenSaverGracePeriod_Help">MSS : (ScreenSaverGracePeriod) Le délai en secondes avant l'expiration du délai de grâce de l'économiseur d'écran</string>
 49 |       <string id="SynAttackProtect">MSS : (SynAttackProtect) Niveau de protection contre les attaques SYN</string>
 50 |       <string id="SynAttackProtect_Help">MSS : (SynAttackProtect) Niveau de protection contre les attaques SYN</string>
 51 |       <string id="SynAttackProtect0">Aucune protection supplémentaire, utiliser les paramètres par défaut</string>
 52 |       <string id="SynAttackProtect1">Les connexions expirent plus tôt si une attaque SYN est détectée</string>
 53 |       <string id="TcpMaxConnectResponseRetransmissions">MSS : (TcpMaxConnectResponseRetransmissions) Rétransmissions SYN-ACK lorsqu'une demande de connexion n'est pas acquittée</string>
 54 |       <string id="TcpMaxConnectResponseRetransmissions_Help">MSS : (TcpMaxConnectResponseRetransmissions) Rétransmissions SYN-ACK lorsqu'une demande de connexion n'est pas acquittée</string>
 55 |       <string id="TcpMaxConnectResponseRetransmissions0">Pas de retransmission, connexions semi-ouvertes abandonnées après 3 secondes</string>
 56 |       <string id="TcpMaxConnectResponseRetransmissions1">3 secondes, connexions semi-ouvertes abandonnées après 9 secondes</string>
 57 |       <string id="TcpMaxConnectResponseRetransmissions2">3 et 6 secondes, connexions semi-ouvertes abandonnées après 21 secondes</string>
 58 |       <string id="TcpMaxConnectResponseRetransmissions3">3, 6 et 9 secondes, connexions semi-ouvertes abandonnées après 45 secondes</string>
 59 |       <string id="TcpMaxDataRetransmissions">MSS : (TcpMaxDataRetransmissions) Nombre de fois où les données non acquittées sont retransmises</string>
 60 |       <string id="TcpMaxDataRetransmissions_Help">MSS : (TcpMaxDataRetransmissions) Nombre de fois où les données non acquittées sont retransmises</string>
 61 |       <string id="TcpMaxDataRetransmissionsIPv6">MSS : (TcpMaxDataRetransmissions IPv6) Nombre de fois où les données non acquittées sont retransmises</string>
 62 |       <string id="TcpMaxDataRetransmissionsIPv6_Help">MSS : (TcpMaxDataRetransmissions IPv6) Nombre de fois où les données non acquittées sont retransmises</string>
 63 |       <string id="WarningLevel">MSS : (WarningLevel) Seuil en pourcentage pour le journal des événements de sécurité à partir duquel le système générera un avertissement</string>
 64 |       <string id="WarningLevel_Help">MSS : (WarningLevel) Seuil en pourcentage pour le journal des événements de sécurité à partir duquel le système générera un avertissement</string>
 65 |       <string id="WarningLevel0">50%</string>
 66 |       <string id="WarningLevel1">60%</string>
 67 |       <string id="WarningLevel2">70%</string>
 68 |       <string id="WarningLevel3">80%</string>
 69 |       <string id="WarningLevel4">90%</string>
 70 | 
 71 |     </stringTable>
 72 | 
 73 |     <presentationTable>
 74 |       <presentation id="DisableIPSourceRouting">
 75 |         <dropdownList refId="DisableIPSourceRouting" noSort="true" defaultItem="1">DisableIPSourceRouting</dropdownList>
 76 |       </presentation>
 77 |       <presentation id="DisableIPSourceRoutingIPv6">
 78 |         <dropdownList refId="DisableIPSourceRoutingIPv6" noSort="true" defaultItem="1">DisableIPSourceRoutingIPv6</dropdownList>
 79 |       </presentation>
 80 |       <presentation id="KeepAliveTime">
 81 |         <dropdownList refId="KeepAliveTime" noSort="true" defaultItem="1">KeepAliveTime</dropdownList>
 82 |       </presentation>
 83 |       <presentation id="NoDefaultExempt">
 84 |         <dropdownList refId="NoDefaultExempt" noSort="true" defaultItem="1">NoDefaultExempt</dropdownList>
 85 |       </presentation>
 86 |       <presentation id="NtfsDisable8dot3NameCreation">
 87 |         <dropdownList refId="NtfsDisable8dot3NameCreation" noSort="true" defaultItem="0">NtfsDisable8dot3NameCreation</dropdownList>
 88 |       </presentation>
 89 |       <presentation id="ScreenSaverGracePeriod">
 90 |       <decimalTextBox refId="ScreenSaverGracePeriod" spinStep="1" defaultValue="5">ScreenSaverGracePeriod</decimalTextBox>
 91 |       </presentation>
 92 |       <presentation id="SynAttackProtect">
 93 |         <dropdownList refId="SynAttackProtect" noSort="true" defaultItem="0">SynAttackProtect</dropdownList>
