Forum aux questions - Microsoft Defender Application Guard

Nous recommandons 8 Go de RAM pour des performances optimales, mais vous pouvez utiliser les valeurs DWORD de Registre suivantes pour activer Application Guard sur les machines qui ne répondent pas à la configuration matérielle recommandée.

HKLM\software\Microsoft\Hvsi\SpecRequiredProcessorCount (La valeur par défaut est quatre cœurs.)

HKLM\software\Microsoft\Hvsi\SpecRequiredMemoryInGB (La valeur par défaut est 8 Go.)

HKLM\software\Microsoft\Hvsi\SpecRequiredFreeDiskSpaceInGB (La valeur par défaut est 5 Go.)

Le serveur manuel ou PAC doit être un nom d’hôte (et non une adresse IP) neutre sur la liste des sites. En outre, si le script PAC retourne un proxy, il doit répondre à ces mêmes exigences.

Pour vous assurer que les noms de domaine complets (FQDN) du « fichier PAC » et des « serveurs proxy vers lesquels le fichier PAC redirige » sont ajoutés en tant que ressources neutres dans les stratégies d’isolation réseau utilisées par Application Guard, vous pouvez :

• Vérifiez cet ajout en accédant à edge://application-guard-internals/#utilities et en entrant le nom de domaine complet pour le pac/proxy dans le champ « vérifier l’approbation de l’URL » et en vérifiant qu’il indique « Neutre ».
• Il doit s’agir d’un nom de domaine complet. Une adresse IP simple ne fonctionne pas.
• Si possible, les adresses IP associées au serveur hébergeant le serveur ci-dessus doivent être supprimées des plages d’adresses IP d’entreprise dans les stratégies d’isolation réseau utilisées par Application Guard.

Application Guard exige que les proxys aient un nom symbolique, pas seulement une adresse IP. IP-Literal paramètres de proxy tels que 192.168.1.4:81 peuvent être annotés en tant que itproxy:81 ou à l’aide d’un enregistrement tel que P19216810010 pour un proxy avec une adresse IP de 192.168.100.10. Cette annotation s’applique à Windows 10 Édition Entreprise, version 1709 ou ultérieure. Ces annotations concernent les stratégies de proxy sous Isolation réseau dans stratégie de groupe ou Intune.

Les éditeurs de méthode d’entrée (IME) suivants introduits dans Windows 10, version 1903 ne sont actuellement pas pris en charge dans Microsoft Defender Application Guard :

• Clavier telex vietnam
• Clavier à touches numériques du Vietnam
• Clavier phonétique hindi
• Clavier phonétique bangla
• Clavier phonétique Marathi
• Clavier phonétique télougou
• Clavier phonétique tamoul
• Clavier phonétique Kannada
• Clavier phonétique malayalam
• Clavier phonétique gujarati
• Clavier phonétique Odia
• Clavier phonétique punjabi

Cette fonctionnalité est actuellement uniquement expérimentale et n’est pas fonctionnelle sans une clé de Registre supplémentaire fournie par Microsoft. Si vous souhaitez évaluer cette fonctionnalité sur un déploiement de Windows 10 Entreprise, version 1803, contactez Microsoft et nous travaillerons avec vous pour activer la fonctionnalité.

WDAGUtilityAccount fait partie d’Application Guard, à partir de Windows 10, version 1709 (Fall Creators Update). Il reste désactivé par défaut, sauf si Application Guard est activé sur votre appareil. WDAGUtilityAccount est utilisé pour se connecter au conteneur Application Guard en tant qu’utilisateur standard avec un mot de passe aléatoire. Ce n’est PAS un compte malveillant. Il nécessite des autorisations d’ouverture de session en tant que service pour pouvoir fonctionner correctement. Si cette autorisation est refusée, l’erreur suivante peut s’afficher :

Erreur : 0x80070569, Erreur Ext : 0x00000001 ; RDP : Erreur : 0x00000000, Erreur Ext : 0x00000000 Emplacement : 0x00000000

Pour approuver un sous-domaine, vous devez faire précéder votre domaine de deux points (..). Par exemple : ..contoso.com garantit que mail.contoso.com ou news.contoso.com sont approuvés. Le premier point représente les chaînes pour le nom du sous-domaine (courrier ou actualités), et le deuxième point reconnaît le début du nom de domaine (contoso.com). Ces deux points empêchent les sites tels que fakesitecontoso.com d’être approuvés.

Lorsque vous utilisez Windows Pro ou Windows Entreprise, vous avez accès à l’utilisation d’Application Guard en mode autonome. Toutefois, lorsque vous utilisez Enterprise, vous avez accès à Application Guard en mode Enterprise-Managed. Ce mode a des fonctionnalités supplémentaires que le mode autonome n’a pas. Pour plus d’informations, consultez Préparer l’installation de Microsoft Defender Application Guard.

Oui, les domaines de ressources d’entreprise hébergés dans le cloud et les domaines classés comme professionnels et personnels ont une limite de 1 6383 octets.

Microsoft Defender Application Guard accède aux fichiers à partir d’un disque dur virtuel monté sur l’hôte qui doit être écrit pendant l’installation. Si un pilote de chiffrement empêche le montage ou l’écriture d’un disque dur virtuel, Application Guard ne fonctionne pas et génère un message d’erreur (0x80070013 ERROR_WRITE_PROTECT).

Il n’existe pas de mappage un-à-un entre toutes les stratégies d’isolation réseau entre csp et gp. Les stratégies d’isolation réseau obligatoires pour déployer Application Guard sont différentes entre csp et GP.

