Sécurité des appareils dans l’application de sécurité Windows

La page Sécurité de l’appareil de l’application Sécurité Windows permet de protéger votre appareil Windows en gérant les fonctionnalités de sécurité du matériel et du système d’exploitation, notamment le démarrage sécurisé, l’isolation du noyau et les protections au niveau du processeur. Ces fonctionnalités fonctionnent ensemble pour vous défendre contre les programmes malveillants, les attaques par microprogramme et la compromission du système. La page est divisée en sections suivantes :

• PC à cœur sécurisé : si votre appareil est un PC à cœur sécurisé, il affiche des informations sur les fonctionnalités du PC à cœur sécurisé
• Isolation du noyau : vous pouvez configurer ici les fonctionnalités de sécurité qui protègent le noyau Windows
• Processeur de sécurité : fournit des informations sur le processeur de sécurité, appelé module de plateforme sécurisée (TPM)
• Démarrage sécurisé : Si le démarrage sécurisé est activé, vous trouverez plus d’informations à son sujet
• Chiffrement des données : vous trouverez ici un lien vers Paramètres Windows, dans lequel vous pouvez configurer le chiffrement de l’appareil et d’autres paramètres BitLocker
• Fonctionnalité de sécurité du matériel : évalue les fonctionnalités de sécurité du matériel de votre appareil

Dans l’application Sécurité Windows sur votre PC, sélectionnez Sécurité des appareils ou utilisez le raccourci suivant :

PC à cœur sécurisé

Un PC à cœur sécurisé est conçu pour fournir des fonctionnalités de sécurité avancées prêtes à l’emploi. Ces PC intègrent du matériel, des microprogrammes et des logiciels pour offrir une protection robuste contre les menaces sophistiquées. 

Dans l’application Sécurité Windows sur votre PC, sélectionnezSécurité de l’appareil> Détails de sécurité.

Pour plus d’informations, voir PC à cœur sécurisé Windows Windows 11.

Isolation du noyau

L’isolation du noyau fournit des fonctionnalités de sécurité conçues pour protéger les processus principaux de Windows contre les logiciels malveillants en les isolant en mémoire. Pour ce faire, elle exécute ces processus de base dans un environnement virtualisé. 

Dans l’application Sécurité Windows sur votre PC, sélectionnez Sécurité des> appareilsDétails de l’isolation du noyau ou utilisez le raccourci suivant :

Intégrité de la mémoire

L’intégrité de la mémoire, également appelée intégrité du code protégée par l’hyperviseur (HVCI) est une fonctionnalité de sécurité Windows qui empêche les programmes malveillants d’utiliser des pilotes de bas niveau pour détourner votre PC.

Un pilote est un logiciel qui permet au système d’exploitation (Windows dans ce cas) et à un appareil (comme un clavier ou une webcam) de communiquer entre eux. Lorsque l’appareil demande à Windows de faire quelque chose, il utilise le pilote pour envoyer cette demande.

L’intégrité de la mémoire fonctionne en créant un environnement isolé à l’aide de la virtualisation matérielle.

Considérez-le comme un agent de sécurité à l’intérieur d’une cabine verrouillée. Cet environnement isolé (cabine verrouillée dans notre analogie) empêche un attaquant d’altérer la fonctionnalité d’intégrité de la mémoire. Un programme qui demande à exécuter un morceau de code qui peut être dangereux doit transmettre le code à l’intégrité de la mémoire à l’intérieur de cette cabine virtuelle à des fins de vérification. Lorsque l’intégrité de la mémoire est assurée que le code est sécurisé, il le remet à Windows pour qu’il l’exécute. En règle générale, cela se produit très rapidement.

Si l’intégrité de la mémoire n’est pas en cours d’exécution, l’agent de sécurité se tient à découvert et il est beaucoup plus facile pour un attaquant d’interférer avec lui ou de le saboter, ce qui permet à un code malveillant de se faufiler plus facilement et de causer des problèmes.

