Comment configurer Microsoft Defender SmartScreen à l'aide de Microsoft Intune

Ouvrez votre navigateur web et accédez au centre d'administration Microsoft Intune. Nous utiliserons la méthode du catalogue de paramètres car elle offre des options de configuration SmartScreen complètes.

https://intune.microsoft.com

Connectez-vous avec vos identifiants administratifs. Une fois connecté, accédez à Appareils dans le volet de navigation de gauche, puis sélectionnez Profils de configuration. Cliquez sur Créer un profil pour commencer à créer une nouvelle stratégie de configuration.

Dans l'assistant de création de profil, sélectionnez :

• Plateforme : Windows 10 et versions ultérieures
• Type de profil : Catalogue de paramètres

Cliquez sur Créer pour passer à l'écran de configuration.

Vérification : Vous devriez maintenant voir l'interface de configuration du catalogue de paramètres avec une barre de recherche et un panneau de catégories.

Dans l'interface du catalogue des paramètres, utilisez la barre de recherche pour trouver les paramètres SmartScreen. Tapez SmartScreen dans le champ de recherche. Vous verrez apparaître plusieurs paramètres liés à SmartScreen.

Sélectionnez et configurez ces paramètres essentiels de SmartScreen :

1. Autoriser Smart Screen :

• Paramètre : Autoriser Smart Screen
• Valeur : Activé
• Description : Il s'agit de l'interrupteur principal qui active la fonctionnalité SmartScreen

2. Activer Smart Screen dans Shell :

• Paramètre : Activer Smart Screen dans Shell
• Valeur : Activé
• Description : Active la protection SmartScreen dans l'Explorateur de fichiers Windows et Shell

3. Activer le contrôle d'installation des applications :

• Paramètre : Activer le contrôle d'installation des applications
• Valeur : Activé
• Description : Offre une protection contre les installations d'applications potentiellement malveillantes

Cliquez sur Ajouter pour chaque paramètre que vous souhaitez inclure dans votre politique.

Vérification : Vos paramètres sélectionnés devraient apparaître dans le résumé de configuration sur le côté droit de l'écran.

Nous allons maintenant ajouter des contrôles SmartScreen plus granulaires pour empêcher les utilisateurs de contourner les avertissements de sécurité. Continuez à rechercher ces paramètres supplémentaires :

1. Empêcher le contournement pour les fichiers dans le Shell :

• Paramètre : Empêcher le contournement pour les fichiers dans le Shell
• Valeur : Activé
• Description : Empêche les utilisateurs d'ignorer les avertissements SmartScreen concernant les fichiers malveillants dans l'Explorateur de fichiers

2. Empêcher le contournement des invites Smart Screen :

• Paramètre : Empêcher le contournement des invites Smart Screen
• Valeur : Activé
• Description : Empêche les utilisateurs de contourner les avertissements SmartScreen pour les sites web et les applications

3. Empêcher le contournement des invites Smart Screen pour les fichiers :

• Paramètre : Empêcher le contournement des invites Smart Screen pour les fichiers
• Valeur : Activé
• Description : Empêche spécifiquement le contournement des avertissements SmartScreen liés aux fichiers

Ces paramètres créent une posture de sécurité plus restrictive où les utilisateurs ne peuvent pas facilement contourner les protections SmartScreen.

Vérification : Vous devriez maintenant avoir 6 paramètres SmartScreen configurés dans votre politique. Consultez le panneau récapitulatif pour vous assurer que tous les paramètres sont correctement configurés.

Cliquez sur Suivant pour passer à la section de nommage et d'affectation du profil. Fournissez un nom clair et descriptif pour votre politique SmartScreen :

Nom : Microsoft Defender SmartScreen - Protection améliorée
Description : Active la protection SmartScreen avec prévention de l'override utilisateur pour une sécurité renforcée contre le phishing, les logiciels malveillants et les téléchargements malveillants

Cliquez sur Suivant pour passer à l'onglet Affectations. Ici, vous spécifierez quels appareils ou utilisateurs doivent recevoir cette politique.

Options d'affectation :

• Tous les appareils : S'applique à tous les appareils Windows inscrits dans Intune
• Tous les utilisateurs : S'applique aux appareils de tous les utilisateurs inscrits
• Groupes sélectionnés : Ciblez des groupes Azure AD spécifiques (recommandé pour les tests)

Pour le déploiement initial, sélectionnez Groupes sélectionnés et choisissez un groupe pilote d'appareils ou d'utilisateurs. Cliquez sur Sélectionner les groupes à inclure et choisissez votre groupe cible.

Vérification : Confirmez que vos groupes sélectionnés apparaissent dans la section des affectations avant de continuer.

Cliquez sur Suivant pour atteindre la section Révision + création. Examinez attentivement tous vos paramètres de configuration SmartScreen :

Paramètres à vérifier :

• Autoriser Smart Screen : Activé
• Activer Smart Screen dans Shell : Activé
• Activer le contrôle d'installation d'applications : Activé
• Empêcher le contournement pour les fichiers dans Shell : Activé
• Empêcher le contournement de l'invite Smart Screen : Activé
• Empêcher le contournement de l'invite Smart Screen pour les fichiers : Activé

Examinez les détails de l'affectation pour vous assurer que vous ciblez les bons groupes. Une fois satisfait de la configuration, cliquez sur Créer pour déployer la politique.

La politique sera maintenant créée et commencera à être déployée sur les appareils assignés. Intune affichera le statut de la politique comme "Déploiement" initialement.

