Configurer et configurer Microsoft Defender pour point de terminaison Plan 1

S’applique à :

• Microsoft Defender pour point de terminaison Plan 1
• Microsoft Defender pour point de terminaison Plan 2

Cet article explique comment configurer Defender pour point de terminaison Plan 1. Que vous disposiez d’une assistance ou que vous le soyez vous-même, vous pouvez utiliser cet article comme guide tout au long de votre déploiement.

Processus d’installation et de configuration

Le processus d’installation et de configuration général de Defender pour point de terminaison Plan 1 est le suivant :

Consultez la configuration requise

Le tableau suivant répertorie les exigences de base pour Defender pour point de terminaison Plan 1 :

Planifier votre déploiement

Lorsque vous planifiez votre déploiement, vous pouvez choisir parmi plusieurs architectures et méthodes de déploiement différentes. Chaque organization étant unique, vous avez plusieurs options à prendre en compte, comme indiqué dans le tableau suivant :

Pour en savoir plus sur vos options de déploiement, consultez Planifier votre déploiement de Defender pour point de terminaison. Et téléchargez l’affiche suivante :

Obtenir l’affiche de déploiement

Configurer votre environnement de locataire

La configuration de votre environnement client comprend des tâches telles que :

• Vérification de vos licences
• Configuration de votre locataire
• Configuration de vos paramètres de proxy (uniquement si nécessaire)
• Vérifier que les capteurs fonctionnent correctement et signaler les données à Defender pour point de terminaison

Ces tâches sont incluses dans la phase d’installation de Defender pour point de terminaison. Consultez Configurer Defender pour point de terminaison.

Attribuer des rôles et des autorisations

Pour accéder au portail Microsoft Defender, configurer les paramètres de Defender pour point de terminaison ou effectuer des tâches, telles que l’exécution d’actions de réponse sur les menaces détectées, les autorisations appropriées doivent être affectées. Defender pour point de terminaison utilise des rôles intégrés dans Microsoft Entra ID.

Microsoft recommande d’attribuer aux utilisateurs uniquement le niveau d’autorisation dont ils ont besoin pour effectuer leurs tâches. Vous pouvez attribuer des autorisations à l’aide de la gestion des autorisations de base ou du contrôle d’accès en fonction du rôle (RBAC).

• Avec la gestion des autorisations de base, les administrateurs généraux et les administrateurs de sécurité disposent d’un accès complet, tandis que les lecteurs de sécurité disposent d’un accès en lecture seule.
• Avec RBAC, vous pouvez définir des autorisations plus granulaires via davantage de rôles. Par exemple, vous pouvez avoir des lecteurs de sécurité, des opérateurs de sécurité, des administrateurs de sécurité, des administrateurs de point de terminaison, etc.

Le tableau suivant décrit les rôles clés à prendre en compte pour Defender pour point de terminaison dans votre organization :

Intégration à Defender pour point de terminaison

Lorsque vous êtes prêt à intégrer les points de terminaison de votre organization, vous pouvez choisir parmi plusieurs méthodes, comme indiqué dans le tableau suivant :

Ensuite, procédez à la configuration de vos fonctionnalités de protection et de réduction de la surface d’attaque de nouvelle génération.

Configurer la protection de nouvelle génération

Nous vous recommandons d’utiliser Intune pour gérer les appareils et les paramètres de sécurité de votre organization, comme illustré dans l’image suivante :

Pour configurer votre protection de nouvelle génération dans Intune, procédez comme suit :

1. Accédez au centre d’administration Intune (https://intune.microsoft.com) et connectez-vous.

2. Sélectionnez Antivirus de sécurité> de point de terminaison, puis sélectionnez une stratégie existante. (Si vous n’avez pas de stratégie existante, créez-en une.)

