Autoriser automatiquement les applications déployées par un programme d’installation managé avec App Control for Business

App Control for Business inclut une option appelée programme d’installation managé qui permet d’équilibrer la sécurité et la facilité de gestion lors de l’application des stratégies App Control. Cette option vous permet d’autoriser automatiquement les applications installées par une solution de distribution de logiciels désignée, telle que Microsoft Configuration Manager (MEMCM) ou Microsoft Intune.

Comment fonctionne un programme d’installation géré ?

Le programme d’installation managé utilise une collection de règles spéciale dans AppLocker pour désigner les fichiers binaires approuvés par votre organization en tant que source autorisée pour l’installation de l’application. Quand l’un de ces fichiers binaires approuvés s’exécute, Windows surveille le processus du binaire (et tous les processus enfants qu’il lance) et surveille l’écriture des fichiers sur le disque. Au fur et à mesure que les fichiers sont écrits, ils sont étiquetés comme provenant d’un programme d’installation managé.

Vous pouvez ensuite configurer App Control pour approuver les fichiers installés par un programme d’installation managé en ajoutant l’option « Enabled :Managed Installer » à votre stratégie App Control. Lorsque cette option est définie, App Control case activée pour les informations d’origine du programme d’installation managée lors de la détermination de l’autorisation ou non de l’exécution d’un fichier binaire. Tant qu’il n’y a pas de règles de refus pour le fichier binaire, le contrôle d’application l’autorise à s’exécuter uniquement en fonction de son origine du programme d’installation managé.

Considérations de sécurité relatives au programme d’installation géré

Étant donné que le programme d’installation géré est un mécanisme heuristique, il ne fournit pas les mêmes garanties de sécurité que les règles d’autorisation ou de refus explicites. Le programme d’installation géré est mieux adapté aux utilisateurs qui fonctionnent en tant qu’utilisateur standard et où tous les logiciels sont déployés et installés par une solution de distribution de logiciels telle que MEMCM.

Les utilisateurs disposant de privilèges d’administrateur ou d’un programme malveillant s’exécutant en tant qu’utilisateur administrateur sur le système peuvent être en mesure de contourner l’intention de vos stratégies de contrôle d’application lorsque l’option programme d’installation managée est autorisée.

Si un processus d’installation géré s’exécute dans le contexte d’un utilisateur disposant de privilèges standard, il est possible que les utilisateurs standard ou les programmes malveillants s’exécutant en tant qu’utilisateur standard puissent contourner l’intention de vos stratégies de contrôle d’application.

Certains programmes d’installation d’application peuvent exécuter automatiquement l’application à la fin du processus d’installation. Si l’application s’exécute automatiquement et que le programme d’installation a été exécuté par un programme d’installation géré, le suivi et l’autorisation heuristiques du programme d’installation managé s’étendent à tous les fichiers créés lors de la première exécution de l’application. Cette extension peut entraîner l’autorisation involontaire d’un exécutable. Pour éviter cela, assurez-vous que la méthode de déploiement d’applications utilisée comme programme d’installation managé limite l’exécution des applications dans le cadre de l’installation.

Limitations connues avec le programme d’installation géré

• App Control, basé sur le programme d’installation managé, ne prend pas en charge les applications qui se mettent à jour automatiquement. Si une application déployée par un programme d’installation managée se met à jour ultérieurement, les fichiers d’application mis à jour n’incluent pas les informations d’origine du programme d’installation managé et peuvent ne pas être en mesure de s’exécuter. Lorsque vous vous appuyez sur des programmes d’installation gérés, vous devez déployer et installer toutes les mises à jour d’application à l’aide d’un programme d’installation managé, ou inclure des règles pour autoriser l’application dans la stratégie De contrôle d’application. Dans certains cas, il peut également être possible de désigner un fichier binaire d’application qui effectue des mises à jour automatiques en tant que programme d’installation managé. Il convient de passer en revue les fonctionnalités et la sécurité de l’application avant d’utiliser cette méthode.

• Certaines applications ou programmes d’installation peuvent extraire, télécharger ou générer des fichiers binaires et tenter immédiatement de les exécuter. Les fichiers exécutés par un tel processus peuvent ne pas être autorisés par l’heuristique du programme d’installation managé. Dans certains cas, il est possible également de désigner un fichier binaire de l'application qui effectue cette opération en tant que programme d’installation géré. Il convient de passer en revue les fonctionnalités et la sécurité de l’application avant d’utiliser cette méthode.

• L’heuristique du programme d’installation managée n’autorise pas les pilotes de noyau. La stratégie App Control doit avoir des règles qui autorisent l’exécution des pilotes nécessaires.

Configurer le suivi du programme d’installation managé avec AppLocker et App Control

Pour activer le suivi du programme d’installation géré, vous devez :

• Créez et déployez une stratégie AppLocker qui définit vos règles d’installation managées et active l’application des services pour les exécutables et les DLL.
• Activez les services AppLocker Application Identity et AppLockerFltr.

