Personnaliser la protection contre les codes malveillants exploitant une faille de sécurité

S’applique à :

• Microsoft Defender pour point de terminaison Plan 1
• Microsoft Defender pour point de terminaison Plan 2
• Microsoft Defender XDR

Vous voulez découvrir Defender pour point de terminaison ? Inscrivez-vous pour bénéficier d’un essai gratuit.

Exploit Protection applique automatiquement un certain nombre de techniques d’atténuation des attaques sur les processus du système d’exploitation et sur les applications individuelles.

Configurez ces paramètres à l’aide de l’application Sécurité Windows sur un appareil individuel. Ensuite, exportez la configuration en tant que fichier XML afin de pouvoir la déployer sur d’autres appareils. Utilisez stratégie de groupe pour distribuer le fichier XML à plusieurs appareils à la fois. Vous pouvez également configurer les atténuations avec PowerShell.

Cet article répertorie chacune des atténuations disponibles dans exploit protection. Il indique si l’atténuation peut être appliquée à l’échelle du système ou à des applications individuelles, et fournit une brève description du fonctionnement de l’atténuation.

Il décrit également comment activer ou configurer les atténuations à l’aide de fournisseurs de services de configuration (CSP) Sécurité Windows, PowerShell et gestion des appareils mobiles (MDM). Il s’agit de la première étape de la création d’une configuration que vous pouvez déployer sur votre réseau. L’étape suivante implique la génération, l’exportation, l’importation et le déploiement de la configuration sur plusieurs appareils.

Atténuations de la protection contre l’exploitation

Toutes les atténuations peuvent être configurées pour des applications individuelles. Certaines atténuations peuvent également être appliquées au niveau du système d’exploitation.

Vous pouvez définir chacune des atténuations sur, désactivées ou sur leur valeur par défaut. Certaines atténuations ont des options supplémentaires qui sont indiquées dans la description du tableau.

Les valeurs par défaut sont toujours spécifiées entre crochets à l’option Utiliser par défaut pour chaque atténuation. Dans l’exemple suivant, la valeur par défaut pour la prévention de l’exécution des données est « Activé ».

La configuration Utiliser par défaut pour chacun des paramètres d’atténuation indique notre recommandation pour un niveau de protection de base pour l’utilisation quotidienne des utilisateurs à domicile. Les déploiements d’entreprise doivent prendre en compte la protection requise pour leurs besoins individuels et doivent peut-être modifier la configuration en dehors des valeurs par défaut.

Pour connaître les applets de commande PowerShell associées pour chaque atténuation, consultez le Tableau de référence PowerShell en bas de cet article.

Configurer des atténuations au niveau du système avec l’application Sécurité Windows

1. Ouvrez l’application Sécurité Windows en sélectionnant l’icône de bouclier dans la barre des tâches ou en recherchant Sécurité Windows dans le menu Démarrer.

2. Sélectionnez la vignette Contrôle Applications et navigateur (ou l’icône de l’application dans la barre de menus de gauche), puis sélectionnez Exploit Protection.

3. Dans la section Paramètres système, recherchez l’atténuation que vous souhaitez configurer et sélectionnez l’une des options suivantes. Les applications qui ne sont pas configurées individuellement dans la section Paramètres du programme utilisent les paramètres configurés ici :

   • Activé par défaut - L’atténuation est activée pour les applications pour lesquelles cette atténuation n’est pas définie dans la section Paramètres du programme spécifique à l’application
   • Désactivé par défaut : l’atténuation est désactivée pour les applications pour lesquelles cette atténuation n’est pas définie dans la section Paramètres du programme spécifique à l’application
   • Utiliser la valeur par défaut : l’atténuation est activée ou désactivée, selon la configuration par défaut configurée par Windows 10 ou l’installation de Windows 11 ; la valeur par défaut (Activé ou Désactivé) est toujours spécifiée en regard de l’étiquette Utiliser par défaut pour chaque atténuation

   Remarque

   Vous pouvez voir une fenêtre contrôle de compte d’utilisateur lors de la modification de certains paramètres. Entrez les informations d’identification de l’administrateur pour appliquer le paramètre.

   La modification de certains paramètres peut nécessiter un redémarrage.

4. Répétez cette opération pour toutes les atténuations au niveau du système que vous souhaitez configurer.

5. Accédez à la section Paramètres du programme et choisissez l’application à laquelle vous souhaitez appliquer les atténuations :

   1. Si l’application que vous souhaitez configurer est déjà répertoriée, sélectionnez-la, puis sélectionnez Modifier
   2. Si l’application n’est pas répertoriée, en haut de la liste, sélectionnez Ajouter un programme à personnaliser, puis choisissez la façon dont vous souhaitez ajouter l’application :
      • Utilisez Ajouter par nom de programme pour appliquer l’atténuation à tout processus en cours d’exécution portant ce nom. Vous devez spécifier un fichier avec une extension. Vous pouvez entrer un chemin d’accès complet pour limiter l’atténuation uniquement à l’application portant ce nom à cet emplacement.
      • Utilisez Choisir le chemin exact du fichier pour utiliser une fenêtre standard de sélecteur de fichiers Explorateur Windows pour rechercher et sélectionner le fichier souhaité.