Vous pouvez activer ou désactiver l’intégrité de la mémoire à l’aide du bouton bascule.

Que se passe-t-il si le système indique que j’ai un pilote incompatible ?

Si l’intégrité de la mémoire ne s’active pas, cela peut indiquer qu’un pilote de périphérique incompatible est déjà installé. Vérifiez auprès du fabricant de l’appareil s’il dispose d’un pilote mis à jour. Si aucun pilote compatible n’est disponible, vous pouvez peut-être supprimer l’appareil ou l’application qui utilise ce pilote incompatible.

Protection de pile renforcée par du matériel en mode noyau

La protection de pile appliquée par le matériel est une fonctionnalité de sécurité basée sur le matériel qui empêche les programmes malveillants d’utiliser des pilotes de bas niveau pour détourner votre PC.

Un pilote est un logiciel qui permet au système d’exploitation (Windows dans ce cas) et à un appareil (comme un clavier ou une webcam) de communiquer entre eux. Lorsque l’appareil demande à Windows de faire quelque chose, il utilise le pilote pour envoyer cette demande.

La protection de pile appliquée par le matériel fonctionne en empêchant les attaques qui modifient les adresses d’expéditeur dans la mémoire en mode noyau pour lancer un code malveillant. Cette fonctionnalité de sécurité nécessite un processeur qui contient la possibilité de vérifier les adresses d’expéditeur du code en cours d’exécution.

Lors de l’exécution du code en mode noyau, les adresses d’expéditeur sur la pile en mode noyau peuvent être endommagées par des programmes ou des pilotes malveillants afin de rediriger l’exécution d’un code normal vers un code malveillant. Sur les processeurs pris en charge, le processeur conserve une deuxième copie des adresses d’expéditeur valides sur une pile de cliché instantané en lecture seule que les pilotes ne peuvent pas modifier. Si une adresse d’expéditeur sur la pile normale a été modifiée, le processeur peut détecter cette différence en vérifiant la copie de l’adresse d’expéditeur sur la pile de cliché instantané. Lorsque cette différence se produit, l’ordinateur génère une erreur d’arrêt, parfois appelée écran bleu, pour empêcher l’exécution du code malveillant.

Tous les pilotes ne sont pas compatibles avec cette fonctionnalité de sécurité, car un petit nombre de pilotes légitimes s’engagent dans la modification de l’adresse d’expéditeur à des fins non malveillantes. Microsoft a fait appel à de nombreux éditeurs de pilotes pour s’assurer que leurs derniers pilotes sont compatibles avec la protection de pile appliquée par le matériel.

Vous pouvez activer ou désactiver la protection de pile appliquée par le matériel à l’aide du bouton bascule.

Pour utiliser la protection de pile appliquée par le matériel, vous devez activer l’intégrité de la mémoire et exécuter un processeur qui prend en charge la technologie Intel Control-Flow Enforcement ouAMD Shadow Stack.

Que se passe-t-il si j’ai un pilote ou un service incompatible ?

Si la protection de pile appliquée par le matériel ne s’active pas, cela peut indiquer qu’un pilote ou un service de périphérique incompatible est déjà installé. Vérifiez auprès du fabricant de l’appareil ou de l’éditeur de l’application si un pilote mis à jour est disponible. Si aucun pilote compatible n’est disponible, vous pouvez peut-être supprimer l’appareil ou l’application qui utilise ce pilote incompatible.

Certaines applications peuvent installer un service au lieu d’un pilote pendant l’installation de l’application et installer le pilote uniquement au lancement de l’application. Pour une détection plus précise des pilotes incompatibles, les services qui sont connus pour être associés à des pilotes incompatibles sont également énumérés.

