Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. config
  5. SECURITY
FichierRisque : Ne pas toucher

SECURITY C:\Windows\System32\config\SECURITY

Ruche du Registre HKLM\SECURITY : stratégie de sécurité locale, secrets LSA et identifiants mis en cache. Accès réservé au système.

Mis à jour le Par AltF4 Formation

À quoi ça sert

SECURITY est la ruche qui porte la stratégie de sécurité locale. Windows la charge au démarrage et la présente sous HKEY_LOCAL_MACHINE\SECURITY. Seul le système y a accès : même un administrateur ne l’ouvre pas dans regedit sans passer en SYSTEM. Les règles communes à toutes les ruches sont sur la fiche System32\config.

Ce qu’il contient

  • La stratégie de sécurité locale : audit, droits utilisateur, paramètres de sécurité de la LSA.
  • Les secrets LSA, par exemple les mots de passe de comptes de service, et selon la configuration les identifiants de domaine mis en cache pour l’ouverture de session hors connexion.
  • Les fichiers de transactions associés (SECURITY.LOG1, SECURITY.LOG2), à côté de la ruche.

Risques et bonnes pratiques

  • Cette ruche contient des secrets. Une copie hors ligne, avec la ruche SYSTEM, permet de les extraire : protégez l’accès physique et les sauvegardes.
  • Pour changer la stratégie locale, utilisez secpol.msc ou secedit, pas le fichier.

Commandes utiles

Fenêtre de terminal
# La ruche et ses fichiers associés (.LOG1, .LOG2, .regtrans-ms)
Get-ChildItem -Force "$env:windir\System32\config" -Filter "SECURITY*" | Select-Object Name, Length, LastWriteTime


# Exporter la stratégie de sécurité locale pour la lire (en administrateur)
secedit /export /cfg "$env:TEMP\secpol.inf"


# Copie hors ligne de la ruche (en administrateur)
reg save HKLM\SECURITY "$env:TEMP\security.hiv"

Signaler une erreur