Stratégie antivirus pour la sécurité des points de terminaison dans Microsoft Intune

Sécurité Intune Endpoint Les stratégies d’antivirus aident les administrateurs de la sécurité à se concentrer sur la gestion du groupe discret de paramètres antivirus pour les appareils gérés.

La stratégie antivirus inclut plusieurs profils. Chaque profil contient uniquement les paramètres qui sont pertinents pour l’antivirus Microsoft Defender pour point de terminaison pour les appareils macOS et Windows, ou pour l’expérience utilisateur dans l’application de sécurité Windows sur les appareils Windows.

Recherchez les stratégies antivirus sous Gérer dans le nœud de sécurité Point de terminaison du Centre d’administration Microsoft Intune.

Les stratégies antivirus incluent les mêmes paramètres que ceux trouvés dans Endpoint Protection ou les modèles de restriction d’appareil pour la stratégie de configuration d’appareil . Toutefois, ces types de stratégie incluent d’autres catégories de paramètres qui ne sont pas liés à l’antivirus. Ces paramètres supplémentaires peuvent compliquer la tâche de configuration de la charge de travail de l’antivirus. En outre, les paramètres trouvés dans la stratégie antivirus pour macOS ne sont pas disponibles via les autres types de stratégie. Le profil Antivirus macOS remplace la nécessité de configurer les paramètres à l’aide .plist de fichiers.

S’applique à :

• Linux
• macOS
• Windows
• Windows Server (via le scénario de gestion des paramètres de sécurité de Microsoft Defender pour point de terminaison)

Conditions préalables pour la stratégie antivirus

Prise en charge des appareils inscrits à Intune (MDM) :

• MacOS

  • Toutes les versions de macOS prises en charge
  • Pour qu’Intune gère les paramètres antivirus sur un appareil, Defender pour point de terminaison doit être installé sur cet appareil. Consultez Microsoft Defender pour point de terminaison pour macOS (dans la documentation Defender pour point de terminaison).

• Windows

  • Aucune condition préalable supplémentaire n’est requise.

Support pour les clients Microsoft Configuration Manager :

Ce scénario est en préversion et nécessite l’utilisation de la version 2006 ou ultérieure de la branche actuelle du Configuration Manager.

• Configurer l’attachement client pour les appareils Configuration Manager : pour prendre en charge le déploiement de stratégie antivirus sur les appareils gérés par Configuration Manager, configurez l’attachement client. La configuration de l’attachement de locataire inclut la configuration des regroupements d’appareils du Configuration Manager pour prendre en charge les stratégies de sécurité des points de terminaison à partir d’Intune.

  Pour configurer l’attachement de client, consultez Configurer l’attachement de locataire pour prendre en charge les stratégies de protection des points de terminaison.

Support pour les clients Defender pour point de terminaison :

• Gestion des paramètres de sécurité Defender pour point de terminaison : pour configurer la prise en charge du déploiement de la stratégie antivirus sur les appareils gérés par Defender pour point de terminaison, mais non inscrits auprès d’Intune, consultez Gérer Microsoft Defender pour point de terminaison sur les appareils avec Microsoft Intune. Cet article inclut également des informations sur les plateformes prises en charge par cette fonctionnalité, ainsi que les stratégies et profils pris en charge par ces plateformes.

Contrôle d’accès en fonction du rôle

Pour obtenir des instructions sur l’attribution du niveau approprié d’autorisations et de droits pour gérer Intune stratégie antivirus, consultez Contrôle d’accès en fonction du rôle pour la sécurité des points de terminaison.

Conditions préalables à la protection contre les falsifications

Intune prend en charge la gestion de la protection contre les falsifications sur les appareils qui exécutent l’un des systèmes d’exploitation suivants :

• macOS (toutes les versions prises en charge)
• Windows 10 et 11 (y compris Multi-session Entreprise)
• Windows Server 2016 et versions ultérieures
• Windows Server, version 1803 ou ultérieure
• Windows Server 2012 R2 (à l’aide de la solution unifiée moderne)

Defender pour point de terminaison prend en charge la protection contre les falsifications sur des plateformes supplémentaires au-delà de celles gérables par la stratégie Intune. Pour la liste complète, voir Conditions préalables pour la protection contre les falsifications.

