Base de connaissances

Services critiques

Essentiel aux fonctions de base du système telles que la mise en réseau, l’impression, les mises à jour et la gestion du système. Si l’un de ces services n’est pas dans l’état attendu, qu’il soit arrêté ou mal configuré, cela peut entraîner l’échec des mises à jour, l’échec des stratégies de groupe, le dépannage retardé ou la dégradation de l’expérience utilisateur.

• La conformité d’un terminal est insuffisante si l’un des services surveillés n’est pas dans l’état attendu.
• Le contrôle de conformité est effectué si l'un des services surveillés change de statut (sans intervalle de vérification fixe).

• Pour le service BITS, la correction consiste à définir le mode de démarrage du service sur Manuel et à arrêter le service.
• Pour tous les autres services, la correction consiste à définir le mode de démarrage du service sur Automatique et à démarrer le service.

Gestion de l’espace disque

Disk Space Management Insight (Gestion de l'espace disque) surveille l’espace disque disponible sur les terminaux. Lorsque l’espace disque tombe en dessous d’une valeur de déclencheur, la vérification d’analyse indique que le terminal n’est pas conforme. L’espace disque peut alors être libéré manuellement ou automatiquement.

• La conformité d’un terminal est insuffisante si l’espace libre de son disque principal (lecteur de système d’exploitation) est inférieur à 10 Go.
• Le contrôle de conformité est effectué toutes les 4 heures.

• Le gestionnaire de nettoyage de disque Windows (cleanmgr.exe) est exécuté avec le paramètre /autoclean.
• Cela supprime les fichiers d’installation temporaires et d’autres fichiers qui ne devraient pas être requis sur le terminal, qui peuvent avoir été conservés après les mises à jour Windows.
• Les fichiers utilisateur ne sont pas affectés. Cela inclut le contenu de la corbeille.

Crash d’Office 365

L’aperçu des pannes d’Office 365 examine l’historique d’activité des principaux composants Office 365 pour déterminer si l’un d’entre eux s’est bloqué dans une fenêtre de 24 heures.

• Un terminal ne respecte pas la conformité si un composant Office 365 surveillé s’est bloqué plus d’une fois au cours de cette période.
• Le contrôle de conformité si Office 365 a planté plus d'une fois au cours d'une période de 24 heures.

• La correction n’est tentée que pour le premier utilisateur connecté qui est trouvé.
• Le cache de fichiers Office est supprimé.
• Le cache itinérant Office est supprimé.

Crash du système d’exploitation

Les plantages du système d’exploitation et les BSOD sont de sérieux indicateurs d’instabilité du système, souvent causés par des problèmes de pilote, des défaillances matérielles ou des fichiers de système d’exploitation corrompus. Même une seule panne peut perturber le travail, entraîner une perte de données et signaler des problèmes de fiabilité plus profonds.

• La conformité d’un terminal échoue si un composant du système d’exploitation surveillé s’est bloqué au moins une fois au cours de cette période.
• Le contrôle de conformité est effectué toutes les 4 heures.

L’outil SFC (Windows System File Checker) est exécuté avec le paramètre /scannow pour détecter et réparer les fichiers corrompus du système d’exploitation Windows.

Configuration du fichier d’échange

L’analyse de la taille du fichier d’échange détermine si le fichier d’échange sur le disque du système d’exploitation est dimensionné de manière appropriée pour la mémoire physique de l’appareil. Il permet de l’ajuster automatiquement à la taille appropriée.

• Un terminal est conforme si la taille du fichier d’échange est considérée comme appropriée pour la quantité de mémoire physique signalée par le terminal.
• Le contrôle de conformité est effectué toutes les 48 heures.

• Si le terminal signale qu’il dispose d’un stockage SSD, Windows gérera automatiquement la taille du fichier d’échange.
• Si le terminal signale un stockage sur disque dur, la taille du fichier d’échange est définie sur 1,5 * la mémoire physique signalée par le terminal, SAUF si cela entraîne moins de 3 Go d'espace disque disponible. Dans ce cas, aucune modification n’est apportée à la taille du fichier d’échange.

