Évaluation d’Exploit Protection

S’applique à :

• Microsoft Defender pour point de terminaison Plan 1
• Microsoft Defender pour point de terminaison Plan 2
• Microsoft Defender XDR

Vous voulez découvrir Microsoft Defender pour point de terminaison ? Inscrivez-vous pour bénéficier d’un essai gratuit.

Exploit Protection permet de protéger les appareils contre les programmes malveillants qui utilisent des attaques pour propager et infecter d’autres appareils. L’atténuation peut être appliquée au système d’exploitation ou à une application individuelle. La plupart des fonctionnalités qui faisaient partie de l’EMET (Enhanced Mitigation Experience Toolkit) sont incluses dans Exploit Protection. (L’EMET a atteint sa fin du support.)

Dans l’audit, vous pouvez voir le fonctionnement de l’atténuation pour certaines applications dans un environnement de test. Cela montre ce qui se passerait si vous activez exploit protection dans votre environnement de production. De cette façon, vous pouvez vérifier que Exploit Protection n’affecte pas vos applications métier et voir quels événements suspects ou malveillants se produisent.

Instructions génériques

Les atténuations exploit protection fonctionnent à un niveau bas dans le système d’exploitation, et certains types de logiciels qui effectuent des opérations de bas niveau similaires peuvent rencontrer des problèmes de compatibilité lorsqu’ils sont configurés pour être protégés à l’aide d’exploit protection.

Quels types de logiciels ne doivent pas être protégés par exploit protection ?

• Logiciel anti-programme malveillant et de prévention ou de détection des intrusions
• Débogueurs
• Logiciels qui gèrent les technologies de gestion des droits numériques (DRM) (autrement dit, les jeux vidéo)
• Logiciels qui utilisent des technologies d’anti-débogage, d’obfuscation ou de raccordement

Quel type d’application devez-vous envisager d’activer exploit protection ?

Applications qui reçoivent ou gèrent des données non approuvées.

Quel type de processus n’entre pas dans le cadre de la protection contre les attaques ?

Services

• Services système
• Services réseau

Atténuations d’Exploit Protection activées par défaut

Atténuations « Paramètres du programme » déconseillées

Bonnes pratiques pour les applications Office

Au lieu d’utiliser Exploit Protection pour les applications Office telles qu’Outlook, Word, Excel, PowerPoint et OneNote, envisagez d’utiliser une approche plus moderne pour empêcher leur utilisation : règles de réduction de la surface d’attaque (règles ASR) :

• Bloquer le contenu exécutable du client de messagerie et de la messagerie web
• Empêcher les applications Office de créer du contenu exécutable
• Empêcher toutes les applications Office de créer des processus enfants
• Empêcher l’application de communication Office de créer des processus enfants
• Empêcher les applications Office d’injecter du code dans d’autres processus
• Bloquer l’exécution de scripts potentiellement obfusqués
• Bloquer les appels d’API Win32 à partir de macros Office

Pour Adobe Reader, utilisez la règle ASR suivante :

• Empêcher Adobe Reader de créer des processus enfants

Liste de compatibilité des applications

Le tableau suivant répertorie les produits spécifiques qui présentent des problèmes de compatibilité avec les atténuations incluses dans exploit Protection. Vous devez désactiver les atténuations incompatibles spécifiques si vous souhaitez protéger le produit à l’aide d’exploit protection. N’oubliez pas que cette liste prend en compte les paramètres par défaut pour les dernières versions du produit. Des problèmes de compatibilité peuvent survenir lorsque vous appliquez certains compléments ou d’autres composants au logiciel standard.

ǂ les atténuations EMET peuvent être incompatibles avec Oracle Java lorsqu’elles sont exécutées à l’aide de paramètres qui réservent une grande partie de la mémoire pour la machine virtuelle (autrement dit, à l’aide de l’option -Xms).

Activer les paramètres système exploit protection pour les tests

Ces paramètres système Exploit Protection sont activés par défaut, à l’exception de la randomisation de disposition de l’espace d’adressage obligatoire (ASLR) sur Windows 10 et versions ultérieures, Windows Server 2019 et versions ultérieures, et sur Windows Server version 1803 core edition et versions ultérieures.

