Accès contrôlé aux dossiers : un anti-ransomware efficace

À la fin d'une intrusion, un ransomware n'a qu'une mission : réécrire le plus de fichiers possible, le plus vite possible. L'accès contrôlé aux dossiers (Controlled folder access, CFA) s'attaque directement à cette étape. Seules les applications de confiance peuvent modifier les fichiers d'un ensemble de dossiers protégés ; tout le reste est bloqué, quels que soient les droits du processus.

Le guide pilier sur le durcissement de Defender le recommande « au cas par cas » à cause des tickets de support. Ce guide montre comment ramener ces tickets à un niveau gérable grâce à l'audit, à la liste d'autorisation et à une application progressive, pour pouvoir l'utiliser beaucoup plus largement. Pour le terme lui-même, voir accès contrôlé aux dossiers.

Fonctionnement

• Périmètre. Un ensemble de dossiers protégés : par défaut Documents, Images, Vidéos et Musique de l'utilisateur et du profil public, plus les Favoris de l'utilisateur (à leur emplacement redirigé s'ils sont redirigés, par exemple par le déplacement des dossiers connus de OneDrive). Le Bureau ne fait pas partie de la liste par défaut. Vous pouvez en ajouter, mais pas retirer ceux par défaut.
• Confiance. Les applications que Defender juge dignes de confiance sont autorisées automatiquement. Vous ajoutez les autres par leur chemin complet.
• Action. Quand un processus non approuvé tente de modifier un fichier d'un dossier protégé, l'écriture est bloquée (ou journalisée, en mode audit) et l'utilisateur reçoit une notification.
• Secteurs de disque. Le CFA peut aussi bloquer les écritures non approuvées sur les secteurs du disque, qu'utilisent certains wipers et bootkits. Cette protection a ses propres modes, pour pouvoir l'activer séparément.

Prérequis : toute édition de Windows 10 ou 11 incluant Defender Antivirus, ou Windows Server 2012 R2 et versions ultérieures (2012 R2 et 2016 via la solution unifiée moderne), avec Microsoft Defender Antivirus en mode actif et la protection en temps réel activée. Il ne fonctionne pas en mode passif, en EDR en mode blocage ni en analyse périodique limitée.

Les modes

Les modes « modifications du disque uniquement » protègent les secteurs sans protéger les dossiers. C'est une première étape peu contraignante pour les serveurs et les appareils où la protection des dossiers n'est pas encore réaliste.

Étape 1 : auditer sur un groupe représentatif

En stratégie de groupe : Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Controlled Folder Access > Configure Controlled folder access = Enabled, Audit Mode.

Dans Intune : profil Endpoint security > Attack surface reduction > Attack surface reduction rules, paramètre Enable Controlled Folder Access = Audit mode (CSP Defender/EnableControlledFolderAccess).

Sur une machine de laboratoire :

Set-MpPreference -EnableControlledFolderAccess AuditMode

Choisissez le groupe d'audit avec soin : au moins un appareil par service, par image de déploiement, et les utilisateurs avancés aux logiciels inhabituels (ingénierie, design, finance avec des compléments). Deux à quatre semaines d'activité normale suffisent pour voir passer les tâches mensuelles.

Étape 2 : lire les événements

Le CFA journalise dans Applications and Services Logs > Microsoft > Windows > Windows Defender > Operational :

Chaque événement indique le chemin du processus et le fichier cible. Regroupez par processus sur l'ensemble des appareils pour constituer vos candidats à la liste d'autorisation :

Get-WinEvent -FilterHashtable @{ LogName = 'Microsoft-Windows-Windows Defender/Operational'; Id = 1124 } |
  ForEach-Object {
    if ($_.Message -match 'Process Name:\s*(.+)') { $Matches[1].Trim() }
  } | Group-Object | Sort-Object Count -Descending | Select-Object Count, Name

Avec Defender for Endpoint, interrogez tout le parc d'un coup :

DeviceEvents
| where ActionType in ("ControlledFolderAccessViolationAudited", "ControlledFolderAccessViolationBlocked")
| summarize Devices = dcount(DeviceId), Events = count() by InitiatingProcessFolderPath, InitiatingProcessFileName
| order by Devices desc

Résultats typiques : outils internes, anciens installeurs, applications portables dans les profils utilisateur, agents de sauvegarde et de synchronisation de petits éditeurs, scanners et imprimantes d'étiquettes qui enregistrent dans Documents, et jeux.

Étape 3 : autoriser ce qui est légitime

Pour chaque candidat, tranchez :

• Légitime et doit écrire à cet endroit → autoriser par chemin complet.
• Légitime mais exécuté depuis un dossier accessible en écriture par l'utilisateur (%LOCALAPPDATA%, Downloads) → l'installer d'abord proprement sous Program Files, puis autoriser ce chemin. Autoriser un chemin dans lequel les utilisateurs peuvent écrire permet à un malware d'y déposer un fichier du même nom.
• Non légitime ou inconnu → le laisser bloqué et investiguer.

GPO : Controlled Folder Access > Configure allowed applications = Enabled, avec un chemin d'exécutable complet par ligne (valeur 0). Intune : Controlled Folder Access Allowed Applications (CSP Defender/ControlledFolderAccessAllowedApplications). PowerShell :

Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files\Contoso\LabelPrint\labelprint.exe"

Defender for Endpoint peut aussi autoriser des applications signées au moyen d'un indicateur Allow de certificat ou de fichier. Les moteurs de script comme PowerShell font exception : le CFA ne leur fait pas confiance via des indicateurs, uniquement en tant qu'application explicitement autorisée. Consignez un responsable pour chaque application autorisée, exactement comme pour les exclusions Defender, car une application autorisée n'est qu'une exclusion sous un autre nom.

