Ce qu'eXact relève sur un poste.

En un coup d'œil

Sept tables, 209 colonnes de premier niveau, et près de 300 champs supplémentaires à l'intérieur des colonnes structurées.

Chaque ligne porte le nom du poste, l'identifiant d'appareil Entra ID et l'identifiant d'appareil Intune. Le recoupement avec Intune et Entra se fait donc sans clé supplémentaire à maintenir.

L'appareil : identité, matériel, firmware

Identité

Nom du poste, nom complet DNS, domaine, rôle dans le domaine, appartenance au domaine, identifiant d'appareil Entra ID, identifiant et nom d'appareil Intune, UUID SMBIOS, numéro de série, numéro d'inventaire SMBIOS, utilisateur principal

Modèle

Constructeur, modèle, référence SKU, type de poste (fixe, portable, tablette), machine virtuelle, hyperviseur présent

Châssis

Constructeur, numéro de série, type de châssis, verrou physique présent

Carte mère

Constructeur, référence, numéro de série, version

Processeur

Nom, constructeur, architecture, cœurs physiques, cœurs logiques, fréquence de base, cache L3, socket

Firmware

Version du BIOS, date du BIOS, type de firmware (UEFI ou BIOS hérité)

TPM

Présent, activé, provisionné, prêt à l'emploi, empreinte du certificat d'endossement

Inscription

Date d'inscription MDM, type d'inscription, profil Autopilot, étiquette de groupe Autopilot, identifiant ZTD

Localisation

Fuseau horaire, code pays, disposition clavier, langue du système

L'empreinte TPM et les réglages qui exigent des droits d'administrateur sont mesurés : le script tourne en contexte système.

Stockage, mémoire, écrans et périphériques

Chaque groupe ci-dessous remonte une ligne par élément : un disque, un volume, une barrette, un écran.

Disques physiques

Numéro, nom, état de santé, type de support (SSD, HDD), capacité, numéro de série, usure, écart de température, erreurs de lecture corrigées et non corrigées, erreurs d'écriture corrigées et non corrigées

Volumes

Lettre, nom, système de fichiers, taille, espace libre, pourcentage libre, numéro de série

Mémoire

Total installé, emplacements totaux, emplacements occupés ; par barrette : emplacement, capacité, fréquence, constructeur, référence, numéro de série, format, type

Carte graphique

Nom, mémoire dédiée, version et date du pilote, mode vidéo, fréquence de rafraîchissement

Écrans

Constructeur, modèle, code produit, numéro de série, année de fabrication, diagonale en pouces

Imprimantes et périphériques

Type, nom, pilote, port, partagée, par défaut, réseau, classe PnP, constructeur, identifiant matériel

Batterie

Nom, identifiant, capacité d'origine, capacité à pleine charge, usure en pourcentage, cycles de charge, charge restante, état

Profils utilisateur

Chemin local, SID, dernière utilisation, profil chargé, profil itinérant configuré

Alimentation

Mode de gestion d'alimentation actif, taille du fichier d'échange

L'usure de batterie vient du rapport powercfg /batteryreport, pas d'une estimation.

Réseau et Delivery Optimization

Cartes réseau, une ligne par carte

Description, alias, type de carte, état du lien, débit du lien, adresse MAC, nom du profil réseau, adresse IPv4, masque, passerelle par défaut, adresse IPv6, serveurs DNS, DHCP activé, serveur DHCP, date d'obtention du bail

Téléchargements Delivery Optimization

Octets téléchargés au total, depuis Internet, depuis le réseau local, depuis un serveur de cache, en HTTP direct

Envois Delivery Optimization

Octets envoyés vers Internet, vers le réseau local, limite d'envoi atteinte

Efficacité

Pourcentage servi par les pairs, par le serveur de cache, par HTTP ; débits de téléchargement au premier et à l'arrière-plan

Période

Début du mois mesuré, date de début de la collecte cumulée

Les compteurs Delivery Optimization sont cumulés sur le mois par le poste lui-même. Windows les remet à zéro ; le script encaisse la dernière valeur vue avant chaque remise, ce qui évite le creux du premier du mois. C'est la mesure qui chiffre la bande passante WAN économisée par le cache pair-à-pair.

Windows : version, licence, Office, stabilité

Système

Nom du système, version, numéro de build, révision, architecture, langue, date d'installation

Licence Windows

État de la licence, canal d'activation, cinq derniers caractères de la clé, jours de période de grâce restants, serveur KMS utilisé

Microsoft 365 Apps

Version installée, canal de mise à jour, identifiants de produits activés

Démarrage

Dernier démarrage, durée de fonctionnement, temps de démarrage en millisecondes

Redémarrage en attente

Redémarrage requis, et la raison : Windows Update, installation de composants, renommage en attente

Stabilité

Dernier arrêt inattendu, nombre d'arrêts inattendus sur 30 jours

Plantages récents, une ligne par événement

Journal, identifiant d'événement, type, application, version de l'application, module fautif, date

Fonctionnalités

Hyper-V activé, WSL activé, .NET 3.5 activé, SMBv1 activé

Client Windows Update

Version de l'agent, dernier succès de recherche, dernier succès d'installation

SMBv1 activé et .NET 3.5 activé sont deux indicateurs de dette technique directement exploitables en tableau de bord.

