Utilisez Microsoft Defender for Endpoint Network Protection sur macOS

La protection réseau dans Microsoft Defender for Endpoint aide à empêcher les applications et processus non navigateurs sur les appareils macOS de se connecter à des domaines dangereux. Il étend la protection web au-delà de Microsoft Defender SmartScreen dans Microsoft Edge aux navigateurs pris en charge et à d’autres processus.

Utilisez cet article pour examiner les exigences, choisir un niveau d’application, déployer la protection réseau et comprendre les scénarios de protection web prise en charge ainsi que Microsoft Defender for Cloud Apps.

Remarque

• Nous ne recommandons pas de contrôler la protection réseau depuis les paramètres système de macOS. Utilisez plutôt les méthodes de configuration décrites dans cet article.
• Pour évaluer l’efficacité de la protection contre les menaces web sur macOS, testez-la dans un navigateur autre que Microsoft Edge pour macOS, tel que Safari. Microsoft Edge pour macOS dispose d’une protection intégrée contre les menaces web via SmartScreen, quel que soit l’état de protection du réseau.
• Il existe une incompatibilité d’application connue avec la fonctionnalité VMwarePer-App Tunnel . Cette incompatibilité pourrait empêcher la protection du réseau de bloquer le trafic passant par le tunnel.
• Il existe une incompatibilité d’application connue avec Blue Coat Proxy. Cette incompatibilité peut provoquer des plantages au niveau réseau dans des applications non liées lorsque Blue Coat Proxy et la protection réseau sont activées.

Prérequis

Avant de configurer la protection réseau, assurez-vous que votre environnement répond aux exigences suivantes :

• Un essai Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, ou une licence Microsoft Defender for Business.
• Un appareil embarqué qui exécute une version compatible macOS et une version 101.94.13 Defender for Endpoint (janvier 2023) ou ultérieure.
• Un navigateur pris en charge :
  • Un navigateur non Microsoft, tel que Brave, Chrome, Firefox, Opera ou Safari.
  • Microsoft Edge pour macOS.

Remarque

SmartScreen dans Microsoft Edge pour macOS ne prend actuellement pas en charge le filtrage de contenu web, les indicateurs personnalisés ou d’autres fonctionnalités d’entreprise. Toutefois, la protection réseau fournit cette protection à Microsoft Edge pour macOS si la protection réseau est activée.

Exigences de configuration du navigateur

Dans les processus autres que Microsoft Edge, la protection réseau détermine le nom de domaine entièrement qualifié de chaque connexion HTTPS en examinant la négociation Transport Layer Security (TLS) qui a lieu après l’établissement d’une connexion TCP/IP. La connexion HTTPS doit utiliser TCP/IP au lieu du protocole User Datagram Protocol (UDP) ou des connexions Internet rapides UDP (QUIC), et le message ClientHello ne doit pas être chiffré. Pour désactiver QUIC et Encrypted Client Hello, voir les articles suivants :

• Google Chrome : QuicAllowed et EncryptedClientHelloEnabled.
• Mozilla Firefox : Désactivez EncryptedClientHello et network.http.http3.enable.

Planifier votre déploiement

La protection réseau pour macOS est disponible pour tous les appareils Defender for Endpoint embarqués qui répondent aux exigences minimales. La protection réseau sur macOS prend en charge les capacités suivantes de sécurité, d’investigation et de contrôle des applications :

• Indicateurs personnalisés de compromission pour les domaines et adresses IP.
• Les politiques de filtrage du contenu web bloquent les catégories de sites web pour les groupes d’appareils dans les navigateurs supportés, y compris Microsoft Edge pour macOS.
• Recherche avancée et la chronologie de l’appareil, qui fournissent des données sur les événements réseau pour les enquêtes de sécurité.
• Microsoft Defender for Cloud Apps contrôle qui détectent l’utilisation des applications cloud, avertissent les utilisateurs des applications surveillées et bloquent les applications non sanctionnées. Ces scénarios nécessitent plus de licences et d’exigences de produits.
• Utilisation d’un réseau privé virtuel (VPN) d’entreprise. Actuellement, aucun conflit VPN n’est identifié. Si vous rencontrez des conflits, contactez le Support Microsoft via le centre d’administration Microsoft 365 admin center.

Toutes les politiques configurées de protection réseau et de protection contre les menaces web sont appliquées sur les appareils macOS où la protection réseau est en mode bloc. Pour réduire le risque de déploiement :

• Créez un groupe de périphériques avec un petit ensemble d’appareils pour tester la protection du réseau.
• Évaluez comment la protection contre les menaces web, les indicateurs personnalisés, le filtrage des contenus web et les politiques d’application de Defender for Cloud Apps affectent les appareils macOS en mode blocage.
• Déploie une politique en mode audit ou en mode bloc dans le groupe d’appareils, et vérifie que la politique ne perturbe pas les flux de travail.
• Déploiez progressivement la protection réseau sur les groupes d’appareils plus importants.

