Protégez les paramètres de sécurité avec la protection contre les falsifications

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business, Microsoft Defender Antivirus

Cet article décrit la protection contre les falsifications dans Microsoft Defender for Endpoint, la façon dont elle protège les paramètres de sécurité contre la désactivation ou la modification, ainsi que la configuration et la gestion de celle-ci pour votre organisation.

Qu’est-ce que la protection contre les falsifications ?

La protection contre les falsifications est une fonctionnalité dans Microsoft Defender pour point de terminaison qui permet de protéger certains paramètres de sécurité, tels que la protection contre les virus et les menaces, d’être désactivés ou modifiés. Pendant certains types de cyberattaques, des acteurs malveillants tentent de désactiver les fonctionnalités de sécurité sur les appareils. La désactivation des fonctionnalités de sécurité permet aux acteurs malveillants d’accéder plus facilement à vos données, d’installer des programmes malveillants et d’exploiter vos données, identité et appareils. La protection contre les falsifications permet de se protéger contre les tentatives de désactivation ou de modification des fonctionnalités de sécurité pendant les cyberattaques.

La protection contre les falsifications fait partie des fonctionnalités anti-falsification qui incluent des règles standard de réduction de la surface d’attaque (ASR). La protection contre les falsifications est une partie importante de la protection intégrée.

Note

Microsoft introduit la configuration contrôlée, une nouvelle fonctionnalité qui s’appuie sur les protections offertes par la protection contre la falsification. Dans le cadre de ce changement, le paramètre de protection anti-altération existant dans les expériences de gestion est renommé en configuration contrôlée. La fonctionnalité et le comportement actuels de protection contre les manipulations restent inchangés pour les déploiements existants. Les organisations ne reçoivent pas automatiquement de protections de configuration contrôlées à la suite de ce changement de nom. Vous devez explicitement activer la configuration contrôlée en déployant une politique de configuration contrôlée via Microsoft Intune ou Microsoft Defender for Endpoint Security Settings Management. Pour plus d’informations, voir Configuration contrôlée dans Microsoft Defender for Endpoint.

Prérequis

Systèmes d’exploitation pris en charge

La protection contre les falsifications est disponible pour les appareils qui exécutent l’un des systèmes d’exploitation suivants :

  • Windows
  • MacOS
  • Windows 10 et 11 (y compris Entreprise multisession)
  • Windows Server 2016 et versions ultérieures
  • Windows Server, version 1803 ou ultérieure
  • Windows Server 2012 R2 (à l’aide de la solution unifiée moderne)
  • Azure système d’exploitation Stack HCI, version 23H2 et ultérieure.

La protection contre les falsifications est également disponible pour Mac, bien qu’elle fonctionne un peu différemment de celle de Windows. Pour plus d’informations, consultez Protéger les paramètres de sécurité macOS avec la protection contre les falsifications.

Que se passe-t-il lorsque la protection contre les falsifications est activée ?

Lorsque la protection contre la falsification est activée, les paramètres protégés par falsification suivants ne peuvent pas être modifiés :

  • La protection contre les virus et les menaces reste activée.
  • La protection en temps réel reste activée.
  • La surveillance du comportement reste activée.
  • La protection antivirus, y compris IOfficeAntivirus (IOAV) reste activée.
  • La protection cloud reste activée.
  • Les mises à jour du renseignement de sécurité se produisent.
  • Des actions automatiques sont effectuées sur les menaces détectées.
  • Les notifications sont visibles dans l’application Sécurité Windows sur les appareils Windows.
  • Les fichiers archivés sont analysés.
  • Les exclusions ne peuvent pas être modifiées ou ajoutées (voir Protection contre les falsifications pour les exclusions antivirus).

À compter de la version de signatures 1.383.1159.0, en raison de la confusion entourant la valeur par défaut de « Autoriser l’analyse des fichiers réseau », la protection contre les altérations ne verrouille plus ce paramètre sur sa valeur par défaut. Dans les environnements managés, la valeur par défaut est enabled.