Applications, correctifs et pilotes

Applications installées

Une ligne par application, toutes sources confondues : installations MSI et EXE des deux ruches de registre, et paquets Appx du Microsoft Store.

Identification

Nom, éditeur, version, architecture, langue, code produit MSI, nom complet du paquet Appx, identifiant winget

Installation

Date d'installation, emplacement, source d'installation, portée (machine ou utilisateur), SID de l'utilisateur concerné, taille estimée

Désinstallation

Commande de désinstallation, commande silencieuse, chemin de la clé de registre

Usage et obsolescence

Date de dernière utilisation, version disponible en mise à jour

La version disponible vient de winget upgrade exécuté sur le poste : l'écart entre version installée et version disponible se lit directement, sans catalogue à maintenir.

Correctifs Windows

Une ligne par correctif : identifiant KB, description, date d'installation, compte qui l'a posé.

Pilotes

Pilotes, une ligne par pilote

Classe de périphérique, nom, identifiant matériel, fournisseur du pilote, constructeur, version, date, fichier INF

Périphériques en erreur

Nom, identifiant matériel, classe PnP, constructeur, code d'erreur Windows

Les pilotes d'imprimante sont inclus dans la même table.

Extensions de navigateur et certificats

Extensions de navigateur

Une ligne par extension et par profil utilisateur, sur Microsoft Edge et Google Chrome.

Origine

Navigateur, profil utilisateur concerné

Extension

Identifiant, nom, version, activée ou non

Risque

Permissions demandées, permissions sur les sites visités, URL de mise à jour

L'URL de mise à jour distingue une extension venue du magasin officiel d'une extension chargée depuis ailleurs.

Certificats

Une ligne par certificat du magasin machine.

Identification

Empreinte, sujet, émetteur, nom convivial, numéro de série

Validité

Date de début, date d'expiration

Cryptographie

Clé privée présente, taille de clé, algorithme de signature, auto-signé

Usage

Utilisations étendues de la clé, nom du modèle de certificat, magasin et emplacement

Un indicateur signale le certificat qui sert à l'authentification de l'inventaire lui-même, avec sa date d'expiration : la rotation se pilote depuis la même table.

Défenses : antivirus, pare-feu, EDR

Microsoft Defender — état

Mode de fonctionnement, antivirus activé, protection en temps réel, surveillance des comportements, analyse des téléchargements, inspection réseau

Microsoft Defender — à jour

Version des signatures, date des signatures, âge des signatures en jours, version du moteur, version du produit

Microsoft Defender — analyses

Âge de la dernière analyse rapide, âge de la dernière analyse complète

Microsoft Defender — durcissement

Protection contre les altérations, accès contrôlé aux dossiers, protection réseau, protection contre les applications indésirables

Règles de réduction de surface d'attaque

Une ligne par règle : identifiant de règle et action appliquée (bloquer, auditer, désactivée)

Exclusions Defender

Chemins exclus, extensions exclues, processus exclus

Pare-feu, une ligne par profil

Profil (domaine, privé, public), activé, action entrante par défaut, action sortante par défaut, journalisation des connexions autorisées et bloquées

Defender for Endpoint

État d'intégration, identifiant d'organisation, version du capteur, capteur en cours d'exécution

Antivirus tiers

Une ligne par produit détecté : type, nom, activé, signatures à jour, état brut du produit

Les exclusions Defender sont l'un des rares points où une lecture sans droits suffisants renverrait un texte au lieu d'une liste. Le champ reste vide plutôt que faux : « non mesuré » ne se confond jamais avec « aucune exclusion ».

Chiffrement, intégrité du code et démarrage sécurisé

BitLocker, une ligne par volume

Type de volume, point de montage, capacité, état du chiffrement, pourcentage chiffré, méthode de chiffrement, état de protection, état de verrouillage, déverrouillage automatique, protecteurs de clé détaillés

Démarrage sécurisé

Secure Boot activé côté système, certificat UEFI CA 2023 côté système et côté firmware

Sécurité basée sur la virtualisation

État VBS, intégrité du code protégée par l'hyperviseur (HVCI), lancement sécurisé System Guard, protection DMA, protection de pile matérielle du noyau

Device Guard et Credential Guard

Services de sécurité configurés, services réellement en cours, fonctionnalités disponibles, fonctionnalités requises, application des stratégies d'intégrité du code en mode noyau et en mode utilisateur, isolation de machine virtuelle, version

Protection du processus LSA

LSA en processus protégé, état configuré au démarrage

Pilotes vulnérables

Liste de blocage des pilotes vulnérables activée, état effectif

TPM détaillé

Propriétaire défini, approvisionnement automatique, compteur de verrouillage, délai de réarmement, identifiant du fabricant, version de spécification

SmartScreen et Smart App Control

SmartScreen dans l'Explorateur, dans Edge, dans le Microsoft Store, service SmartScreen, Smart App Control, évaluation du contenu web

Protection contre l'hameçonnage

Service activé, notification en cas de site malveillant, de réutilisation de mot de passe, d'application dangereuse

Atténuations mémoire

Prévention de l'exécution des données, Control Flow Guard, ASLR, déplacement des images, options d'atténuation du système

Les protecteurs de clé BitLocker partent en tableau structuré : le filtre « quels postes n'ont pas de sauvegarde de clé » se construit dessus.