Configurer la protection réseau

Installez la version la plus récente du produit via mise à jour automatique Microsoft (AutoUpdate). Pour ouvrir mise à jour automatique Microsoft (AutoUpdate), exécutez la commande suivante dans Terminal :

open /Library/Application\ Support/Microsoft/MAU2.0/Microsoft\ AutoUpdate.app

La protection réseau est désactivée par défaut. Vous pouvez configurer l’un des niveaux d’application suivants :

• Audit : Évaluer comment la protection du réseau affecte les applications de secteur et la fréquence des blocages.
• Bloquer : Empêcher les connexions à des sites web malveillants.
• Désactivé : désactivez tous les composants de protection réseau.

Déploie la protection réseau manuellement, avec Jamf Pro, avec Microsoft Intune, ou avec un .mobileconfig fichier.

Configurez manuellement la protection du réseau

Pour configurer le niveau d’exécution, exécutez la commande suivante dans Terminal :

mdatp config network-protection enforcement-level --value <disabled | audit | block>

Par exemple, la commande suivante configure la protection du réseau en mode bloc :

mdatp config network-protection enforcement-level --value block

Pour confirmer que la protection réseau a bien démarré, exécutez la commande suivante dans Terminal et vérifiez qu’elle renvoie started:

mdatp health --field network_protection_status

Configurez la protection réseau avec Jamf Pro

Jamf Pro est un produit tiers distinct qui ne fait pas partie de Defender for Endpoint et n'est pas inclus dans les abonnements Defender for Endpoint. Pour utiliser Jamf Pro, votre organisation a besoin d’un abonnement distinct à Jamf Pro. Pour les informations sur les produits et abonnements, voir Jamf Pro. Si votre organisation n’utilise pas Jamf Pro, utilisez une autre méthode de configuration dans cet article, si disponible.

Un déploiement Jamf Pro nécessite un profil de configuration qui définit le niveau d’application de la protection réseau.

Après avoir créé ce profil de configuration, affectez-le aux appareils sur lesquels vous souhaitez activer la protection réseau.

Remarque

Si vous avez déjà configuré Defender pour Endpoint sur macOS en utilisant un fichier de liste de propriétés (plist), mettez à jour le fichier déployé avec le contenu de cette section, puis redéployez-le depuis Jamf Pro.

Suivez les instructions Jamf pour déployer un profil de configuration personnalisé de l’ordinateur. Définissez le domaine de préférence à com.microsoft.wdav, et téléchargez la liste de propriétés suivante pour configurer la protection réseau en mode bloc :

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>networkProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
    </dict>
</dict>
</plist>

Configurez la protection réseau dans Microsoft Intune

Remarque

Si vous avez précédemment configuré Defender pour Endpoint sur macOS en utilisant un fichier XML, créez et attribuez la politique de catalogue des paramètres, confirmez qu’elle s’applique correctement, puis supprimez la politique de configuration personnalisée précédente.

Microsoft Intune est l’outil recommandé pour configurer et distribuer les fonctionnalités de Defender for Endpoint sur les appareils. Toutefois, Intune est un produit distinct qui ne fait pas partie de Defender pour point de terminaison et qui n'est pas inclus dans tous les abonnements. Pour utiliser Intune, vous avez besoin d’un abonnement qui l’inclut, ou vous pouvez l’acheter séparément en tant qu’abonnement ou module complémentaire autonome. Si vous n’avez pas Intune, vous pouvez utiliser l’une des autres méthodes de cet article. Pour plus d’informations, consultez Gestion des licences Microsoft Intune.

Pour configurer la protection réseau dans Microsoft Intune, créez ou modifiez une politique de catalogue de paramètres. Pour des instructions détaillées, voir Créer une politique à l’aide du catalogue des paramètres dans Microsoft Intune.

Sur les appareils | Page de configuration dans le centre d’administration Microsoft Intune à https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, sélectionnez l’onglet Politiques, puis sélectionnez Créer. Sélectionnez Nouvelle politique et utilisez ces réglages :

• Plateforme : sélectionnez macOS.
• Type de profil : sélectionnez Catalogue de paramètres.

Lorsque vous créez ou modifiez la politique, configurez ces paramètres spécifiques dans l’onglet Paramètres de configuration :

• Microsoft Defender>Protection du réseau>Niveau d’application : Sélectionnez Bloquer.