 94 |       </presentation>
 95 |       <presentation id="TcpMaxConnectResponseRetransmissions">
 96 |         <dropdownList refId="TcpMaxConnectResponseRetransmissions" noSort="true" defaultItem="0">TcpMaxConnectResponseRetransmissions</dropdownList>
 97 |       </presentation>
 98 |       <presentation id="TcpMaxDataRetransmissions">
 99 |       <decimalTextBox refId="TcpMaxDataRetransmissions" spinStep="1" defaultValue="5">TcpMaxDataRetransmissions</decimalTextBox>
100 |       </presentation>
101 |       <presentation id="WarningLevel">
102 |         <dropdownList refId="WarningLevel" noSort="true" defaultItem="4">WarningLevel</dropdownList>
103 |       </presentation>
104 |     </presentationTable>
105 |   </resources>
106 | </policyDefinitionResources>
107 | 
108 | <!--
109 | ;========= Start of MSS Strings Values =========
110 | DisableAutoLogon = "MSS: (AutoAdminLogon) Enable Automatic Logon" 
111 | AutoReboot = "MSS: (AutoReboot) Allow Windows to automatically restart after a system crash"
112 | DisableSavePassword = "MSS: (DisableSavePassword) Prevent the dial-up passsword from being saved"
113 | EnableDeadGWDetect = "MSS: (EnableDeadGWDetect) Allow automatic detection of dead network gateways"
114 | EnableICMPRedirect = "MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes"
115 | HideFromBrowseList = "MSS: (Hidden) Hide Computer From the Browse List"
116 | KeepAliveTime = "MSS: (KeepAliveTime) How often keep-alive packets are sent in milliseconds"
117 | KeepAliveTime0 ="150000 or 2.5 minutes"
118 | KeepAliveTime1 ="300000 or 5 minutes" 
119 | KeepAliveTime2 ="600000 or 10 minutes"
120 | KeepAliveTime3 ="1200000 or 20 minutes"
121 | KeepAliveTime4 ="2400000 or 40 minutes"
122 | KeepAliveTime5 ="3600000 or 1 hour"
123 | KeepAliveTime6 ="7200000 or 2 hours"
124 | NoDefaultExempt = "MSS: (NoDefaultExempt) Configure IPSec exemptions for various types of network traffic." 
125 | NoDefaultExempt0 = "Allow all exemptions (least secure)."
126 | NoDefaultExempt1 = "Multicast, broadcast, & ISAKMP exempt"
127 | NoDefaultExempt2 = "RSVP, Kerberos, and ISAKMP are exempt."
128 | NoDefaultExempt3 = "Only ISAKMP is exempt" 
129 | NoNameReleaseOnDemand = "MSS: (NoNameReleaseOnDemand) Allow the computer to ignore NetBIOS name release requests except from WINS servers"
130 | NtfsDisable8dot3NameCreation = "MSS: (NtfsDisable8dot3NameCreation) Enable the computer to stop generating 8.3 style filenames"
131 | NtfsDisable8dot3NameCreation0 = "Enable 8Dot3 Creation on all Volumes"
132 | NtfsDisable8dot3NameCreation1 = "Disable 8Dot3 Creation on all Volumes"
133 | NtfsDisable8dot3NameCreation2 = "Set 8dot3 name creation per volume using FSUTIL
134 | NtfsDisable8dot3NameCreation3 = "Disable 8Dot3 name creation on all volumes except system volume"
135 | PerformRouterDiscovery = "MSS: (PerformRouterDiscovery) Allow IRDP to detect and configure Default Gateway addresses"
136 | SafeDllSearchMode = "MSS: (SafeDllSearchMode) Enable Safe DLL search mode"
137 | ScreenSaverGracePeriod = "MSS: (ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires"
138 | SynAttackProtect = "MSS: (SynAttackProtect) Syn attack protection level"
139 | SynAttackProtect0 = "No additional protection, use default settings"
140 | SynAttackProtect1 = "Connections time out sooner if a SYN attack is detected"
141 | TcpMaxConnectResponseRetransmissions = "MSS: (TcpMaxConnectResponseRetransmissions) SYN-ACK retransmissions when a connection request is not acknowledged"
142 | TcpMaxConnectResponseRetransmissions0 = "No retransmission, half-open connections dropped after 3 seconds"
143 | TcpMaxConnectResponseRetransmissions1 = "3 seconds, half-open connections dropped after 9 seconds"
144 | TcpMaxConnectResponseRetransmissions2 = "3 & 6 seconds, half-open connections dropped after 21 seconds"
145 | TcpMaxConnectResponseRetransmissions3 = "3, 6, & 9 seconds, half-open connections dropped after 45 seconds"
146 | TcpMaxDataRetransmissions = "MSS: (TcpMaxDataRetransmissions) How many times unacknowledged data is retransmitted"
147 | TcpMaxDataRetransmissionsIPv6 = "MSS: (TcpMaxDataRetransmissions IPv6) How many times unacknowledged data is retransmitted"
148 | WarningLevel = "MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning"
149 | WarningLevel0 = "50%"
150 | WarningLevel1 = "60%"
151 | WarningLevel2 = "70%"
152 | WarningLevel3 = "80%"
