Journalisation NTLM améliorée
Vérifié avec Windows 11 25H2 — mis à jour le 10 juillet 2026
Pris en charge sur : Au moins Windows 11 version 24H2
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Système\NTLM Description
Ce paramètre de stratégie permet au package de sécurité NTLM de journaliser les nouveaux journaux d'activité d’audit améliorés pour les clients et les serveurs. Ces journaux d'activité améliorés contiennent des informations sur les éléments qui utilisent NTLM, pourquoi NTLM est utilisé et la destination de la requête d’authentification NTLM. Ils fournissent également des informations sur l’utilisation de NTLMv1 et d’autres rétrogradations de sécurité. Si vous activez ou ne configurez pas cette stratégie, les nouveaux journaux d'activité d’audit seront générés. Si vous désactivez la stratégie, les nouveaux journaux d'activité ne seront pas générés.
Registre
Software\Microsoft\Windows\CurrentVersion\Policies\System\NTLM\Parameters Nom de valeur : LogEnhancedAuditEvents
Activé : LogEnhancedAuditEvents = 1
Désactivé : LogEnhancedAuditEvents = 0
Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Journalisation NTLM améliorée
; State: Enabled
; Supported on: Au moins Windows 11 version 24H2
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\NTLM\Parameters]
"LogEnhancedAuditEvents"=dword:00000001Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Journalisation NTLM améliorée
# State: Enabled
# Supported on: Au moins Windows 11 version 24H2
$path = 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System\NTLM\Parameters'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'LogEnhancedAuditEvents' -Value 1 -Type DWordIntune XML
Aucune correspondance directe Policy CSP / OMA-URI pour cette stratégie. Utilisez l'onglet Intune Remediation, ou importez l'ADMX dans Intune.Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Journalisation NTLM améliorée
# State: Enabled
# Supported on: Au moins Windows 11 version 24H2
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System\NTLM\Parameters' -Name 'LogEnhancedAuditEvents' -Expected 1 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Journalisation NTLM améliorée
# State: Enabled
# Supported on: Au moins Windows 11 version 24H2
$path = 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System\NTLM\Parameters'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'LogEnhancedAuditEvents' -Value 1 -Type DWordScripts SCCM
# Exported from gporais.com
# Policy: Journalisation NTLM améliorée
# State: Enabled
# Supported on: Au moins Windows 11 version 24H2
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Journalisation NTLM améliorée
# State: Enabled
# Supported on: Au moins Windows 11 version 24H2
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System\NTLM\Parameters' -Name 'LogEnhancedAuditEvents' -Expected 1 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Journalisation NTLM améliorée
# State: Enabled
# Supported on: Au moins Windows 11 version 24H2
$path = 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System\NTLM\Parameters'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'LogEnhancedAuditEvents' -Value 1 -Type DWordVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).