Déploiement d’un profil de configuration mobile

Pour déployer la configuration avec un .mobileconfig fichier, utilisez une solution de gestion d’appareils mobiles (MDM) non Microsoft ou distribuez directement le fichier aux appareils :

1. Enregistrez la charge utile suivante sous com.microsoft.wdav.mobileconfig.

   <?xml version="1.0" encoding="utf-8"?>
   <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
   <plist version="1">
       <dict>
           <key>PayloadUUID</key>
           <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
           <key>PayloadType</key>
           <string>Configuration</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender ATP settings</string>
           <key>PayloadDescription</key>
           <string>Microsoft Defender ATP configuration settings</string>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
           <key>PayloadRemovalDisallowed</key>
           <true/>
           <key>PayloadScope</key>
           <string>System</string>
           <key>PayloadContent</key>
           <array>
               <dict>
                   <key>PayloadUUID</key>
                   <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                   <key>PayloadType</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadOrganization</key>
                   <string>Microsoft</string>
                   <key>PayloadIdentifier</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadDisplayName</key>
                   <string>Microsoft Defender ATP configuration settings</string>
                   <key>PayloadDescription</key>
                   <string/>
                   <key>PayloadVersion</key>
                   <integer>1</integer>
                   <key>PayloadEnabled</key>
                   <true/>
                   <key>networkProtection</key>
                   <dict>
                       <key>enforcementLevel</key>
                       <string>block</string>
                   </dict>
               </dict>
           </array>
       </dict>
   </plist>
   

2. Vérifiez que le fichier a été copié correctement. Dans Terminal, exécutez la commande suivante et vérifiez qu’elle renvoie OK:

   plutil -lint com.microsoft.wdav.mobileconfig
   

Scénarios de protection réseau

Les scénarios suivants sont pris en charge.

Protection contre les menaces web

La protection contre les menaces web fait partie de la protection web dans Defender for Endpoint. Il utilise la protection réseau pour aider à protéger les appareils contre les menaces web dans Microsoft Edge pour macOS et les navigateurs non Microsoft, tels que Brave, Chrome, Firefox, Opera et Safari. Il ne nécessite pas de proxy web et protège les appareils sur site et à l’écart de l’organisation. Pour les exigences du navigateur, voir Prérequis.

La protection contre les menaces web arrête l’accès aux types de sites suivants :

• Sites de phishing.
• Vecteurs de malwares.
• Sites d’exploit.
• Sites peu fiables ou à faible réputation.
• Les sites sont bloqués par un indicateur personnalisé.

Pour plus d’informations, voir Protéger votre organisation contre les menaces du web.

Indicateurs personnalisés de compromission

L’association des indicateurs de compromission (IoC) permet aux équipes des opérations de sécurité (SecOps) de créer une liste d’indicateurs à détecter ou bloquer.

Créez des indicateurs qui définissent la détection, la prévention et l’exclusion des entités. Pour chaque indicateur, définissez l’action, la durée de l’application de l’action et la portée du groupe de dispositifs.

Les sources actuellement prises en charge sont le moteur de détection cloud de Defender pour point de terminaison, le moteur automatisé d’investigation et de correction et le moteur de prévention des points de terminaison (antivirus Microsoft Defender).

Pour plus d’informations, consultez Créer des indicateurs pour les adresses IP, URLs ou domaines.

Filtrage du contenu web

Le filtrage des contenus web fait partie de la protection web dans Defender for Endpoint et Microsoft Defender for Business. Cela aide votre organisation à suivre et contrôler l’accès aux sites web en fonction des catégories de contenu. Même les sites web non malveillants peuvent poser problème en raison des exigences de conformité, de l’utilisation de la bande passante ou d’autres préoccupations.

Configurez des politiques pour les groupes d’appareils afin de bloquer des catégories spécifiques. Bloquer une catégorie empêche les utilisateurs de ces groupes d’accéder aux URL associées. Les URL dans les catégories non bloquées sont automatiquement auditées. Les utilisateurs peuvent accéder aux URL sans interruption, et vous pouvez utiliser les statistiques d’accès pour affiner vos politiques. Les utilisateurs reçoivent une notification lorsqu’un élément de page web appelle une ressource bloquée.

Le filtrage de contenu web prend en charge les principaux navigateurs web, notamment Brave, Chrome, Firefox, Opera et Safari. La protection réseau assure l’application des blocages.

Pour plus d’informations sur la prise en charge des navigateurs, consultez Prérequis.

Remarque

• Supprimer une politique lors d’un changement de groupe d’appareils pourrait retarder le déploiement de la politique.
• Vous pouvez déployer une politique sans sélectionner une catégorie pour un groupe d’appareils. Cette configuration crée une politique d’audit uniquement qui vous aide à comprendre le comportement de l’utilisateur avant de créer une politique de bloc.
• La création de groupes d’appareils est prise en charge dans Defender pour point de terminaison Plan 1 et Plan 2.

Pour plus d’informations sur la création de rapports, consultez Filtrage de contenu web.

