Configurer la connectivité proxy pour Microsoft Defender for Endpoint sur Windows

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Microsoft Defender for Endpoint sur Windows utilise des paramètres proxy séparés pour le capteur de détection et de réponse du point de terminaison (EDR) et le antivirus Microsoft Defender. Lorsque les appareils doivent utiliser un proxy pour accéder à leurs services cloud respectifs, utilisez ces instructions pour configurer la découverte automatique, les paramètres de proxy statique spécifiques à chaque composant, ou un proxy WinHTTP à l’échelle du système. Les directives couvrent également la configuration des proxy pour les appareils utilisant le Microsoft Monitoring Agent (MMA).

Important

Defender for Endpoint nécessite une connectivité IPv4. Pour un réseau IPv6 uniquement, utilisez un mécanisme de transition tel que DNS64/NAT64 pour fournir une connectivité IPv4 de bout en bout. Pour plus d’informations, consultez Configuration minimale requise pour Microsoft Defender pour point de terminaison.

Configurez des paramètres de proxy séparés pour les composants suivants :

Utilisez les conseils de proxy pour le système d’exploitation que vous gérez :

Choisir une méthode de configuration de proxy Windows

Le capteur Defender for Endpoint fonctionne dans ce LocalSystem contexte et utilise Windows HTTP Services (WinHTTP) pour rapporter les données du capteur et communiquer avec Defender for Endpoint. La configuration WinHTTP est indépendante des paramètres du proxy Windows Internet (WinINet). Pour plus d’informations, voir WinINet contre WinHTTP.

Conseil

Si vous utilisez des proxies forwards comme passerelle vers Internet, vous pouvez utiliser la protection réseau pour enquêter sur les événements de connexion qui se produisent derrière les proxies forward.

Utilisez l’une des méthodes de configuration proxy suivantes :

  • Découverte automatique :

    • Proxy transparent.
    • Protocole de découverte automatique de proxy web (WPAD).

    Si votre réseau utilise un proxy transparent ou un WPAD, le capteur ne nécessite pas de paramètre proxy statique spécifique à chaque composant.

  • Proxy statique du capteur EDR : Configurez TelemetryProxyServer via la Stratégie de Groupe lorsque le capteur ne peut pas utiliser la découverte automatique ou le proxy WinHTTP à l’échelle du système.

  • Proxy WinHTTP à l’échelle du système : Configurez un proxy statique en utilisant netsh winhttp. Ce paramètre affecte toutes les applications et services utilisant la configuration proxy WinHTTP par défaut. Un proxy statique à l’échelle du système convient le mieux aux dispositifs dans une topologie réseau stable.

Microsoft Defender Antivirus utilise des politiques de proxy distinctes pour la protection fournie par le cloud. Configurez ces politiques dans Configurez un proxy statique pour Microsoft Defender Antivirus.

Configurer un proxy statique pour un capteur EDR à l’aide de la Stratégie de groupe

Configurez un proxy statique via le Registre lorsque le capteur EDR ne peut pas se connecter directement ni utiliser la détection automatique du proxy. Entrez uniquement l’hôte proxy et le port dans TelemetryProxyServer. N’incluez pas d’espaces.

Remarque

Installez les dernières mises à jour de Defender for Endpoint avant de configurer le proxy statique.

Configurez les deux paramètres dans l’objet de Stratégie de Groupe (GPO) qui s’applique aux appareils cibles.

  1. Sur votre ordinateur de gestion stratégie de groupe, ouvrez la console de gestion stratégie de groupe (GPMC).

  2. Dans l’arbre de la console GPMC, développez les Objets de Politique de Groupe dans la forêt et le domaine contenant la GPO que vous souhaitez modifier.

  3. Cliquez avec le bouton droit sur l’objet de stratégie de groupe, puis sélectionnez Modifier.

  4. Dans l’Éditeur de gestion des stratégies de groupe, allez dans Configuration ordinateur>Stratégies>Modèles d’administration>Composants Windows>Collecte de données et versions d’évaluation.

  5. Ouvrez Configurer l’utilisation du Proxy Authentifié pour l’Expérience utilisateur connectée et le Service de télémétrie, sélectionnez Activé, puis sélectionnez Désactiver l’utilisation du Proxy Authentifié.

