Que signifie « Run this in Audit first » sur la page Prévention de l’exécution de Lavawall?

lorsque vous sélectionnez Enforce : aucune preuve pour l’instant. Les postes doivent appliquer la politique d’audit et transmettre leurs résultats, et le mode Audit doit s’exécuter pendant 24 heures.

Que signifie « Enforce without a full audit period? » sur la page Prévention de l’exécution de Lavawall?

: Vous pouvez passer outre avec Enforce anyway, mais cela peut empêcher l’exécution de logiciels sur chaque poste. Keep auditing est le choix le plus sûr.

Page Prévention de l’exécution de Lavawall : que faire lorsque certains postes « run a Windows version that cannot apply a block list without a reboot »

: Ces ordinateurs reçoivent uniquement les règles de Defender.

Que signifie « At least one rule could not be matched to a real file » sur la page Prévention de l’exécution de Lavawall?

: Sur ces postes, la règle ne correspond peut-être à rien. Consultez la colonne Notes dans Endpoints.

Que signifie « You can see this policy but not change it » sur la page Prévention de l’exécution de Lavawall?

: Demandez à un administrateur de vous accorder l’autorisation Admin d’élévation.

Prévention de l’exécution

Empêchez complètement l’exécution de programmes et de scripts intégrés à risque, en commençant en mode Audit pour voir ce qui cesserait de fonctionner avant d’appliquer le blocage.

Ouvrir Prévention de l’exécution dans votre console

Où la trouver: Appareils › Élévation des applications › Prévention de l’exécution
Qui peut l’utiliser: Toute personne qui peut voir la page peut consulter la politique; la modifier exige l’autorisation Admin d’élévation
Pour: Tout le monde
Forfait: Contrôle des applications + PAM (module complémentaire, ou inclus dans Complete). Voir les tarifs
Fonctionnalité: Élévation administrateur pour Windows : aucun pilote de noyau

À quoi sert la page

Prévention de l’exécution est une page de la console Lavawall®, dans la section Élévation des applications. Lavawall est la plateforme de RMM, de sécurité et de conformité de ThreeShield, conçue et hébergée au Canada. À propos de cette fonctionnalité.

Les règles d’élévation déterminent qui peut exécuter quelque chose en tant qu’administrateur. La prévention de l’exécution détermine si un programme peut s’exécuter tout court. Elle vous permet de bloquer des programmes que les attaquants détournent couramment, d’activer l’application des scripts et de définir les règles de réduction de la surface d’attaque (ASR) de Microsoft Defender pour tous les ordinateurs Windows de l’entreprise.

Comme une liste de blocage peut empêcher l’exécution de logiciels partout, la page démarre toujours en mode Audit. En mode Audit, rien n’est bloqué; les ordinateurs signalent ce qui aurait été bloqué. L’option Enforce reste indisponible tant que les ordinateurs n’ont pas appliqué la politique d’audit et transmis ce qu’ils ont observé, et tant que le mode Audit ne s’est pas exécuté pendant 24 heures.

Les programmes de la liste de blocage sont repérés par le nom de fichier d’origine intégré au programme, et non par son emplacement; renommer un fichier ou le copier dans un autre dossier ne permet donc pas de contourner le blocage.

Ce que vous voyez

La page Prévention de l’exécution, avec le mode, les tuiles du parc, les programmes à bloquer, l’activation de l’application des scripts, la réduction de la surface d’attaque, l’enregistrement, ce que cela aurait bloqué et les postes, numérotés de 1 à 8. — La page Prévention de l’exécution. Les numéros correspondent à la liste ci-dessous.

Mode : les cartes Off, Audit et Enforce, avec la version actuelle de la politique.
Tuiles du parc : Endpoints reporting, Applied the policy, Could not apply, Behind the current policy et Reporting what they see, ainsi que des avertissements au sujet des ordinateurs qui ne peuvent pas être entièrement couverts.
Programs to block : programmes regroupés, avec ce qu’est chacun et ce que son blocage perturbe, et Recommended set. Les éléments marqués drastic bloquent un interpréteur de commandes.
Turn on script enforcement : place PowerShell en mode de langage restreint (Constrained Language Mode) et contrôle VBScript, JScript, HTA et MSXML.
Attack surface reduction : chaque règle de Defender avec Off, Audit, Warn ou Block, des pastilles « living off the land » et « audit first », et Audit the recommended set.
Enregistrer : avec un résumé de ce qui changera.
What this would have blocked : Program, Rule, On enforce, Endpoints, Times et Last seen.
Endpoints : Computer, Mode, State, Notes et Reported.