Microsoft Defender for Cloud Apps (Solution de protection pour applications Cloud)

Microsoft Defender for Cloud Apps peut avertir les utilisateurs lorsqu’ils accèdent à des applications marquées comme Surveillées et bloquer les applications marquées comme Non sanctionnées. Cette section se concentre sur l’expérience d’avertissement pour les applications surveillées. Pour plus d’informations sur ces deux contrôles, consultez Gérer les applications découvertes à l’aide de Microsoft Defender for Endpoint.

Important

L’intégration de Defender for Cloud Apps nécessite une licence Defender for Cloud Apps et soit Defender for Endpoint Plan 2, soit Microsoft Defender for Business. Pour la découverte et l’application sur macOS, les appareils doivent exécuter Defender for Endpoint version 20.123072.25.0 ou ultérieure et avoir la protection réseau activée. La découverte couvre les événements TCP liés à la fermeture de connexion. Le trafic UDP n’est pas couvert.

Dans le Cloud App Catalog, identifiez les applications qui doivent afficher un avertissement lorsque les utilisateurs y accèdent, et marquez les applications comme Surveillées. Les domaines des applications surveillées sont ensuite synchronisés avec Defender for Endpoint.

En quelques minutes, les domaines apparaissent généralement sur la page Indicateurs du portail Microsoft Defender à https://security.microsoft.com/securitysettings/endpoints/custom_ti_indicators. Dans l’onglet URLs/Domaines , la valeur Action est Avertissement. Dans le cadre de l’accord de niveau de service (SLA) d’application, les utilisateurs reçoivent des avertissements lorsqu’ils tentent d’accéder aux domaines.

Lorsqu’un utilisateur tente d’accéder à un domaine surveillé, Defender for Endpoint bloque temporairement la tentative d’accès et affiche un avertissement. La notification du système d’exploitation inclut le nom de l’application concernée. Par exemple, la notification peut identifier Blogger.com.

L’utilisateur peut contourner l’avertissement ou ouvrir une page web éducative.

Contournement de l’utilisateur

Dans la notification, sélectionnez Débloquer, puis rechargez la page web. L’utilisateur peut accéder à l’application dans le cloud pendant la durée de contournement configurée dans Defender for Cloud Apps. Après l’expiration de la durée, l’avertissement apparaît la prochaine fois que l’utilisateur accède à l’application.

Éducation des utilisateurs

Sélectionnez la notification pour ouvrir l’URL de redirection personnalisée configurée globalement dans Defender for Cloud Apps.

Remarque

Sur la page Application dans Defender for Cloud Apps, vous pouvez suivre combien d’utilisateurs ont contourné l’avertissement pour chaque application.

Créer un centre d’éducation pour les utilisateurs finaux

Utilisez les contrôles cloud de Defender for Cloud Apps pour définir des limites lorsque cela est nécessaire et pour informer les utilisateurs sur :

• L’incident précis.
• Pourquoi l’incident s’est produit.
• La raison de cette décision.
• Comment les utilisateurs peuvent éviter les sites bloqués.

Donnez aux utilisateurs suffisamment d’informations pour comprendre ce qui s’est passé et faites des choix éclairés la prochaine fois qu’ils sélectionnent une application cloud. Par exemple, incluez :

• Les politiques de sécurité et de conformité de votre organisation pour l’utilisation d’Internet et du cloud.
• Applications cloud approuvées ou recommandées.
• Applications cloud restreintes ou bloquées.

Comprendre le timing et les limites du déploiement

• Il peut falloir jusqu’à deux heures pour que les domaines d’application se propagent vers les appareils endpoint après avoir marqué une application comme Surveillée.

• Sauf si vous appliquez un profil ciblé, l’action s’applique à toutes les applications et à tous les domaines marqués comme Surveillés pour tous les appareils intégrés de l’organisation.

• Les URL complètes ne sont actuellement pas prises en charge et ne sont pas envoyées de Defender for Cloud Apps vers Defender for Endpoint. Si les applications surveillées contiennent des URL complètes, les utilisateurs ne sont pas avertis lorsqu’ils tentent d’accéder aux sites. Par exemple, google.com/drive n’est pas pris en charge, mais drive.google.com est pris en charge.

• Lors des tests, désactivez Client Hello et QUIC chiffrés afin que les sites soient correctement bloqués. Pour les instructions de configuration du navigateur, voir Exigences de configuration du navigateur.

Conseil

Si les notifications n'apparaissent pas pour les navigateurs non-Microsoft, sur la page Notifications dans les paramètres système macOS, autorisez les notifications de Microsoft Defender.

Contenu connexe

• Microsoft Defender pour point de terminaison sur macOS
• Intégrer Microsoft Defender pour point de terminaison à Microsoft Defender for Cloud Apps
• Découvrir les fonctionnalités innovantes de Microsoft Edge
• Protéger votre réseau
• Activer la protection du réseau
• Protection web
• Créer des indicateurs
• Filtrage du contenu web