La surveillance continue garantit que HVCI reste actif et vous alerte de toute violation de politique de sécurité ou problème de compatibilité qui survient après le déploiement.
Configurez une surveillance automatisée à l'aide de Microsoft Defender pour Endpoint ou Azure Monitor. Créez une règle de détection personnalisée pour l'état HVCI :
// Requête KQL pour la surveillance HVCI dans Microsoft Defender
DeviceInfo
| where Timestamp > ago(1d)
| extend HVCIStatus = iff(isnotempty(OSArchitecture) and OSArchitecture contains "x64",
iff(DeviceGuardSecurityServicesRunning has "2", "Enabled", "Disabled"), "N/A")
| where HVCIStatus == "Disabled"
| project Timestamp, DeviceName, OSVersion, HVCIStatus
| summarize DisabledDevices = dcount(DeviceName) by bin(Timestamp, 1h)
Pour les environnements sans Defender pour Endpoint, créez un script de surveillance PowerShell :
# Script de surveillance HVCI pour exécution planifiée
$logPath = "C:\Logs\HVCI-Monitor.log"
$timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
try {
$deviceGuard = Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard
$hvciStatus = $deviceGuard.SecurityServicesRunning
if ($hvciStatus -contains 2) {
$status = "ENABLED"
} else {
$status = "DISABLED"
# Envoyer un email d'alerte ou écrire dans le journal des événements
Write-EventLog -LogName Application -Source "HVCI Monitor" -EventId 1001 -EntryType Warning -Message "HVCI is disabled on $env:COMPUTERNAME"
}
"$timestamp - $env:COMPUTERNAME - HVCI Status: $status" | Out-File -FilePath $logPath -Append
}
catch {
"$timestamp - $env:COMPUTERNAME - HVCI Check Failed: $($_.Exception.Message)" | Out-File -FilePath $logPath -Append
}
Déployez ce script via Intune en tant que script PowerShell ou tâche planifiée. Configurez-le pour s'exécuter quotidiennement et alerter sur les échecs HVCI.
Configurez des politiques de conformité pour appliquer l'état HVCI :
- Accédez à Appareils > Politiques de conformité > Créer une politique
- Sélectionnez la plateforme Windows 10 et versions ultérieures
- Sous Sécurité du système, configurez des règles de conformité personnalisées
Conseil pro : Utilisez Azure Log Analytics pour centraliser les journaux de surveillance HVCI de tous les appareils pour l'analyse des tendances et les rapports.
Vérification : Testez la surveillance en désactivant temporairement HVCI sur un appareil de test et confirmez que des alertes sont générées dans le délai prévu.