Comptes, privilèges et surface d'attaque locale

Comptes locaux, une ligne par compte

Nom, SID, activé, compte administrateur intégré, mot de passe requis, mot de passe expirant, date du dernier changement de mot de passe, dernière ouverture de session, origine du compte

Administrateurs locaux

Une ligne par membre : nom, SID, type d'objet, origine (locale, Active Directory, Entra ID)

Groupes privilégiés

Une ligne par membre : groupe et son SID, membre et son SID, type d'objet, origine

Partages réseau

Nom, chemin, description, type

Services sensibles

Nom, nom affiché, état, mode de démarrage, compte d'exécution, chemin de l'exécutable, motif de signalement

Persistance

Une ligne par point de démarrage automatique : type, nom, chemin, auteur, compte d'exécution, commande, arguments

Politique de mot de passe locale

Longueur minimale, âge maximal, historique conservé, seuil de verrouillage

Durcissement PowerShell

Version de PowerShell, mode de langage, journalisation des blocs de script

Protocoles hérités

Client SMBv1 activé, LLMNR activé

Les services et les points de persistance sont filtrés sur des motifs de signalement plutôt que remontés en entier : un poste porte plusieurs centaines de services, dont la quasi-totalité n'apprend rien.

Windows Update, LAPS et réglages BIOS

Réglages Windows Update — 39 champs

Service

État du service Windows Update, téléchargement sur connexion facturée au volume

Stratégies de groupe

Serveur WSUS et serveur d'état, source des mises à jour de pilotes, de fonctionnalités, de qualité et autres, double analyse désactivée, connexion aux emplacements Internet interdite, URL de service alternative, comportement du proxy, options de mise à jour automatique, mises à jour automatiques désactivées, utilisation du serveur WSUS

Stratégies Intune — report

Report des mises à jour de fonctionnalités et de qualité en jours, niveau de disponibilité (canal), pause des mises à jour de fonctionnalités et de qualité, date de début de la pause, période de désinstallation d'une mise à jour de fonctionnalité

Stratégies Intune — échéances

Échéance pour les mises à jour de fonctionnalités et de qualité, délai de grâce, redémarrage automatique interdit

Stratégies Intune — expérience

Heures d'activité de début et de fin, mise à jour automatique autorisée, service Microsoft Update autorisé, pilotes exclus des mises à jour de qualité, builds d'aperçu, niveau de notification, avertissements de redémarrage programmé et imminent, rejet de la notification de redémarrage, accès utilisateur à la pause et à l'interface Windows Update

LAPS

Nom du compte administrateur géré, annuaire de sauvegarde du mot de passe, âge du mot de passe en jours, complexité, longueur, actions après authentification et leur délai.

Réglages BIOS

Dell, HP et Lenovo, par trois chemins de lecture distincts. Le fournisseur lu, le nombre de réglages trouvés, puis chaque réglage du firmware avec son nom et sa valeur, tels que le constructeur les nomme : démarrage sécurisé, mot de passe administrateur, démarrage USB, virtualisation, TPM, port d'amorçage, et tout ce que le modèle expose.

Le nombre de réglages varie selon le modèle : plusieurs dizaines sur un poste professionnel récent. Sur Dell, le module DellBIOSProvider doit être déployé — eXact le fait en une application Intune. HP et Lenovo ne demandent rien.

Fraîcheur, volume et limites

Le script s'exécute comme remédiation Intune, en contexte système, à la fréquence choisie dans le portail — typiquement une fois par jour. Il n'y a pas d'agent, pas de serveur intermédiaire, pas de flux entrant à ouvrir : le poste envoie directement dans l'espace Log Analytics de l'organisation.

Cinq tables ne repartent que si leur contenu a changé depuis la dernière passe : applications, pilotes, extensions de navigateur, certificats, correctifs. Un renvoi complet est forcé tous les sept jours, pour qu'aucune ligne ne sorte de la fenêtre de rétention.

Volume, pour 10 000 postes

Soit environ 2,3 Mo par poste et par mois en configuration complète. Ces chiffres viennent d'une capture réelle : une passe complète relevée le 18 septembre 2026 sur un poste chargé — 94 applications, 102 certificats, 12 extensions — pèse 266 Ko en JSON compact, dont 46 Ko repartent à chaque passe et 220 Ko au renvoi complet. Un poste plus léger envoie moins. Le coût se calcule en appliquant le tarif d'ingestion de la région et de l'engagement retenus.

Extension sur mesure

Un second script, séparé, alimente une huitième table : clés de registre, fichiers et classes WMI choisis par votre organisation. C'est le point d'extension quand une donnée spécifique manque — un numéro de contrat, un marqueur métier, la version d'un logiciel maison.