• Stratégie de stratégie de stratégie de groupe d’isolation réseau obligatoire pour déployer Application Guard : DomainSubnets ou CloudResources

• Stratégie CSP d’isolation réseau obligatoire pour déployer Application Guard : EnterpriseCloudResources ou (EnterpriseIpRange et EnterpriseNetworkDomainNames)

• Pour EnterpriseNetworkDomainNames, il n’existe aucune stratégie CSP mappée.

Application Guard accède aux fichiers à partir d’un disque dur virtuel monté sur l’hôte qui doit être écrit pendant l’installation. Si un pilote de chiffrement empêche le montage ou l’écriture d’un disque dur virtuel, Application Guard ne fonctionne pas et génère un message d’erreur (0x80070013 ERROR_WRITE_PROTECT).

Si l’hyperthreading est désactivé (en raison d’une mise à jour appliquée par le biais d’un article de la base de connaissances ou des paramètres du BIOS), il est possible qu’Application Guard ne réponde plus aux exigences minimales.

Application Guard peut ne pas fonctionner correctement sur les volumes compressés NTFS. Si ce problème persiste, essayez de décompresser le volume.

Ce problème est connu. Pour atténuer ce problème, vous devez créer deux règles de pare-feu. Pour plus d’informations sur la création d’une règle de pare-feu avec une stratégie de groupe, consultez Configurer des règles de pare-feu Windows avec une stratégie de groupe

Première règle (serveur DHCP)

• Chemin du programme : %SystemRoot%\System32\svchost.exe

• Service local : Sid: S-1-5-80-2009329905-444645132-2728249442-922493431-93864177 (Internet Connection Service (SharedAccess))

• Protocole UDP

• Port 67

Deuxième règle (client DHCP)

Cette règle est identique à la première règle, mais étendue au port local 68. Dans l’interface utilisateur du Pare-feu Microsoft Defender, effectuez les étapes suivantes :

1. Cliquez avec le bouton droit sur les règles de trafic entrant, puis créez une règle.

2. Choisissez une règle personnalisée.

3. Spécifiez le chemin d’accès du programme suivant : %SystemRoot%\System32\svchost.exe.

4. Spécifiez les paramètres suivants :

   • Type de protocole : UDP
   • Ports spécifiques : 67
   • Port distant : tout

5. Spécifiez les adresses IP.

6. Autorisez la connexion.

7. Spécifiez pour utiliser tous les profils.

8. La nouvelle règle doit s’afficher dans l’interface utilisateur. Cliquez avec le bouton droit sur lespropriétés de la règle>.

9. Sous l’onglet Programmes et services , sous la section Services , sélectionnez Paramètres.

10. Choisissez Appliquer à ce service et sélectionnez Accès partagé ics (Partage de connexion Internet).

ICS est activé par défaut dans Windows, et ICS doit l’être pour qu’Application Guard fonctionne correctement. Nous vous déconseillons de désactiver ics. Toutefois, vous pouvez désactiver ics en partie à l’aide d’une stratégie de groupe et en modifiant les clés de Registre.

1. Dans le paramètre de stratégie de groupe , Interdire l’utilisation du partage de connexion Internet sur votre réseau de domaine DNS, définissez-le sur Désactivé.

2. Désactivez IpNat.sys du chargement ICS comme suit :
   System\CurrentControlSet\Services\SharedAccess\Parameters\DisableIpNat = 1

3. Configurez ICS (SharedAccess) à activer comme suit :
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Start = 3

4. (Cette étape est facultative) Désactivez IPNAT comme suit :
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPNat\Start = 4

5. Redémarrez l'appareil.

Les éléments listés par l’autorisation doivent être configurés comme « autorisés » dans l’objet de stratégie de groupe pour garantir le bon fonctionnement d’AppGuard.

Stratégie : Autoriser l’installation d’appareils qui correspondent à l’un des ID d’appareil suivants :

• SCSI\DiskMsft____Virtual_Disk____
• {8e7bd593-6e6c-4c52-86a6-77175494dd8e}\msvhdhba
• VMS_VSF
• root\Vpcivsp
• root\VMBus
• vms_mp
• VMS_VSP
• ROOT\VKRNLINTVSP
• ROOT\VID
• root\storvsp
• vms_vsmp
• VMS_PP

Stratégie : Autoriser l’installation d’appareils à l’aide de pilotes qui correspondent à ces classes de configuration d’appareil

• {71a27cdd-812a-11d0-bec7-08002be2092f}

WinNAT supprime les messages ICMP/UDP avec des paquets supérieurs à MTU lors de l’utilisation du commutateur par défaut ou du réseau NAT Docker. La prise en charge de cette solution a été ajoutée dans KB4571744. Pour résoudre le problème, installez la mise à jour et activez le correctif en procédant comme suit :

1. Vérifiez que fragmentAware DWORD est défini sur 1 dans ce paramètre de Registre : \Registry\Machine\SYSTEM\CurrentControlSet\Services\Winnat.

2. Redémarrez l'appareil.

Cette stratégie était présente dans Windows 10 avant la version 2004. Il a été supprimé des versions ultérieures de Windows, car il n’applique rien pour Microsoft Edge ou Office.

• Consultez Créer une demande de support.
• Sous Famille de produits, sélectionnez Windows. Sélectionnez le produit et la version du produit pour lequel vous avez besoin d’aide. Pour la catégorie qui décrit le mieux le problème, sélectionnez Technologies de sécurité Windows. Dans la dernière option, sélectionnez Windows Defender Application Guard.

Oui. Utilisez cet indicateur Microsoft Edge pour activer ou désactiver ce comportement : --disable-features="msWdagAutoCloseNavigatedTabs"

Voir également

Configurer les paramètres de stratégie Microsoft Defender Application Guard