153 | WarningLevel4 = "90%"
154 | ;========= End of MSS Strings Values =========
155 | -->
156 | 


--------------------------------------------------------------------------------
/fr-FR/AdditionalSystemHardening.adml:
--------------------------------------------------------------------------------
  1 | <?xml version="1.0" encoding="utf-8"?>
  2 | <policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0" xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  3 |       <displayName>
  4 |             Paramètres de durcissement système additionnels
  5 |       </displayName>
  6 |       <description>
  7 |             Paramètres de durcissement système additionnels
  8 |       </description>
  9 |       <resources>
 10 |             <stringTable>
 11 |                   <!-- CATEGORIES -->
 12 |                   <string id="System">Paramètres de durcissement système</string>
 13 |                   <string id="Adobe">Paramètres de durcissement pour Adobe Acrobat</string>
 14 |                   <!-- POLICIES -->
 15 |                   <!-- System policies -->
 16 |                   <string id="RemoteDCOM">Bloquer les connexions DCOM distantes</string>
 17 |                   <string id="RemoteDCOM_Explain">Si vous activez cette stratégie, aucun client distant ne peut lancer de serveurs ou se connecter à des objets sur cet ordinateur. Les clients locaux ne peuvent pas accéder aux serveurs DCOM distants; tout le trafic DCOM est bloqué.
 18 | 
 19 | Si vous désactivez cette stratégie, le lancement de serveurs et la connexion à des objets par des clients distants sont autorisés par classe en fonction de la valeur et des autorisations d'accès de la valeur de Registre LaunchPermission et de la valeur de Registre globale DefaultLaunchPermission.</string>
 20 |                   <string id="LSA_RunAsPPL">Activer le durcissement additionnel du processus LSA</string>
 21 |                   <string id="LSA_RunAsPPL_Explain">Activer cette stratégie pour permettre au processus LSA de se lancer en tant que PPL (Protected Process Light), interdisant son débogage.</string>
 22 |                   <string id="LSA_SamDisableListenOnTCP">Désactiver l'écoute TCP du serveur SAM</string>
 23 |                   <string id="LSA_SamDisableListenOnTCP_Explain">Par défaut, le serveur SAM (lsass.exe) écoute en permanence sur un port TCP aléatoire, et sur toutes les interfaces réseau.
 24 | 
 25 | Activer ce paramètre désactivera l'écoute TCP du serveur lsass.exe.</string>
 26 |                   <string id="SafeBootUserAccess">Désactiver les utilisateurs standards en mode sans échec</string>
 27 |                   <string id="SafeBootUserAccess_Explain">Activer cette stratégie désactivera le support des utilisateurs standards en mode sans échec, pour éviter les contournements des politiques de sécurité. Seuls les administrateurs pourront ouvrir une session dans ce mode.
 28 | 
 29 | Désactiver cette politique autorisera les utilisateurs standards à ouvrir une session dans ce mode.</string>
 30 |                   <string id="AuthenticodeCertVerification">Activer la vérification stricte des signatures Authenticode</string>
 31 |                   <string id="AuthenticodeCertVerification_Explain">Le support strict des signatures Authenticode empêche l'ajout de données supplémentaires dans la structure de données WIN_CERTIFICATE.</string>
 32 |                   <string id="LoadAppInit_DLLs">Autoriser le chargement d'une liste de DLL au démarrage de tout processus</string>
 33 |                   <string id="LoadAppInit_DLLs_Explain">Permet d'autoriser le chargement d'une liste de DLL au démarrage de tout processus. Cette liste se trouve dans la clé HKLM:\Software\Microsoft\Windows NT\CurrentVersion\WindowsAppInit_DLLs.</string>
 34 |                   <string id="MicroarchHardening">Activer les durcissements contre Spectre et Meltdown</string>
 35 |                   <string id="MicroarchHardening_Explain">La clé de Registre FeatureSettingsOverride sous Windows, généralement située sous SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management et souvent gérée conjointement avec FeatureSettingsOverrideMask, offre aux administrateurs un contrôle granulaire sur les atténuations logicielles pour les vulnérabilités d'exécution spéculative des processeurs (CPU) telles que Spectre et Meltdown.
