Comment fonctionne la nouvelle protection contre les exploits de Windows Defender (et comment la configurer)

La mise à jour de Fall Creators de Microsoft ajoute enfin une protection intégrée contre les attaques contre Windows. Vous deviez auparavant rechercher cela sous la forme de l'outil EMET de Microsoft. Il fait maintenant partie de Windows Defender et est activé par défaut.

Fonctionnement de la protection contre les exploits de Windows Defender

Nous recommandons depuis longtemps d’utiliser un logiciel anti-exploitation tel que le kit EMET (Enhanced Mitigation Experience Toolkit) de Microsoft ou le plus convivial, Malwarebytes Anti-Malware, qui contient une puissante fonction anti-exploitation (entre autres). EMET de Microsoft est largement utilisé sur les grands réseaux où il peut être configuré par les administrateurs système, mais il n'a jamais été installé par défaut, nécessite une configuration et présente une interface déroutante pour les utilisateurs moyens..

Les programmes antivirus typiques, tels que Windows Defender lui-même, utilisent des définitions de virus et des méthodes heuristiques pour détecter les programmes dangereux avant qu'ils ne puissent s'exécuter sur votre système. Les outils anti-exploitation empêchent en réalité de nombreuses techniques d’attaque populaires de fonctionner, de sorte que ces programmes dangereux n’entrent pas sur votre système. Ils activent certaines protections du système d'exploitation et bloquent les techniques d'exploitation de la mémoire commune. Ainsi, si un comportement semblable à un exploit est détecté, ils mettront fin au processus avant que tout incident grave ne se produise. En d'autres termes, ils peuvent se protéger contre de nombreuses attaques «zero day» avant d'être corrigés.

Cependant, ils pourraient potentiellement causer des problèmes de compatibilité et il pourrait être nécessaire de modifier leurs paramètres pour différents programmes. C'est pourquoi EMET était généralement utilisé sur les réseaux d'entreprise, où les administrateurs système pouvaient modifier les paramètres, et non sur les ordinateurs domestiques..

Windows Defender inclut maintenant bon nombre de ces mêmes protections, qui ont été initialement trouvées dans EMET de Microsoft. Ils sont activés par défaut pour tout le monde et font partie du système d'exploitation. Windows Defender configure automatiquement les règles appropriées pour différents processus s'exécutant sur votre système. (Malwarebytes affirme toujours que sa fonction anti-exploitation est supérieure et nous recommandons néanmoins d'utiliser Malwarebytes, mais il est bon que Windows Defender intègre également une partie de cette fonctionnalité.)

Cette fonctionnalité est automatiquement activée si vous avez effectué une mise à niveau vers la mise à jour de Fall Creators de Windows 10 et que EMET n'est plus pris en charge. EMET ne peut même pas être installé sur des PC exécutant la mise à jour de Fall Creators. Si vous avez déjà installé EMET, il sera supprimé par la mise à jour..

La mise à jour des créateurs d’automne de Windows 10 comprend également une fonctionnalité de sécurité associée appelée Accès contrôlé aux dossiers. Il est conçu pour arrêter les logiciels malveillants en permettant uniquement aux programmes sécurisés de modifier les fichiers de vos dossiers de données personnels, tels que Documents et Images. Les deux fonctionnalités font partie de «Windows Defender Exploit Guard». Cependant, l'accès aux dossiers contrôlés n'est pas activé par défaut.

Comment confirmer que la protection contre les exploits est activée

Cette fonctionnalité est automatiquement activée pour tous les ordinateurs Windows 10. Cependant, il peut également être basculé en «mode audit», permettant ainsi aux administrateurs système de contrôler un journal de ce qu'aurait fait Protection contre les exploits pour s'assurer que cela ne poserait aucun problème avant de l'activer sur des PC critiques..

Pour confirmer que cette fonctionnalité est activée, vous pouvez ouvrir Windows Defender Security Center. Ouvrez votre menu Démarrer, recherchez Windows Defender et cliquez sur le raccourci Windows Defender Security Center..

Cliquez sur l'icône «Contrôle de l'application et du navigateur» en forme de fenêtre dans la barre latérale. Faites défiler la liste et vous verrez la section «Protection contre les exploits». Il vous informera que cette fonctionnalité est activée.

Si vous ne voyez pas cette section, votre ordinateur n’a probablement pas encore mis à jour la mise à jour de Fall Creators..

Comment configurer la protection contre les exploits de Windows Defender

Attention: Vous ne voulez probablement pas configurer cette fonctionnalité. Windows Defender offre de nombreuses options techniques que vous pouvez ajuster, et la plupart des gens ne savent pas ce qu’ils font ici. Cette fonctionnalité est configurée avec des paramètres par défaut intelligents qui éviteront de causer des problèmes, et Microsoft peut mettre à jour ses règles au fil du temps. Les options proposées ici semblent principalement conçues pour aider les administrateurs système à développer des règles pour les logiciels et à les déployer sur un réseau d'entreprise..