Restauration du système

System Restore Insight (restauration du système) vérifie que la fonctionnalité de restauration du système a été activée sur un terminal.

• La conformité d’un terminal s’avère que la fonctionnalité de restauration du système est désactivée.
• Le contrôle de conformité est effectué toutes les 48 heures.

La correction consiste à exécuter l’applet de commande PowerShell Enable-ComputerRestore sur le lecteur C.

Teams Crash

Les plantages fréquents de Teams peuvent perturber les réunions, réduire la productivité des utilisateurs, retarder la prise de décision et causer de la frustration au service.

• Un terminal ne respecte pas la conformité si un composant Teams surveillé se bloque plus d’une fois au cours de cette période.
• Le contrôle de conformité est effectué si Microsoft Teams a planté plus d'une fois au cours d'une période de 24 heures.

• Le cache Teams est supprimé et les mises à jour requises sont exécutées.
• La correction est tentée pour tous les utilisateurs connectés.

Synchronisation de l’heure

Time Sync Insight (synchronisation de l'heure) vérifie que l’horloge locale du terminal est correctement synchronisée avec l’heure signalée par le composant de changement de plate-forme.

• La conformité d’un terminal échoue si l’heure locale du terminal diffère de plus de 30 secondes dans un sens ou dans l’autre par rapport à l’heure de changement de plate-forme signalée.
• Le contrôle de conformité est effectué toutes les 4 heures.

La correction consiste à exécuter l’exécutable Windows w32tm avec le paramètre /resync

Démarrage rapide de Windows

Windows Fast Startup Insight (démarrage rapide de Windows) vérifie si un terminal est configuré pour Windows Fast Startup. Si c’est le cas, l’instruction de correction permet de désactiver la fonctionnalité sur les terminaux cibles.

• Un terminal ne respecte pas la conformité si l’option de démarrage rapide est activée.
• Le contrôle de conformité est effectué toutes les 48 heures.

• Les clients peuvent choisir de configurer l’insight pour qu’il soit corrigé manuellement (par défaut) ou automatiquement. Dans les deux cas, le processus de correction réel est identique.
• La clé de registre de démarrage rapide est mise à jour pour désactiver le démarrage rapide.

Référentiel WMI

Le référentiel WMI (Windows Management Instrumentation) est un composant Windows central utilisé par les outils système, les scripts et les plates-formes de gestion pour récupérer des informations matérielles et logicielles. Si le référentiel devient incohérent ou corrompu, cela peut entraîner l’échec des analyses d’inventaire, l’automatisation interrompue et des rapports inexacts sur les appareils, ce qui a un impact sur tout, des déploiements de logiciels aux audits de conformité.

• Un terminal est conforme si la vérification de l’intégrité WMI aboutit.
  
• La vérification de l’intégrité WMI est effectuée à l’aide de l’outil Microsoft WinMGMT.
• Le contrôle de conformité est effectué toutes les 48 heures.

La correction consiste à exécuter l’outil wmimgmt avec l’option /salvagerepository. Cela tentera de réparer toute corruption du dépôt.

Windows Defender Signature Age

L'aperçu de Windows Defender Signature Age détermine l'âge du fichier de signature de Windows Defender le plus récent. Il permet de lancer manuellement ou automatiquement la mise à jour du fichier afin de s'assurer que le fichier de signature le plus récent a été téléchargé.

• Un point d'accès n'est pas conforme si le fichier de signatures date de plus d'un jour (24 heures).
• Le contrôle de conformité est effectué toutes les 24 heures.

La cmdlet PowerShell Update-MpSignature est exécutée comme indiqué ci-contre : Update-MpSignature -UpdateSource MMPC.
 

• Si l'instruction insight fix de remédiation n'est pas en mesure de terminer la remédiation, ou si, après la remédiation, l'appareil n'est toujours pas conforme, l'instruction renvoie une erreur au lieu d'un résultat.
• Le message d'erreur est un message JSON au format :
  {Error : RemediationFailed} ou {Error : RemediationNonCompliant} selon le cas.

