Remarque
L’accès à cette page requiert une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page requiert une autorisation. Vous pouvez essayer de modifier des répertoires.
Important
Les fonctionnalités décrites dans cet article sont actuellement en préversion, ne sont pas disponibles dans toutes les organisations et sont susceptibles d’être modifiées.
La protection de configuration est un modèle d’application de la configuration qui fait de la politique gérée par le cloud la seule source de vérité pour les paramètres antivirus Microsoft Defender. Lorsque la protection de configuration est activée, les politiques Intune et Microsoft Defender for Endpoint prennent le dessus. L’appareil ignore les paramètres de la Stratégie de groupe, des scripts, Microsoft Configuration Manager et les modifications des administrateurs locaux.
La protection de configuration élimine la dérive de configuration et les conflits de politiques en étendant une application de type protection contre la falsification à l’ensemble de la surface de configuration de Defender Antivirus.
La protection contre le sabotage et la protection de configuration sont des capacités complémentaires mais distinctes :
| Fonctionnalité | Protection contre les falsifications | Protection de configuration |
|---|---|---|
| Étendue | Petit ensemble fixe de réglages de sécurité (~10-13 paramètres) | Surface complète de configuration de l’antivirus Defender |
| Source de configuration | Uniquement les paramètres par défaut définis par Microsoft | Politique cloud définie par l’organisation (Intune/Defender pour Endpoint) |
| Personnalisation | Aucune personnalisation | Contrôle complet guidé par les politiques |
| Application de la loi | Empêche de désactiver les protections critiques | Supprime tous les canaux de configuration non cloud |
La protection de configuration est un surensemble de la protection contre la falsification qui offre un contrôle politique sur l’ensemble de la configuration de Microsoft Defender Antivirus.
Note
Bien que la protection contre les falsifications et la protection de configuration puissent techniquement être activées simultanément, nous recommandons que votre organisation choisisse l’une ou l’autre.
Prerequisites
- Les appareils doivent être intégrés à Microsoft Defender for Endpoint.
- Les appareils doivent être gérés via Microsoft Intune ou Defender pour la gestion des paramètres de sécurité des points d’terminaison.
- Les appareils doivent fonctionner sous Windows 10, Windows 11, Windows Server 2019, Windows Server 2022 ou Windows Server 2025.
- Les appareils doivent exécuter une version de Microsoft Defender for Endpoint EDR Sensor postérieure à 10.8804 (septembre 2025).
- Les appareils doivent exécuter la plateforme antivirus Microsoft Defender version 4.18.26060.3004 ou ultérieure (juin 2026).
La protection de configuration ne prend actuellement pas en charge :
- Environnements de co-gestion (Configuration Manager + Intune).
- Environnements GCC High.
Que couvre la protection de configuration
Actuellement, la protection de configuration offre protection et application des paramètres antivirus Microsoft Defender, notamment :
- Configuration antivirus (paramètres de scan, exclusions, mises à jour)
- Politiques de réduction de surface d’attaque (ASR)
- Defender Configuration Service Provider (CSP) et surface du fournisseur de services de configuration de stratégie (CSP) (vaste ensemble de contrôles liés à l’antivirus)
- Comportement de fusion de l’administrateur local
Actuellement, la protection de configuration ne couvre pas :
- Contrôle des appareils Microsoft Defender
- Paramètres de détection et de réponse du point de terminaison (EDR)
- Paramètres du système d’exploitation Windows (comme pare-feu)
Comment fonctionne la mise en œuvre de la protection de configuration
La protection de la configuration applique la politique gérée par le cloud via trois mécanismes :
Application à source unique : Lorsque la protection de configuration est activée, les règles d’application suivantes s’appliquent :
- Seules les politiques Intune et Defender pour les terminaux sont respectées pour les paramètres antivirus Defender.
- L’objet de politique de groupe (GPO), les scripts, le Configuration Manager et les modifications locales des administrateurs sont ignorés.