L’exemple xml est disponible ci-dessous

<?xml version="1.0" encoding="UTF-8"?>
<MitigationPolicy>
  <SystemConfig>
    <DEP Enable="true" EmulateAtlThunks="false" />
    <ASLR ForceRelocateImages="false" RequireInfo="false" BottomUp="true" HighEntropy="true" />
    <ControlFlowGuard Enable="true" SuppressExports="false" />
    <SEHOP Enable="true" TelemetryOnly="false" />
    <Heap TerminateOnError="true" />
  </SystemConfig>
</MitigationPolicy>

Activer les paramètres du programme Exploit Protection pour les tests

Vous pouvez définir des atténuations dans un mode de test pour des programmes spécifiques à l’aide de l’application Sécurité Windows ou Windows PowerShell.

Ouvrez l’application Sécurité Windows.

1. Ouvrez l’application Sécurité Windows. Sélectionnez l’icône de bouclier dans la barre des tâches ou recherchez Windows Security dans le menu Démarrer.

2. Sélectionnez la vignette Contrôle Applications et navigateur (ou l’icône de l’application dans la barre de menus de gauche), puis sélectionnez Exploit Protection.

3. Accédez aux paramètres du programme et choisissez l’application à laquelle vous souhaitez appliquer la protection :

   1. Si l’application que vous souhaitez configurer est déjà répertoriée, sélectionnez-la, puis sélectionnez Modifier.

   2. Si l’application n’est pas répertoriée en haut de la liste, sélectionnez Ajouter un programme à personnaliser. Ensuite, choisissez la façon dont vous souhaitez ajouter l’application.

      • Utilisez Ajouter par nom de programme pour appliquer l’atténuation à tout processus en cours d’exécution portant ce nom. Spécifiez un fichier avec une extension. Vous pouvez entrer un chemin d’accès complet pour limiter l’atténuation uniquement à l’application portant ce nom à cet emplacement.
      • Utilisez Choisir le chemin exact du fichier pour utiliser une fenêtre standard de sélecteur de fichiers Explorateur Windows pour rechercher et sélectionner le fichier souhaité.

4. Après avoir sélectionné l’application, vous verrez une liste de toutes les atténuations qui peuvent être appliquées. Choisir Audit applique l’atténuation en mode test uniquement. Vous êtes averti si vous devez redémarrer le processus, l’application ou Windows.

5. Répétez cette procédure pour toutes les applications et atténuations que vous souhaitez configurer. Sélectionnez Appliquer lorsque vous avez terminé de paramétrer votre configuration.

PowerShell

Pour définir les atténuations au niveau de l’application en mode test, utilisez Set-ProcessMitigation avec l’applet de commande Mode Audit .

Configurez chaque atténuation au format suivant :

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Où :

• <Étendue> :
  • -Name pour indiquer que les atténuations doivent être appliquées à une application spécifique. Spécifiez l’exécutable de l’application après cet indicateur.
• <Action> :
  • -Enable pour activer l’atténuation
    • -Disable de désactiver l’atténuation
• <Atténuation :>
  • Cmdlet de l’atténuation telle que définie dans le tableau suivant. Chaque atténuation est séparée par une virgule.

Par exemple, pour activer la protection de code arbitraire (ACG) en mode test pour une application nommée testing.exe, exécutez la commande suivante :

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable AuditDynamicCode

Vous pouvez désactiver le mode audit en remplaçant -Enable par -Disable.

Examiner les événements d’audit Exploit Protection

Pour examiner les applications qui seraient bloquées, ouvrez observateur d'événements et filtrez les événements suivants dans le journal Security-Mitigations.

Voir aussi

• Activer la protection la protection contre les codes malveillants exploitant une faille de sécurité
• Configurer et auditer les atténuations de la protection contre le code malveillant exploitant une faille de sécurité
• Importer, exporter et déployer des configurations de protection contre les codes malveillants exploitant une faille de sécurité
• Résolution des problèmes de la protection contre le code malveillant exploitant une faille de sécurité