Pour plus d’informations sur le comportement de protection contre les falsifications, notamment les paramètres protégés et les options de résolution des problèmes, consultez Qu’est-ce que la protection contre les falsifications ? dans la documentation de Defender pour point de terminaison.

Vous pouvez utiliser Intune pour gérer la protection contre les falsifications sur les appareils Windows dans le cadre du profil d’expérience de sécurité Windows (une stratégie antivirus). Cela inclut à la fois les appareils que vous gérez avec Intune et les appareils que vous gérez avec Configuration Manager via le scénario d’attachement de client. La protection contre les falsifications est également disponible pour Azure Virtual Desktop.

Intune appareils gérés

Conditions préalables à la prise en charge de la protection contre les falsifications pour les appareils gérés par Intune :

• Votre environnement doit respecter la configuration requise pour la gestion de la protection contre les falsifications dans Intune
• Les appareils sont intégrés à Microsoft Defender pour point de terminaison (P1 ou P2)

Profils pour la stratégie antivirus qui prend en charge la protection contre les falsifications pour les appareils gérés par Microsoft Intune :

• Plateforme : Windows

  • Profil : expérience de sécurité Windows

  Remarque

  Le 5 avril 2022, la plateforme Windows 10 et versions ultérieures a été remplacée par la plateforme Windows.

  La plateforme Windows prend en charge les appareils communiquant avec Intune via Microsoft Intune ou Microsoft Defender pour point de terminaison. Ces profils ajoutent également la prise en charge de la plateforme Windows Server, qui n’est pas prise en charge par Microsoft Intune en mode natif.

  Les profils de cette nouvelle plateforme utilisent le format de paramètres tel que trouvé dans le catalogue de paramètres. Chaque nouveau modèle de profil pour cette nouvelle plateforme inclut les mêmes paramètres que l’ancien modèle de profil qu’il remplace. Avec cette modification, vous ne pouvez plus créer de nouvelles versions des anciens profils. Vos instances existantes de l’ancien profil restent disponibles pour être utilisées et modifiées.

Vous pouvez également utiliser le profil de protection de point de terminaison pour la stratégie de configuration de l’appareil pour configurer la protection contre les falsifications pour les appareils gérés par Intune.

Clients Configuration Manager gérés via le scénario d’attachement de locataire

Conditions préalables à la prise en charge de la gestion de la protection contre les falsifications avec ces profils :

• Votre environnement doit respecter la configuration requise pour la gestion de la protection contre les falsifications dans Intune, comme indiqué dans la documentation de Defender pour point de terminaison.
• Vous devez utiliser Configuration Manager Current Branch 2006 ou version ultérieure.
• Vous devez configurer l’attachement client pour prendre en charge les stratégies de protection des points de terminaison. Cela inclut la configuration des regroupements d’appareils Configuration Manager pour la synchronisation avec Intune.
• Les appareils sont intégrés à Microsoft Defender pour point de terminaison (P1 ou P2)

Profils pour la stratégie antivirus qui prend en charge la protection contre les falsifications pour les appareils gérés par Configuration Manager :

• Plateforme : Windows (ConfigMgr)
  • Profil : expérience de sécurité Windows (préversion)

Configuration contrôlée des paramètres de Microsoft Defender (préversion)

La configuration contrôlée étend la protection contre les falsifications en faisant de Microsoft Intune la source unique faisant autorité pour les paramètres de sécurité de Microsoft Defender sur un appareil. Alors que la protection contre les falsifications verrouille certains paramètres de sécurité à leurs valeurs par défaut, la configuration contrôlée va plus loin en verrouillant tous les paramètres applicables aux valeurs configurées dans Intune. Les paramètres non configurés rétablissent leurs valeurs par défaut de plateforme sécurisée.

