Durcir Microsoft Edge par stratégie de groupe et Intune

Le navigateur est l'endroit où les utilisateurs rencontrent Internet : pages d'hameçonnage, téléchargements malveillants, extensions malveillantes qui lisent chaque page et exploits qui ciblent le moteur de rendu. Microsoft Edge intègre de bonnes protections, mais la plupart sont soit modifiables par l'utilisateur, soit désactivées par défaut. La stratégie d'entreprise en fait des contrôles que vous pouvez imposer et prouver.

Ce guide couvre les stratégies les plus importantes pour la sécurité. Il fait partie de la série Réduction de la surface d'attaque et va de pair avec exploit protection, qui durcit les autres applications comme Edge se durcit lui-même.

Prérequis

• Les modèles ADMX d'Edge (msedge.admx, et msedgeupdate.admx pour les mises à jour) depuis la page de téléchargement Microsoft Edge for Business, copiés dans le magasin central. Mettez-les à jour à chaque version majeure d'Edge, car de nouvelles stratégies apparaissent régulièrement.
• Les paramètres apparaissent sous Computer Configuration > Policies > Administrative Templates > Microsoft Edge et sont écrits dans HKLM\SOFTWARE\Policies\Microsoft\Edge.
• Intune : le catalogue de paramètres comporte une catégorie Microsoft Edge, et Endpoint security > Security baselines inclut un référentiel Microsoft Edge dont vous pouvez partir.

Utilisez le dossier obligatoire ci-dessus pour les paramètres de sécurité. Le dossier Microsoft Edge - Default Settings (users can override) est destiné aux préférences, pas aux contrôles.

Étape 1 : imposer SmartScreen

SmartScreen bloque les sites d'hameçonnage et de malware connus et avertit sur les téléchargements inconnus. L'essentiel est d'empêcher les utilisateurs de passer outre.

Activez aussi le vérificateur de typosquatting (TyposquattingCheckerEnabled = 1) dans la même section. Le blocage du contournement pour les téléchargements est celui qui génère des tickets : les développeurs et administrateurs qui téléchargent de nouveaux outils se heurtent à des avertissements de réputation inconnue. Traitez-les par un vrai processus de demande de logiciels plutôt que de laisser le contournement ouvert à tous.

Étape 2 : restreindre les téléchargements à risque

Microsoft Edge > Allow download restrictions (DownloadRestrictions) :

La valeur 1 est une valeur par défaut raisonnable pour le parc ; 2 convient aux rôles à haut risque. Combinez-la avec le durcissement des macros Office, afin que les documents qui passent malgré tout arrivent avec la Mark of the Web et s'ouvrent en mode protégé.

Étape 3 : contrôler les extensions

Les extensions disposent d'un large accès aux pages que visitent les utilisateurs, y compris aux cookies de session. Une extension malveillante, ou revendue, est de fait un voleur d'identifiants qui se met à jour tout seul. Passez à une liste d'autorisation :

1. Inventorier. Sur un échantillon d'appareils, listez les extensions installées depuis edge://extensions ou depuis les dossiers Extensions de chaque profil sous %LOCALAPPDATA%\Microsoft\Edge\User Data. Votre EDR ou votre outil d'inventaire les remonte peut-être déjà.
2. Approuver. Tenez une courte liste d'ID d'extensions, chacune avec un responsable et une justification métier.
3. Imposer. Sous Microsoft Edge > Extensions :
   • Control which extensions cannot be installed (ExtensionInstallBlocklist) = *
   • Allow specific extensions to be installed (ExtensionInstallAllowlist) = les ID approuvés
   • Control which extensions are installed silently (ExtensionInstallForcelist) pour celles dont tout le monde a besoin, comme votre gestionnaire de mots de passe
   • Blocks external extensions from being installed (BlockExternalExtensions) = Enabled

Pour un contrôle plus fin, Configure extension management settings (ExtensionSettings) accepte du JSON et permet de bloquer les extensions qui demandent certaines permissions ou de restreindre les sources d'installation. Il prévaut sur les stratégies plus simples lorsque les deux sont définis : choisissez une approche et documentez-la.

Étape 4 : activer le mode de sécurité renforcée

Le mode de sécurité renforcée désactive le JIT JavaScript sur les sites peu familiers et active des atténuations du système comme Arbitrary Code Guard et, sur les processeurs compatibles, la protection de pile appliquée par le matériel pour le moteur de rendu. Cela élimine une large catégorie d'exploits de navigateur.

Microsoft Edge > Enhance the security state in Microsoft Edge (EnhanceSecurityMode) :

Utilisez Équilibré pour le parc et Strict pour les administrateurs et la finance. Si une application web interne devient trop lente, exemptez-la avec Configure the list of domains for which enhance security mode will not be enforced (EnhanceSecurityModeBypassListDomains) plutôt que d'abaisser le mode pour tout le monde. La liste d'application fait l'inverse pour les sites que vous jugez à risque.

