Installer et configurer Microsoft Defender for Endpoint Plan 1

Cet article explique comment configurer Defender pour point de terminaison Plan 1. Que vous disposiez d’une assistance ou que vous le soyez vous-même, vous pouvez utiliser cet article comme guide tout au long de votre déploiement.

Processus d’installation et de configuration

Le processus d’installation et de configuration général de Defender pour point de terminaison Plan 1 est le suivant :

Consultez la configuration requise

Le tableau suivant répertorie les exigences de base pour Defender pour point de terminaison Plan 1 :

Planifier votre déploiement

Lorsque vous planifiez votre déploiement, vous pouvez choisir parmi plusieurs architectures et méthodes de déploiement différentes. Chaque organization étant unique, vous avez plusieurs options à prendre en compte, comme indiqué dans le tableau suivant :

Pour en savoir plus sur vos options de déploiement, consultez Planifier votre déploiement de Defender pour point de terminaison. Et téléchargez l’affiche suivante :

Obtenir l’affiche de déploiement

Configurer votre environnement de locataire

La configuration de votre environnement client comprend des tâches telles que :

• Vérification de vos licences
• Configuration de votre locataire
• Configuration de vos paramètres de proxy (uniquement si nécessaire)
• Vérifier que les capteurs fonctionnent correctement et signaler les données à Defender pour point de terminaison

Ces tâches sont incluses dans la phase d’installation de Defender pour point de terminaison. Consultez Configurer Defender pour point de terminaison.

Attribuer des rôles et des autorisations

Pour accéder au portail Microsoft Defender, configurer les paramètres de Defender pour point de terminaison ou effectuer des tâches, telles que l’exécution d’actions de réponse sur les menaces détectées, les autorisations appropriées doivent être affectées. Defender pour point de terminaison utilise des rôles intégrés dans Microsoft Entra ID.

Microsoft recommande d’attribuer aux utilisateurs uniquement le niveau d’autorisation dont ils ont besoin pour effectuer leurs tâches. Vous pouvez attribuer des autorisations à l’aide de la gestion des autorisations de base ou du contrôle d’accès en fonction du rôle (RBAC).

• Avec la gestion des autorisations de base, les administrateurs généraux et les administrateurs de sécurité disposent d’un accès complet, tandis que les lecteurs de sécurité disposent d’un accès en lecture seule.
• Avec RBAC, vous pouvez définir des autorisations plus granulaires via davantage de rôles. Par exemple, vous pouvez avoir des lecteurs de sécurité, des opérateurs de sécurité, des administrateurs de sécurité, des administrateurs de point de terminaison, etc.

Le tableau suivant décrit les rôles clés à prendre en compte pour Defender pour point de terminaison dans votre organization :

Intégration de Defender for Endpoint

Lorsque vous êtes prêt à intégrer les points de terminaison de votre organisation, vous pouvez choisir parmi les méthodes suivantes, comme indiqué dans le tableau suivant :

Ensuite, procédez à la configuration de vos fonctionnalités de protection et de réduction de la surface d’attaque de nouvelle génération.

Configurer la protection de nouvelle génération

Nous vous recommandons d’utiliser Intune pour gérer les appareils et les paramètres de sécurité de votre organization, comme illustré dans l’image suivante :

Pour configurer votre protection de nouvelle génération dans Intune, consultez Modifier les stratégies existantes (s’ouvre dans un nouvel onglet de la documentation Intune). Choisissez les options suivantes :

1. Définissez ou modifiez vos paramètres de configuration antivirus. Besoin d’aide ? Reportez-vous aux ressources suivantes :

   • Paramètres de la stratégie antivirus Windows 10 Microsoft Defender dans Microsoft Intune
   • Configurer les fonctionnalités de Microsoft Defender for Endpoint sur iOS

2. Lorsque vous avez terminé de spécifier vos paramètres, choisissez Vérifier + enregistrer.

Configurer vos fonctionnalités de réduction de la surface d’attaque

La réduction de la surface d’attaque consiste à réduire les emplacements et les façons dont votre organization est ouvert aux attaques. Defender for Endpoint Plan 1 comprend plusieurs fonctionnalités et capacités pour vous aider à réduire la surface d’attaque de vos points de terminaison. Ces fonctionnalités sont répertoriées dans le tableau suivant :

Règles de réduction de la surface d’attaque (ASR)

Les règles de réduction de la surface d’attaque (ASR) sont disponibles dans Microsoft Defender Antivirus sur les appareils Windows. Pour connaître les méthodes de déploiement disponibles, consultez Méthodes de déploiement et de configuration pour les règles ASR.

En règle générale, vous pouvez activer les règles de protection standard en mode Bloquer ou Avertir sans test. Vous devez tester d’autres règles ASR en mode Audit avant de les basculer vers le mode Bloquer ou Avertir . Pour plus d’informations, consultez le guide de déploiement des règles ASR.

