Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. Security
DossierRisque : Ne pas toucher

Security C:\Windows\Security

Base de données et journaux de configuration de la sécurité locale utilisés par secedit et le composant Configuration et analyse de la sécurité.

Mis à jour le Par AltF4 Formation

À quoi ça sert

C:\Windows\security est l’espace de travail du moteur de configuration de la sécurité (Security Configuration Engine). L’outil secedit compare la configuration actuelle à des modèles de sécurité, l’analyse ou l’applique, et en écrit le résultat dans %windir%\security\logs\scesrv.log. C’est le socle de la stratégie de sécurité locale que vous éditez avec secpol.msc.

Ce qu’il contient

  • logs\scesrv.log : journal créé par le système, écrasé à chaque exécution de secedit /analyze, /configure, /export ou /import. Les résultats y sont regroupés par type de stratégie.
  • database : les bases de sécurité (.sdb) de la machine, dont secedit.sdb, la base de la stratégie locale.
  • Les bases que vous créez dans le composant Configuration et analyse de la sécurité vont dans Documents\Security\Database de votre profil, pas ici.

Risques et bonnes pratiques

  • Ne modifiez ni ne supprimez les fichiers de database : ils conditionnent l’application de la stratégie locale. Changez les paramètres avec secpol.msc, gpedit.msc ou secedit.
  • Après un secedit /configure, lisez scesrv.log pour trouver les paramètres qui n’ont pas pu être appliqués. Il est écrasé à la commande suivante : copiez-le d’abord.
  • Exportez la configuration actuelle avant de la changer, vous pourrez revenir en arrière.
  • Si des permissions système sont abîmées, secedit /configure avec le modèle defltbase.inf les rétablit aux valeurs par défaut de Windows. C’est un dernier recours, à tester d’abord sur une VM.

Commandes utiles

Fenêtre de terminal
# Dernières lignes du journal de secedit
Get-Content "$env:windir\security\logs\scesrv.log" -Tail 40
Fenêtre de terminal
:: En administrateur : exporter la stratégie de sécurité locale vers un fichier (ne modifie rien)
secedit /export /cfg "%TEMP%\secpol-export.inf" /areas SECURITYPOLICY


:: Comparer la configuration actuelle à un modèle (le résultat va dans scesrv.log)
secedit /analyze /db "%TEMP%\analyse.sdb" /cfg "%TEMP%\secpol-export.inf"

Contenu du dossier

Fichiers 1

Journaux 1

Signaler une erreur