Protection de l’accès à la mémoire

Également appelée protection DMA du noyau , cette fonctionnalité de sécurité protège votre appareil contre les attaques qui peuvent se produire lorsqu’un appareil malveillant est branché à un port PCI (Peripheral Component Interconnect) comme un port Thunderbolt.

Pour illustrer l’une de ces attaques, nous pouvons citer l’exemple de quelqu’un qui laisse son PC pour une petite pause-café et qui, pendant son absence, se fait attaquer par un pirate qui branche un périphérique de type USB et s’empare des données sensibles de l’ordinateur ou injecte un logiciel malveillant qui lui permet de contrôler le PC à distance. 

La protection de l’accès à la mémoire empêche ce type d’attaques en refusant l’accès direct à la mémoire à ces périphériques, sauf dans des circonstances particulières, notamment lorsque le PC est verrouillé ou que l’utilisateur est déconnecté.

Protection du microprogramme

Chaque appareil dispose d’un logiciel qui a été enregistré dans la mémoire morte de l’appareil, c’est-à-dire dans une puce de la carte mère. Ce logiciel est utilisé pour les fonctions de base de l’appareil, à savoir le chargement du système d’exploitation qui exécute toutes les applications que nous avons l’habitude d’utiliser. Ce logiciel étant difficile (mais pas impossible) à modifier, nous l’appelons microprogramme.

Du fait que le micrologiciel se charge en premier et s’exécute sous le système d’exploitation, les outils de sécurité et les fonctionnalités qui s’exécutent dans le système d’exploitation ont du mal à le détecter ou à s’en défendre. À l’instar d’une maison dont la sécurité dépend de fondations solides, un ordinateur a besoin d’un microprogramme sécurisé pour garantir la sécurité du système d’exploitation, des applications et des données sur cet ordinateur.

System Guard est un ensemble de fonctionnalités qui permet de s’assurer que les attaquants ne peuvent pas faire démarrer votre appareil avec un microprogramme non approuvé ou malveillant.

Les plateformes qui offrent une protection du microprogramme protègent généralement le mode de gestion du système (SMM), un mode de fonctionnement hautement privilégié, à des degrés divers. Vous pouvez vous attendre à l’une des trois valeurs, avec un nombre plus élevé indiquant un plus grand degré de protection SMM :

• Votre appareil est conforme à la version 1 de protection du microprogramme : celle-ci offre les atténuations de sécurité fondamentales pour aider SMM à résister à l’exploitation par des programmes malveillants et empêche l’exfiltration de secrets du système d’exploitation (y compris VBS)
• Votre appareil est conforme à la version 2 de protection du microprogramme : en plus de la version 1 de protection du microprogramme, la version 2 garantit que SMM ne peut pas désactiver la sécurité basée sur la virtualisation (VBS) et les protections DMA du noyau
• Votre appareil est conforme à la version 3 de protection du microprogramme : en plus de la version 2 de protection du microprogramme, elle renforce le SMM en empêchant l’accès à certains registres qui ont la possibilité de compromettre le système d’exploitation (y compris VBS)

Protection de l’autorité de sécurité locale

La protection de l’autorité de sécurité locale (LSA) est une fonctionnalité de sécurité Windows qui permet d’empêcher le vol des informations d’identification utilisées pour la connexion à Windows.   

L’autorité de sécurité locale (LSA) est un processus crucial dans Windows impliqué dans l’authentification des utilisateurs. Il est chargé de vérifier les informations d’identification pendant le processus de connexion et de gérer les jetons et les tickets d’authentification utilisés pour activer l’authentification unique pour les services. La protection LSA permet d’empêcher l’exécution de logiciels non approuvés dans LSA ou l’accès à la mémoire LSA.  

Comment faire gérer la protection de l’autorité de sécurité locale ?

Vous pouvez activer ou désactiver la protection LSA à l’aide du bouton bascule.

Une fois que vous avez modifié le paramètre, vous devez redémarrer pour qu’il prenne effet. 

Que faire si j’ai des logiciels incompatibles ?