Atténuation des rançongiciels

Vous bénéficiez d’une atténuation des rançongiciels par le biais d’un accès contrôlé aux dossiers, ce qui permet uniquement aux applications approuvées d’accéder aux dossiers protégés sur vos points de terminaison.

Pour configurer l’accès contrôlé aux dossiers dans Intune, consultez Configurer des règles asR et des exclusions dans Intune à l’aide de stratégies de sécurité de point de terminaison. Utilisez les paramètres Activer l’accès contrôlé aux dossiers, Dossiers protégés par l’accès contrôlé aux dossiers et Applications autorisées par l’accès contrôlé aux dossiers dans la stratégie.

Pour plus d’informations, consultez vue d’ensemble de l’accès contrôlé aux dossiers (CFA).

Contrôle des appareils

Vous pouvez configurer Defender pour point de terminaison pour bloquer ou autoriser les appareils et fichiers amovibles sur les appareils amovibles. Pour utiliser Intune pour configurer vos paramètres de contrôle d’appareil, consultez Créer une stratégie de sécurité de point de terminaison (s’ouvre dans un nouvel onglet de la documentation Intune). Lors de la création de la stratégie, utilisez les paramètres suivants :

• Plateforme : Windows 10 ou version ultérieure
• Type de profil : Modèles
• Nom du modèle Modèles d’administration
• Paramètres de configuration : tous les paramètres, puis tapez Removable dans la zone de recherche pour afficher tous les paramètres relatifs aux appareils amovibles. Sélectionnez un élément dans la liste, par exemple Toutes les classes de stockage amovible, Refuser tout accès, pour ouvrir son volet volant. Le menu volant de chaque paramètre explique ce qui se passe lorsqu’il est activé, désactivé ou non configuré. Sélectionnez un paramètre et choisissez OK.
• Balises d’étendue : + Sélectionner des balises d’étendue, puis sélectionnez les balises que vous souhaitez utiliser.
• Affectations : Ajouter tous les utilisateurs et + Ajouter tous les appareils.

Sous l’onglet Vérifier + créer , passez en revue les paramètres de votre stratégie, puis choisissez Créer. La stratégie s’applique à tous les points de terminaison qui ont été intégrés récemment à Defender for Endpoint.

Protection réseau

Grâce à la protection réseau, vous pouvez protéger vos organization contre les domaines dangereux susceptibles d’héberger des escroqueries par hameçonnage, des attaques et d’autres contenus malveillants sur Internet. Pour utiliser Intune pour activer la protection réseau, consultez Créer une stratégie de sécurité de point de terminaison (s’ouvre dans un nouvel onglet de la documentation Intune). Lors de la création de la stratégie, utilisez les paramètres suivants :

• Plateforme : Windows 10 et versions ultérieures
• Type de profil : Modèles
• Nom du modèle : Endpoint Protection
• Paramètres de configuration : Développez Microsoft Defender Exploit Guard, puis développez le filtrage réseau
  • Définissez Protection réseau sur Activer. (Vous pouvez également choisir Audit pour voir le fonctionnement de la protection réseau dans votre environnement dans un premier temps.)
• Affectations : Ajouter tous les utilisateurs et + Ajouter tous les appareils (vous pouvez également spécifier des groupes spécifiques d’utilisateurs ou d’appareils.)
• Règles d’applicabilité : configurer une règle. Le profil que vous configurez est appliqué uniquement aux appareils qui répondent aux critères combinés que vous spécifiez. Par exemple, vous pouvez choisir d’affecter la stratégie aux points de terminaison qui exécutent une certaine édition de système d’exploitation uniquement.

Sous l’onglet Vérifier + créer , passez en revue les paramètres de votre stratégie, puis choisissez Créer. La stratégie s’applique à tous les points de terminaison qui ont été récemment intégrés à Microsoft Defender pour point de terminaison.

Protection du Web

Avec la protection web, vous pouvez protéger les appareils de votre organization contre les menaces web et le contenu indésirable. Votre protection web inclut la protection contre les menaces web et le filtrage de contenu web. Configurez les deux ensembles de fonctionnalités. Nous vous recommandons d’utiliser Intune pour configurer vos paramètres de protection web.

Configurer la protection contre les menaces web

1. Accédez au centre d’administration Intune et connectez-vous.

2. Choisissez Sécurité des points de terminaison>Réduction de la surface d’attaque, puis choisissez + Créer une stratégie.

3. Sélectionnez une plateforme, par exemple Windows 10 et versions ultérieures, sélectionnez le profil de protection web, puis choisissez Créer.

4. Sous l’onglet Informations de base , spécifiez un nom et une description, puis choisissez Suivant.

5. Sous l’onglet Paramètres de configuration , développez Protection web, spécifiez les paramètres dans le tableau suivant, puis choisissez Suivant.
   