3. Définissez ou modifiez vos paramètres de configuration antivirus. Besoin d’aide ? Reportez-vous aux ressources suivantes :
   

   • Paramètres de la stratégie antivirus Windows 10 Microsoft Defender dans Microsoft Intune
   • Configurer les fonctionnalités de Defender pour point de terminaison sur iOS

4. Lorsque vous avez terminé de spécifier vos paramètres, choisissez Vérifier + enregistrer.

Configurer vos fonctionnalités de réduction de la surface d’attaque

La réduction de la surface d’attaque consiste à réduire les emplacements et les façons dont votre organization est ouvert aux attaques. Defender pour point de terminaison Plan 1 comprend plusieurs fonctionnalités et fonctionnalités pour vous aider à réduire vos surfaces d’attaque sur vos points de terminaison. Ces fonctionnalités sont répertoriées dans le tableau suivant :

Règles de réduction des surfaces d'attaque

Les règles de réduction de la surface d’attaque sont disponibles sur les appareils exécutant Windows. Nous vous recommandons d’utiliser Intune, comme illustré dans l’image suivante :

1. Accédez au centre d’administration Intune et connectez-vous.

2. Choisissez Réductionde la >surface d’attaque de sécurité > du point de terminaison + Créer une stratégie.

3. Pour Plateforme, sélectionnez Windows 10, Windows 11 et Windows Server.

4. Pour Profil, sélectionnez Règles de réduction de la surface d’attaque, puis choisissez Créer.

5. Sous l’onglet Informations de base , spécifiez un nom et une description pour la stratégie, puis choisissez Suivant.

6. Sous l’onglet Paramètres de configuration , développez sous Defender, configurez vos règles de réduction de la surface d’attaque, puis choisissez Suivant. Pour plus d’informations sur les règles de réduction de la surface d’attaque, consultez Vue d’ensemble du déploiement des règles de réduction de la surface d’attaque.

   Au minimum, nous vous recommandons d’activer les trois règles de protection standard suivantes :

   • Bloquer les abus de conducteurs vulnérables exploités signés
   • Bloquer le vol d’informations d’identification à partir du sous-système d’autorité de sécurité locale Windows (lsass.exe)
   • Bloquer la persistance via l’abonnement aux événements WMI (Windows Management Instrumentation)

7. Sous l’onglet Balises d’étendue, si votre organization utilise des balises d’étendue, choisissez + Sélectionner des balises d’étendue, puis sélectionnez les balises que vous souhaitez utiliser. Ensuite, choisissez Suivant.

   Pour en savoir plus sur les balises d’étendue, consultez Utiliser le contrôle d’accès en fonction du rôle (RBAC) et les balises d’étendue pour l’informatique distribuée.

8. Sous l’onglet Affectations , spécifiez les utilisateurs et les groupes auxquels votre stratégie doit être appliquée, puis choisissez Suivant. (Pour en savoir plus sur les affectations, consultez Attribuer des profils d’utilisateur et d’appareil dans Microsoft Intune.)

9. Sous l’onglet Vérifier + créer , passez en revue les paramètres, puis choisissez Créer.

Atténuation des ransomwares

Vous bénéficiez d’une atténuation des rançongiciels par le biais d’un accès contrôlé aux dossiers, ce qui permet uniquement aux applications approuvées d’accéder aux dossiers protégés sur vos points de terminaison.

Nous vous recommandons d’utiliser Intune pour configurer l’accès contrôlé aux dossiers.

1. Accédez au centre d’administration Intune et connectez-vous.

2. Accédez àRéduction de la surface d’attaque desécurité> du point de terminaison, puis choisissez + Créer une stratégie.

3. Pour Plateforme, sélectionnez Windows 10, Windows 11 et Windows Server, puis pour Profil, sélectionnez Règles de réduction de la surface d’attaque. Ensuite, choisissez Créer.

4. Sous l’onglet Informations de base , nommez la stratégie et ajoutez une description. Sélectionnez Suivant.

5. Sous l’onglet Paramètres de configuration , sous la section Defender , faites défiler vers le bas. Dans la liste déroulante Activer l’accès contrôlé aux dossiers, sélectionnez Activé, puis suivant.

   Vous pouvez éventuellement spécifier ces autres paramètres :

   • En regard de Dossiers protégés par accès contrôlé aux dossiers, basculez le commutateur sur Configuré, puis ajoutez les dossiers qui doivent être protégés.
   • En regard de Applications autorisées d’accès contrôlé aux dossiers, basculez le commutateur sur Configuré, puis ajoutez les applications qui doivent avoir accès aux dossiers protégés.