Les organisations qui déploient Microsoft Defender pour point de terminaison peuvent faire face à des états d’appareil indéterminés lorsque plusieurs canaux de gestion, notamment la stratégie de groupe, le Configuration Manager, les outils tiers et les scripts administrateur locaux, remplacent les canaux fournis dans le cloud paramètres de sauvegarde automatisée. Ces conflits rendent les configurations Defender imprévisibles et difficiles à résoudre.

La configuration contrôlée établit un ordre de priorité clair de l’autorité. Lorsque la configuration contrôlée est activée sur un appareil, les paramètres fournis par Intune ou la gestion des paramètres de sécurité de Microsoft Defender pour point de terminaison sont prioritaires. Les paramètres de tous les autres canaux, y compris la stratégie de groupe, le Configuration Manager et les modifications locales, sont remplacés. D’autres canaux peuvent toujours fournir les paramètres, mais les valeurs configurées par Intune sont toujours prioritaires.

Cette fonctionnalité est utile dans deux scénarios courants :

• Déploiements de preuve de concept : les organisations peuvent rapidement déployer et valider leur configuration Defender sans avoir besoin au préalable d’identifier et de corriger les conflits d’objets de stratégie de groupe ou d’outils tiers hérités.
• Gestion en régime permanent : les administrateurs peuvent maintenir des configurations Defender déterministes et auditables sans avoir à surveiller ou à contrôler tous les autres canaux de gestion.

Activer la configuration contrôlée

La configuration contrôlée est disponible en tant que paramètre dédié dans le profil d’expérience de Sécurité Windows pour la stratégie antivirus. Sous la section Defender , le paramètre Configuration contrôlée (appareil) prend en charge les valeurs suivantes :

Pour activer la configuration contrôlée, créez ou modifiez une stratégie antivirus qui utilise le profil d’expérience de sécurité Windows. Définissez Configuration contrôlée (appareil) sur Configuration contrôlée (activé), puis déployez la stratégie sur les appareils que vous souhaitez protéger.

• CSP : Configuration du fournisseur > de services de configuration Defender/TamperProtection

Portée et limitations

Pendant la préversion, la configuration contrôlée applique les paramètres configurés via les modèles de stratégie de sécurité de point de terminaison suivants :

• Antivirus
• Réduction de la surface d’attaque

Lorsqu’un appareil est dans l’état de configuration contrôlé, les paramètres Defender fournis par le biais de ces modèles font autorité. Les paramètres des mêmes composants Defender qui sont distribués par d’autres canaux sont remplacés.

Les paramètres qui ne sont pas explicitement configurés dans une configuration contrôlée retrouvent leurs valeurs par défaut. Les utilisateurs locaux peuvent toujours modifier ces paramètres, car la configuration contrôlée verrouille uniquement les paramètres définis par sa stratégie.

La configuration contrôlée ne s’applique pas à :

• Stratégie de détection et de réponse de point de terminaison (EDR).
• Paramètres du pare-feu
• Stratégies créées en dehors de l’expérience Endpoint Security, telles que les stratégies du catalogue des paramètres
• Types de stratégie de sécurité de point de terminaison non utilisés par les composants Defender, tels que la protection de compte

Rapports avec configuration contrôlée

Lorsqu’un appareil est dans l’état de configuration contrôlé, le comportement de création de rapports pour cet appareil change :

• Pour les stratégies configurées via un modèle prenant en charge la configuration contrôlée (antivirus, ASR), les rapports de status par paramètre reflètent la configuration appliquée comme prévu.
• Pour les stratégies de configuration non contrôlées, telles que les stratégies du catalogue de paramètres, qui contiennent des paramètres qui chevauchent une stratégie de configuration contrôlée, les paramètres superposés sont signalés comme Non applicable sur cet appareil. La stratégie de configuration contrôlée est prioritaire pour ces paramètres, quelle que soit la valeur configurée dans l’autre stratégie.
• Dans les rapports Points de terminaison non sains (Endpoint Security,>Antivirus>Endpoints Unhealthy) et Agent antivirus status (Rapports>,Antivirus>Agent antivirus status), la colonne Protection contre les falsifications est renommée Configuration contrôlée. Les valeurs indiquent si la configuration contrôlée est activée ou désactivée pour les appareils inscrits à la gestion des périphériques mobiles. Les appareils inscrits à Defender ne sont pas inclus dans ces rapports.
• Lorsqu’un appareil reçoit des stratégies de Intune en conflit (l’une activant la configuration contrôlée et l’autre désactivant ou activant la protection contre les falsifications), la stratégie de configuration contrôlée est prioritaire.