   

   Paramètre	Recommandation
   Activer la protection réseau	Réglez sur Activé. Empêche les utilisateurs de visiter des sites ou des domaines malveillants. Vous pouvez également définir la protection réseau sur Mode Audit pour voir comment elle fonctionne dans votre environnement. En mode audit, la protection réseau n’empêche pas les utilisateurs de visiter des sites ou des domaines, mais elle effectue le suivi des détections en tant qu’événements.
   Exiger SmartScreen pour une ancienne version de Microsoft Edge	Définissez sur Oui. Permet de protéger les utilisateurs contre les tentatives d’hameçonnage et les logiciels malveillants potentiels.
   Bloquer l’accès aux sites malveillants	Définissez sur Oui. Empêche les utilisateurs de contourner les avertissements concernant les sites potentiellement malveillants.
   Bloquer le téléchargement de fichiers non vérifiés	Définissez sur Oui. Empêche les utilisateurs de contourner les avertissements et de télécharger des fichiers non vérifiés.

6. Sous l’onglet Balises d’étendue, si votre organization utilise des balises d’étendue, choisissez + Sélectionner des balises d’étendue, puis sélectionnez les balises que vous souhaitez utiliser. Ensuite, choisissez Suivant.

7. Pour en savoir plus sur les balises d’étendue, consultez Utiliser le contrôle d’accès en fonction du rôle (RBAC) et les balises d’étendue pour l’informatique distribuée.

8. Sous l’onglet Affectations , spécifiez les utilisateurs et les appareils à recevoir la stratégie de protection web, puis choisissez Suivant.

9. Sous l’onglet Vérifier + créer , passez en revue vos paramètres de stratégie, puis choisissez Créer.

Configurer le filtrage de contenu web

1. Accédez au portail Microsoft Defender et connectez-vous.

2. Choisissez Paramètres>Points de terminaison.

3. Sous Règles, choisissez Filtrage de contenu web, puis + Ajouter une stratégie.

4. Dans le menu volant Ajouter une stratégie , sous l’onglet Général , spécifiez un nom pour votre stratégie, puis choisissez Suivant.

5. Dans catégories bloquées, sélectionnez une ou plusieurs catégories que vous souhaitez bloquer, puis choisissez Suivant.

6. Sous l’onglet Étendue , sélectionnez les groupes d’appareils auxquels vous souhaitez recevoir cette stratégie, puis choisissez Suivant.

7. Sous l’onglet Résumé , passez en revue vos paramètres de stratégie, puis choisissez Enregistrer.

Pare-feu réseau

Le pare-feu réseau permet de réduire le risque de menaces de sécurité réseau. Votre équipe de sécurité peut définir des règles qui déterminent le trafic autorisé à circuler vers ou depuis les appareils de votre organization. Nous vous recommandons d’utiliser Microsoft Intune pour configurer votre pare-feu réseau.

Pour configurer le pare-feu réseau à l’aide d’une stratégie de pare-feu de sécurité de point de terminaison Microsoft Intune, consultez Créer une stratégie de sécurité de point de terminaison (ouvre un nouvel onglet dans la documentation Intune). Lors de la création de la stratégie, utilisez les paramètres suivants :

• Type de stratégie : Pare-feu
• Plateforme : Windows
• Profil : Pare-feu Windows
• Paramètres de configuration : définissez chacun des paramètres suivants sur True (par défaut) :
  • Activer le pare-feu de réseau de domaine
  • Activer le pare-feu de réseau privé
  • Activer le pare-feu de réseau public

Pour plus d’informations sur les profils de pare-feu réseau disponibles dans Microsoft Intune, consultez Stratégie de pare-feu pour la sécurité des points de terminaison dans Intune.

Contrôle d’application

Windows Defender Application Control (WDAC) permet de protéger vos points de terminaison Windows en autorisant uniquement l’exécution d’applications et de processus approuvés. La plupart des organisations ont utilisé un déploiement par phases de WDAC. Autrement dit, la plupart des organisations ne déploient pas WDAC sur tous les points de terminaison Windows au début. En fait, selon que les points de terminaison Windows de votre organization sont entièrement gérés, gérés légèrement ou « Apportez votre propre appareil », vous pouvez déployer WDAC sur tout ou partie des points de terminaison.

Pour vous aider à planifier votre déploiement WDAC, consultez les ressources suivantes :

• Contrôle d’application pour Windows

• Décisions de conception de stratégie de contrôle d’application Windows Defender

• Déploiement de Windows Defender Application Control dans différents scénarios : types d’appareils

Étapes suivantes

Maintenant que vous avez terminé le processus d’installation et de configuration, l’étape suivante consiste à commencer à utiliser Defender pour point de terminaison.

• Prise en main de Defender pour Endpoint Plan 1