6. Sous l’onglet Balises d’étendue, si votre organization utilise des balises d’étendue, choisissez + Sélectionner des balises d’étendue, puis sélectionnez les balises que vous souhaitez utiliser. Ensuite, choisissez Suivant. Pour en savoir plus sur les balises d’étendue, consultez Utiliser le contrôle d’accès en fonction du rôle (RBAC) et les balises d’étendue pour l’informatique distribuée.

7. Sous l’onglet Affectations , sélectionnez Ajouter tous les utilisateurs et + Ajouter tous les appareils, puis choisissez Suivant. (Vous pouvez également spécifier des groupes spécifiques d’utilisateurs ou d’appareils.)

8. Sous l’onglet Vérifier + créer , passez en revue les paramètres de votre stratégie, puis choisissez Créer. La stratégie est appliquée à tous les points de terminaison qui ont été intégrés à Defender pour point de terminaison sous peu.

Contrôle des appareils

Vous pouvez configurer Defender pour point de terminaison pour bloquer ou autoriser les appareils et fichiers amovibles sur les appareils amovibles. Nous vous recommandons d’utiliser Intune pour configurer les paramètres de contrôle de votre appareil.

1. Accédez au centre d’administration Intune et connectez-vous.

2. SélectionnezConfiguration>des appareils>+ Créer>une stratégie.

3. Pour Plateforme, sélectionnez un profil, par exemple Windows 10 et versions ultérieures, et pour Type de profil, sélectionnez Modèles.

   Sous Nom du modèle, sélectionnez Modèles d’administration, puis choisissez Créer.

4. Sous l’onglet Informations de base , nommez la stratégie et ajoutez une description. Sélectionnez Suivant.

5. Sous l’onglet Paramètres de configuration , sélectionnez Tous les paramètres. Ensuite, dans la zone de recherche, tapez Removable pour afficher tous les paramètres relatifs aux appareils amovibles.

6. Sélectionnez un élément dans la liste, par exemple Toutes les classes de stockage amovible, Refuser tout accès, pour ouvrir son volet volant. Le menu volant de chaque paramètre explique ce qui se passe lorsqu’il est activé, désactivé ou non configuré. Sélectionnez un paramètre, puis choisissez OK.

7. Répétez l’étape 6 pour chaque paramètre que vous souhaitez configurer. Sélectionnez Suivant.

8. Sous l’onglet Balises d’étendue, si votre organization utilise des balises d’étendue, choisissez + Sélectionner des balises d’étendue, puis sélectionnez les balises que vous souhaitez utiliser. Ensuite, choisissez Suivant.

   Pour en savoir plus sur les balises d’étendue, consultez Utiliser le contrôle d’accès en fonction du rôle (RBAC) et les balises d’étendue pour l’informatique distribuée.

9. Sous l’onglet Affectations , sélectionnez Ajouter tous les utilisateurs et + Ajouter tous les appareils, puis choisissez Suivant. (Vous pouvez également spécifier des groupes spécifiques d’utilisateurs ou d’appareils.)

10. Sous l’onglet Vérifier + créer , passez en revue les paramètres de votre stratégie, puis choisissez Créer. La stratégie est appliquée à tous les points de terminaison qui ont été intégrés à Defender pour point de terminaison sous peu.

Protection réseau

Grâce à la protection réseau, vous pouvez protéger vos organization contre les domaines dangereux susceptibles d’héberger des escroqueries par hameçonnage, des attaques et d’autres contenus malveillants sur Internet. Nous vous recommandons d’utiliser Intune pour activer la protection réseau.

1. Accédez au centre d’administration Intune et connectez-vous.

2. SélectionnezConfiguration>des appareils>+ Créer>une stratégie.

3. Pour Plateforme, sélectionnez un profil, par exemple Windows 10 et versions ultérieures, et pour Type de profil, sélectionnez Modèles.