Comment utiliser Prévention de l’exécution

Comment commencer en mode Audit

Sélectionnez la carte Audit.
Sélectionnez Recommended set sous Programs to block, et Audit the recommended set sous Attack surface reduction.
Sélectionnez Enregistrer.

Comment vérifier ce qui cesserait de fonctionner

Attendez que les ordinateurs transmettent leurs résultats; surveillez Reporting what they see dans les tuiles du parc.
Lisez What this would have blocked. Chaque ligne indique le programme, la règle qui l’a repéré, ce qui se produirait en mode Enforce et sur combien de postes.
Décochez tout programme dont vous dépendez, puis Enregistrer.

Comment appliquer le blocage

Lorsque la carte Enforce devient disponible, sélectionnez Enforce.
Sélectionnez Enregistrer et confirmez Enforce on every endpoint in this company?.
Les ordinateurs connectés récupèrent la politique en vingt secondes environ; les autres la reçoivent à leur retour en ligne.

Comment activer l’application des scripts

Activez Turn on script enforcement.
Prévoyez-lui sa propre période d’audit; la plupart des outils de gestion utilisent PowerShell.
Sélectionnez Enregistrer.

Comment retirer la politique

Sélectionnez Off, puis Enregistrer. Off retire la politique installée par ce produit; ce n’est pas « tout autoriser ».

Conseils

Les règles ASR sont livrées avec Defender, s’appliquent en quelques secondes et ne peuvent pas rendre un ordinateur impossible à démarrer; il vaut donc la peine de les activer avant la liste de blocage.
Les règles marquées audit first sont connues pour causer des problèmes; auditez-les avant de passer à Block.
Warn permet à l’utilisateur de passer outre un blocage ASR après un avertissement.
Un poste qui ne transmet jamais de résultats n’est pas un poste tranquille. Si Reporting what they see est à zéro, une liste « would have blocked » vide signifie que personne n’observait.
La version de la politique affichée dans la carte Mode correspond à celle qui apparaît dans les listes propres à Windows, ce qui aide à vérifier directement un ordinateur.

Dépannage

« Run this in Audit first. »: lorsque vous sélectionnez Enforce : aucune preuve pour l’instant. Les postes doivent appliquer la politique d’audit et transmettre leurs résultats, et le mode Audit doit s’exécuter pendant 24 heures.
« Enforce without a full audit period? »: : Vous pouvez passer outre avec Enforce anyway, mais cela peut empêcher l’exécution de logiciels sur chaque poste. Keep auditing est le choix le plus sûr.
Certains postes « run a Windows version that cannot apply a block list without a reboot ».: : Ces ordinateurs reçoivent uniquement les règles de Defender.
« At least one rule could not be matched to a real file »: : Sur ces postes, la règle ne correspond peut-être à rien. Consultez la colonne Notes dans Endpoints.
« You can see this policy but not change it. »: : Demandez à un administrateur de vous accorder l’autorisation Admin d’élévation.

Besoin d’aide supplémentaire?

Consultez le centre de soutien, ou communiquez avec notre équipe de soutien en nous indiquant la page où vous étiez :

Clavardage : utilisez le bouton de clavardage dans le coin inférieur droit de cette page pour joindre notre équipe sur-le-champ. Lorsque le consentement aux témoins est requis, le clavardage démarre une fois que vous avez accepté (paramètres des témoins).
Courriel : envoyez un message à notre équipe de soutien par la page Nous joindre. Il est lu directement par une personne.
Téléphone : AB : 1-403-538-5053, C.-B. : 1-778-731-1339, ON : 1-289-724-8829, É.-U. : 1-406-988-7333, R.-U. : +44 20 3695 9786.

Les noms, entreprises, appareils et chiffres figurant dans les images sont des exemples. Les autres noms de produits et d’entreprises sont des marques de commerce de leurs propriétaires respectifs.