Créer et déployer une stratégie AppLocker qui définit vos règles d’installation managées et active l’application des services pour les exécutables et les DLL

L’interface utilisateur de création de stratégie AppLocker dans l’objet de stratégie de groupe Rédacteur et les applets de commande PowerShell AppLocker ne peuvent pas être utilisées directement pour créer des règles pour la collection de règles Managed Installer. Toutefois, vous pouvez utiliser un éditeur XML ou de texte pour convertir une stratégie de collection de règles EXE en collection de règles ManagedInstaller.

1. Utilisez New-AppLockerPolicy pour créer une règle EXE pour le fichier que vous désignez comme programme d’installation managé. Cet exemple crée une règle pour l’extension de gestion Intune de Microsoft à l’aide du type de règle Publisher, mais n’importe quel type de règle AppLocker peut être utilisé. Vous devrez peut-être reformater la sortie pour plus de lisibilité.

   Get-ChildItem ${env:ProgramFiles(x86)}'\Microsoft Intune Management Extension\Microsoft.Management.Services.IntuneWindowsAgent.exe' | Get-AppLockerFileInformation | New-AppLockerPolicy -RuleType Publisher -User Everyone -Xml > AppLocker_MI_PS_ISE.xml
   

2. Remplacez manuellement le type de collection de règles de « Exe » par « ManagedInstaller » et définissez EnforcementMode sur « AuditOnly »

   Changement:

   <RuleCollection Type="Exe" EnforcementMode="NotConfigured">
   

   À:

   <RuleCollection Type="ManagedInstaller" EnforcementMode="AuditOnly">
   

3. Modifiez manuellement votre stratégie AppLocker et ajoutez les collections de règles EXE et DLL avec au moins une règle pour chaque. Pour vous assurer que votre stratégie peut être appliquée en toute sécurité sur les systèmes qui ont peut-être déjà une stratégie AppLocker active, nous vous recommandons d’utiliser une règle DENY sans gravité pour bloquer un fichier binaire factice et de définir l’ApplicationMode de la collection de règles sur AuditOnly. En outre, étant donné que de nombreux processus d’installation s’appuient sur des services, vous devez activer le suivi des services pour chacune de ces collections de règles. L’exemple suivant montre une stratégie AppLocker partielle avec la collection de règles EXE et DLL configurée comme recommandé.

   <RuleCollection Type="Dll" EnforcementMode="AuditOnly" >
     <FilePathRule Id="86f235ad-3f7b-4121-bc95-ea8bde3a5db5" Name="Benign DENY Rule" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
       <Conditions>
         <FilePathCondition Path="%OSDRIVE%\ThisWillBeBlocked.dll" />
       </Conditions>
     </FilePathRule>
     <RuleCollectionExtensions>
       <ThresholdExtensions>
         <Services EnforcementMode="Enabled" />
       </ThresholdExtensions>
       <RedstoneExtensions>
         <SystemApps Allow="Enabled"/>
       </RedstoneExtensions>
     </RuleCollectionExtensions>
   </RuleCollection>
   <RuleCollection Type="Exe" EnforcementMode="AuditOnly">
     <FilePathRule Id="9420c496-046d-45ab-bd0e-455b2649e41e" Name="Benign DENY Rule" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
       <Conditions>
         <FilePathCondition Path="%OSDRIVE%\ThisWillBeBlocked.exe" />
       </Conditions>
     </FilePathRule>
     <RuleCollectionExtensions>
       <ThresholdExtensions>
         <Services EnforcementMode="Enabled" />
       </ThresholdExtensions>
       <RedstoneExtensions>
         <SystemApps Allow="Enabled"/>
       </RedstoneExtensions>
     </RuleCollectionExtensions>
   </RuleCollection>
   

4. Vérifiez votre stratégie AppLocker. L’exemple suivant montre une stratégie AppLocker complète qui définit Configuration Manager et Microsoft Intune en tant que programmes d’installation gérés. Seules les collections de règles AppLocker pour lesquelles des règles réelles sont définies sont incluses dans le code XML final. Cette inclusion basée sur des conditions garantit que la stratégie sera fusionnée correctement sur les appareils qui ont peut-être déjà une stratégie AppLocker en place.