Si la protection LSA est activée et bloque le chargement du logiciel dans le service LSA, une notification indique le fichier bloqué. Vous pourrez peut-être supprimer le logiciel qui charge le fichier, ou désactiver les avertissements futurs pour ce fichier lorsqu’il ne sera pas chargé dans LSA.  

Credential Guard

Lorsque vous utilisez votre appareil professionnel ou scolaire, il se connecte discrètement et accède à toute une série d’éléments tels que des fichiers, des imprimantes, des applications et d’autres ressources au sein de votre organisation. Pour sécuriser ce processus tout en facilitant la tâche de l’utilisateur, votre PC doit comporter un certain nombre de jetons d’authentification à tout moment.

Si un attaquant peut accéder à un ou plusieurs de ces jetons, il peut être en mesure de les utiliser pour accéder à la ressource organisationnelle (fichiers sensibles, etc.) à laquelle le jeton est destiné. Credential Guard permet de protéger ces jetons en les plaçant dans un environnement protégé et virtualisé où seuls certains services peuvent y accéder si nécessaire.

Liste de blocage des pilotes vulnérables de Microsoft

Un pilote est un logiciel qui permet au système d’exploitation (Windows dans ce cas) et à un appareil (comme un clavier ou une webcam) de communiquer entre eux. Lorsque l’appareil demande à Windows de faire quelque chose, il utilise le pilote pour envoyer cette demande. De ce fait, les pilotes disposent d’un grand nombre d’accès sensibles dans votre système.

Windows 11 inclut une liste de blocage des pilotes qui ont des failles de sécurité connues, qui ont été signés avec des certificats utilisés pour signer des logiciels malveillants ou qui contournent le modèle de sécurité Windows.

Si vous disposez de l’intégrité de la mémoire, du contrôle intelligent des applications ou du mode S Windows activé, la liste de blocage des pilotes vulnérables est également activée.

Processeur de sécurité

Les paramètres du processeur de sécurité sous la page Sécurité de l’appareil dans l’application Sécurité Windows fournissent des détails sur le Module de plateforme sécurisée (TPM) sur votre appareil. Le module TPM est un composant matériel conçu pour améliorer la sécurité en effectuant des opérations de chiffrement.

Détails du processeur de sécurité

C'est ici que vous trouvez des informations sur le fabricant du processeur de sécurité et les numéros de version, ainsi que sur l’état du processeur de sécurité.

Dans l’application Sécurité Windows sur votre PC, sélectionnez Sécurité des> appareilsDétails du processeur de sécurité ou utilisez le raccourci suivant :

Résolution des problèmes du processeur de sécurité

Si votre processeur de sécurité ne fonctionne pas correctement, vous pouvez sélectionner le lien de résolution des problèmes du processeur de sécurité pour afficher les messages d’erreur et les options avancées, ou utiliser le raccourci suivant :

La page de résolution des problèmes du processeur de sécurité fournit tous les messages d’erreur pertinents sur le TPM. Voici une liste des messages d’erreur et des détails :

