Comprendre et utiliser les fonctionnalités de réduction de la surface d’attaque

S’applique à :

• Microsoft Defender XDR
• Microsoft Defender pour point de terminaison Plan 1
• Microsoft Defender pour point de terminaison Plan 2
• Antivirus Microsoft Defender

Plateformes

• Windows

Les surfaces d’attaque sont tous les endroits où votre organization est vulnérable aux cybermenaces et aux attaques. Defender pour point de terminaison inclut plusieurs fonctionnalités permettant de réduire vos surfaces d’attaque. Regardez la vidéo suivante pour en savoir plus sur la réduction de la surface d’attaque.

Configurer les fonctionnalités de la réduction de la surface d’attaque

Pour configurer la réduction de la surface d’attaque dans votre environnement, procédez comme suit :

1. Activez l’isolation matérielle pour Microsoft Edge.

2. Activer les règles de réduction de la surface d’attaque.

3. Activez le contrôle d’application.

   1. Passez en revue les stratégies de base dans Windows. Consultez les exemples de stratégies de base.

   2. Consultez le guide de conception du contrôle d’application Windows Defender.

   3. Reportez-vous à Déploiement de stratégies WDAC (Windows Defender Application Control).

4. Activer l’accès contrôlé aux dossiers.

5. Activez le contrôle d’appareil.

6. Activez la protection réseau.

7. Activer la protection web.

8. Activez exploit protection.

9. Configurez votre pare-feu réseau.

   1. Obtenez une vue d’ensemble du Pare-feu Windows avec sécurité avancée.

   2. Utilisez le guide de conception du Pare-feu Windows pour décider de la façon dont vous souhaitez concevoir vos stratégies de pare-feu.

   3. Utilisez le guide de déploiement du Pare-feu Windows pour configurer le pare-feu de votre organization avec une sécurité avancée.

Réduction de la surface d’attaque de test dans Microsoft Defender pour point de terminaison

Dans le cadre de l’équipe de sécurité de votre organization, vous pouvez configurer les fonctionnalités de réduction de la surface d’attaque pour qu’elles s’exécutent en mode audit pour voir comment elles fonctionnent. Vous pouvez activer les fonctionnalités de sécurité de réduction de la surface d’attaque suivantes en mode audit :

• Règles de réduction des surfaces d'attaque
• Exploit Protection
• Protection réseau
• Accès contrôlé aux dossiers
• Contrôle des appareils

Le mode Audit vous permet de voir un enregistrement de ce qui se serait passé si la fonctionnalité avait été activée.

Vous pouvez activer le mode audit lors du test du fonctionnement des fonctionnalités. L’activation du mode audit uniquement pour les tests permet d’empêcher le mode audit d’affecter vos applications métier. Vous pouvez également avoir une idée du nombre de tentatives de modification de fichier suspectes sur une certaine période.

Les fonctionnalités ne bloquent pas ou n’empêchent pas les applications, les scripts ou les fichiers d’être modifiés. Toutefois, le journal des événements Windows enregistre les événements comme si les fonctionnalités étaient entièrement activées. Avec le mode audit, vous pouvez consulter le journal des événements pour voir l’effet que la fonctionnalité aurait eu si elle avait été activée.

Pour trouver les entrées auditées, accédez à Applications et services>Microsoft>Windows>Windows Defender>Operational.

Utilisez Defender pour point de terminaison pour obtenir plus de détails sur chaque événement. Ces détails sont particulièrement utiles pour examiner les règles de réduction de la surface d’attaque. L’utilisation de la console Defender pour point de terminaison vous permet d’examiner les problèmes dans le cadre des scénarios de chronologie et d’investigation des alertes.

Vous pouvez activer le mode audit à l’aide de stratégie de groupe, De PowerShell et de fournisseurs de services de configuration (CSP).

Par exemple, vous pouvez tester les règles de réduction de la surface d’attaque en mode audit avant de les activer en mode bloc. Les règles de réduction de la surface d’attaque sont prédéfinies pour renforcer les surfaces d’attaque courantes et connues. Il existe plusieurs méthodes que vous pouvez utiliser pour implémenter des règles de réduction de la surface d’attaque. La méthode préférée est documentée dans les articles suivants sur le déploiement des règles de réduction de la surface d’attaque :

• Vue d’ensemble du déploiement des règles de réduction de la surface d’attaque
• Planifier le déploiement des règles de réduction de la surface d’attaque
• Règles de réduction de la surface d’attaque de test
• Activer les règles de réduction de la surface d’attaque
• Opérationnaliser les règles de réduction de la surface d’attaque

Afficher les événements de la réduction de la surface d’attaque

Passez en revue les événements de réduction de la surface d’attaque dans observateur d'événements pour surveiller les règles ou paramètres qui fonctionnent. Vous pouvez également déterminer si des paramètres sont trop « bruyants » ou impactent votre flux de travail quotidien.

