GPO — Bloquer PowerShell et CMD pour les non-admins

Thu, 18 Jun 2026 00:00:00 +0000

Le problème

Un utilisateur standard n’a aucune raison légitime d’ouvrir une console PowerShell ou une invite de commandes. Lui en laisser l’accès, c’est laisser une porte ouverte : un attaquant qui obtient une session utilisateur peut utiliser PowerShell comme outil de reconnaissance, de mouvement latéral ou d’exécution. Fermer cette porte réduit la surface d’attaque.

Soyons clairs sur le périmètre : cette GPO ne protège pas contre les ransomwares. Un crypto-locker moderne embarque son propre moteur d’exécution et ne dépend pas de powershell.exe ou cmd.exe présents sur la machine. Bloquer la console est une mesure de durcissement (réduction de surface d’attaque, defense-in-depth), pas un rempart anti-malware. La vraie protection anti-ransomware passe par le retrait des droits admin locaux, le whitelisting applicatif complet, et des sauvegardes hors-ligne.

Applocker on Aperture Zone

GPO — Bloquer PowerShell et CMD pour les non-admins

Le problème