Importante

Lorsque la protection contre les falsifications est activée, les paramètres protégés contre les falsifications ne peuvent pas être modifiés. Pour éviter de perturber les fonctionnalités de gestion, notamment Gérer la protection contre les falsifications à l’aide d’Intune, Gérer la protection contre les falsifications à l’aide de Microsoft Defender for Endpoint et Gérer la protection contre les falsifications à l’aide de Configuration Manager, gardez à l’esprit que les modifications apportées aux paramètres protégés contre les falsifications peuvent sembler être appliquées avec succès, mais sont en réalité bloquées par la protection contre les falsifications. Selon votre scénario particulier, plusieurs options sont disponibles :

  • Si vous devez apporter des modifications à un appareil et que ces modifications sont bloquées par la protection contre les falsifications, vous pouvez utiliser le mode résolution des problèmes pour désactiver temporairement la protection contre les falsifications sur l’appareil.
  • Vous pouvez utiliser Intune, Microsoft Defender for Endpoint ou Configuration Manager pour exclure des appareils de la protection anti-altération.

La protection contre les falsifications ne vous empêche pas d’afficher vos paramètres de sécurité. De plus, la protection contre les falsifications n’affecte pas la façon dont les applications antivirus non-Microsoft s’inscrivent auprès de l’application Sécurité Windows. Si votre organization utilise Defender pour point de terminaison, les utilisateurs individuels ne peuvent pas modifier le paramètre de protection contre les falsifications ; dans ce cas, votre équipe de sécurité gère la protection contre les falsifications. Vous pouvez configurer ou gérer la protection contre les falsifications à l’aide du portail Microsoft Defender, des Microsoft Intune, des Configuration Manager ou de l’application Sécurité Windows.

Conseil

La protection intégrée permet de protéger contre les ransomwares , notamment l’activation de la protection contre les falsifications par défaut. Pour plus d’informations, reportez-vous aux rubriques suivantes :

Protection contre les falsifications sur Windows Server 2012 R2, 2016 ou Windows version 1709, 1803 ou 1809

Si vous utilisez Windows Server 2012 R2 à l'aide de la solution unifiée moderne, Windows Server 2016, Windows 10 version 1709, 1803 ou 1809 (Windows 10 version 1809 et Windows Server 2019), vous ne voyez pas la protection contre les falsifications dans l’application Sécurité Windows. Au lieu de cela, vous pouvez utiliser PowerShell pour déterminer si la protection contre les falsifications est activée.

Importante

Sur Windows Server 2016, l’application Paramètres ne reflète pas avec précision la status de la protection en temps réel lorsque la protection contre les falsifications est activée.

Utiliser PowerShell pour déterminer si la protection contre les falsifications et la protection en temps réel sont activées

Procédez comme suit pour vérifier si la protection contre les falsifications et la protection en temps réel sont activées sur un appareil :

  1. Ouvrez l’application Windows PowerShell.

  2. Utilisez l’applet de commande PowerShell Get-MpComputerStatus .

  3. Dans la liste des résultats, recherchez IsTamperProtected et RealTimeProtectionEnabled. (La valeur true signifie que la protection contre les falsifications est activée.)

Comment configurer ou gérer la protection contre les falsifications ?

Vous pouvez utiliser Microsoft Intune et d’autres méthodes pour configurer ou gérer la protection contre les falsifications, comme indiqué dans le tableau suivant :

Méthode Ce que vous pouvez faire
Utilisez le portail Microsoft Defender. Activez ou désactivez la protection contre les falsifications à l’échelle de l’organisation, ou appliquez-la à certains utilisateurs ou appareils. Vous pouvez exclure certains appareils de la protection contre les falsifications. Consultez Gérer la protection contre les falsifications pour votre organization à l’aide de Microsoft Defender XDR.

Utilisez le centre d’administration Microsoft Intune ou le Configuration Manager. Activez ou désactivez la protection contre les falsifications à l’échelle de l’organisation, ou appliquez-la à certains utilisateurs ou appareils. Vous pouvez exclure certains appareils de la protection contre les falsifications. Consultez Gérer la protection contre la falsification pour votre organisation avec Intune.