   Sous Nom du modèle, sélectionnez Endpoint Protection, puis choisissez Créer.

4. Sous l’onglet Informations de base , nommez la stratégie et ajoutez une description. Sélectionnez Suivant.

5. Sous l’onglet Paramètres de configuration, développez Microsoft Defender Exploit Guard, puis filtrage réseau.

   Définissez Protection réseau sur Activer. (Vous pouvez également choisir Audit pour voir le fonctionnement de la protection réseau dans votre environnement dans un premier temps.)

   Sélectionnez Suivant.

6. Sous l’onglet Affectations , sélectionnez Ajouter tous les utilisateurs et + Ajouter tous les appareils, puis choisissez Suivant. (Vous pouvez également spécifier des groupes spécifiques d’utilisateurs ou d’appareils.)

7. Sous l’onglet Règles d’applicabilité , configurez une règle. Le profil que vous configurez est appliqué uniquement aux appareils qui répondent aux critères combinés que vous spécifiez.

   Par exemple, vous pouvez choisir d’affecter la stratégie aux points de terminaison qui exécutent une certaine édition de système d’exploitation uniquement.

   Sélectionnez Suivant.

8. Sous l’onglet Vérifier + créer , passez en revue les paramètres de votre stratégie, puis choisissez Créer. La stratégie est appliquée à tous les points de terminaison qui ont été intégrés à Defender pour point de terminaison sous peu.

Protection Web

Avec la protection web, vous pouvez protéger les appareils de votre organization contre les menaces web et le contenu indésirable. Votre protection web inclut la protection contre les menaces web et le filtrage de contenu web. Configurez les deux ensembles de fonctionnalités. Nous vous recommandons d’utiliser Intune pour configurer vos paramètres de protection web.

Configurer la protection contre les menaces web

1. Accédez au centre d’administration Intune et connectez-vous.

2. ChoisissezRéduction de la surface d’attaquede sécurité> du point de terminaison, puis + Créer une stratégie.

3. Sélectionnez une plateforme, par exemple Windows 10 et versions ultérieures, sélectionnez le profil de protection web, puis choisissez Créer.

4. Sous l’onglet Informations de base , spécifiez un nom et une description, puis choisissez Suivant.

5. Sous l’onglet Paramètres de configuration , développez Protection web, spécifiez les paramètres dans le tableau suivant, puis choisissez Suivant.
   
   

   Setting	Recommandation
   Activer la protection réseau	Définissez sur Activé. Empêche les utilisateurs de visiter des sites ou des domaines malveillants. Vous pouvez également définir la protection réseau sur Mode Audit pour voir comment elle fonctionne dans votre environnement. En mode audit, la protection réseau n’empêche pas les utilisateurs de visiter des sites ou des domaines, mais elle effectue le suivi des détections en tant qu’événements.
   Exiger SmartScreen pour Version antérieure de Microsoft Edge	Définissez sur Oui. Permet de protéger les utilisateurs contre les tentatives d’hameçonnage et les logiciels malveillants potentiels.
   Bloquer l’accès aux sites malveillants	Définissez sur Oui. Empêche les utilisateurs de contourner les avertissements concernant les sites potentiellement malveillants.
   Bloquer le téléchargement de fichiers non vérifiés	Définissez sur Oui. Empêche les utilisateurs de contourner les avertissements et de télécharger des fichiers non vérifiés.

6. Sous l’onglet Balises d’étendue, si votre organization utilise des balises d’étendue, choisissez + Sélectionner des balises d’étendue, puis sélectionnez les balises que vous souhaitez utiliser. Ensuite, choisissez Suivant.

   Pour en savoir plus sur les balises d’étendue, consultez Utiliser le contrôle d’accès en fonction du rôle (RBAC) et les balises d’étendue pour l’informatique distribuée.

7. Sous l’onglet Affectations , spécifiez les utilisateurs et les appareils à recevoir la stratégie de protection web, puis choisissez Suivant.