   <AppLockerPolicy Version="1">
     <RuleCollection Type="Dll" EnforcementMode="AuditOnly" >
       <FilePathRule Id="86f235ad-3f7b-4121-bc95-ea8bde3a5db5" Name="Benign DENY Rule" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
         <Conditions>
           <FilePathCondition Path="%OSDRIVE%\ThisWillBeBlocked.dll" />
         </Conditions>
       </FilePathRule>
       <RuleCollectionExtensions>
         <ThresholdExtensions>
           <Services EnforcementMode="Enabled" />
         </ThresholdExtensions>
         <RedstoneExtensions>
           <SystemApps Allow="Enabled"/>
         </RedstoneExtensions>
       </RuleCollectionExtensions>
     </RuleCollection>
     <RuleCollection Type="Exe" EnforcementMode="AuditOnly">
       <FilePathRule Id="9420c496-046d-45ab-bd0e-455b2649e41e" Name="Benign DENY Rule" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
         <Conditions>
           <FilePathCondition Path="%OSDRIVE%\ThisWillBeBlocked.exe" />
         </Conditions>
       </FilePathRule>
       <RuleCollectionExtensions>
         <ThresholdExtensions>
           <Services EnforcementMode="Enabled" />
         </ThresholdExtensions>
         <RedstoneExtensions>
           <SystemApps Allow="Enabled"/>
         </RedstoneExtensions>
       </RuleCollectionExtensions>
     </RuleCollection>
     <RuleCollection Type="ManagedInstaller" EnforcementMode="AuditOnly">
       <FilePublisherRule Id="55932f09-04b8-44ec-8e2d-3fc736500c56" Name="MICROSOFT.MANAGEMENT.SERVICES.INTUNEWINDOWSAGENT.EXE version 1.39.200.2 or greater in MICROSOFT&reg; INTUNE&trade; from O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Allow">
         <Conditions>
             <FilePublisherCondition PublisherName="O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" ProductName="*" BinaryName="MICROSOFT.MANAGEMENT.SERVICES.INTUNEWINDOWSAGENT.EXE">
               <BinaryVersionRange LowSection="1.39.200.2" HighSection="*" />
             </FilePublisherCondition>
       </Conditions>
       </FilePublisherRule>
       <FilePublisherRule Id="6ead5a35-5bac-4fe4-a0a4-be8885012f87" Name="CMM - CCMEXEC.EXE, 5.0.0.0+, Microsoft signed" Description="" UserOrGroupSid="S-1-1-0" Action="Allow">
         <Conditions>
           <FilePublisherCondition PublisherName="O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" ProductName="*" BinaryName="CCMEXEC.EXE">
             <BinaryVersionRange LowSection="5.0.0.0" HighSection="*" />
           </FilePublisherCondition>
         </Conditions>
       </FilePublisherRule>
       <FilePublisherRule Id="8e23170d-e0b7-4711-b6d0-d208c960f30e" Name="CCM - CCMSETUP.EXE, 5.0.0.0+, Microsoft signed" Description="" UserOrGroupSid="S-1-1-0" Action="Allow">
         <Conditions>
           <FilePublisherCondition PublisherName="O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" ProductName="*" BinaryName="CCMSETUP.EXE">
             <BinaryVersionRange LowSection="5.0.0.0" HighSection="*" />
             </FilePublisherCondition>
           </Conditions>
         </FilePublisherRule>
       </RuleCollection>
     </AppLockerPolicy>
   

5. Déployez votre stratégie de configuration du programme d’installation managé AppLocker. Vous pouvez importer votre stratégie AppLocker et la déployer avec stratégie de groupe ou utiliser un script pour déployer la stratégie avec l’applet de commande Set-AppLockerPolicy, comme indiqué dans la commande PowerShell suivante.

   Set-AppLockerPolicy -XmlPolicy <AppLocker XML FilePath> -Merge -ErrorAction SilentlyContinue
   

6. Si vous déployez votre stratégie AppLocker via un script, utilisez appidtel.exe pour configurer le service AppLocker Application Identity et le pilote de filtre AppLocker.

   appidtel.exe start [-mionly]
   

   Spécifiez « -mionly » si vous n’envisagez pas d’utiliser le graphe de sécurité intelligent (ISG).

Activer l’option programme d’installation managée dans la stratégie De contrôle d’application

Afin d’activer l’approbation pour les fichiers binaires définis par les programmes d’installation gérés, l’option « Activé : Programme d’installation géré » doit être spécifiée dans votre stratégie De contrôle d’application. Ce paramètre peut être défini à l’aide de l’applet de commande Set-RuleOption avec l’option 13.

Vous trouverez ci-dessous les étapes de création d’une stratégie De contrôle d’application qui permet à Windows de démarrer et active l’option programme d’installation géré.

1. Copiez la stratégie DefaultWindows_Audit dans votre dossier de travail à partir de « C:\Windows\schemas\CodeIntegrity\ExamplePolicies\DefaultWindows_Audit.xml »

2. Réinitialisez l’ID de stratégie pour vous assurer qu’il est au format à plusieurs stratégies et donnez-lui un GUID différent des exemples de stratégies. Donnez-lui également un nom convivial pour faciliter l’identification.

   Par exemple :

   Set-CIPolicyIdInfo -FilePath <XML filepath> -PolicyName "<friendly name>" -ResetPolicyID
   

3. Définissez l’option 13 (Enabled :Managed Installer).

   Set-RuleOption -FilePath <XML filepath> -Option 13
   

4. Déployez votre stratégie App Control. Consultez Déploiement de stratégies App Control for Business.

Supprimer la fonctionnalité Programme d’installation managé

Pour supprimer la fonctionnalité Programme d’installation géré de l’appareil, vous devez supprimer la stratégie AppLocker du programme d’installation managé de l’appareil en suivant les instructions de la page Supprimer une règle AppLocker : Effacer les stratégies AppLocker sur un système unique ou des systèmes distants.

Articles connexes

• Programme d’installation géré et guide de référence technique et de dépannage ISG