Comment activer la journalisation des connexions réussies dans le pare-feu Windows Defender via Intune

Commencez par vous connecter au centre d'administration Microsoft Intune où vous créerez la stratégie de pare-feu. C'est ici que toutes les configurations de sécurité des points de terminaison sont gérées.

Ouvrez votre navigateur web et accédez à https://intune.microsoft.com. Connectez-vous avec vos identifiants administratifs disposant des autorisations d'administrateur de service Intune ou d'administrateur global.

Une fois connecté, accédez à Sécurité des points de terminaison dans le volet de navigation de gauche, puis cliquez sur Pare-feu. Vous verrez ici toutes les stratégies de pare-feu existantes.

Cliquez sur Créer une stratégie pour commencer à créer une nouvelle stratégie de configuration de pare-feu.

Vérification : Vous devriez voir la fenêtre "Créer une stratégie" s'ouvrir avec des options de sélection de plateforme et de profil.

Choisissez la plateforme et le modèle de profil corrects pour garantir la compatibilité avec vos appareils cibles. La sélection ici détermine quels paramètres seront disponibles.

Dans la lame "Créer une stratégie" :

• Sélectionnez Plateforme : Windows 10, Windows 11, et Windows Server
• Sélectionnez Profil : Microsoft Defender Firewall
• Cliquez sur Créer

Ce modèle de profil donne accès aux nouveaux paramètres de journalisation introduits pour la gestion de Windows Defender Firewall via Intune.

Vérification : L'assistant de création de stratégie devrait avancer à la page de configuration "Basique" avec le profil correct sélectionné.

Fournissez une identification claire pour votre politique de pare-feu afin de la rendre facilement reconnaissable dans votre environnement Intune. De bonnes conventions de nommage aident à la gestion des politiques et au dépannage.

Remplissez les champs suivants :

• Nom : Activer la journalisation des connexions réussies du pare-feu
• Description : Active la journalisation des connexions réseau réussies sur tous les profils de pare-feu pour la surveillance de la conformité et l'analyse médico-légale

Le nom doit indiquer clairement l'objectif de la politique, surtout si vous avez plusieurs politiques de pare-feu dans votre environnement.

Cliquez sur Suivant pour passer aux paramètres de configuration.

Vérification : Vous devriez maintenant voir la page "Paramètres de configuration" avec des sections extensibles pour le profil de domaine, le profil privé et le profil public.

Configurez les paramètres de journalisation pour le profil de domaine, qui s'applique lorsque les appareils sont connectés à votre réseau de domaine d'entreprise. Ce profil a généralement les paramètres les plus restrictifs.

Développez la section Profil de domaine et configurez ces paramètres :

• Activer la journalisation des connexions réussies : Oui
• Chemin du fichier journal : C:\Windows\System32\LogFiles\Firewall\pfirewall.log
• Activer la journalisation des paquets rejetés : Oui (recommandé pour une journalisation complète)
• Taille maximale du fichier journal (Ko) : 4096
• Activer la journalisation des règles ignorées : Oui

Ces paramètres garantissent que toutes les connexions entrantes réussies, les paquets rejetés et les règles ignorées sont enregistrés dans le chemin de fichier spécifié.

Vérification : Toutes les options de journalisation doivent apparaître comme configurées avec des valeurs "Oui" et le chemin du fichier doit être correctement formaté avec des doubles barres obliques inverses.

Appliquez la même configuration de journalisation aux profils Privé et Public pour garantir une journalisation cohérente dans tous les environnements réseau. Ces profils gèrent respectivement les réseaux domestiques et les connexions Wi-Fi publiques.

Développez la section Profil privé et configurez :

• Activer la journalisation des connexions réussies : Oui
• Chemin du fichier journal : C:\Windows\System32\LogFiles\Firewall\pfirewall.log
• Activer la journalisation des paquets rejetés : Oui
• Taille maximale du fichier journal (Ko) : 4096
• Activer la journalisation des règles ignorées : Oui

Répétez la même configuration pour la section Profil public avec des paramètres identiques.

L'utilisation du même chemin de fichier journal pour tous les profils consolide la journalisation dans un seul fichier, facilitant ainsi l'analyse.

Vérification : Les trois profils (Domaine, Privé, Public) doivent avoir des configurations de journalisation identiques activées.

Définissez quels appareils recevront cette politique de pare-feu en configurant des balises de portée et des affectations. Un ciblage approprié garantit que la politique s'applique uniquement aux appareils prévus.

Cliquez sur Suivant pour atteindre la page "Balises de portée". Si vous utilisez des balises de portée pour l'administration basée sur les rôles, sélectionnez les balises appropriées. Pour la plupart des environnements, vous pouvez laisser cela par défaut et cliquer sur Suivant.