Pour plus d’informations sur la protection contre les falsifications et sur la façon dont la configuration contrôlée l’étend, consultez Protéger les paramètres de sécurité avec la protection contre les falsifications.

Profils antivirus

Trouvez des conseils sur la création de profils de sécurité de point de terminaison sur Créer une stratégie de sécurité de point de terminaison.

Appareils gérés par Microsoft Intune

Les profils suivants sont pris en charge pour les appareils que vous gérez avec Intune :

Linux

• Plateforme : Linux

  • Profil : Antivirus Microsoft Defender - Gérer les paramètres de l’antivirus sur les appareils Linux.
  • Profil : exclusions de l’antivirus Microsoft Defender - Gérez les paramètres de l’antivirus Microsoft Defender qui définissent des exclusions pour les chemins d’accès, les extensions et les processus.

  Les exclusions antivirus sont également gérées par Microsoft Defender stratégie Antivirus, qui inclut des paramètres identiques pour les exclusions, et par d’autres stratégies telles que le profil de détection et de réponse de point de terminaison de Intune pour Microsoft Defender exclusions globales (AV+EDR) pour Linux, qui inclut les exclusions EDR et Antivirus. Les paramètres provenant de plusieurs sources font l’objet d’une fusion de stratégies et créent un super ensemble d’exclusions pour les appareils et utilisateurs applicables.

  Importante

  Le profil Microsoft Defender Global Exclusions (AV+EDR) est pris en charge uniquement pour les appareils Linux gérés par Defender via le scénario de gestion des paramètres de sécurité de Microsoft Defender pour point de terminaison.

  Pour plus d’informations sur les exclusions Linux, voir Configurer et valider les exclusions pour Microsoft Defender pour point de terminaison sur Linux dans la documentation de Microsoft Defender.

macOS

• Plateforme : macOS

  • Profil : Antivirus - Gérerles paramètres de stratégie Antivirus pour macOS.

    Lorsque vous utilisez Microsoft Defender pour point de terminaison pour Mac, vous pouvez configurer et déployer des paramètres d’antivirus sur vos appareils macOS gérés via Intune au lieu de configurer ces paramètres à l’aide de .plist fichiers.

Windows

• Plateforme : Windows
  Les profils de cette plateforme peuvent être utilisés avec les appareils inscrits auprès d’Intune et les appareils gérés via la Gestion de la sécurité pour Microsoft Defender pour point de terminaison.

  Remarque

  Le 5 avril 2022, la plateforme Windows 10 et versions ultérieures a été remplacée par la plateforme Windows.

  La plateforme Windows prend en charge les appareils communiquant avec Intune via Microsoft Intune ou Microsoft Defender pour point de terminaison. Ces profils ajoutent également la prise en charge de la plateforme Windows Server, qui n’est pas prise en charge par Microsoft Intune en mode natif.

  Les profils de cette nouvelle plateforme utilisent le format de paramètres tel que trouvé dans le catalogue de paramètres. Chaque nouveau modèle de profil pour cette nouvelle plateforme inclut les mêmes paramètres que l’ancien modèle de profil qu’il remplace. Avec cette modification, vous ne pouvez plus créer de nouvelles versions des anciens profils. Vos instances existantes de l’ancien profil restent disponibles pour être utilisées et modifiées.

  • Profil : Antivirus - Microsoft Defendergère les paramètres de stratégie de l’antivirus pour les appareils Windows.

    L’Antivirus Defender Antivirus est le composant de protection nouvelle génération de Microsoft Defender pour point de terminaison. La protection de nouvelle génération regroupe des technologies telles que le Machine Learning et l’infrastructure cloud pour protéger les appareils de votre organisation d’entreprise.

    Le profil antivirus Microsoft Defender est un instance distinct des paramètres antivirus qui se trouvent dans le profil de restriction d’appareil pour la stratégie de configuration d’appareil.

