Les règles de réduction de la surface d'attaque (ASR) de Windows sont devenues un pilier de la sécurité moderne en entreprise. Intégrées à Microsoft Defender Antivirus et Microsoft Defender for Endpoint, elles visent à éliminer tous les points d'entrée habituels des logiciels malveillants : scripts inhabituels, macros suspectes, exécutables inconnus, utilisation abusive des outils système, etc. Correctement configurées, elles rendent votre réseau beaucoup plus difficile à compromettre.
Cependant, la mise en œuvre correcte des règles ASR ne se résume pas à activer le mode « Bloquer » et à s'arrêter là . Elle nécessite des prérequis, différentes méthodes de déploiement (Intune, GPO, MDM, PowerShell, Configuration Manager), des modes de fonctionnement (audit, avertissement, blocage) et de nombreuses règles avec des GUID et des comportements très spécifiques. Nous expliquons tout cela ci-dessous.
Qu'est-ce que l'ASR sous Windows et pourquoi devriez-vous l'utiliser ?
Lorsque l'on parle de surface d'attaque sous Windows, on fait référence à tous les points d'entrée où un attaquant pourrait exécuter du code ou s'implanter durablement : macros Office, fichiers exécutables téléchargés, scripts, pilotes, outils système, etc. Les règles de réduction de la surface d'attaque de Microsoft Defender ciblent précisément ces vecteurs d'exploitation, limitant ainsi les comportements à risque sans dépendre uniquement des logiciels antivirus traditionnels basés sur la détection de signatures.
Les règles ASR ciblent les comportements typiques des logiciels malveillants. Il peut s'agir, par exemple, du lancement de processus enfants suspects depuis Office, de l'exécution de scripts obfusqués, du lancement de fichiers exécutables téléchargés via JavaScript/VBScript ou de l'utilisation malveillante de pilotes signés vulnérables. Certaines applications légitimes peuvent présenter des comportements similaires, mais l'objectif est de limiter ces cas à une minorité et de les gérer grâce à des exclusions bien définies.
L'utilisation d'ASR signifie que votre organisation offre moins d'opportunités aux attaquants de s'appuyer sur des outils déjà présents sur vos systèmes (PowerShell, WMI, PsExec, Office, etc.).
Il est important de vérifier que Microsoft Defender Antivirus est actif . S'il est en mode passif ou désactivé, il ne fonctionnera pas si vous souhaitez utiliser les règles ASR. Il doit être l'antivirus principal de votre système. De plus, la protection en temps réel doit être activée sur tous les appareils.
Un autre aspect crucial est la protection basée sur le cloud ( ou protection de la distribution via le cloud). Plusieurs règles nécessitent que le cloud détermine si un fichier est fréquemment ciblé, de confiance ou s'il s'agit d'un ransomware. Sans connexion aux services cloud de Windows Defender, vous perdrez une grande partie du potentiel de l'analyse avancée des ransomwares (ASR), notamment pour les règles concernant les exécutables en fonction de leur fréquence d'utilisation ou pour la protection avancée contre les ransomwares. Pour conserver cette fonctionnalité, il est essentiel de vérifier les paramètres de sécurité de Windows 11 et les mises à jour associées.
Modes de fonctionnement des règles ASR
Chaque règle de réduction de la surface d'attaque est configurée avec un mode ou un état spécifique, ce qui détermine son comportement sur le dispositif. Ces états sont essentiels pour concevoir une stratégie de déploiement sans perturber les applications métier.
Les codes acceptés par Microsoft Defender pour les règles ASR sont les suivants : 0 pour désactivé/non configuré , 1 pour le mode Blocage, 2 pour le mode Audit et 6 pour le mode Avertissement. Ces mêmes valeurs sont utilisées dans les GPO, MDM, Configuration Manager et le CSP Defender ; il est donc important de les connaître.