Sur la page "Affectations" :

• Cliquez sur Ajouter des groupes sous "Groupes inclus"
• Sélectionnez vos groupes d'appareils cibles (par exemple, "Appareils d'entreprise Windows 11")
• Cliquez sur Sélectionner

Évitez d'affecter à "Tous les appareils" initialement. Commencez par un groupe pilote pour tester la configuration.

Vérification : Vos groupes d'appareils sélectionnés devraient apparaître dans la section "Groupes inclus" avec le nombre correct de membres affiché.

Examinez tous les paramètres de configuration avant de créer la politique pour vous assurer que tout est configuré correctement. Une fois créée, la politique commencera à se déployer sur les appareils assignés.

Cliquez sur Suivant pour atteindre la page "Vérifier + créer". Examinez attentivement :

• Nom et description de la politique
• Les trois profils de pare-feu ont la journalisation activée
• Les groupes d'appareils corrects sont assignés
• Les chemins des fichiers journaux sont correctement formatés

Si tout semble correct, cliquez sur Créer pour déployer la politique.

La politique apparaîtra dans votre liste de politiques de pare-feu avec un statut "Déploiement" initialement.

Vérification : Revenez à Sécurité des points de terminaison > Pare-feu et confirmez que votre nouvelle politique apparaît dans la liste avec le statut "Déploiement" ou "Réussi".

Suivez la progression du déploiement et vérifiez que les appareils cibles reçoivent et appliquent correctement la politique de pare-feu. Cette étape est cruciale pour s'assurer que la configuration de journalisation est active.

Dans le centre d'administration Intune, accédez à Sécurité des points de terminaison > Pare-feu et cliquez sur votre politique nouvellement créée.

Examinez le statut du déploiement :

• Statut de l'appareil : Indique combien d'appareils ont appliqué la politique avec succès
• Statut de l'utilisateur : Montre les résultats du déploiement au niveau de l'utilisateur
• Cliquez sur les appareils individuels pour voir des informations détaillées sur la conformité

Laissez 15 à 30 minutes pour que le déploiement initial soit terminé. Les appareils se connectent à Intune à intervalles réguliers.

Vérification : Le statut de l'appareil devrait indiquer "Réussi" pour les appareils cibles. Si vous voyez des statuts "Erreur" ou "Non applicable", examinez les détails spécifiques de l'appareil.

Connectez-vous à un appareil cible pour confirmer que les paramètres de journalisation du pare-feu ont été appliqués correctement et que les fichiers journaux sont générés comme prévu.

Sur un appareil Windows 11 cible, ouvrez PowerShell en tant qu'administrateur et exécutez ces commandes de vérification :

# Vérifier les paramètres de journalisation actuels du pare-feu
netsh advfirewall show allprofiles

# Vérifier les paramètres de journalisation spécifiques
netsh advfirewall show domainprofile logging
netsh advfirewall show privateprofile logging
netsh advfirewall show publicprofile logging

# Vérifier si le fichier journal existe et contient des entrées récentes
Get-Item "C:\Windows\System32\LogFiles\Firewall\pfirewall.log" -ErrorAction SilentlyContinue
Get-Content "C:\Windows\System32\LogFiles\Firewall\pfirewall.log" -Tail 10

La sortie devrait montrer que la journalisation est activée pour les connexions réussies sur tous les profils, et le fichier journal devrait contenir des entrées récentes.

Vérification : Vous devriez voir "AllowedConnections" défini sur "Enable" pour tous les profils et des entrées récentes dans le fichier pfirewall.log.

Activez la journalisation des événements de sécurité Windows pour les connexions de pare-feu afin de compléter la journalisation basée sur les fichiers. Cela fournit des capacités d'analyse supplémentaires via le système de journal des événements Windows.

Sur les appareils cibles, exécutez ces commandes en tant qu'administrateur pour activer les politiques d'audit :

# Activer l'audit pour les paquets de pare-feu abandonnés et les connexions
auditpol /set /category:"System" /SubCategory:"Filtering Platform Packet Drop" /success:enable /failure:enable
auditpol /set /category:"System" /SubCategory:"Filtering Platform Connection" /success:enable /failure:enable

# Vérifier les paramètres d'audit
auditpol /get /category:"System"

Vous pouvez également déployer ces commandes via Intune en utilisant une politique de script PowerShell pour une configuration automatisée sur tous les appareils.

Après avoir activé l'audit, les événements de pare-feu apparaîtront dans le journal des événements de sécurité avec des ID d'événement comme 5152 (connexion bloquée), 5156 (connexion autorisée) et 5157 (connexion bloquée).

Vérification : Ouvrez l'Observateur d'événements > Journaux Windows > Sécurité et recherchez les événements récents liés au pare-feu avec les ID mentionnés ci-dessus.