6. Après avoir sélectionné l’application, vous verrez une liste de toutes les atténuations qui peuvent être appliquées. Pour activer l’atténuation, définissez la case à cocher sur Activer, puis activez le curseur. Sélectionnez toutes les options supplémentaires. Le choix de l’audit applique l’atténuation en mode audit uniquement. Vous serez averti si vous devez redémarrer le processus ou l’application, ou si vous devez redémarrer Windows.

7. Répétez ces étapes pour toutes les applications et atténuations que vous souhaitez configurer. Sélectionnez Appliquer lorsque vous avez terminé de paramétrer votre configuration.

Vous pouvez maintenant exporter ces paramètres en tant que fichier XML ou continuer pour configurer des atténuations spécifiques à l’application.

L’exportation de la configuration en tant que fichier XML vous permet de copier la configuration d’un appareil sur d’autres appareils.

Informations de référence sur PowerShell

Vous pouvez utiliser l’application Sécurité Windows pour configurer Exploit Protection, ou vous pouvez utiliser des applets de commande PowerShell.

Les paramètres de configuration qui ont été modifiés le plus récemment seront toujours appliqués, que vous utilisiez PowerShell ou Sécurité Windows. Cela signifie que si vous utilisez l’application pour configurer une atténuation, puis utilisez PowerShell pour configurer la même atténuation, l’application se met à jour pour afficher les modifications que vous avez apportées avec PowerShell. Si vous deviez ensuite utiliser l’application pour modifier à nouveau l’atténuation, cette modification s’appliquerait.

Vous pouvez utiliser le verbe PowerShell Get ou Set avec l’applet de commande ProcessMitigation. L’utilisation de Get répertorie l’état de configuration actuel des atténuations qui ont été activées sur l’appareil. Ajoutez l’applet de commande -Name et l’exe de l’application pour voir les atténuations pour cette application uniquement :

Get-ProcessMitigation -Name processName.exe

Utilisez Set pour configurer chaque atténuation au format suivant :

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Où :

• <Étendue> :
  • -Name pour indiquer que les atténuations doivent être appliquées à une application spécifique. Spécifiez l’exécutable de l’application après cet indicateur.
  • -System pour indiquer que l’atténuation doit être appliquée au niveau du système
• <Action> :
  • -Enable pour activer l’atténuation
  • -Disable de désactiver l’atténuation
• <Atténuation :>
  • L’applet de commande de l’atténuation telle que définie dans le tableau des applets de commande d’atténuation ci-dessous, ainsi que les sous-options (entourées d’espaces). Chaque atténuation est séparée par une virgule.

Par exemple, pour activer l’atténuation de prévention de l’exécution des données (DEP) avec émulation de thunk ATL et pour un exécutable appelé testing.exe dans le dossier C:\Apps\LOB\tests, et pour empêcher cet exécutable de créer des processus enfants, vous devez utiliser la commande suivante :

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP, EmulateAtlThunks, DisallowChildProcessCreation

Si vous souhaitez appliquer le DEP au niveau du système, vous devez utiliser la commande suivante :

Set-Processmitigation -System -Enable DEP

Pour désactiver les atténuations, vous pouvez remplacer -Enable avec -Disable. Toutefois, pour les atténuations au niveau de l’application, cela force la désactivation de l’atténuation uniquement pour cette application.

Si vous devez restaurer l’atténuation sur la valeur par défaut du système, vous devez également inclure l’applet de commande -Remove , comme dans l’exemple suivant :

Set-Processmitigation -Name test.exe -Remove -Disable DEP

Vous pouvez également définir certaines atténuations en mode audit. Au lieu d’utiliser l’applet de commande PowerShell pour l’atténuation, utilisez l’applet de commande du mode Audit comme spécifié dans le tableau des applets de commande d’atténuation ci-dessous.

Par exemple, pour activer Arbitrary Code Guard (ACG) en mode audit pour le fichier testing.exe utilisé précédemment, vous devez utiliser la commande suivante :

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable AuditDynamicCode

Vous pouvez désactiver le mode audit à l’aide de la même commande, mais en remplaçant -Enable par -Disable.

Table de référence PowerShell

Ce tableau répertorie les applets de commande PowerShell (et les applets de commande en mode audit associées) qui peuvent être utilisées pour configurer chaque atténuation.

[1] : Utilisez le format suivant pour activer les modules EAF pour les dll pour un processus :

Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll,dllName2.dll

[2] : L’audit de cette atténuation n’est pas disponible via les applets de commande PowerShell.

Personnaliser la notification

Pour plus d’informations sur la personnalisation de la notification lorsqu’une règle est déclenchée et bloque une application ou un fichier, consultez Sécurité Windows.

Voir aussi

• Protéger les appareils contre les codes malveillants exploitant une faille de sécurité
• Évaluation d’Exploit Protection
• Activer la protection la protection contre les codes malveillants exploitant une faille de sécurité
• Importer, exporter et déployer des configurations de protection contre les codes malveillants exploitant une faille de sécurité