Étape 4 : ajouter les dossiers qui comptent

Les dossiers par défaut couvrent les fichiers personnels. Ajoutez les emplacements où votre organisation conserve réellement des données de valeur en local :

Add-MpPreference -ControlledFolderAccessProtectedFolders "D:\Projects", "C:\Finance"

GPO : Controlled Folder Access > Configure protected folders ; Intune : Controlled Folder Access Protected Folders. Pensez aux racines de synchronisation OneDrive si le déplacement des dossiers connus n'est pas utilisé, aux dossiers de projets locaux des postes d'ingénierie et aux magasins de données applicatifs des bornes. Les chemins réseau et les lecteurs mappés peuvent être ajoutés, mais la protection s'applique aux processus locaux qui y écrivent.

Étape 5 : appliquer par anneaux et verrouiller

Passez en Block par anneaux : l'informatique, puis le groupe d'audit, puis service par service. Continuez à lire l'événement 1123 après chaque étape ; les premiers jours suivant la mise en production d'un anneau révèlent ce que l'audit a manqué.

Empêchez les utilisateurs de le désactiver ou d'autoriser eux-mêmes des applications. Lorsque le paramètre est géré par GPO ou Intune, le bouton de Sécurité Windows est grisé. Assurez-vous que Tamper Protection est activée et que la fusion locale des listes par l'administrateur est désactivée, afin que les applications autorisées ajoutées localement avec Add-MpPreference soient ignorées.

Ce qui casse

• Échecs d'enregistrement sans erreur claire. Les anciennes applications affichent souvent « accès refusé » ou échouent en silence. Les utilisateurs voient une notification de Sécurité Windows, mais pas toujours. Demandez au support de vérifier d'abord l'événement 1123 pour tout ticket du type « impossible d'enregistrer dans Documents ».
• Installeurs et outils de mise à jour qui écrivent dans les dossiers publics Documents, Images, Musique ou Vidéos.
• Scripts exécutés par des interpréteurs installés par l'utilisateur et qui écrivent dans des dossiers protégés.
• Redirection de dossiers : si Documents pointe vers un partage réseau, vérifiez que l'emplacement redirigé est protégé comme vous l'attendez, et ajoutez-le explicitement sinon.

Une procédure pour le support

La plupart des tickets CFA ressemblent à autre chose : « Excel n'arrive pas à enregistrer », « le scanner a perdu mes fichiers », « le bouton d'export ne fait rien ». Donnez au support une courte procédure avant le premier anneau en blocage :

1. Demander l'heure de l'échec et l'application utilisée.
2. Rechercher sur l'appareil l'événement 1123 autour de cette heure. Il nomme le processus bloqué et le fichier qu'il tentait d'écrire.
3. Si le processus est une application métier connue installée sous Program Files, ouvrir une demande de changement pour l'ajouter à la stratégie des applications autorisées. Ne pas l'ajouter localement ; la fusion locale étant désactivée, l'ajout serait de toute façon ignoré.
4. Si le processus s'exécute depuis un profil utilisateur, le dossier Téléchargements ou un chemin temporaire, escalader à l'équipe sécurité au lieu de l'autoriser.
5. En contournement pendant le traitement du changement, l'utilisateur peut enregistrer dans un dossier non protégé et déplacer le fichier plus tard.

Suivez ces tickets comme une catégorie à part. Leur volume après chaque anneau indique si la phase d'audit a été assez longue, et une hausse soudaine sur un appareil peut être le premier signe de quelque chose qui tente de chiffrer des fichiers.

Ce qu'il ne fait pas

Le CFA est une dernière ligne de défense contre le chiffrement local, pas une stratégie anti-ransomware. Il n'arrête ni le vol de données (les lectures sont autorisées), ni le chiffrement de partages par une machine distante, ni un attaquant qui a déjà désactivé Defender. Il complète les règles ASR comme Use advanced protection against ransomware, les sauvegardes hors ligne et une bonne gestion des clés de récupération BitLocker.

Vérifier

$p = Get-MpPreference
$p.EnableControlledFolderAccess              # 1 = activé (blocage), 2 = audit
$p.ControlledFolderAccessProtectedFolders
$p.ControlledFolderAccessAllowedApplications
(Get-MpComputerStatus).AMRunningMode          # doit valoir Normal

Pour un test fonctionnel sur un appareil pilote, lancez depuis un dossier temporaire un petit exécutable de test non signé qui tente d'écrire un fichier dans Documents. L'écriture doit échouer, l'utilisateur doit voir une notification et l'événement 1123 doit nommer le processus et la cible. Les événements liés aux secteurs de disque sont journalisés à part dans le même journal : 1127 (écriture sur secteur bloquée) et 1128 (auditée).

Liste de contrôle

• Defender AV actif avec protection en temps réel sur tous les appareils ciblés
• CFA en mode audit sur un groupe représentatif pendant 2 à 4 semaines
• Événements 1124 regroupés par processus ; liste d'autorisation construite à partir de chemins complets sous Program Files
• Dossiers protégés supplémentaires ajoutés là où résident des données locales de valeur
• Application par anneaux ; événement 1123 revu après chaque anneau
• Remplacement local bloqué ; Tamper Protection activée ; alertes sur l'événement 5007
• Protection des secteurs de disque au moins en mode blocage disque seul sur les serveurs