 36 | 
 37 | Ces vulnérabilités peuvent potentiellement permettre un accès non autorisé à des données sensibles. Windows met en œuvre diverses atténuations pour contrer ces menaces, mais celles-ci peuvent parfois entraîner une dégradation des performances. La clé FeatureSettingsOverride permet une approche personnalisée, offrant la possibilité aux administrateurs d'activer ou de désactiver sélectivement des atténuations spécifiques — comme celles pour différentes variantes de Spectre (par exemple, v2 ou Speculative Store Bypass - SSB) et Meltdown — voire de les désactiver toutes si l'impact sur les performances est jugé trop important pour un environnement donné, ou encore d'appliquer des configurations particulières comme la désactivation de l'Hyper-Threading sur les processeurs Intel en conjonction avec ces atténuations. Cela constitue un moyen d'équilibrer la posture de sécurité par rapport aux performances du système, en fonction des besoins spécifiques et de l'évaluation des risques.</string>
 38 |                   <string id="MicroarchHardening_Option1">Intel et AMD : activer tous les durcissements</string>
 39 |                   <string id="MicroarchHardening_Option2">Intel : activer tous les durcissements (avec Hyper-Threading désactivé)</string>
 40 |                   <string id="MicroarchHardening_Option3">Intel : activer les durcissements contre Spectre v2, Meltdown et SSB</string>
 41 |                   <string id="MicroarchHardening_Option4">Intel : activer les durcissements contre Spectre v2 et Meltdown</string>
 42 |                   <string id="MicroarchHardening_Option5">Intel : activer les durcissements contre Meltdown seulement</string>
 43 |                   <string id="MicroarchHardening_Option6">AMD et ARM : activer les durcissements contre Spectre v2</string>
 44 |                   <string id="MicroarchHardening_Option7">Désactiver tous les durcissements</string>
 45 |                   <string id="KCET">Activer le support des piles fantômes au niveau noyau</string>
 46 |                   <string id="KCET_Explain">Ce paramètre active le support des piles fantômes au niveau du noyau, aussi appelées Intel CET (Control-flow Enforcement Technology) ou AMD Shadow Stack.
 47 | 
 48 | Veuillez noter que cette fonctionnalité dépend d'un support matériel (architecture CPU AMD Zen 3 ou 11ème Génération d'Intel minimum) et d'un système d'exploitation (Windows 21H2 ou supérieur) récent.</string>
 49 |                   <string id="WPBT">Désactiver la fonctionnalité WPBT</string>
 50 |                   <string id="WPBT_Explain">Ce paramètre désactive la fonctionnalité WPBT (Windows Platform Binary Table), qui peut être utilisée comme mécanisme de persistance via l'UEFI.</string>
 51 |                   <string id="TTD">Désactiver la fonctionnalité TTD</string>
 52 |                   <string id="TTD_Explain">Ce paramètre désactive la fonctionnalité TTD (Time-Travel Debugging), qui peut être utilisée pour lancer des exécutables tiers, ou créer une image mémoire de processus sensibles (ex. lsass.exe).</string>
 53 |                   <string id="CWDIllegalInDllSearch">Supprimer le répertoire courant de la liste de chargement des DLLs</string>
 54 |                   <string id="CWDIllegalInDllSearch_Explain">Ce paramètre désactive la recherche et le chargement de DLLs à partir du répertoire courant.</string>
 55 |                   <string id="SEHOP">Activer la prévention des réécritures de SEH (SEHOP)</string>
 56 |                   <string id="SEHOP_Explain">SEHOP prévient certaines attaques par débordement de tampon en empêchant la réécriture des structures SEH.
 57 | 
 58 | Ce paramètre n'affecte que les versions 32 bits de Windows.</string>
 59 |                   <string id="NLA">Activer l'Authentification de Niveau Réseau (NLA) pour les connexions RDP</string>
 60 |                   <string id="NLA_Explain">Cette stratégie active le NLA avec le paramétrage suivant :
 61 | 
 62 | - TLS est obligatoire pour l'authentification du serveur et le chiffrement du lien de communication.
 63 | - Un haut niveau de chiffrement (128 bits) est requis pour le lien de communication.
 64 | - L'authentification de l'utilisateur est exigée lors de la connexion.
 65 | 
 66 | Désactiver cette stratégie n'a pas d'effet.</string>
 67 |                   <string id="LMAuth">Durcissement du processus d'authentification par le réseau</string>
 68 |                   <string id="LMAuth_Explain">Activer cette option désactivera LM et NTLMv1 pour les authentifications de connexions réseau, et n'autorisera que NTLMv2.</string>
 69 |                   <string id="WDigest">Désactiver WDigest</string>
 70 |                   <string id="WDigest_Explain">Activer cette stratégie désactivera le protocole d'authentification WDigest, considéré comme obsolète.