Protégez les exclusions de Microsoft Defender Antivirus contre toute modification si vous utilisez uniquement Intune ou uniquement Configuration Manager. Consultez Protection contre les falsifications pour les exclusions antivirus.
Utilisez Configuration Manager avec l’attachement de locataire. Activez ou désactivez la protection contre les falsifications à l’échelle de l’organisation, ou appliquez-la à certains utilisateurs ou appareils. Vous pouvez exclure certains appareils de la protection contre les falsifications. Consultez Gérer la protection contre la falsification pour votre organisation à l’aide de l’attachement du locataire avec Configuration Manager, version 2006.
Utilisez l’application Sécurité Windows. Activez (ou désactivez la protection contre les falsifications) sur un appareil individuel qui n’est pas géré par une équipe de sécurité (par exemple, les appareils à usage domestique). Consultez Gérer la protection contre les falsifications sur un appareil individuel.

Cette méthode ne remplace pas les paramètres de protection contre les falsifications définis dans le portail Microsoft Defender, Intune ou Configuration Manager, et elle n’est pas destinée à être utilisée par les organisations.

Conseil

Si vous utilisez stratégie de groupe pour gérer Microsoft Defender paramètres antivirus, n’oubliez pas que toutes les modifications apportées aux paramètres protégés contre les falsifications sont ignorées. Si vous devez apporter des modifications à un appareil et que ces modifications sont bloquées par la protection contre les falsifications, utilisez le mode résolution des problèmes pour désactiver temporairement la protection contre les falsifications sur l’appareil. Une fois le mode de résolution des problèmes terminé, toutes les modifications apportées aux paramètres protégés contre la falsification sont rétablies à leur état configuré. Pour modifier définitivement les valeurs des paramètres protégés contre les falsifications, désactivez la protection contre les falsifications temporairement avant de la réactiver une fois les paramètres modifiés. N’oubliez pas que la désactivation temporaire de la protection contre les falsifications peut présenter des risques de sécurité et ne fonctionne pas sur les appareils qui sont hors connexion lorsque la protection contre les falsifications a été temporairement désactivée. Étant donné que la désactivation temporaire de la protection contre les falsifications pose des risques de sécurité et ne fonctionne pas sur des appareils hors connexion, nous vous recommandons d'utiliser d'autres méthodes de gestion pour Defender pour les paramètres de point de terminaison, comme Intune, au lieu d'utiliser la stratégie de groupe.

Protéger les exclusions de l’antivirus Microsoft Defender

Sous certaines conditions, la protection contre les falsifications peut protéger les exclusions définies pour Microsoft Defender Antivirus. Pour plus d’informations, consultez Protection contre les falsifications pour les exclusions.

Afficher des informations sur les tentatives de falsification

Les tentatives de falsification indiquent généralement qu’une cyberattaque plus importante a eu lieu. Les acteurs malveillants tentent de modifier les paramètres de sécurité afin de conserver et de rester non détectés. Si vous faites partie de l’équipe de sécurité de votre organization, vous pouvez afficher des informations sur ces tentatives, puis prendre les mesures appropriées pour atténuer les menaces.

Chaque fois qu’une tentative de falsification est détectée, une alerte est déclenchée dans le portail Microsoft Defender (security.microsoft.com).

À l’aide de la détection et de la réponse des points de terminaison et des fonctionnalités avancées de repérage dans Microsoft Defender pour point de terminaison, votre équipe des opérations de sécurité peut examiner et résoudre ces tentatives.

Passer en revue vos recommandations de sécurité

La protection contre les falsifications s’intègre aux fonctionnalités de Gestion des vulnérabilités Microsoft Defender. Les recommandations de sécurité incluent la garantie que la protection contre les falsifications est activée. Par exemple, dans votre tableau de bord de gestion des vulnérabilités, vous pouvez rechercher tamper. Dans les résultats, vous pouvez sélectionner Activer la protection contre les falsifications pour en savoir plus et l’activer.

Pour en savoir plus sur Gestion des vulnérabilités Microsoft Defender, consultez Insights de tableau de bord - Defender Vulnerability Management.

Contenu connexe

  • Last updated on