L’examen des événements est pratique lorsque vous évaluez les fonctionnalités. Vous pouvez activer le mode d’audit pour les fonctionnalités ou les paramètres, puis passer en revue ce qui se serait passé s’ils avaient été entièrement activés.

Cette section répertorie tous les événements, leur fonctionnalité ou paramètre associé, et explique comment créer des vues personnalisées pour filtrer sur des événements spécifiques.

Obtenez des rapports détaillés sur les événements, les blocs et les avertissements dans le cadre de Sécurité Windows si vous avez un abonnement E5 et utilisez Microsoft Defender pour point de terminaison.

Utiliser des vues personnalisées pour passer en revue les fonctionnalités de réduction de la surface d’attaque

Créez des vues personnalisées dans le observateur d'événements Windows pour voir uniquement les événements pour des fonctionnalités et des paramètres spécifiques. Le moyen le plus simple consiste à importer une vue personnalisée en tant que fichier XML. Vous pouvez copier le code XML directement à partir de cette page.

Vous pouvez également accéder manuellement à la zone d’événements qui correspond à la fonctionnalité.

Importer une vue personnalisée XML existante

1. Créez un fichier .txt vide et copiez le code XML de la vue personnalisée que vous souhaitez utiliser dans le fichier .txt. Effectuez cette opération pour chacune des vues personnalisées que vous souhaitez utiliser. Renommez les fichiers comme suit (veillez à modifier le type de .txt en .xml) :

   • Vue personnalisée des événements d’accès contrôlé aux dossiers : cfa-events.xml
   • Vue personnalisée des événements Exploit Protection : ep-events.xml
   • Vue personnalisée des événements de réduction de la surface d’attaque : asr-events.xml
   • Affichage personnalisé des événements de protection/réseau : np-events.xml

2. Tapez observateur d’événements dans le menu Démarrer et ouvrez observateur d'événements.

3. Sélectionnez Action>Importer la vue personnalisée...

   

4. Accédez à l’emplacement où vous avez extrait le fichier XML pour la vue personnalisée souhaitée, puis sélectionnez-le.

5. Sélectionnez Ouvrir.

6. Il crée une vue personnalisée qui filtre pour afficher uniquement les événements liés à cette fonctionnalité.

Copier le code XML directement

1. Tapez observateur d’événements dans le menu Démarrer et ouvrez le observateur d'événements Windows.

2. Dans le volet gauche, sous Actions, sélectionnez Créer un affichage personnalisé...

   

3. Accédez à l’onglet XML et sélectionnez Modifier la requête manuellement. Vous voyez un avertissement indiquant que vous ne pouvez pas modifier la requête à l’aide de l’onglet Filtre si vous utilisez l’option XML. Sélectionnez Oui.

4. Collez le code XML de la fonctionnalité à partir de laquelle vous souhaitez filtrer les événements dans la section XML.

5. Sélectionnez OK. Spécifiez un nom pour votre filtre. Cette action crée une vue personnalisée qui filtre pour afficher uniquement les événements liés à cette fonctionnalité.

XML pour les événements de règle de réduction de la surface d’attaque

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML pour les événements d’accès contrôlé aux dossiers

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML pour les événements exploit protection

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

XML pour les événements de protection réseau

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

Liste des événements de réduction de la surface d’attaque

Tous les événements de réduction de la surface d’attaque se trouvent sous Journaux > des applications et des services Microsoft > Windows , puis le dossier ou le fournisseur répertorié dans le tableau suivant.

Vous pouvez accéder à ces événements dans l’Observateur d’événements Windows :

1. Ouvrez le menu Démarrer et tapez Observateur d’événements, puis sélectionnez le résultat observateur d'événements.

2. Développez Journaux > des applications et des services Microsoft > Windows , puis accédez au dossier répertorié sous Fournisseur/source dans le tableau ci-dessous.

3. Double-cliquez sur le sous-élément pour afficher les événements. Faites défiler les événements pour trouver celui que vous recherchez.

   

Ressources pour en savoir plus sur la réduction de la surface d’attaque

Comme mentionné dans la vidéo, Defender pour point de terminaison inclut plusieurs fonctionnalités de réduction de la surface d’attaque. Utilisez les ressources suivantes pour en savoir plus :