- Microsoft Defender Antivirus ne respecte pas par défaut les exclusions locales. Les organisations peuvent autoriser des exclusions antivirus définies par les administrateurs locaux en activant la fusion locale des administrateurs via la politique Defender ou Intune. Lorsque la fusion locale des administrateurs est activée, les exclusions antivirus définies localement peuvent être fusionnées avec des exclusions gérées centralement. Les exclusions de réduction de surface d’attaque (ASR) définies localement ne sont pas actuellement respectées, même lorsque la fusion locale des administrateurs est activée.
Paramètres par défaut sécurisés : Si un paramètre n'est pas explicitement configuré dans une politique, la protection de configuration applique les paramètres par défaut définis par Microsoft. Ce comportement garantit que les appareils maintiennent une posture de sécurité forte même lorsque les administrateurs n’ont pas configuré tous les réglages disponibles.
Résolution des conflits : La protection de la configuration utilise un modèle de priorité basé sur les valeurs plutôt qu’un modèle où la dernière écriture l’emporte :
- On prime sur Off. Si une politique règle la protection de configuration sur Activée et une autre sur Désactivée, la fonctionnalité reste activée sur l’appareil.
- Si plusieurs politiques attribuent des valeurs différentes, un conflit est signalé, mais la valeur On est toujours appliquée.
- Si plusieurs politiques attribuent la même valeur, le résultat est un succès sans conflit.
Important
Non configuré ne veut pas dire désactivé. Pour désactiver cette fonctionnalité, déployez explicitement une politique qui met la protection de configuration sur Désactivé.
Activer la protection de configuration
Vous pouvez activer la protection de configuration via Microsoft Intune ou Microsoft Defender for Endpoint Security Settings Management.
Microsoft Intune est l’outil recommandé pour configurer et distribuer les fonctionnalités de Defender for Endpoint sur les appareils. Toutefois, Intune est un produit distinct qui ne fait pas partie de Defender pour point de terminaison et qui n'est pas inclus dans tous les abonnements. Pour utiliser Intune, vous avez besoin d’un abonnement qui l’inclut, ou vous pouvez l’acheter séparément en tant qu’abonnement ou module complémentaire autonome. Si vous n’avez pas Intune, vous pouvez utiliser l’une des autres méthodes de cet article. Pour plus d’informations, consultez Gestion des licences Microsoft Intune.
La protection de la configuration se configure via la même interface de stratégie que la protection contre les falsifications. Dans le profil Sécurité Windows Experience, Intune renomme le paramètre de protection contre la falsification en Protection de configuration (Périphérique) lorsque la protection de configuration est disponible. Vous ne pouvez pas activer la protection de configuration via le Catalogue des paramètres ou le modèle Device Control v1 (DCv1).
Parce que la protection de configuration et la protection contre la falsification utilisent le même réglage de politique, l’activation de la protection de configuration supprime la valeur de protection contre la falsification sur cet appareil. Vous ne déployez pas de stratégies distinctes de protection contre les manipulations et de protection de la configuration pour le même paramètre. Pour migrer les politiques existantes de protection contre les manipulations (DCv1) vers la protection de configuration, créez une politique Sécurité Windows Experience avec Configuration Protection (Activée), puis supprimez le paramètre de protection contre les manipulations de vos politiques DCv1 afin d’éviter les conflits.
- Sur la page Sécurité des terminaux dans le centre d’administration Microsoft Intune à https://intune.microsoft.com, créez un nouveau profil Sécurité Windows Experience ou modifiez un profil existant.
- Localisez le réglage de protection de configuration (Appareil) (anciennement Protection contre la falsification).
- Réglez la valeur sur Protection de configuration (Activée) pour activer la protection de configuration.
- Attribuez la politique aux groupes de dispositifs appropriés.
Version cliente minimale et retour en arrière
Avant d’assigner la protection de configuration (Activée), mettez à jour les appareils vers la version 4.18.26060.3004 ou ultérieure de la plateforme antivirus Microsoft Defender, et validez le déploiement avec un groupe pilote.
Sur les appareils avec des versions antérieures de plateforme, Intune peut envoyer la protection de configuration (Activée) et la Protection contre les manipulations (Désactivée), mais l’appareil peut appliquer uniquement le paramètre de protection contre les manipulations. Ce comportement laisse désactivées à la fois la protection de la configuration et la protection contre les altérations.