Étape 5 : fermer les autres portes

Laissez SitePerProcess, RendererAppContainerEnabled et AudioSandboxEnabled à leurs valeurs par défaut sécurisées, et déclenchez une alerte si une stratégie les désactive.

Étape 6 : mettre à jour vite et forcer le redémarrage

Les failles zero-day des navigateurs sont corrigées en quelques jours. Edge se met à jour tout seul, mais la mise à jour ne prend effet qu'après un redémarrage, et les utilisateurs gardent leur navigateur ouvert pendant des semaines.

• Computer Configuration > Policies > Administrative Templates > Microsoft Edge Update > Applications > Update policy override default = Always allow updates (UpdateDefault = 1 sous HKLM\SOFTWARE\Policies\Microsoft\EdgeUpdate). Vérifiez qu'aucune ancienne GPO ne la désactive.
• Microsoft Edge > Notify a user that a browser restart is recommended or required for pending updates (RelaunchNotification) = Required (2), avec Set the time period for update notifications (RelaunchNotificationPeriod) à, par exemple, 86400000 ms (24 heures).
• Si vous utilisez plutôt WSUS ou Configuration Manager pour distribuer Edge, gardez un canal et une cadence d'approbation rapides ; une fois par semaine est trop lent pour des failles de navigateur activement exploitées.

La vue d'ensemble des mises à jour, y compris la priorisation des navigateurs, se trouve dans le guide des correctifs.

Les autres navigateurs sur les mêmes appareils

Durcir Edge sert à peu de chose si les utilisateurs peuvent installer et exécuter un navigateur non géré à côté. Définissez une liste de navigateurs pris en charge et traitez chacun de la même façon :

• Chrome utilise des noms de stratégies quasi identiques (ExtensionInstallBlocklist, ExtensionInstallAllowlist, DownloadRestrictions, RemoteDebuggingAllowed, SSLErrorOverrideAllowed) sous HKLM\SOFTWARE\Policies\Google\Chrome. Importez les modèles ADMX de Google et reproduisez les paramètres d'Edge.
• Firefox dispose de son propre moteur de stratégies (un fichier policies.json ou des modèles ADMX). Les concepts se transposent, les noms non.
• Les navigateurs non pris en charge installés par utilisateur dans %LOCALAPPDATA% échappent à la fois aux stratégies et aux correctifs. Bloquez-les avec le contrôle des applications ou, au minimum, détectez-les par l'inventaire.

Quoi que vous autorisiez, il faut le corriger aussi vite qu'Edge. Le guide des correctifs tiers explique comment maintenir à jour les navigateurs et leurs environnements d'exécution en dehors de Windows Update.

Ce qui casse

• Le téléchargement de nouveaux outils bloqué par SmartScreen sans possibilité de contournement. Prévoyez un processus de demande.
• Les extensions sur lesquelles comptaient les utilisateurs disparaissent lorsque la liste de blocage s'applique. Annoncez-le, publiez la liste approuvée et examinez les demandes chaque semaine pendant le premier mois.
• Les sites internes avec des certificats auto-signés ou expirés deviennent inaccessibles une fois les contournements désactivés. Corrigez les certificats : c'est un constat, pas une nuisance.
• Les applications web internes lourdes ralentissent en mode de sécurité renforcée strict. Utilisez la liste d'exemption.
• Les consoles d'administration web qui utilisent l'authentification Basic sur HTTP ne parviennent plus à s'authentifier.

Vérifier

Sur un appareil, ouvrez edge://policy. Chaque stratégie configurée doit afficher Status: OK et Source: Platform (stratégie de groupe ou MDM). Les erreurs à cet endroit signifient généralement un mauvais type de valeur ou un nom de stratégie obsolète. edge://settings/help affiche la version.

Depuis PowerShell :

Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Edge" |
  Select-Object SmartScreenEnabled, PreventSmartScreenPromptOverride,
    PreventSmartScreenPromptOverrideForFiles, DownloadRestrictions,
    EnhanceSecurityMode, SSLErrorOverrideAllowed, RemoteDebuggingAllowed

Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallBlocklist"
(Get-Item "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe").VersionInfo.ProductVersion

Remontez la version d'Edge sur tout le parc et déclenchez une alerte pour les appareils en retard de plus d'une version stable.

Liste de contrôle

• Modèles ADMX Edge et Edge Update à jour dans le magasin central, ou référentiel Edge d'Intune utilisé
• SmartScreen imposé, contournements bloqués pour les sites et les téléchargements, blocage des PUA activé
• Restrictions de téléchargement réglées sur le blocage des téléchargements dangereux ou plus strict
• Liste de blocage d'extensions * avec une liste d'autorisation examinée et un responsable par extension
• Mode de sécurité renforcée Équilibré pour tous, Strict pour les rôles à haut risque
• Contournement des erreurs de certificat et débogage à distance désactivés
• Mises à jour automatiques autorisées et redémarrage exigé sous 24 heures
• edge://policy vérifié sur les appareils pilotes ; version remontée sur tout le parc