 71 | 
 72 | Il est recommandé d'activer cette stratégie de sécurité.</string>
 73 |                   <string id="Logon">Durcissement du cache des sessions liées à un domaine</string>
 74 |                   <string id="Logon_Explain">Activer cette stratégie modifie deux paramètres liés au stockage en cache des identifiants d'utilisateurs de domaine :
 75 | 
 76 | - Réduction de la taille du cache d'identifiants sauvegardés (2 identifiants, défaut 10) en cas de non-disponiblité du contrôleur de domaine;
 77 | - Le délai de conservation en mémoire vive des identifants d'une session déconnectée est réduit à 30 secondes;
 78 | 
 79 | Ces paramètres permettent de réduire la durée d'exposition à un vol d'identifant par un outil tel que Mimikatz.
 80 | 
 81 | NOTE : ces paramètres peuvent empêcher l'ouverture d'une session liée au domaine si aucun contrôleur de domaine n'est joignable, ou si le réseau est indisponible.</string>
 82 |                   <string id="ASLR">Forcer la randomisation de l'espace mémoire des images relocalisables (ASLR)</string>
 83 |                   <string id="ASLR_Explain">Activer cette stratégie force l'utilisation de la randomisation de l'espace mémoire des images relocalisables, même si elles n'exposent pas cette possibilité explicitement.
 84 |             
 85 | Désactiver cette stratégie désactivera également l'utilisation forcée de l'ASLR.</string>
 86 |                   <string id="User32_Exception">Correctif registre additionnel pour CVE-2015-6161</string>
 87 |                   <string id="User32_Exception_Explain">Activer cette stratégie positionne la valeur de registre FEATURE_ALLOW_USER32_EXCEPTION_HANDLER_HARDENING à 1.
 88 | 
 89 | Cela permet de corriger complètement la vulnérabilité CVE-2015-6161 de contournement de l'ASLR dans Internet Explorer. Pour plus d'informations, se référer au bulletin de sécurité MS15-124 (https://docs.microsoft.com/fr-fr/security-updates/SecurityBulletins/2015/ms15-124).
 90 | 
 91 | Désactiver cette stratégie positionne la valeur de registre à 0.</string>
 92 |                   <string id="Info_Disclosure">Correctif registre additionnel pour CVE-2017-8529</string>
 93 |                   <string id="Info_Disclosure_Explain">Activer cette stratégie positionne la valeur de registre FEATURE_ENABLE_PRINT_INFO_DISCLOSURE_FIX à 1.
 94 | 
 95 | Cela permet de corriger complètement la vulnérabilité CVE-2017-8529 de divulgation d'information dans les navigateurs Microsoft. Pour plus d'informations, se référer au guide des mises à jour de sécurité associé à la CVE (https://portal.msrc.microsoft.com/fr-fr/security-guidance/advisory/CVE-2017-8529).
 96 | 
 97 | Désactiver cette stratégie positionne la valeur de registre à 0.</string>
 98 |                   <string id="MSCacheV2_Iteration">Modifier le nombre d'itérations du condensat MSCacheV2 du mot de passe de domaine en cache</string>
 99 |                   <string id="MSCacheV2_Iteration_Explain">Lors d'une connexion à un domaine, le mot de passe est stocké localement sous la forme d'un condensat MSCacheV2, dérivé en utilisant l'algorithme de hachage PBKDF2-SHA1.
100 |             
101 | Par défaut, le nombre d'itérations de l'algorithme PBKDF2-SHA1 est fixé à 10240. Activer ce paramètre permet de modifier ce nombre d'itérations, en suivant la logique suivante :
102 |             
103 | - Pour une valeur inférieure ou égale à 10240, le nombre d'itérations est multiplié par 1024 (par exemple, une valeur de 20 donne 20480 itérations).
104 | - Pour une valeur supérieure à 10240, il s'agit du nombre d'itérations (arrondi à 1024).
105 | 
106 | La valeur recommandée dépend de votre environnement et de la puissance CPU disponible, un grand nombre d'itérations pouvant engendrer un ralentissement important du processus d'ouverture de session.
107 | 
108 | Lorsque l'option est activée, la valeur est fixée à 1954 (2 000 896 itérations). C'est la valeur recommandée au 29 décembre 2022 pour l'algorithme PBKDF2-HMAC-SHA1, en prenant en compte une puissance GPU équivalente à une RTX 4090 dans un modèle d'attaque par force brute hors ligne.
