Règles ASR : GUID et déploiement sans risque

Les règles de réduction de la surface d'attaque (ASR) sont des blocages comportementaux intégrés à Microsoft Defender Antivirus. Au lieu de reconnaître un fichier malveillant, elles bloquent un comportement dont le malware a besoin et que les logiciels légitimes adoptent rarement : Word qui lance PowerShell, un script qui exécute un exécutable fraîchement téléchargé, un processus inconnu qui lit la mémoire de LSASS. Comme elles ne dépendent pas de signatures, elles arrêtent les nouveaux malwares aussi bien que les anciens.

Elles sont en outre gratuites avec Windows, configurables par stratégie de groupe et disposent d'un mode audit. La principale raison pour laquelle elles ne sont pas activées partout est la crainte de casser une application métier. Ce guide fournit la liste complète des règles et un déploiement qui maîtrise ce risque.

Prérequis

• Microsoft Defender Antivirus comme antivirus principal, avec la protection en temps réel activée (pas en mode passif).
• La protection cloud activée, car certaines règles en dépendent (notamment la règle de prévalence).
• Windows 10 / Windows Server 2019 ou ultérieur pour l'ensemble complet ; quelques règles ont une prise en charge plus restreinte (la règle webshell concerne les serveurs).

Les règles

Microsoft ajoute régulièrement des règles ; les deux plus récentes sont les règles mode sans échec et outils système copiés, en fin de tableau. Maintenez votre plateforme Defender à jour (Microsoft exige qu'elle n'ait pas plus de deux versions de retard pour ASR) et consultez la référence des règles ASR lorsque de nouvelles règles apparaissent.

Chaque règle prend l'un de ces états : 0 Disabled, 1 Block, 2 Audit, 5 Not configured, 6 Warn. Warn permet à l'utilisateur de passer outre un blocage pendant 24 heures, ce qui est utile pour les règles les plus bruyantes sur les postes de travail. Ce mode n'est pas pris en charge par les règles LSASS et injection de code Office, ni via Configuration Manager.

Déploiement

1. Protection standard directement en blocage

Les trois règles de protection standard entrent rarement en collision avec des logiciels légitimes. Passez-les en mode blocage partout, à une exception près : sur les appareils gérés par Configuration Manager, dont le client s'appuie fortement sur WMI, Microsoft demande de tester d'abord la règle de persistance WMI en mode audit.

$std = "56a863a9-875e-4185-98a7-b882c64b5ce5",
       "9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2",
       "e6db77e5-3df2-4cf1-b95a-636979351e5b"
Add-MpPreference -AttackSurfaceReductionRules_Ids $std `
  -AttackSurfaceReductionRules_Actions Enabled,Enabled,Enabled

2. Tout le reste en audit pendant deux à quatre semaines

Par stratégie de groupe : Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Attack Surface Reduction > Configure Attack Surface Reduction rules. Activez-la et ajoutez une ligne par règle, le GUID dans Value name et l'état dans Value. Dans Intune, utilisez un profil Attack surface reduction rules sous Endpoint security. Pour un laboratoire :

Add-MpPreference -AttackSurfaceReductionRules_Ids d4f940ab-401b-4efc-aadc-ad5f3c50688a `
  -AttackSurfaceReductionRules_Actions AuditMode

Utilisez Add-MpPreference plutôt que Set-MpPreference lorsque vous ajoutez les règles une par une : Set- remplace toute la liste.

3. Lire les événements

Les événements ASR se trouvent dans Applications and Services Logs > Microsoft > Windows > Windows Defender > Operational :

Chaque événement indique le GUID de la règle, le chemin du processus et la cible. Regroupez par règle et par processus sur l'ensemble du parc. Vous trouverez en général une courte liste de collisions réelles : un complément de gestion documentaire qui lance un utilitaire, une application métier qui écrit des exécutables depuis une macro VBA, un agent de gestion lancé via WMI.

Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |
  Where-Object Id -in 1121,1122 |
  Select-Object TimeCreated, Id, Message -First 50

4. Exclure au plus juste, puis bloquer

Corrigez ce qui peut l'être (mettre à jour le complément, signer le script, remplacer la macro). Pour le reste, préférez les exclusions par règle, disponibles sur les versions actuelles de la plateforme Defender, aux exclusions ASR globales :

# Exclusion ASR globale (s'applique à toutes les règles) : avec parcimonie et avec des chemins complets
Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Program Files\Contoso\DocHelper.exe"

N'excluez jamais powershell.exe, cmd.exe, wscript.exe, des dossiers entiers accessibles en écriture par l'utilisateur comme %TEMP% ou %APPDATA%, ni les binaires Office eux-mêmes. Cela ne restreint pas la règle, cela la désactive.

Passez ensuite les règles en blocage anneau par anneau (informatique, utilisateurs pilotes, puis tout le monde), en surveillant le volume d'événements 1121 après chaque étape.

5. Vérifier sur le poste

$p = Get-MpPreference
for ($i = 0; $i -lt $p.AttackSurfaceReductionRules_Ids.Count; $i++) {
  "{0}  {1}" -f $p.AttackSurfaceReductionRules_Ids[$i], $p.AttackSurfaceReductionRules_Actions[$i]
}

Si les règles configurées par GPO ou Intune n'apparaissent pas, vérifiez que Defender est l'antivirus actif (Get-MpComputerStatus | Select AMRunningMode doit renvoyer Normal) et qu'il n'existe pas de stratégies locales et gérées en conflit.

Exploit protection

Le pendant d'ASR est exploit protection (le successeur d'EMET), configuré sous Windows Security > App & browser control > Exploit protection ou via un XML exporté appliqué par la stratégie Use a common set of exploit protection settings. Les valeurs par défaut à l'échelle du système (DEP, ASLR ascendant, CFG, SEHOP) doivent rester actives. Les atténuations par application valent la peine pour les applications héritées exposées, mais testez-les : forcer l'ASLR obligatoire sur un vieux binaire peut le faire planter.

Get-ProcessMitigation -System

Liste de contrôle

• Defender AV principal, protection en temps réel et protection cloud activées
• Trois règles de protection standard en mode blocage partout
• Règles restantes auditées pendant 2 à 4 semaines, événements 1122 examinés
• Règle PSExec/WMI uniquement là où Configuration Manager n'est pas utilisé
• Exclusions restreintes, par règle si possible, documentées avec un responsable
• Règles en mode blocage par anneau ; événement 5007 surveillé pour détecter les altérations

Les règles ASR font partie des paramètres Windows au meilleur rendement. Pour l'antivirus dont elles dépendent, voir le guide de durcissement de Microsoft Defender ; pour bloquer purement et simplement les exécutables inconnus, voir le contrôle des applications.