🧭 Find-WSUS

Découvrez les configurations de serveurs WSUS dans les objets de stratégie de groupe (GPO) — y compris les préférences de stratégie de groupe (GPP) masquées.

Find-WSUS est un script PowerShell conçu pour les professionnels de la sécurité et les administrateurs système afin d’identifier toutes les URL de serveurs WSUS (Windows Server Update Services) configurées via des GPO. Il détecte les configurations provenant à la fois de :

Stratégies de modèles administratifs (HKLM\Software\Policies)
Préférences de stratégie de groupe (GPP) : paramètres de registre masqués dans les rapports XML

⚠️ Pourquoi c’est important

Les serveurs WSUS sont des actifs d’infrastructure à forte valeur. S’ils sont compromis, un attaquant peut déployer de fausses « mises à jour » sur tous les systèmes joints au domaine, conduisant à une compromission totale du domaine.

🧨 Des vulnérabilités comme CVE-2025-59287 démontrent qu’une seule exploitation WSUS peut donner aux attaquants un contrôle total sur le domaine.

Find-WSUS aide les organisations à localiser toutes les sources de configuration WSUS avant les attaquants.

🔍 Le problème du « WSUS caché »

La plupart des analyses ne vérifient que :

HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate

Cependant, de nombreuses organisations déploient la configuration WSUS via les Préférences de stratégie de groupe (GPP), qui modifient directement les clés de registre. Ces paramètres n’apparaissent pas dans les rapports GPMC standard.

✅ Find-WSUS détecte à la fois les configurations standard et celles basées sur les GPP, vous offrant une visibilité complète sur votre environnement.

🧩 Prérequis

Exigence	Description
PowerShell 64 bits	Requis pour la compatibilité COM. Le script se termine automatiquement s’il est exécuté dans PowerShell 32 bits.
RSAT : Outils d’administration de stratégie de groupe	Requis pour le module `GroupPolicy`. Windows 10/11 : `Paramètres → Fonctionnalités optionnelles → Ajouter une fonctionnalité → RSAT : Outils d’administration de stratégie de groupe` Windows Server : `Gestionnaire de serveur → Ajouter des rôles et fonctionnalités → Fonctionnalités → Gestion de la stratégie de groupe`
Autorisations	Accès en lecture à tous les GPO du domaine analysé.
Optionnel : droits d’administrateur	Certaines requêtes de stratégie de registre peuvent échouer sans élévation de privilèges.

⚙️ Utilisation

1. Importer le script

Chargez le script dans votre session PowerShell :

. .\Find-WSUS.ps1

2. Lancer l’analyse

Après l’importation, la fonction Find-WSUS devient disponible.

Exemple 1 : Analyser le domaine courant

Find-WSUS | Format-Table -AutoSize

Exemple 2 : Sortie détaillée (Verbose)

Affichez des messages de progression détaillés pendant l’analyse :

Find-WSUS -Verbose

Exemple 3 : Analyser un autre domaine

Find-WSUS -Domain "child.mydomain.com" | Format-Table -AutoSize

Exemple 4 : Filtrer les GPO par nom

Find-WSUS -Name "*Server*" -Verbose

Exemple 5 : Obtenir une liste unique des hôtes WSUS

$results = Find-WSUS -Domain "mydomain.com"
$results.Hostname | Where-Object { $_ } | Sort-Object -Unique

📦 Paramètres

Paramètre	Description	Défaut
`-Name`	Filtre les GPO par nom d’affichage à l’aide de caractères génériques. Utilise `-All` avec `*`.	`*` (tous les GPO)
`-Domain`	Spécifie un domaine à interroger (utile dans les forêts multi-domaines).	Domaine de l’utilisateur courant
`-Verbose`	Affiche la progression détaillée de l’analyse et les résultats.	Désactivé

🧠 Comment ça fonctionne

1. Validation de l’environnement

Vérifie que PowerShell est en 64 bits.
Vérifie que le module GroupPolicy est installé.
Confirme que les GPO sont accessibles dans le domaine spécifié.

2. Analyse des stratégies (runspace STA)

Utilise Get-GPRegistryValue dans un runspace STA pour éviter les erreurs de threading COM.

Recherche les valeurs WUServer et WUStatusServer dans :

HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate

3. Analyse des préférences (XML GPP)

Analyse la sortie XML de Get-GPOReport -ReportType Xml.
Recherche les URL WSUS masquées dans les nœuds avec espace de noms (q2:Registry) et les nœuds de secours (*[local-name()='Registry']).
Capture les valeurs écrites sous HKLM, y compris les clés ...\Windows\WindowsUpdate.

4. Agrégation des résultats

Fusionne toutes les découvertes dans un jeu de données unique.
Extrait les noms d’hôtes des URL pour faciliter la déduplication.
Retourne des objets propres et triés.

🧾 Exemple de sortie (style de mise en forme réel)

Cela reflète la véritable disposition et les en-têtes de Format-Table -AutoSize de Find-WSUS, mais avec des exemples réalistes d’hôtes/URL et de noms/GUID de GPO.

PS C:\Users\Administrator\Documents> Find-WSUS | Format-Table -AutoSize
[OK] Environment check passed: 64-bit PowerShell, GroupPolicy module loaded, GPOs accessible.

Find-WSUS

Populaires