Guide complet pour renforcer Windows avec Windows Defender...

Renforcer Windows avec Windows Defender Application Control WDAC

Notes :

Windows Server 2016/2019 ou toute version antérieure à la 1903 ne supporte qu’une seule politique héritée à la fois.
L’édition Windows Server Core supporte WDAC mais certains composants dépendant d’AppLocker ne fonctionneront pas
Veuillez lire les Lectures recommandées avant de mettre en œuvre ou même de tester.

Une liste des scripts et outils utilisés dans cette collection :

Configurations supplémentaires prises en compte :

Explication :

XML vs. BIN :

En termes simples, les politiques “XML” sont destinées à être appliquées localement sur une machine et les fichiers “BIN” servent à les appliquer via Stratégie de groupe ou Microsoft Intune . Bien que vous puissiez utiliser des politiques XML, BIN ou CIP en déploiement local, il est généralement conseillé de privilégier XML lorsque c’est possible, surtout lors d’audits ou de dépannage.

Descriptions des politiques :

Politiques par défaut :
- Les politiques “Par défaut” utilisent uniquement les fonctionnalités par défaut disponibles dans le WDAC-Toolkit.
Politiques recommandées :
- Les politiques “Recommandées” utilisent les fonctionnalités par défaut ainsi que les règles de blocage et règles de blocage des pilotes recommandées par Microsoft.
Politiques d’audit :
- Les politiques “Audit” ne font que consigner les exceptions aux règles. Ceci est destiné aux tests dans votre environnement, afin que vous puissiez modifier les politiques librement pour répondre aux besoins de votre environnement.
Politiques appliquées :
- Les politiques “Appliquées” n’autorisent aucune exception aux règles, les applications, pilotes, dll, etc. seront bloqués s’ils ne sont pas conformes.

Politiques disponibles :

XML :
- Audit uniquement :
  - WDAC_V1_Default_Audit_{version}.xml
  - WDAC_V1_Recommended_Audit_{version}.xml
- Appliquées :
  - WDAC_V1_Default_Enforced_{version}.xml
  - WDAC_V1_Recommended_Enforced_{version}.xml
BIN :
- Audit uniquement :
  - WDAC_V1_Default_Audit_{version}.bin
  - WDAC_V1_Recommended_Audit_{version}.bin
- Appliquées :
  - WDAC_V1_Default_Enforced_{version}.bin
  - WDAC_V1_Recommended_Enforced_{version}.bin
CIP :
- Audit uniquement :
  - WDAC_V1_Default_Audit\{uid}.cip
  - WDAC_V1_Recommended_Audit\{uid}.cip
- Appliquées :
  - WDAC_V1_Default_Enforced\{uid}.cip
  - WDAC_V1_Recommended_Enforced\{uid}.cip

Mettez à jour la ligne suivante dans le script pour utiliser la politique souhaitée localement :

$PolicyPath = "C:\temp\Windows Defender\CIP\WDAC_V1_Recommended_Enforced\*.cip"
#https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/deployment/deploy-wdac-policies-with-script
ForEach ($Policy in (Get-ChildItem -Recurse $PolicyPath).Fullname) {
  $PolicyBinary = "$Policy"
  $DestinationFolder = $env:windir+"\System32\CodeIntegrity\CIPolicies\Active\"
  $RefreshPolicyTool = "./Files/EXECUTABLES/RefreshPolicy(AMD64).exe"
  Copy-Item -Path $PolicyBinary -Destination $DestinationFolder -Force
  & $RefreshPolicyTool
}

Alternativement, vous pouvez utiliser Stratégie de groupe ou Microsoft Intune pour appliquer les politiques WDAC.

Audit :

Vous pouvez consulter les journaux d’événements WDAC dans l’observateur d’événements sous :

Applications and Services Logs\Microsoft\Windows\CodeIntegrity\Operational

Lectures recommandées :

Comment exécuter le script :

Installation manuelle :

Si téléchargé manuellement, le script doit être lancé depuis un PowerShell administrateur dans le répertoire contenant tous les fichiers du dépôt GitHub

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Force
Get-ChildItem -Recurse *.ps1 | Unblock-File
.\sos-wdachardening.ps1

Guide complet pour renforcer Windows avec Windows Defender…

Table of Contents