Message	Détails
Une mise à jour du microprogramme est nécessaire pour votre processeur de sécurité (TPM).	La carte mère de votre appareil ne semble pas prendre en charge le TPM actuellement, mais une mise à jour du microprogramme pourrait résoudre ce problème. Contactez le fabricant de votre appareil pour savoir si une mise à jour du microprogramme est disponible et comment l’installer. Les mises à jour du microprogramme sont généralement gratuites.
Le module de plateforme sécurisée (TPM) est désactivé, et vous devez le vérifier.	Le module de plateforme sécurisée est probablement désactivé dans le BIOS système (Basic Input/Output System) ou dans l’UEFI (Unified Extensible Firmware Interface). Reportez-vous à la documentation d’assistance du fabricant de votre appareil ou contactez son support technique pour obtenir des instructions sur la façon de l’activer.
Le stockage TPM n’est pas disponible. Veuillez effacer votre TPM.	Le bouton Effacer le TPM se trouve sur cette page. Vous devez vous assurer d’avoir une bonne sauvegarde de vos données avant de continuer.
L’attestation d’intégrité de l’appareil n’est pas disponible. Veuillez effacer votre TPM.	Le bouton Effacer le TPM se trouve sur cette page. Vous devez vous assurer d’avoir une bonne sauvegarde de vos données avant de continuer.
L’attestation d’intégrité de l’appareil n’est pas prise en charge sur cet appareil.	Cela signifie que l’appareil ne nous fournit pas suffisamment d’informations pour déterminer la raison pour laquelle le module TPM ne fonctionne pas correctement sur votre appareil.
Votre module de plateforme sécurisée n’est pas compatible avec votre microprogramme et ne fonctionne peut-être pas correctement.	Contactez le fabricant de votre appareil pour savoir si une mise à jour du microprogramme est disponible et comment l’obtenir et l’installer. Les mises à jour du microprogramme sont généralement gratuites.
Le journal de démarrage mesuré pour le module de plateforme sécurisée (TPM) est manquant. Essayez de redémarrer votre appareil.
Nous avons rencontré un problème avec votre module de plateforme sécurisée (TPM). Essayez de redémarrer votre appareil.

Si vous rencontrez toujours des problèmes après avoir traité un message d’erreur, contactez le fabricant de votre appareil pour obtenir une assistance.

Sélectionnez Effacer le TPM pour réinitialiser votre processeur de sécurité à ses paramètres par défaut.

Démarrage sécurisé

Le démarrage sécurisé empêche un type sophistiqué et dangereux de programme malveillant, appelé rootkit, de se charger au démarrage de votre appareil. Les rootkits utilisent les mêmes autorisations que le système d’exploitation et démarrent avant lui, ce qui implique qu’ils peuvent se cacher complètement. Les rootkits font souvent partie de toute une suite de programmes malveillants capables de contourner les identifiants de connexion locaux, d’enregistrer les mots de passe et la frappe, de transférer des fichiers privés et de capturer les données de chiffrement.

Vous devrez peut-être désactiver le démarrage sécurisé pour exécuter certaines cartes graphiques, du matériel ou des systèmes d’exploitation tels que Linux ou des versions antérieures de Windows.

Pour en savoir plus, consultez Démarrage sécurisé.

Fonctionnalité de sécurité du matériel

La dernière section de la page Sécurité de l’appareil affiche des informations indiquant la fonctionnalité de sécurité de votre appareil. Voici une liste de messages et de détails :

Message	Détails
Votre appareil est conforme à la configuration requise pour la sécurité matérielle standard.	Cela signifie que votre appareil prend en charge l’intégrité de la mémoire et l’isolation du noyau et comporte également : TPM 2.0 (également appelé processeur de sécurité) Le démarrage sécurisé activé DEP UEFI MAT
Votre appareil est conforme à la configuration requise pour la sécurité renforcée du matériel.	Cela signifie que, en plus de satisfaire à toutes les exigences de la sécurité du matériel standard, votre appareil comporte également l’intégrité de la mémoire activée.
Toutes les fonctionnalités PC sécurisées de votre appareil sont activées.	Cela signifie que, en plus de satisfaire à toutes les exigences de sécurité matérielle renforcée, la protection du mode SMM (System Management Mode) est également activée sur votre appareil.
Sécurité du matériel Standard non prise en charge.	Cela signifie que votre appareil ne respecte pas au moins une des exigences de la sécurité matérielle standard.

Gestionnaire de PC

	L’application Gestionnaire de PC peut également être utile dans ce scénario. Pour plus d’informations, consultez la rubrique Gestionnaire de PC Microsoft. Remarque : Le Gestionnaire de PC Microsoft n’est pas disponible dans tous les emplacements géographiques.