    Contrairement aux paramètres antivirus d’un profil de restriction d’appareil, vous pouvez utiliser ces paramètres avec des appareils cogérés. Pour utiliser ces paramètres, le curseur de charge de travail de cogestion pour Endpoint Protection doit être défini sur Intune.

  • Profil : exclusions de l’antivirus Microsoft DefenderGérez les paramètres de stratégie pour l’exclusion - de l’antivirus uniquement.

    Grâce à cette stratégie, vous pouvez gérer les paramètres des fournisseurs de services de configuration de l’antivirus Microsoft Microsoft Defender suivants qui définissent des exclusions antivirus :

    • Defender/ExcludedPaths
    • Defender/ExcludedExtensions
    • Defender/ExcludedProcesses

    Ces fournisseurs CSP pour l’exclusion antivirus sont également gérés par la stratégie Antivirus Microsoft Defender, qui inclut des paramètres identiques pour les exclusions. Les paramètres des deux types de stratégie (exclusions antivirus et antivirus) font l’objet d’une fusion de stratégies et créent un super ensemble d’exclusions pour les appareils et utilisateurs applicables.

    Avertissement

    La définition d’exclusions réduit la protection offerte par Antivirus Microsoft Defender. Évaluez toujours les risques associés à la mise en œuvre des exclusions. N’excluez que les fichiers dont vous savez qu’ils ne sont pas malveillants.

    Pour plus d’informations, voir Vue d’ensemble des exclusions dans la documentation de Microsoft Defender.

  • Profil : expérience de sécurité Windows : gérez les paramètres de l’application de sécurité Windows que les utilisateurs finaux peuvent afficher dans le Centre de sécurité Microsoft Defender et les notifications qu’ils reçoivent.

    L’application Sécurité Windows est utilisée par de nombreuses fonctionnalités de sécurité Windows pour fournir des notifications concernant l’intégrité et la sécurité de la machine. Les notifications des applications de sécurité incluent les pare-feu, les produits antivirus, Windows Defender SmartScreen et autres.

  • Profil : contrôles Defender Update : gérez les paramètres de mise à jour pour Microsoft Defender, y compris les paramètres suivants qui sont pris directement à partir du CSP Defender :

    • Canal des mises à jour du moteur
    • Canal des mises à jour de plateforme
    • Canal des mises à jour de veille de sécurité

Appareils gérés par Configuration Manager

Antivirus

Gérer les paramètres de l’antivirus pour les appareils Configuration Manager lorsque vous utilisez l’attachement client.

Chemin d’accès de la stratégie :

• Antivirus > de sécurité des > terminaux Windows (ConfigMgr)

Profils :

• Antivirus Microsoft Defender (préversion)
• Expérience de sécurité Windows (préversion)

Version requise de Configuration Manager :

• Configuration Manager branche actuelle version 2006 ou ultérieure

Plateformes d’appareils Configuration Manager prises en charge :

• Windows 8.1 (x86, x64), à partir du Configuration Manager version 2010
• Windows
• Windows Server 2012 R2 (x64), à partir du Configuration Manager version 2010
• Windows Server 2016 et versions ultérieures (x64)

Fusion de stratégies pour les paramètres

Certains paramètres de stratégie Antivirus prennent en charge la fusion de stratégies. La fusion de stratégies permet d’éviter les conflits lorsque plusieurs stratégies s’appliquent aux mêmes appareils et configurent le même paramètre. Intune évalue les paramètres pris en charge par la fusion de stratégies, pour chaque utilisateur ou appareil, tels qu’ils sont pris à partir de toutes les stratégies applicables. Ces paramètres sont ensuite fusionnés dans un seul sur-ensemble de stratégies.

Par exemple, vous créez trois stratégies antivirus distinctes qui définissent des exclusions de chemin d’accès de fichier antivirus différentes. Finalement, les trois stratégies sont affectées au même utilisateur. Étant donné que le fournisseur CSP d’exclusion de chemin d’accès de fichier Microsoft Defender prend en charge la fusion de stratégies, Intune évalue et combine les exclusions de fichiers de toutes les stratégies applicables pour l’utilisateur. Les exclusions sont ajoutées à un sur-ensemble et la liste unique d’exclusions est envoyée à l’appareil des utilisateurs.