109 | 
110 | Plus d'informations :
111 | - https://tobtu.com/minimum-password-settings/
112 | - https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html#pbkdf2</string>
113 |                   <string id="PSLockDownPolicy">Activer le mode Contraint du langage PowerShell</string>
114 |                   <string id="PSLockDownPolicy_Explain">Le langage PowerShell, depuis la version 5, peut s'exécuter en plusieurs modes, configurables au moyen de la variable d'environnement __PSLockdownPolicy. Cette variable permet de contraindre le langage en limitant les actions faisables avec le langage, et notamment en restreignant les usages inconsidérés des API Win32.
115 |             
116 | NOTE : cette stratégie n'est pas une façon robuste d'activer le mode Contraint, une variable d'environnement peut facilement être réécrite par un attaquant. Le mode Contraint est activé de façon robuste lorsque AppLocker et/ou WDAC sont utilisés.</string>
117 |                   <string id="AdminShare_Wks">Désactiver les partages administratifs sur les stations de travail</string>
118 |                   <string id="AdminShare_Wks_Explain">Les partages administratifs sont des partages créés par défaut à l'installation du système. Ils permettent notamment aux administrateurs d'accéder à distance aux périphériques disque en mode bloc, aux périphériques IPC et aux imprimantes réseau. Ces partages dépendant du service Station de Travail, ils ne sont plus accessibles si celui-ci a été désactivé.</string>
119 |                   <string id="AdminShare_Srv">Désactiver les partages administratifs sur serveurs</string>
120 |                   <string id="AdminShare_Srv_Explain">Les partages administratifs sont des partages créés par défaut à l'installation du système. Ils permettent notamment aux administrateurs d'accéder à distance aux périphériques disque en mode bloc, aux périphériques IPC et aux imprimantes réseau. Ces partages dépendant du service Serveur, ils ne sont plus accessibles si celui-ci a été désactivé.</string>
121 |                   <string id="Pol_SecGuide_PrintDriver">Limiter l'installation des pilotes d'impression aux Administrateurs</string>
122 |                   <string id="Pol_SecGuide_PrintDriver_Help">Détermine si les utilisateurs non privilégiés peuvent installer des pilotes d'impression.
123 | 
124 | Par défaut, les utilisateurs standards ne peuvent pas installer de pilotes d'impression.
125 | 
126 | Si vous activez ce paramètre, ou ne le configurez pas, le système limitera l'installation des pilotes d'impression aux Administrateurs.
127 | 
128 | Si vous désactivez ce paramètre, les utilisateurs standards pourront installer des pilotes d'impression.
129 | 
130 | Informations complémentaires : https://support.microsoft.com/fr-fr/topic/kb5005010-restricting-installation-of-new-printer-drivers-after-applying-the-july-6-2021-updates-31b91c02-05bc-4ada-a7ea-183b129578a7</string>
131 |                   <string id="ProtectedRoots">Limiter l'installation des certificats racine aux Administrateurs</string>
132 |                   <string id="ProtectedRoots_Help">Cette politique permet d'interdire aux utilisateurs non privilégiés d'installer des certificats racine dans leur magasin personnel de certificats.
133 | 
134 | Activer cette politique permet de limiter les attaques par clonage de certificats de signature de code. Il est recommandé d'activer cette politique.</string>
135 |                   <string id="AcrobatAI">Activer les fonctionnalités d'IA génératives dans Acrobat et Acrobat Reader</string>
136 |                   <string id="AcrobatAI_Help">Les fonctionnalités d'IA génératives sont activées par défaut dans Acrobat et Acrobat Reader. Cette politique permet de contrôler le statut de ces fonctionnalités.
137 | 
138 | Activer cette politique activera les fonctionnalités d'IA génératives.
139 | 
140 | Désactiver cette politique désactivera ces fonctionnalités. Il est recommandé de désactiver cette politique.</string>
141 |                   <string id="BlackLotusMitigation">Activer les protections additionnelles contre BlackLotus (CVE-2023-24932)</string>
142 |                   <string id="BlackLotusMitigation_Help">Cette politique déploie les clefs de Registre nécessaires à l'installation de la nouvelle liste noire de démarrage sécurisé (Secure Boot DBX), l'installation du nouveau certificat de signature dans la liste blanche (DB), le mécanisme d'anti-retour arrière (SVN) et la nouvelle stratégie de démarrage du mécanisme d'intégrité du code de Windows.
143 | 
144 | Ces stratégies permettent de se prémunir de la CVE-2023-24932, aussi connue sous le nom de BlackLotus, et plus généralement des vulnérabilités récentes liées au chargeur d'amorçage.
