Règles ASR Windows : bloquer macros et rançongiciels

Une grande partie des attaques contre les PME repose sur les mêmes techniques : une macro Office piégée, un script qui vole les identifiants en mémoire, ou un exécutable lancé directement depuis un e-mail. Ces méthodes fonctionnent parce qu'elles détournent des fonctions parfaitement légitimes de Windows et d'Office. Les règles de réduction de la surface d'attaque (ASR) de Microsoft Defender bloquent ces comportements à la source, sans antivirus tiers ni configuration lourde. Elles font partie de Microsoft Defender for Endpoint et sont pilotables entièrement depuis Intune, ce qui en fait l'un des durcissements au meilleur rapport effort/impact pour un parc Windows.

L'idée à retenir : plutôt que d'attendre qu'un antivirus reconnaisse un fichier malveillant grâce à une signature, ASR interdit à l'avance des enchaînements dont un logiciel sain n'a jamais besoin. Un document Word n'a aucune raison légitime de lancer PowerShell, et un client de messagerie n'a pas à exécuter un fichier .exe téléchargé. En fermant ces chemins, vous neutralisez des familles entières d'attaques sans avoir à les connaître individuellement.

Ce que font réellement les règles ASR

Les règles ASR sont des garde-fous intégrés à Defender qui interdisent des actions couramment utilisées par les logiciels malveillants, tout en laissant les usages légitimes intacts. Elles ne détectent pas une signature : elles empêchent un comportement. Chaque règle cible un vecteur d'attaque précis et documenté.

• Bloquer l'exécution de contenu exécutable depuis un client mail ou une messagerie web.
• Empêcher les applications Office de créer des processus enfants, le vecteur classique des macros malveillantes.
• Bloquer le vol d'identifiants depuis le sous-système LSASS de Windows.
• Empêcher JavaScript et VBScript de lancer des exécutables téléchargés.
• Bloquer l'exécution de scripts potentiellement obfusqués.
• Utiliser une protection avancée contre les rançongiciels.

Un exemple concret d'attaque bloquée

Prenons un scénario courant. Un comptable reçoit une fausse facture au format Word. Le document l'invite à activer les macros pour « voir le contenu ». La macro, une fois activée, tente de lancer PowerShell pour télécharger un rançongiciel. Sans ASR, cette chaîne se déroule sans obstacle. Avec la règle qui empêche Office de créer des processus enfants, la macro échoue au moment précis où elle appelle PowerShell : l'attaque s'arrête avant même le téléchargement de la charge utile.

Commencer en mode audit, puis basculer en blocage

Chaque règle possède trois états : non configuré, audit et bloqué. Le mode audit journalise ce qui aurait été bloqué sans rien empêcher : c'est la façon sûre de mesurer l'impact sur vos applications métier avant d'activer le blocage réel. C'est une étape à ne jamais sauter sur les règles susceptibles de faux positifs.

1. 1Activez les règles à faible risque de faux positif directement en mode bloqué, comme la protection de LSASS et le blocage du contenu exécutable dans les e-mails.
2. 2Placez les règles plus sensibles en audit pendant une à deux semaines, notamment celles qui touchent aux processus enfants Office et aux scripts.
3. 3Analysez les événements dans Defender, identifiez les applications métier concernées et ajoutez des exclusions ciblées si nécessaire.
4. 4Basculez progressivement les règles auditées en mode bloqué, règle par règle plutôt que toutes d'un coup.
5. 5Vérifiez enfin l'état d'application réel dans les rapports Intune.

Dans Intune, les règles ASR se déploient via un profil de réduction de la surface d'attaque (Endpoint Security), assigné à un groupe d'appareils Windows. Chaque règle expose son propre état, ce qui permet un déploiement granulaire plutôt que du tout-ou-rien. Vous pouvez ainsi mener plusieurs règles à des rythmes différents selon leur risque de faux positif.

Erreurs fréquentes à éviter

La plupart des déconvenues autour d'ASR ne viennent pas des règles elles-mêmes, mais de la méthode de déploiement. Quelques pièges reviennent systématiquement.

• Tout activer en blocage d'un coup sur tout le parc, sans phase d'audit : c'est le meilleur moyen de casser une application métier un lundi matin.
• Désactiver une règle entière pour tout le monde à cause d'un seul logiciel récalcitrant, alors qu'une exclusion ciblée aurait suffi.
• Oublier d'activer les notifications utilisateur, ce qui transforme un blocage légitime en application qui « plante » sans explication.
• Ne pas relire les journaux d'audit avant de basculer en blocage, et donc découvrir les faux positifs en production.

Gérer les faux positifs et les exclusions

Certaines applications métier légitimes, notamment d'anciens logiciels de comptabilité ou des outils internes basés sur des scripts, peuvent déclencher une règle ASR. Plutôt que de désactiver la règle pour tout le monde, ajoutez une exclusion précise, limitée au fichier ou au dossier concerné. Vous conservez ainsi la protection sur l'ensemble du parc tout en débloquant le cas particulier, et vous gardez une trace des exceptions accordées, utile lors d'un audit.

Pensez également à activer les notifications côté utilisateur : lorsqu'une règle bloque une action, l'utilisateur voit un message clair plutôt qu'une application qui échoue en silence. Ce simple réglage réduit les tickets au support et aide à repérer les règles à ajuster pendant la phase d'audit. Documentez chaque exclusion avec sa justification métier, afin de pouvoir la réévaluer plus tard.

Pourquoi c'est important pour la conformité

Bloquer le vol d'identifiants et l'exécution de macros répond directement à des exigences de durcissement d'ISO 27001 et de NIS2. Ces règles réduisent la probabilité qu'un simple e-mail se transforme en compromission complète, sans surcoût de licence puisqu'elles sont incluses avec Defender. Surtout, un déploiement centralisé via Intune fournit la preuve, lors d'un audit, que le contrôle est appliqué uniformément et non laissé à l'appréciation de chaque poste.

Comment AuPoint simplifie le déploiement ASR

Le point délicat reste le réglage fin : quelles règles activer d'emblée, lesquelles auditer, et comment lire les journaux. AuPoint est un SaaS qui rend la sécurité et la conformité Microsoft Intune faciles, sans PowerShell. La plateforme propose un jeu de règles ASR recommandé avec le bon mode par défaut, un aperçu de l'impact avant déploiement et une réversibilité en un clic. Vous connectez votre tenant Microsoft, vous prévisualisez ce qui va changer, puis vous appliquez en quelques clics.

Questions fréquentes

Les règles ASR nécessitent-elles une licence particulière ?

Les règles ASR font partie de Microsoft Defender et ne demandent pas d'antivirus tiers. Leur gestion centralisée via Intune et la remontée complète des rapports supposent en revanche que Defender soit l'antivirus actif et que vos appareils soient gérés par Intune.

Le mode audit ralentit-il les postes ?

Non. Le mode audit se contente de journaliser l'événement qui aurait été bloqué, sans rien empêcher ni ajouter de charge perceptible. C'est précisément pour cela qu'il constitue une phase d'observation sûre avant le blocage réel.

Que se passe-t-il si une règle casse une application métier ?

Vous ajoutez une exclusion ciblée sur le fichier ou le dossier concerné, sans désactiver la règle pour le reste du parc. Avec AuPoint, la réversibilité en un clic permet aussi de revenir à l'état précédent si un réglage pose problème.

Connectez votre tenant Microsoft à AuPoint et durcissez vos postes Windows avec les règles ASR en quelques minutes, avec aperçu de l'impact et retour arrière garanti, sans écrire une seule ligne de PowerShell. Commencez gratuitement sur aupoint.io.