Synchronisation OneDrive

Si OneDrive ne se synchronise pas correctement, l'utilisateur peut constater que les fichiers qu'il met à jour localement dans son dossier OneDrive ne sont pas synchronisés avec la copie dans le cloud ou que les modifications qu'il apporte au dossier OneDrive local, telles que l'ajout ou la suppression de fichiers, ne sont pas répercutées dans le cloud. Cela peut entraîner une perte de données ou d'autres problèmes de productivité.

• Un terminal n'est pas conforme si la dernière entrée dans le dossier journal OneDrive de l'utilisateur date de plus d'un jour.
• Le contrôle de conformité est effectué toutes les 24 heures.

Le programme de contrôle OneDrive.exe s'exécute comme indiqué ci-dessous :

OneDrive /reset

Pare-feu Windows

Si le pare-feu Windows n'est pas activé ou n'est pas configuré pour bloquer les ports entrants, cela peut permettre à des logiciels malveillants d'établir des connexions entrantes vers le terminal et potentiellement d'exfiltrer des informations depuis celui-ci.

• Un terminal n'est pas conforme si le statut du pare-feu est activé pour tous les profils et si les ports entrants sont bloqués.
• Le contrôle de conformité est effectué toutes les 24 heures.

La correction consiste à exécuter la cmdlet PowerShell get-netfirewallprofile. Celle-ci est exécutée deux fois, d'abord pour s'assurer que tous les profils sont activés, puis pour s'assurer que les ports entrants sont bloqués et que les ports sortants sont autorisés.

ThreatDown

Si un terminal exécutant ThreatDown n'est pas correctement configuré, la protection antivirus essentielle pourrait être perdue, ce qui permettrait une attaque contre le terminal.

• Un terminal n'est pas conforme si l'un des services surveillés ne fonctionne pas ou si son mode de démarrage n'est pas défini sur Automatique. 
• Le contrôle de conformité est effectué toutes les 5 minutes.

• Si un service surveillé n'est pas en cours d'exécution ou n'est pas configuré avec un mode de démarrage Automatique, il sera démarré et le mode de démarrage sera configuré sur Automatique.
• Notez que certains services MalwareBytes sont marqués comme Protégés. Cela signifie qu'il n'est pas possible de modifier leur état ou leur mode de démarrage.

Échec de la mise à jour Windows

Windows Update est essentiel pour garantir la protection totale des terminaux contre les logiciels malveillants et pour s'assurer que tous les défauts logiciels corrigés par les mises à jour sont déployés en temps opportun.

• Un terminal n'est pas conforme si la dernière mise à jour n'a pas été effectuée au cours des dernières 24 heures ou s'il y a des mises à jour en attente.  
• Le contrôle de conformité est effectué toutes les 24 heures.

La correction consiste à exécuter l'utilitaire usoclient. Il est exécuté deux fois, comme suit :

usoclient startinteractivescan

usoclient startscan

Vérification du service TeamViewer

L'agent TeamViewer permet à l'administrateur système d'accéder à distance aux terminaux et de les contrôler. Si le service n'est pas en cours d'exécution, l'agent ne pourra pas autoriser cette fonctionnalité.

• Un terminal n'est pas conforme si le service TeamViewer n'est pas en cours d'exécution ou n'est pas enregistré.
• Le contrôle de conformité est effectué toutes les 24 heures.

Le service TeamViewer est démarré et son mode de démarrage est défini sur "Automatique".

Vérificateur de fichiers système Microsoft

L'outil Vérificateur de fichiers système de Microsoft est conçu pour rechercher et, le cas échéant, réparer les scénarios dans lesquels un ou plusieurs fichiers système, tels que des DLL, semblent être corrompus.

Pour plus d'informations sur l'outil SFC, consultez le lien ci-dessous :

SFC scannow - Microsoft Community

• Un terminal n'est pas conforme si sfc /VerifyOnly signale des erreurs. 
• Le contrôle de conformité est effectué toutes les 24 heures.

La réparation consiste à exécuter sfc /ScanNow. Cela permettra de tenter de réparer tous les fichiers corrompus détectés.