8. Sous l’onglet Vérifier + créer , passez en revue vos paramètres de stratégie, puis choisissez Créer.

Configurer le filtrage de contenu web

1. Accédez au portail Microsoft Defender et connectez-vous.

2. Choisissez Paramètres>Points de terminaison.

3. Sous Règles, choisissez Filtrage de contenu web, puis + Ajouter une stratégie.

4. Dans le menu volant Ajouter une stratégie , sous l’onglet Général , spécifiez un nom pour votre stratégie, puis choisissez Suivant.

5. Dans catégories bloquées, sélectionnez une ou plusieurs catégories que vous souhaitez bloquer, puis choisissez Suivant.

6. Sous l’onglet Étendue , sélectionnez les groupes d’appareils auxquels vous souhaitez recevoir cette stratégie, puis choisissez Suivant.

7. Sous l’onglet Résumé , passez en revue vos paramètres de stratégie, puis choisissez Enregistrer.

Pare-feu réseau

Le pare-feu réseau permet de réduire le risque de menaces de sécurité réseau. Votre équipe de sécurité peut définir des règles qui déterminent le trafic autorisé à circuler vers ou depuis les appareils de votre organization. Nous vous recommandons d’utiliser Intune pour configurer votre pare-feu réseau.

::: alt-text="Capture d’écran de la stratégie de pare-feu dans le portail Intune. » :::

Pour configurer les paramètres de pare-feu de base, procédez comme suit :

1. Accédez au centre d’administration Intune et connectez-vous.

2. ChoisissezPare-feude sécurité> du point de terminaison, puis + Créer une stratégie.

3. Sélectionnez une plateforme, par exemple Windows 10, Windows 11 et Windows Server, sélectionnez le profil Pare-feu Microsoft, puis choisissez Créer.

4. Sous l’onglet Informations de base , spécifiez un nom et une description, puis choisissez Suivant.

5. Développez Pare-feu, puis faites défiler vers le bas de la liste.

6. Définissez chacun des paramètres suivants sur True :

   • Activer le pare-feu de réseau de domaine
   • Activer le pare-feu de réseau privé
   • Activer le pare-feu de réseau public

   Passez en revue la liste des paramètres sous chacun des réseaux de domaine, réseaux privés et réseaux publics. Vous pouvez les laisser définir sur Non configuré ou les modifier en fonction des besoins de votre organization.

   Sélectionnez Suivant.

7. Sous l’onglet Balises d’étendue, si votre organization utilise des balises d’étendue, choisissez + Sélectionner des balises d’étendue, puis sélectionnez les balises que vous souhaitez utiliser. Ensuite, choisissez Suivant.

   Pour en savoir plus sur les balises d’étendue, consultez Utiliser le contrôle d’accès en fonction du rôle (RBAC) et les balises d’étendue pour l’informatique distribuée.

8. Sous l’onglet Affectations , sélectionnez Ajouter tous les utilisateurs et + Ajouter tous les appareils, puis choisissez Suivant. (Vous pouvez également spécifier des groupes spécifiques d’utilisateurs ou d’appareils.)

9. Sous l’onglet Vérifier + créer , passez en revue vos paramètres de stratégie, puis choisissez Créer.

Contrôle d’application

Windows Defender Application Control (WDAC) permet de protéger vos points de terminaison Windows en autorisant uniquement l’exécution d’applications et de processus approuvés. La plupart des organisations ont utilisé un déploiement par phases de WDAC. Autrement dit, la plupart des organisations ne déploient pas WDAC sur tous les points de terminaison Windows au début. En fait, selon que les points de terminaison Windows de votre organization sont entièrement gérés, gérés légèrement ou « Apportez votre propre appareil », vous pouvez déployer WDAC sur tout ou partie des points de terminaison.

Pour vous aider à planifier votre déploiement WDAC, consultez les ressources suivantes :

• Contrôle d’application pour Windows

• Décisions de conception de stratégie de contrôle d’application Windows Defender

• Déploiement de Windows Defender Application Control dans différents scénarios : types d’appareils

Étapes suivantes

Maintenant que vous avez terminé le processus d’installation et de configuration, l’étape suivante consiste à commencer à utiliser Defender pour point de terminaison.

• Prise en main de Defender pour point de terminaison Plan 1