- Mode Bloc (0). C’est cette méthode qui empêche concrètement l’action sur l’ordinateur. Lorsqu’une règle de blocage détecte un comportement correspondant à son modèle (par exemple, Word tentant de lancer PowerShell), elle interrompt l’opération et peut afficher une notification à l’utilisateur selon la configuration. C’est le mode à privilégier une fois la règle testée en profondeur dans votre environnement.
- Mode d'audit (2). C'est votre meilleur allié pour les tests : il n'empêche pas le fonctionnement, mais il enregistre les événements, ce qui vous permet de voir ce qui aurait été bloqué si la règle était en mode blocage. Ces informations apparaissent dans l'Observateur d'événements, dans Defender for Endpoint et dans les requêtes avancées (par exemple, en filtrant les DeviceEvents par ActionType commençant par « Asr »). Vous pouvez ensuite décider des applications à exclure.
- Mode Avertissement (6). Elle offre une expérience intermédiaire. La règle bloque le contenu, mais affiche une boîte de dialogue informant l'utilisateur qu'il est potentiellement dangereux et lui permettant de le débloquer pendant 24 heures. Passé ce délai, le blocage est réactivé.
Types de règles ASR et classification recommandée
Microsoft regroupe les règles de réduction de la surface d'attaque en deux grandes catégories : les règles de protection standard , qu'il est recommandé d'activer presque toujours, et les autres règles qui nécessitent généralement un cycle de test plus approfondi (planification > audit > blocage/avertissement).
Les règles de protection standard comprennent notamment le blocage de l'exploitation abusive des pilotes signés vulnérables , la prévention du vol d'identifiants via LSASS et le blocage de la persistance par le biais des abonnements aux événements WMI. Ces règles ont généralement un faible impact sur l'utilisateur final, ce qui en fait de bonnes candidates pour une activation précoce, au moins en mode audit.
Les règles ASR restantes couvrent des comportements tels que les processus enfants d'Office , l'exécution de scripts obfusqués, l'utilisation d'outils distants tels que PsExec et WMI pour créer des processus, les processus non signés provenant d'une clé USB, la création de WebShell sur des serveurs, les appels aux API Win32 à partir de macros Office, ou même une protection supplémentaire contre les ransomwares grâce à des heuristiques client et cloud.
Chaque règle possède un GUID unique qui sert d'identifiant dans les GPO, Intune (profils personnalisés OMA-URI), MDM et PowerShell.
Certaines règles présentent des particularités importantes : elles ne respectent pas toutes les exclusions globales de Microsoft Defender Antivirus ni les indicateurs de compromission (IOC) de Defender for Endpoint, et dans certains cas, elles n’autorisent que des exclusions par règle. De plus, certaines règles peuvent ne pas être visibles dans l’interface Intune pour les nouveaux profils, mais peuvent néanmoins être actives et configurables via le fournisseur de services de configuration (CSP), la commande Add-MpPreference ou des modèles créés précédemment.
Méthodes pour activer et configurer ASR sous Windows
L'un des grands avantages des règles ASR est qu'elles peuvent être configurées via de multiples méthodes de gestion , ce qui leur permet de s'adapter aussi bien aux petites entreprises sans Intune qu'aux grandes organisations avec MDM et Configuration Manager, tout en maintenant une infrastructure réseau saine.
Pour les environnements d'entreprise modernes, il est recommandé d'utiliser Intune ou Microsoft Configuration Manager , car ces solutions permettent une administration centralisée et cohérente, et résolvent les conflits entre les GPO et les scripts de démarrage. Il est toutefois possible de les gérer via la stratégie de groupe traditionnelle, une solution MDM CSP ou directement avec PowerShell sur des machines spécifiques.
Dans Intune, la méthode privilégiée est la stratégie de sécurité des terminaux pour la réduction de la surface d'attaque. Une autre option consiste à utiliser les profils de configuration des périphériques de protection des terminaux . Pour un contrôle encore plus précis, vous pouvez utiliser un profil Intune personnalisé avec un URI OMA.