Pour revenir en arrière, changez la politique Sécurité Windows Experience de Protection de configuration (Activée) à Protection contre les manipulations (Activée), redéployez la politique, synchronisez les appareils concernés et vérifiez que la protection contre les manipulations est activée. La latence normale de livraison des politiques s’applique.
Rapports et supervision
Le statut de la protection de configuration est visible à la fois dans le centre d’administration Intune et sur le portail Microsoft Defender, selon la gestion des appareils.
Intune : Pour les appareils enregistrés directement via Intune via Mobile Gestion des appareils (MDM), vous pouvez consulter :
- Statut de la politique (Succès, Conflit ou Erreur)
- État de protection de configuration au niveau de l’appareil
Portail Microsoft Defender : Pour les appareils gérés via Defender pour la gestion des paramètres de sécurité des terminaux, consultez le portail Microsoft Defender pour un état de configuration efficace.
Note
Ces appareils ne sont pas visibles dans les rapports Intune. Utilisez le portail Microsoft Defender pour vérifier l’état de protection de configuration efficace.
Vérifiez la protection de configuration sur un appareil
Pour confirmer l’état de protection de configuration directement sur un appareil, exécutez le cmdlet PowerShell suivant :
Get-MpComputerStatus
Examinez les propriétés suivantes dans la sortie :
- ControlledConfigurationState : L’état actuel d’application de la protection de configuration sur l’appareil.
- IsTamperProtected : Indique si la protection contre les falsifications (fondation de la protection de configuration) est active.
- TamperProtectionSource : La source qui fait respecter l’état actuel.
Vous pouvez également vérifier Get-MpComputerStatus que la version de la plateforme antivirus Microsoft Defender répond aux prérequis, et valider l’état de configuration après un changement de politique ou une réinitialisation de la protection de configuration.
Comportements du cycle de vie
Le comportement de protection de configuration varie en fonction des changements du cycle de vie de l’appareil :
- Désaffectation de la politique : La protection de configuration est supprimée de l’appareil à moins qu’une autre politique de protection de configuration ne s’applique encore.
- Désinscription de Defender for Endpoint : La protection de la configuration reste On (n’est pas supprimée automatiquement).
- Retrait de l’appareil : La protection de la configuration est supprimée et réinitialisée sur Off.
Réinitialiser la protection de configuration sur un appareil
Pour effacer l’état de protection de configuration sur un appareil, exécutez les commandes suivantes dans une invite de commande élevée (une fenêtre d’invite que vous avez ouverte en sélectionnant Exécuter en tant qu’administrateur) :
Tip
L’appareil doit avoir la protection contre la falsification activée et être en mode dépannage.
La première commande change le répertoire pour la version la plus récente de la <plateforme antimalware version> dans %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Si ce chemin n’existe pas, il passe à %ProgramFiles%\Windows Defender.
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -Config -ResetControlledConfiguration
Pour plus d’informations, consultez Activer et utiliser le mode de dépannage dans Microsoft Defender for Endpoint.
Limitations connues
Actuellement, les limitations suivantes s’appliquent à la protection de configuration :
- Vous pouvez voir de faux conflits dans Intune lorsque les politiques de protection contre les manipulations et de protection de configuration ciblent le même appareil.
- Vous pourriez constater des incohérences de signalement entre le centre d’administration Intune et le portail Microsoft Defender.
- La couverture est limitée aux paramètres antivirus Microsoft Defender (le contrôle des appareils, l'EDR et le pare-feu ne sont pas encore couverts).
- Lorsque vous activez la protection des configurations via la gestion des paramètres de sécurité de Microsoft Defender pour point de terminaison ou Intune, la protection contre les manipulations est désactivée, sauf si une autre stratégie de protection contre les manipulations définit explicitement cette protection sur activée. Lorsque la protection de configuration est activée et la protection contre la falsification désactivée, le score de sécurité de la protection contre la falsification est plus faible. Nous travaillons à combler ce manque.