145 | 
146 | IMPORTANT : veuillez lire attentivement la documentation de Microsoft au sujet de ces correctifs, ainsi que les étapes préliminaires et postliminaires à appliquer en plus de cette clef de Registre, autrement vous pourriez rendre votre système non-démarrable :
147 | 
148 | - https://support.microsoft.com/fr-fr/topic/kb5025885-comment-g%C3%A9rer-les-r%C3%A9vocations-du-gestionnaire-de-d%C3%A9marrage-windows-pour-les-modifications-de-d%C3%A9marrage-s%C3%A9curis%C3%A9-associ%C3%A9es-%C3%A0-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d
149 | - https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24932
150 | 
151 | En particulier, vous devriez lire les étapes de déploiement associées à chaque étape présente dans la liste de cette politique, et les actions manuelles associées (redémarrages intermédiaires, vérifications additionnelles, ...). Ces informations sont présentes dans la documentation Microsoft :
152 | 
153 | - https://support.microsoft.com/fr-fr/topic/kb5025885-comment-g%C3%A9rer-les-r%C3%A9vocations-du-gestionnaire-de-d%C3%A9marrage-windows-pour-les-modifications-de-d%C3%A9marrage-s%C3%A9curis%C3%A9-associ%C3%A9es-%C3%A0-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d#bkmk_mitigation_guidelines</string>
154 |                   <string id="BlackLotusMitigation_Option1">Étape 1 : ajout du certificat "Windows UEFI CA 2023" à la liste blanche d'amorçage (DB)</string>
155 |                   <string id="BlackLotusMitigation_Option2">Étape 2 : mise à jour du chargeur d'amorçage du système d'exploitation</string>
156 |                   <string id="BlackLotusMitigation_Option3">Étape 3 : ajout du certificat "Windows Production CA 2011" à la liste noire d'amorçage (DBX)</string>
157 |                   <string id="BlackLotusMitigation_Option4">Étape 4 : application du mécanisme d'anti-retour arrière (SVN)</string>
158 |                   <string id="SudoCommand">Configurer le comportement de la commande Sudo</string>
159 |                   <string id="SudoCommand_Help">Cette politique configure le comportement de la commande Sudo, introduite dans la version 24H2 de Windows 11.
160 |       
161 | Les options possibles sont :
162 | 
163 | - Forcer l'ouverture d'une nouvelle fenêtre avec droits élevés (comportement par défaut)
164 | - Désactiver les entrées/sorties du processus appelé
165 | - Exécuter dans la fenêtre courante
166 | - Désactiver la fonctionnalité
167 | 
168 | Il est recommandé d'utiliser le comportement par défaut d'ouverture dans une nouvelle fenêtre.</string>
169 |                   <string id="SudoCommand_Option1">Forcer l'ouverture d'une nouvelle fenêtre</string>
170 |                   <string id="SudoCommand_Option2">Désactiver les entrées/sorties du nouveau processus</string>
171 |                   <string id="SudoCommand_Option3">Exécuter dans la fenêtre courante</string>
172 |                   <string id="SudoCommand_Option4">Désactiver la fonctionnalité</string>
173 |                   <string id="MandatoryVBS">Activer la sécurité basée sur la virtualisation en mode Obligatoire</string>
174 |                   <string id="MandatoryVBS_Explain">Cette politique contrôle l'activation du mode Obligatoire pour la sécurité basée sur la virtualisation (VBS).
175 | 
176 | Le mode Obligatoire est une nouvelle fonctionnalité introduite pour prévenir les attaques par rétrogradation (Windows Downdate notamment) affectant les composants liés à la sécurité basée sur la virtualisation, comme le Secure Kernel et les composants de l'hyperviseur. Ce mode force la vérification en intégrité et en version lors du démarrage de ces composants, ce qui peut également conduire à un déni de service au démarrage du système si une violation est détectée.
177 | 
178 | NOTE : si la sécurité basée sur la virtualisation est déjà activée avec un verrouillage par l'UEFI, cette politique est sans effet, car la politique de sécurité de la fonction VBS est inscrite dans une variable UEFI non modifiable par le système. Cette variable doit être effacée à l'aide de l'utilitaire bcedit.exe avant d'activer le mode Obligatoire et de re-activer le verrouillage par UEFI de la nouvelle politique. La procédure de désactivation est documentée par Microsoft :
179 | 
180 | https://learn.microsoft.com/fr-fr/windows/security/identity-protection/credential-guard/configure?tabs=reg#disable-virtualization-based-security
181 | 
182 | Activer cette politique activera le mode Obligatoire et forcera la vérification des composants liés à la VBS au démarrage.
183 | 
184 | Activer cette politique si le verrouillage UEFI est actif est sans effet.
185 | 
186 | Désactiver cette politique désactivera le mode Obligatoire, seulement si le verrouillage UEFI n'est pas activé. Autrement, désactiver cette politique est sans effet.</string>
187 |                   <string id="CoInstallers">Bloquer l'installation des co-installeurs des pilotes matériels</string>
188 |                   <string id="CoInstallers_Help">Un co-installeur est une bibliothèque Win32 en espace utilisateur qui complète l'installation d'un driver en effectuant des tâches de configuration annexes (écriture Registre, installation d'application additionnelle, etc) non disponibles dans un fichier INF standard.