Si vous souhaitez configurer la protection contre les exploits, allez dans Windows Defender Security Center> Contrôle de l'application et du navigateur, faites défiler vers le bas, puis cliquez sur "Paramètres de protection contre les abus" dans la rubrique Protection contre les abus..

Vous verrez deux onglets ici: Paramètres système et Paramètres du programme. Les paramètres système contrôlent les paramètres par défaut utilisés pour toutes les applications, tandis que les paramètres de programme contrôlent les paramètres individuels utilisés pour différents programmes. En d'autres termes, les paramètres du programme peuvent remplacer les paramètres du système pour des programmes individuels. Ils pourraient être plus restrictifs ou moins restrictifs.

Au bas de l'écran, vous pouvez cliquer sur «Exporter les paramètres» pour exporter vos paramètres sous forme de fichier .xml que vous pouvez importer sur d'autres systèmes. La documentation officielle de Microsoft offre plus d'informations sur le déploiement de règles avec la stratégie de groupe et PowerShell.

Dans l'onglet Paramètres système, vous verrez les options suivantes: Contrôle du flux de contrôle (CFG), Prévention de l'exécution des données (DEP), Forçage aléatoire pour les images (ASLR obligatoire), Allocations de mémoire aléatoires (ASLR de bas en haut), Validation des chaînes d'exceptions (SEHOP), et validez l’intégrité du tas. Ils sont tous activés par défaut, à l'exception de l'option Forcer la randomisation des images (ASLR obligatoire). Cela est probablement dû au fait que ASLR obligatoire provoque des problèmes avec certains programmes. Vous pouvez donc rencontrer des problèmes de compatibilité si vous l'activez, en fonction des programmes que vous exécutez..

Encore une fois, vous ne devriez vraiment pas toucher à ces options à moins de savoir ce que vous faites. Les valeurs par défaut sont raisonnables et sont choisies pour une raison.

L'interface fournit un très bref résumé de ce que chaque option fait, mais vous devrez faire des recherches si vous voulez en savoir plus. Nous avons déjà expliqué ce que DEP et ASLR font ici.

Cliquez sur l'onglet "Paramètres du programme" pour afficher une liste des différents programmes avec des paramètres personnalisés. Les options ici permettent de remplacer les paramètres généraux du système. Par exemple, si vous sélectionnez «iexplore.exe» dans la liste et cliquez sur «Modifier», vous verrez que la règle ici active de manière forcée l'ASLR obligatoire pour le processus Internet Explorer, même s'il n'est pas activé par défaut pour l'ensemble du système..

Vous ne devez pas altérer ces règles intégrées pour des processus tels que runtimebroker.exe et spoolsv.exe. Microsoft les a ajoutés pour une raison.

Vous pouvez ajouter des règles personnalisées pour des programmes individuels en cliquant sur "Ajouter un programme à personnaliser". Vous pouvez soit “Ajouter par nom de programme” ou “Choisir le chemin exact du fichier”, mais spécifier un chemin exact est beaucoup plus précis.

Une fois ajouté, vous pouvez trouver une longue liste de paramètres qui ne seront pas significatifs pour la plupart des gens. La liste complète des paramètres disponibles ici est la suivante: Protection du code arbitraire (ACG), Bloquer les images à faible intégrité, Bloquer les images distantes, Bloquer les polices non fiables, Protection de l'intégrité du code, Protection du flux de contrôle (CFG), Prévention de l'exécution des données, Désactivation des points d'extension , Désactiver les appels système Win32k, Ne pas autoriser les processus enfants, Filtrage d’adresses d’exportation (EAF), Forçage aléatoire des images (ASLR obligatoire), Importation du filtrage d’adresses (IAF), Allocations de mémoire aléatoires (ASLR ascendant), Simulation d’exécution (SimExec) , Valider l'appel de l'API (CallerCheck), valider les chaînes d'exceptions (SEHOP), valider l'utilisation du descripteur, valider l'intégrité du tas, valider l'intégrité de la dépendance des images et valider l'intégrité de la pile (StackPivot).

Encore une fois, vous ne devriez pas toucher à ces options, sauf si vous êtes un administrateur système qui souhaite verrouiller une application et vous savez vraiment ce que vous faites..

En guise de test, nous avons activé toutes les options pour iexplore.exe et essayé de le lancer. Internet Explorer vient d'afficher un message d'erreur et refuse de se lancer. Nous n'avons même pas vu de notification Windows Defender expliquant qu'Internet Explorer ne fonctionnait pas à cause de nos paramètres..

Ne tentez pas aveuglément de restreindre les applications, sinon vous causerez des problèmes similaires sur votre système. Ils seront difficiles à résoudre si vous ne vous souvenez pas que vous avez également changé les options..

Si vous utilisez toujours une ancienne version de Windows, telle que Windows 7, vous pouvez obtenir des fonctionnalités de protection contre les attaques en installant Microsoft EMET ou Malwarebytes. Toutefois, la prise en charge d'EMET cessera le 31 juillet 2018, car Microsoft souhaite pousser les entreprises vers Windows 10 et la protection contre les attaques contre Windows Defender..