    Capture d’écran du paramètre de la Stratégie de Groupe qui désactive l’utilisation du proxy authentifié pour la télémétrie.

  6. Ouvrez Configurer les expériences utilisateur connectées et la télémétrie, saisissez le proxy comme suit : <server-name-or-ip>:<port>, puis sélectionnez OK.

    Capture d’écran du paramètre de la stratégie de groupe pour l’adresse du serveur proxy de télémétrie et le port.

Les politiques configurent les valeurs du registre suivantes :

Stratégie de groupe Chemin d’accès au Registre Valeur de registre Données de valeur
Configurez l’utilisation de proxy authentifié pour le service Connected User Experience et Telemetry HKLM\Software\Policies\Microsoft\Windows\DataCollection DisableEnterpriseAuthProxy 1 (REG_DWORD)
Configurer les expériences des utilisateurs connectés et la télémétrie HKLM\Software\Policies\Microsoft\Windows\DataCollection TelemetryProxyServer <server-name-or-ip>:<port> (REG_SZ), par exemple, 10.0.0.6:8080

Remarque

Ne déployez pas TelemetryProxyServer via la gestion des appareils mobiles (MDM). Le capteur EDR lit TelemetryProxyServer depuis l’emplacement du registre de la Politique de Groupe.

Sur les appareils qui ne peuvent pas utiliser le proxy WinHTTP par défaut pour les listes de révocation de certificats ou pour Windows Update, définissez PreferStaticProxyForHttpRequest sur 1 afin qu’un capteur EDR compatible privilégie TelemetryProxyServer. Créez la valeur sous HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Protection avancée contre les menaces.

La commande suivante crée la valeur du registre :

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection" /v PreferStaticProxyForHttpRequest /t REG_DWORD /d 1 /f

PreferStaticProxyForHttpRequest s’applique aux branches de capteurs prises en charge commençant par MsSense.exe version 10.8210.* ou 10.8049.*. Cela ne s’applique pas à la solution précédente basée sur le MMA.

Configurez les paramètres du proxy antivirus Microsoft Defender

L’antivirus Microsoft Defender avec protection fournie par le cloud offre une protection automatisée quasi-instantanée contre les menaces nouvelles et émergentes. La connectivité cloud est nécessaire pour les indicateurs personnalisés lorsque Microsoft Defender Antivirus est votre solution active anti-malware. Il est également nécessaire pour la détection et la réponse des points de terminaison (EDR) en mode blocage, qui offre une solution de secours lorsqu’une solution non-Microsoft ne bloque pas une menace.

Remarque

Privilégiez un proxy WinHTTP à l’échelle du système qui permet à Windows de récupérer les listes de révocation de certificats. Si cette configuration n'est pas possible, définir SSLOptions sur 2 sous HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet désactive les vérifications de révocation des certificats pour la protection cloud de Microsoft Defender Antivirus. La désactivation des vérifications de révocation réduit la protection assurée par la validation des certificats et ne constitue pas une bonne pratique. Pour les valeurs et risques disponibles, voir Configurer et valider les connexions réseau Microsoft Defender Antivirus.

L’antivirus Microsoft Defender met en cache le dernier proxy fonctionnel connu. N'utilisez pas l'inspection TLS pour les connexions cloud Defender car l'inspection casse la connexion sécurisée.

Microsoft Defender Antivirus n’utilise pas le proxy statique pour se connecter à Windows Update ou à Microsoft Update pour télécharger les mises à jour. À la place, il utilise un proxy à l’échelle du système lorsqu’il est configuré pour utiliser Windows Update, ou il utilise la source interne de mise à jour configurée selon l’ordre de secours de la protection antivirus Microsoft Defender.

Configurez les paramètres du proxy en utilisant la Stratégie de groupe

Utilisez la procédure dans Configurer l’antivirus Microsoft Defender via la Stratégie de Groupe pour ouvrir et modifier une GPO applicable aux appareils cibles. Ensuite, configurez la politique spécifique au proxy :

  1. Dans l’Éditeur de gestion des stratégies de groupe, accédez à Configuration ordinateur>Stratégies>Modèles d’administration>Composants Windows>Microsoft Defender Antivirus.