Dans les scénarios MDM génériques non basés sur Intune, CSP Defender est également utilisé avec la route AttackSurfaceReductionRules pour les états et AttackSurfaceReductionOnlyExclusions pour les exclusions globales. Avec Microsoft Configuration Manager, vous pouvez créer une stratégie Exploit Guard sous le nœud Endpoint Protection. En choisissant Réduction de la surface d'attaque, vous sélectionnez les règles qui s'exécuteront en mode blocage ou en mode audit.
Enfin, il convient de mentionner que PowerShell offre un mécanisme direct pour activer, désactiver ou auditer des règles spécifiques.
Exclusions globales et de règles dans ASR
Pour éviter toute défaillance de votre environnement, il est essentiel de gérer correctement les exclusions de fichiers et de dossiers que vous ne souhaitez pas voir évaluées par les règles ASR. Si une ressource est exclue, même si un comportement malveillant est détecté par une règle, son exécution ne sera pas empêchée.
Dans Intune, il existe deux approches principales :
- Exclusions globales de la seule réduction de la surface d'attaque (Exclusions AttackSurfaceReductionOnlyExclusions), qui s'appliquent à toutes les règles ASR destinées à un périphérique lorsqu'au moins une stratégie les configure. Elles sont utiles pour les routes hautement contrôlées.
- Exclusions par règleoù chaque configuration de règle définie sur une valeur autre que « Non configuré » offre la possibilité de définir ses propres routes exclues.
Il est important de noter que toutes les règles ne prennent pas en charge les exclusions de fichiers et de dossiers, et que certaines ignorent également les exclusions des indicateurs de compromission (IOC) de Microsoft Defender Antivirus ou de Defender for Endpoint. Dans ce cas, si une règle pose particulièrement problème, la meilleure solution consiste à l'affiner en mode audit et, s'il est impossible de l'utiliser, à la désactiver ou à la paramétrer en mode avertissement, selon le niveau de risque que vous êtes prêt à accepter.
Outre Intune et CSP, les exclusions peuvent être gérées via les objets de stratégie de groupe (en utilisant la stratégie d'exclusion de route spécifique pour ASR) ou via PowerShell avec `AttackSurfaceReductionOnlyExclusions`. En règle générale, plus la portée de l'exclusion est précise et proche de la règle , meilleure est votre sécurité globale.
Combinaison de directives et de résolution des conflits
Dans les environnements comportant plusieurs sources de configuration (Intune, Configuration Manager, GPO, CSP), les conflits entre les stratégies de réduction de la surface d'attaque sont fréquents . Microsoft a introduit un comportement de fusion pour simplifier ce scénario sur les appareils gérés.
L'idée est que, pour un périphérique donné, un sur-ensemble de configuration ASR est créé en fonction des politiques applicables. Les options non conflictuelles sont combinées, tandis que les paramètres conflictuels sont exclus de la politique combinée et ne sont donc pas appliqués. Ce comportement affecte les politiques issues des profils de configuration du périphérique, des politiques de sécurité des terminaux et des référentiels de sécurité liés à Defender.
Un processus similaire s'applique au contrôle des périphériques et à la gestion des identifiants USB . Les listes de périphériques autorisés ou bloqués par identifiants, classes ou instances sont regroupées en une seule liste par type de configuration, éliminant ainsi les doublons. Si un même périphérique figure à la fois dans les listes d'autorisation et de blocage, c'est l'option la plus restrictive (blocage) qui est appliquée au niveau du terminal, même si la combinaison des stratégies ne fusionne pas directement les deux listes.
Lorsque les stratégies de groupe (GPO) et la gestion des appareils mobiles (MDM) coexistent, la documentation précise qu'en cas de conflit direct concernant une même configuration, la stratégie de groupe prévaut . Cela implique une étroite collaboration entre les équipes de sécurité et les équipes systèmes afin d'éviter les chevauchements et les incidents en production.