Vérification : Accédez à Appareils > Profils de configuration et confirmez que votre nouvelle politique SmartScreen apparaît dans la liste avec un statut de "Déploiement" ou "Réussi".

Après avoir créé la stratégie, surveillez son statut de déploiement pour vous assurer que les appareils reçoivent et appliquent la configuration SmartScreen. Cliquez sur votre stratégie SmartScreen nouvellement créée dans la liste des profils de configuration.

Dans l'aperçu de la stratégie, vous verrez les statistiques de déploiement :

• Réussi : Appareils qui ont appliqué la stratégie avec succès
• Erreur : Appareils qui ont rencontré des erreurs lors de l'application de la stratégie
• Conflit : Appareils avec des stratégies conflictuelles
• Non applicable : Appareils qui ne répondent pas aux exigences de la stratégie

Cliquez sur Statut de l'appareil pour voir des informations détaillées sur le déploiement par appareil. Cette vue montre :

• Nom de l'appareil et utilisateur
• Statut de conformité
• Dernière heure de connexion
• Détails de l'erreur (le cas échéant)

Pour le dépannage, cliquez sur les appareils individuels pour voir les messages d'erreur détaillés et les conseils de résolution.

Vérification : Attendez 15-30 minutes après la création de la stratégie, puis vérifiez que les appareils cibles affichent le statut "Réussi" dans la vue du statut de l'appareil.

Une fois que la politique montre un déploiement réussi, testez la fonctionnalité SmartScreen sur un appareil cible pour confirmer que la configuration fonctionne correctement.

Test 1 : SmartScreen de l'Explorateur de fichiers

Sur un appareil cible, téléchargez un fichier de test qui pourrait déclencher SmartScreen (comme un exécutable non signé depuis Internet). SmartScreen devrait afficher une boîte de dialogue d'avertissement.

Test 2 : Vérification de la prévention de contournement

Si vous avez activé les paramètres de prévention de contournement, les utilisateurs ne devraient pas pouvoir contourner les avertissements de SmartScreen en cliquant sur "Exécuter quand même" ou des options similaires.

Test 3 : Vérification du statut de SmartScreen via PowerShell

Exécutez cette commande PowerShell sur l'appareil cible pour vérifier le statut de SmartScreen :

Get-MpPreference | Select-Object EnableNetworkProtection, SmartScreenEnabled, SmartScreenPuaEnabled

Test 4 : Vérification du registre

Vérifiez le registre pour confirmer que les politiques MDM sont appliquées :

Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\System" -Name "EnableSmartScreenInShell"

Vérification : Des avertissements SmartScreen devraient apparaître lors du téléchargement de contenu potentiellement malveillant, et les utilisateurs ne devraient pas pouvoir contourner les avertissements si la prévention de contournement est activée.

Microsoft Defender SmartScreen protège également la navigation sur Microsoft Edge. Bien que les paramètres basés sur le shell que nous avons configurés protègent les téléchargements de fichiers, vous devez également configurer les paramètres SmartScreen spécifiques à Edge pour une protection complète.

Créez un nouveau profil de configuration spécifiquement pour Edge SmartScreen :

Accédez à Appareils > Profils de configuration > Créer un profil

• Plateforme : Windows 10 et versions ultérieures
• Type de profil : Catalogue de paramètres

Recherchez les paramètres "Microsoft Edge" et configurez :

1. SmartScreen pour Microsoft Edge :

• Paramètre : Configurer Microsoft Defender SmartScreen
• Valeur : Activé

2. SmartScreen pour les téléchargements :

• Paramètre : Configurer Microsoft Defender SmartScreen pour bloquer les applications potentiellement indésirables
• Valeur : Activé

3. Empêcher le contournement de SmartScreen :

• Paramètre : Empêcher le contournement des invites Microsoft Defender SmartScreen pour les sites
• Valeur : Activé

Attribuez cette politique aux mêmes groupes que votre politique principale SmartScreen.

Vérification : Testez en naviguant vers un site de test de phishing connu dans Microsoft Edge. SmartScreen devrait bloquer l'accès avec un message d'avertissement approprié.

Établissez une surveillance continue pour suivre l'efficacité de SmartScreen et la conformité aux politiques dans votre organisation.

1. Configurer les rapports Intune :

Accédez à Rapports > Conformité des appareils pour créer des rapports personnalisés sur la conformité des politiques SmartScreen. Configurez des rapports automatisés pour suivre :

• Taux de réussite du déploiement des politiques
• Appareils avec des conflits de politiques
• Appareils non conformes nécessitant une attention

2. Activer l'intégration de Microsoft Defender pour Endpoint (si disponible) :

Si votre organisation utilise Microsoft Defender pour Endpoint, les événements SmartScreen apparaîtront dans le tableau de bord de sécurité. Configurez des alertes pour :

• Blocages et avertissements SmartScreen
• Tentatives de contourner les protections SmartScreen
• Événements de détection de logiciels malveillants

3. Mettre en place des examens réguliers des politiques :

Planifiez des examens mensuels de l'efficacité des politiques SmartScreen :

# Script PowerShell pour vérifier l'état des politiques SmartScreen sur les appareils
$devices = Get-IntuneManagedDevice
foreach ($device in $devices) {
    Get-IntuneDeviceConfigurationPolicyStatus -DeviceId $device.id
}

4. Formation et communication des utilisateurs :

Développez des supports de sensibilisation des utilisateurs expliquant les avertissements SmartScreen et les réponses appropriées aux invites de sécurité.

Vérification : Mettez en place un calendrier de tests pour vérifier régulièrement que SmartScreen fonctionne correctement sur différents types d'appareils et scénarios utilisateur.