189 | 
190 | Si vous activez ce paramètre, l'exécution des co-installeurs sera bloquée. Pour certains périphériques spécifiques (claviers paramétrables, cartes graphiques, etc), il sera nécessaire d'installer manuellement le logiciel de contrôle à partir du site du fabricant.
191 | 
192 | Si vous désactivez ce paramètre, l'exécution des co-installeurs sera autorisée, ce qui pose un risque de sécurité important (exécution de code non maîtrisé sur le système).</string>
193 |             </stringTable>
194 |             <presentationTable>
195 |                   <presentation id="MSCacheV2_Iteration">
196 |                         <decimalTextBox refId="MSCacheV2_Iteration_count" defaultValue="1954">Nombre d'itérations PBKDF2 :</decimalTextBox>
197 |                   </presentation>
198 |                   <presentation id="MicroarchHardening_Presentation">
199 |                         <dropdownList refId="MicroarchHardening_DropdownList" noSort="true" defaultItem="1">Sélectionner une option :</dropdownList>
200 |                         <checkBox refId="HyperVMitigations">Activer le durcissement pour les machines virtuelles Hyper-V (version 8.0 et versions inférieures)</checkBox>
201 |                   </presentation>
202 |                   <presentation id="BlackLotusMitigation_Presentation">
203 |                         <dropdownList refId="BlackLotusMitigation_DropdownList" noSort="true" defaultItem="0">Sélectionner une étape :</dropdownList>
204 |                   </presentation>
205 |                   <presentation id="SudoCommand_Presentation">
206 |                         <dropdownList refId="SudoCommand_DropdownList" noSort="true" defaultItem="0">Sélectionner une option :</dropdownList>
207 |                   </presentation>
208 |             </presentationTable>
209 |       </resources>
210 | </policyDefinitionResources>


--------------------------------------------------------------------------------
/install.ps1:
--------------------------------------------------------------------------------
 1 | #Requires -RunAsAdministrator
 2 | Set-StrictMode -Version Latest
 3 | $ErrorActionPreference = 'Stop' # Stop on non-terminating errors to ensure they are caught by try/catch
 4 | 
 5 | # Script Information
 6 | Write-Output "Starting ADMX/ADML installation script..."
 7 | 
 8 | # Source folder (where this script is located)
 9 | $SourceDirectory = Split-Path -Parent $MyInvocation.MyCommand.Path
10 | Write-Output "Source directory: $SourceDirectory"
11 | 
12 | # Destination folder (Central Store for Group Policy definitions)
13 | $DestinationDirectory = Join-Path -Path $Env:Windir -ChildPath "PolicyDefinitions"
14 | Write-Output "Target destination directory: $DestinationDirectory"
15 | 
16 | try {
17 |     # Check if the destination directory exists, create if not
18 |     if (-not (Test-Path -Path $DestinationDirectory -PathType Container)) {
19 |         Write-Output "Destination directory '$DestinationDirectory' does not exist. Creating it..."
20 |         New-Item -Path $DestinationDirectory -ItemType Directory -Force | Out-Null
21 |         Write-Output "Destination directory created."
22 |     }
23 | 
24 |     # Files and folders to exclude from the copy operation
25 |     $Exclusions = @(
26 |         '.git', # Git repository folder
27 |         '*.md', # Markdown files
28 |         '*.ps1', # PowerShell script files (including this one)
29 |         '.vscode', # VS Code workspace settings
30 |         '.github', # GitHub workflow files and configuration
31 |         'LICENSE'
32 |     )
33 | 
34 |     Write-Output "Copying ADMX and ADML files from '$SourceDirectory' to '$DestinationDirectory'..."
35 |     Write-Output "Excluding: $($Exclusions -join ', ')"
36 | 
37 |     # Copy all items from source to destination, excluding specified items
38 |     Copy-Item -Path "$SourceDirectory\*" -Destination $DestinationDirectory -Exclude $Exclusions -Force -Recurse
39 | 
40 |     Write-Output "ADMX/ADML files copied successfully to '$DestinationDirectory'!"
41 | }
42 | catch {
43 |     Write-Error "Failed to copy ADMX/ADML files."
44 |     Write-Error "Error Details: $($_.Exception.Message)"
45 |     Write-Error "Occurred at: Line $($_.InvocationInfo.ScriptLineNumber) in $($_.InvocationInfo.ScriptName)"
46 |     Pause
47 |     exit 1 # Exit with a non-zero code to indicate failure
48 | }


--------------------------------------------------------------------------------