Évaluation préliminaire : mode d’audit, avertissement et recommandations
La méthode la plus sûre pour intégrer la reconnaissance automatique des règles (ASR) à votre organisation consiste à suivre un processus d'évaluation par étapes . Microsoft recommande de commencer par exécuter toutes les règles possibles en mode Audit. Cela vous permet d'observer l'impact réel sur votre environnement avant de passer au mode Blocage ou Avertissement.
Dans Microsoft Defender Vulnerability Management, vous pouvez ouvrir la recommandation de sécurité associée à chaque règle et consulter l'impact estimé sur les utilisateurs. Découvrez le pourcentage d'appareils qui seraient affectés si vous activiez cette règle en mode blocage. Cette analyse vous aide à prioriser les actions et à identifier les règles susceptibles de perturber le plus les utilisateurs.
Grâce aux données d'audit collectées (que ce soit à partir du portail Defender XDR, de la recherche avancée ou de l'Observateur d'événements lui-même), vous pouvez identifier les applications métier qui déclenchent des événements ASR et décider si elles doivent être exclues par chemin, traitées comme une exception ponctuelle ou simplement non activées pour ce groupe spécifique d'appareils.
Le mode d'avertissement est particulièrement utile pour les organisations souhaitant renforcer la sécurité sans bloquer complètement l'accès des utilisateurs. Ces derniers reçoivent une notification lorsqu'une règle bloque une ressource, avec la possibilité de la débloquer temporairement. Ce comportement permet de mesurer la fréquence d'utilisation de cette option. Grâce à ces informations, il est possible d'ajuster les exclusions, de former les utilisateurs ou de définir des politiques permanentes.
Surveillance des événements et des alertes ASR
Une fois les règles ASR configurées, il est essentiel de disposer d'une visibilité sur leur fonctionnement : les éléments bloqués, les éléments audités, le nombre d'alertes générées et les appareils concernés. Defender pour Endpoint et Windows propose plusieurs solutions pour y parvenir.
Au niveau du portail, Microsoft Defender XDR vous permet de consulter les alertes, les notifications et les événements liés à la reconnaissance automatique des menaces (ASR) . De nombreuses règles génèrent des notifications système lorsqu'elles sont en mode Blocage. Certaines combinaisons de règles et d'états peuvent déclencher des alertes qui s'affichent dans la console, notamment lorsque le niveau de blocage dans le cloud est défini sur Élevé ou Élevé+.
La recherche avancée de Defender (langage de requête Kusto) est un autre outil essentiel . Par exemple, filtrer les événements de périphérique avec les types d'action commençant par « Asr » permet d'obtenir une vue claire de toutes les règles déclenchées, sur quels périphériques et dans quel mode. C'est ainsi que vous pouvez détecter les schémas d'abus, les tentatives répétées ou les erreurs de configuration potentielles.
Si vous ne disposez pas de licences avancées, vous pouvez utiliser l' Observateur d'événements Windows . Microsoft fournit des modèles XML (comme cfa-events.xml) permettant de créer des vues personnalisées pour les événements et les règles de réduction de la surface d'attaque. Parmi les événements courants, on trouve les événements 5007 (modifications de configuration), 1121 (événement déclenché en mode blocage) et 1122 (événement déclenché en mode audit).
Il est important de noter que c'est Defender for Endpoint, et non le système d'exploitation lui-même, qui génère le champ de version du moteur associé à ces événements de réduction de la surface d'attaque. Cela souligne l'importance d'une intégration Defender bien maintenue.
Grâce à tous ces éléments, les règles de réduction de la surface d'attaque sous Windows constituent un outil très puissant pour limiter le champ d'action des logiciels malveillants. En combinant une conception de stratégie efficace , un déploiement progressif en mode audit et alerte, des exclusions précises et une surveillance adéquate via Defender for Endpoint ou l'Observateur d'événements, vous pouvez renforcer considérablement la sécurité de vos systèmes Windows. Et ce, sans avoir recours à des solutions tierces.