Le mettre dans un VLAN dédié, avec des règles de pare-feu strictes : aucun flux ne peut entrer dans ce VLAN, et seuls les flux d’administration nécessaires sont autorisés en sortie.

Le mettre dans la zone réseau des serveurs mais lui couper l’accès à internet. Ainsi, un attaquant sur un poste utilisateur ne pourra pas intercepter les flux d’administration du poste.

Le mettre dans le réseau bureautique mais paramétrer le pare-feu Windows du poste pour bloquer tous les flux en entrée, et n’autoriser que les flux d’administration nécessaires en sortie.

Sauvegarder ses données sur un serveur du domaine, et tester sa capacité à les restaurer si besoin.

Sauvegarder ses données sur un support hors ligne (bandes magnétiques, par exemple) et tester sa capacité à les restaurer si besoin.

Sauvegarder ses données à différents endroits, et tester sa capacité à les restaurer si besoin.

Activer Credentials Guard sur les serveurs pour se prémunir des dumps de lsass.

Mettre en place LAPS pour éviter que le mot de passe de l’administrateur local soit le même que sur les autres serveurs.

Mettre en place une administration en silos, afin que les comptes administrateurs du domaine ne soient pas présents sur les serveurs de fichier.

Mettre les administrateurs du domaine dans le groupe “Protected Users” afin de les empêcher d’utiliser NTLM, et donc de laisser leurs identifiants en mémoire dans lsass.

Mettre en place un EDR sur le serveur avec des règles spécifiques permettant de bloquer les tentatives de dump de lsass.