Partager via

Contrôle d’application pour Windows

Remarque

Certaines fonctionnalités d’App Control for Business sont disponibles uniquement sur des versions spécifiques de Windows. En savoir plus sur la disponibilité des fonctionnalités De contrôle d’application.

Les données de votre organization sont l’une de ses ressources les plus précieuses... et les adversaires le veulent. Quels que soient les contrôles de sécurité que vous appliquez sur vos données, il n’existe aucun contrôle pour protéger entièrement votre cible la plus vulnérable : l’utilisateur de confiance assis au clavier. Lorsqu’un utilisateur exécute un processus, ce processus partage le même accès à vos données que celui dont dispose l’utilisateur. Ainsi, vos informations sensibles sont facilement transmises, modifiées, supprimées ou chiffrées lorsqu’un utilisateur, intentionnellement ou non, exécute un logiciel malveillant. Et avec des milliers de nouveaux fichiers malveillants créés chaque jour, le fait de s’appuyer uniquement sur des méthodes traditionnelles comme les solutions antivirus (AV) vous offre une défense inadéquate contre les nouvelles attaques.

Le contrôle d’application fait passer Windows d’un emplacement où tout le code s’exécute, sauf si votre solution AV prédit en toute confiance qu’il est mauvais, à un emplacement où le code s’exécute uniquement si votre stratégie l’indique. Les cybermenaces auxquelles vous êtes confronté changent rapidement, et vos défenses doivent également changer. Les organisations gouvernementales et de sécurité, comme l’Australian Signals Directorate, citent fréquemment le contrôle des applications comme l’un des moyens les plus efficaces de lutter contre la menace des programmes malveillants basés sur des fichiers exécutables (.exe, .dll, etc.). Il fonctionne en même temps que votre solution AV pour atténuer les menaces de sécurité en limitant les applications que les utilisateurs peuvent exécuter et même le code exécuté dans le noyau système (noyau).

Important

Bien que le contrôle d’application puisse renforcer considérablement vos ordinateurs contre le code malveillant, il ne remplace pas l’antivirus. Vous devez continuer à gérer une solution antivirus active avec App Control pour un portefeuille complet de sécurité d’entreprise.

Bien que nous l’appelons contrôle d’application, le code en cours d’exécution sur votre système n’est pas toujours une application. Le contrôle d’application s’étend au-delà des applications pour couvrir également les scripts et les programmes d’installation Microsoft (MSI), les fichiers de commande par lots et même les sessions interactives de Windows PowerShell, qui s’exécutent en mode de langage limité.

Windows inclut deux technologies de contrôle d’application que vous pouvez utiliser en fonction des scénarios et des exigences spécifiques de votre organization :

  • App Control for Business (contrôle d’application) ; et
  • AppLocker

Contrôle d’application et contrôle d’application intelligent

À compter de Windows 11 version 22H2, Smart App Control offre un contrôle robuste des applications aux consommateurs et à certaines petites entreprises avec des portefeuilles d’applications plus simples. Smart App Control garantit uniquement les exécutions de code signées ou le code prédit comme étant sécurisé par notre service de sécurité intelligent alimenté par le cloud. Lorsque le code n’est pas signé et que le service est incapable de prédire avec certitude qu’il est sûr de s’exécuter, nous le bloquons. Au fil du temps, la réputation du code peut changer à mesure que le service traite les nouveaux signaux qu’il reçoit. Pendant ce temps, le code jugé non sécurisé est toujours bloqué.

Bien que Smart App Control soit conçu pour les consommateurs, nous pensons qu’il s’agit du point de départ idéal pour la plupart des organisations. Et comme nous l’avons entièrement basé sur App Control for Business, vous pouvez créer une stratégie avec la même sécurité et la même compatibilité que Smart App Control, qui fait également confiance aux applications métier (LOB) dont votre organization a besoin. Le service Smart App Control utilisé pour prédire le code à exécuter en toute sécurité est également disponible dans App Control for Business et appelé graphe de sécurité intelligent (ISG).

Smart App Control démarre en mode d’évaluation et s’éteint dans les 48 heures pour les appareils gérés par l’entreprise, sauf si l’utilisateur l’active au préalable. Si vous souhaitez désactiver de manière proactive Smart App Control sur les points de terminaison de votre organization, définissez la valeur de Registre VerifiedAndReputablePolicyState (DWORD) sousHKLM\SYSTEM\CurrentControlSet\Control\CI\Policy, comme indiqué dans le tableau suivant. Après avoir modifié la valeur du Registre, vous devez exécuter CiTool.exe -r pour que la modification prenne effet.

Valeur Description
0 Désactivé
1 Appliquer
2 Évaluation

Important

Une fois que vous avez désactivé Smart App Control, il ne peut pas être activé sans réinitialiser ou réinstaller Windows.

La stratégie App Control utilisée pour le contrôle d’application intelligent est fournie avec l’outil de création de stratégie de l’Assistant Contrôle d’application et se trouve également en tant qu’exemple de stratégie dans %windir%/schemas/CodeIntegrity/ExamplePolicies/SmartAppControl.xml. Pour utiliser cet exemple de stratégie comme point de départ de votre propre stratégie, consultez Utiliser la stratégie de contrôle des applications intelligentes pour créer votre propre stratégie de base. Lorsque vous utilisez l’exemple de stratégie Smart App Control comme base de votre propre stratégie personnalisée, vous devez supprimer l’option Activé :Stratégie de verrouillage Windows conditionnelle afin qu’elle soit prête à être utilisée en tant que stratégie De contrôle d’application pour les entreprises.

Conditions d'octroi de licence d'édition Windows

Le tableau suivant répertorie les éditions de Windows qui prennent en charge App Control for Business :

Windows Pro Windows Entreprise Windows Pro Education/SE Windows Éducation
Oui Oui Oui Oui

Les droits de licence App Control sont accordés par les licences suivantes :

Windows Pro/Professionnel Éducation/SE Windows Entreprise E3 Windows Entreprise E5 Windows Éducation A3 Windows Éducation A5
Oui Oui Oui Oui Oui

Pour plus d’informations à propos des licences Windows, consultez Vue d’ensemble des licences Windows.