Glossaire
Règles de réduction de la surface d'attaque (ASR)
Règles comportementales de Microsoft Defender Antivirus qui bloquent des techniques de malware courantes, comme Office lançant des processus ou la lecture de LSASS, indépendamment des signatures.
Les règles de réduction de la surface d'attaque font partie de Microsoft Defender Antivirus. Chaque règle, identifiée par un GUID, bloque un comportement précis dont les malwares ont besoin et dont les logiciels légitimes se passent presque toujours : applications Office qui créent des processus enfants ou du contenu exécutable, scripts qui lancent des exécutables téléchargés, processus qui lisent la mémoire de LSASS, persistance par abonnements aux événements WMI, et d'autres encore.
Chaque règle peut être désactivée ou placée en mode audit, avertissement ou blocage, par stratégie de groupe, Intune, Configuration Manager ou PowerShell (Add-MpPreference). Les blocages sont journalisés sous l'événement 1121 et les audits sous l'événement 1122 dans le journal Defender Operational. Elles exigent que Defender Antivirus soit l'antivirus actif, avec la protection en temps réel activée.
Voir le guide Règles ASR : GUID et déploiement sans risque.