  2. Ouvrez Définir le serveur proxy pour se connecter au réseau, sélectionnez Activé, et définissez le serveur proxy. Inclure http:// ou https://. Gardez la plateforme Microsoft Defender Antivirus à jour comme décrit dans Gérer les mises à jour de Microsoft Defender Antivirus.

    Capture d’écran de la politique antivirus Microsoft Defender pour définir un serveur proxy.

La politique crée la valeur de chaîne ProxyServer sous HKLM\Software\Policies\Microsoft\Windows Defender. Utilisez le format suivant :

<protocol>://<server-name-or-ip>:<port>

Par exemple : http://10.0.0.6:8080.

Pour utiliser un fichier proxy auto-configuration (PAC), configurez Define proxy auto-config (.pac) pour se connecter au réseau. Pour contourner le proxy pour des destinations spécifiques, configurez les adresses Define pour contourner le serveur proxy.

Configurez les paramètres du proxy en utilisant PowerShell

Utilisez des cmdlets antivirus Microsoft Defender dans une session PowerShell élevée sur l’appareil local (une fenêtre PowerShell que vous avez ouverte en sélectionnant Exécuter en tant qu’administrateur).

  • Configurez un serveur proxy statique ou un fichier PAC :

    • Configurez un serveur proxy statique : utilisez la syntaxe suivante :

      Set-MpPreference -ProxyServer "<protocol>://<server-name-or-ip>:<port>"

      Par exemple:

      Set-MpPreference -ProxyServer "http://10.0.0.6:8080"

    • Configurez un fichier PAC : Utilisez la syntaxe suivante** :

      Set-MpPreference -ProxyPacUrl "<pac-file-url>"

      Par exemple:

      Set-MpPreference -ProxyPacUrl "https://proxy.contoso.com/proxy.pac"

  • Contournez le proxy pour des destinations spécifiques : utilisez la syntaxe suivante :

    Set-MpPreference -ProxyBypass "<address-1>","<address-2>"

    Par exemple:

    Set-MpPreference -ProxyBypass "intranet.contoso.com","updates.fabrikam.com"

  • Vérifiez la configuration :

    Get-MpPreference | Select-Object ProxyServer, ProxyPacUrl, ProxyBypass

Pour plus d’informations, voir Utiliser les applets de commande PowerShell pour configurer et exécuter Microsoft Defender Antivirus et Set-MpPreference.

Configurez un proxy statique à l’échelle du système en utilisant netsh

Sur les appareils avec une topologie réseau stable, ouvrez l’invite de commande en sélectionnant Exécuter en tant qu’administrateur, et utilisez netsh winhttp pour configurer un proxy statique à l’échelle du système.

Remarque

La configuration affecte toutes les applications et services Windows qui utilisent la configuration proxy WinHTTP par défaut.

Utilisez la syntaxe suivante :

netsh winhttp set proxy <proxy>:<port>

L’exemple suivant configure le serveur proxy en 10.0.0.6 pour utiliser le port 8080:

netsh winhttp set proxy 10.0.0.6:8080

Pour supprimer la configuration actuelle du proxy WinHTTP et revenir à la connectivité directe, exécutez la commande suivante :

netsh winhttp reset proxy

Pour afficher la configuration actuelle, configurer des adresses de contournement ou utiliser les paramètres avancés du proxy WinHTTP, voir netsh winhttp. Pour les conventions générales netsh , voir syntaxe des commandes Netsh, contextes et formatage.

Configurez les paramètres de proxy pour les appareils utilisant la MMA

Les appareils Windows 8.1 restent dépendants de MMA pour Defender for Endpoint. Les appareils Windows 7 SP1, Windows Server 2008 R2 SP1, Windows Server 2012 R2 et Windows Server 2016 devraient utiliser le nouvel agent Defender for Endpoint. Pour des conseils de migration, voir Mettre à jour le MMA sur les appareils Windows.

Pour Windows 8.1 et tout autre appareil qui continue temporairement à utiliser MMA, configurez un proxy à l’échelle du système, ou configurez MMA pour se connecter via un proxy ou une passerelle Log Analytics :

Pour obtenir des instructions d’intégration, consultez Intégrer les versions précédentes de Windows.

Contenu connexe

Les articles suivants fournissent plus d’informations sur la configuration des proxys, la connectivité, l’intégration et le dépannage de Defender for Endpoint :

  • Dernière mise à jour :