Lorsque la fusion de stratégies n’est pas prise en charge pour un paramètre, un conflit peut se produire. En cas de conflit, l’utilisateur ou l’appareil peut ne recevoir aucune stratégie pour le paramètre. Par exemple, la fusion de stratégies ne prend pas en charge le CSP pour empêcher l’installation des ID d’appareil correspondants (PreventInstallationOfMatchingDeviceIDs). Les configurations de ce fournisseur de solutions Cloud ne fusionnent pas et sont traitées séparément.

Lorsqu’ils sont traités séparément, les conflits de stratégie sont résolus comme suit :

1. La stratégie la plus sécurisée s’applique.
2. Si deux stratégies sont également sécurisées, la dernière stratégie modifiée s’applique.
3. Si la dernière stratégie modifiée ne peut pas résoudre le conflit, aucune stratégie n’est remise à l’appareil.

Paramètres et CSP qui prennent en charge la fusion de stratégies

Les paramètres suivants prennent en charge la fusion des stratégies :

• Processus exclus - CSP : Defender/ExcludedProcesses
• Extensions exclues - CSP : Defender/ExcludedExtensions
• Chemins d’accès exclus - CSP : Defender/ExcludedPaths

Rapports de stratégie antivirus

Les rapports de stratégie antivirus affichent des détails status sur la sécurité de votre point de terminaison Stratégies antivirus et status appareils. Ces rapports sont disponibles dans le nœud de sécurité Point de terminaison du Centre d’administration Microsoft Intune.

Pour afficher les rapports, dans le Centre d’administration Microsoft Intune, accédez à la sécurité des terminaux et sélectionnez Antivirus. La sélection de l’option Antivirus ouvre la page Résumé. Des affichages de rapports et de status supplémentaires sont disponibles sous forme de pages supplémentaires.

Outre les rapports détaillés dans les sections suivantes, des rapports supplémentaires pour l’antivirus Microsoft Defender se trouvent dans le nœud Rapports du Centre d’administration Microsoft Intune, comme indiqué dans l’article Rapports Intune :

• Rapport d'état de l'agent antivirus (organisationnel)
• Rapport sur les programmes malveillants détectés (organisationnel)

Résumé

Dans la page Résumé , vous pouvez créer de nouvelles stratégies et afficher une liste des stratégies créées précédemment. La liste inclut des détails généraux sur le profil inclus par la stratégie (type de stratégie) et si la stratégie est affectée.

Lorsque vous sélectionnez une stratégie dans la liste, la page Vue d’ensemble de cette instance de stratégie s’ouvre et affiche plus d’informations. Une fois la vignette sélectionnée dans cet affichage, Intune affiche des détails supplémentaires pour ce profil s’ils sont disponibles.

Points de terminaison non sains

Dans la page Points de terminaison non sains, vous pouvez afficher des informations sur le status de l’antivirus de vos appareils Windows gérés par la gestion des périphériques mobiles. Ces informations sont renvoyées par l’Antivirus Windows Defender Antivirus qui s’exécute sur l’appareil, en tant que status d’agent de menace. Dans cette page, sélectionnez Colonnes pour afficher la liste complète des détails disponibles dans le rapport.

Seuls les appareils avec des problèmes détectés apparaissent dans cette vue. Cette vue n’affiche pas les détails pour les appareils identifiés comme propres.

Les informations de ce rapport sont basées sur les détails disponibles auprès des CSP suivants, qui sont documentés dans la documentation sur la gestion des clients Windows :

• Défenseur CSP
• WindowsAdvancedThreatProtection CS.

Étapes suivantes

Configurer des stratégies de sécurité de point de terminaison

Affichez les détails des paramètres Windows dans les profils déconseillés pour la plateforme déconseillée Windows 10 et versions ultérieures :

• Paramètres de stratégie antivirus
• Exclusions antivirus
• Paramètres de l’application de sécurité Windows