Sécurité des appareils dans l’application Sécurité Windows

L’intégrité de la mémoire, également appelée intégrité du code protégée par l’hyperviseur (HVCI) est une fonctionnalité de sécurité Windows qui rend difficile pour les programmes malveillants d’utiliser des pilotes de bas niveau pour détourner votre PC.

Un pilote est un logiciel qui permet au système d’exploitation (Windows dans ce cas) et à un appareil (comme un clavier ou une webcam) de communiquer entre eux. Lorsque l’appareil souhaite que Windows fasse quelque chose, il utilise le pilote pour envoyer cette demande.

L’intégrité de la mémoire fonctionne en créant un environnement isolé à l’aide de la virtualisation matérielle.

Considérez-le comme un agent de sécurité à l’intérieur d’une cabine verrouillée. Cet environnement isolé (cabine verrouillée dans notre analogie) empêche un attaquant d’altérer la fonctionnalité d’intégrité de la mémoire. Un programme qui demande à exécuter un morceau de code qui peut être dangereux doit transmettre le code à l’intégrité de la mémoire à l’intérieur de cette cabine virtuelle à des fins de vérification. Lorsque l’intégrité de la mémoire est assurée que le code est sécurisé, il le remet à Windows pour qu’il l’exécute. En règle générale, cela se produit très rapidement.

Si l’intégrité de la mémoire n’est pas en cours d’exécution, l’agent de sécurité se distingue directement à l’extérieur, où il est beaucoup plus facile pour un attaquant d’interférer avec ou de saboter la garde, ce qui permet au code malveillant de se faufiler et de causer des problèmes.

Vous pouvez activer oudésactiver l’intégrité de la mémoire à l’aide du bouton bascule.

Que se passe-t-il si le système indique que j’ai un pilote incompatible ?

Si l’intégrité de la mémoire ne parvient pas à s’activer, cela peut vous indiquer qu’un pilote de périphérique incompatible est déjà installé. Vérifiez auprès du fabricant de l’appareil s’il dispose d’un pilote mis à jour. Si aucun pilote compatible n’est disponible, vous pouvez peut-être supprimer l’appareil ou l’application qui utilise ce pilote incompatible.

La protection de pile appliquée par le matériel est une fonctionnalité de sécurité basée sur le matériel qui rend difficile pour les programmes malveillants d’utiliser des pilotes de bas niveau pour détourner votre PC.

Un pilote est un logiciel qui permet au système d’exploitation (Windows dans ce cas) et à un appareil (comme un clavier ou une webcam) de communiquer entre eux. Lorsque l’appareil souhaite que Windows fasse quelque chose, il utilise le pilote pour envoyer cette demande.

La protection de pile appliquée par le matériel empêche les attaques qui modifient les adresses de retour en mémoire en mode noyau pour lancer du code malveillant. Cette fonctionnalité de sécurité nécessite un processeur qui contient la possibilité de vérifier les adresses d’expéditeur du code en cours d’exécution.

Lors de l’exécution du code en mode noyau, les adresses d’expéditeur sur la pile en mode noyau peuvent être endommagées par des programmes ou des pilotes malveillants afin de rediriger l’exécution d’un code normal vers un code malveillant. Sur les processeurs pris en charge, le processeur conserve une deuxième copie des adresses d’expéditeur valides sur une pile de cliché instantané en lecture seule que les pilotes ne peuvent pas modifier. Si une adresse d’expéditeur sur la pile normale a été modifiée, le processeur peut détecter cette différence en vérifiant la copie de l’adresse d’expéditeur sur la pile de cliché instantané. Lorsque cette différence se produit, l’ordinateur génère une erreur d’arrêt, parfois appelée écran bleu, pour empêcher l’exécution du code malveillant.

Tous les pilotes ne sont pas compatibles avec cette fonctionnalité de sécurité, car un petit nombre de pilotes légitimes s’engagent dans la modification de l’adresse d’expéditeur à des fins non malveillantes. Microsoft a fait appel à de nombreux éditeurs de pilotes pour s’assurer que leurs derniers pilotes sont compatibles avec la protection de pile appliquée par le matériel.

Vous pouvez activer oudésactiver la protection de pile appliquée par le matériel à l’aide du bouton bascule.

Pour utiliser la protection de pile appliquée par le matériel, l’intégrité de la mémoire doit être activée et vous devez exécuter un processeur qui prend en charge intel Control-Flow enforcement technology ou AMD Shadow Stack.

Que se passe-t-il si j’ai un pilote ou un service incompatible ?

Si la protection de pile appliquée par le matériel ne parvient pas à s’activer, cela peut vous indiquer qu’un pilote ou service de périphérique incompatible est déjà installé. Vérifiez auprès du fabricant de l’appareil ou de l’éditeur de l’application si un pilote mis à jour est disponible. Si aucun pilote compatible n’est disponible, vous pouvez peut-être supprimer l’appareil ou l’application qui utilise ce pilote incompatible.

Certaines applications peuvent installer un service au lieu d’un pilote pendant l’installation de l’application et installer le pilote uniquement au lancement de l’application. Pour une détection plus précise des pilotes incompatibles, les services qui sont connus pour être associés à des pilotes incompatibles sont également énumérés.

Également appelée protection DMA du noyau, cette fonctionnalité de sécurité protège votre appareil contre les attaques qui peuvent se produire lorsqu’un appareil malveillant est branché à un port PCI (Peripheral Component Interconnect) comme un port Thunderbolt.

Pour illustrer l’une de ces attaques, nous pouvons citer l’exemple de quelqu’un qui laisse son PC pour une petite pause-café et qui, pendant son absence, se fait attaquer par un pirate qui branche un périphérique de type USB et s’empare des données sensibles de l’ordinateur ou injecte un logiciel malveillant qui lui permet de contrôler le PC à distance. 

La protection de l’accès à la mémoire empêche ce type d’attaque en refusant l’accès direct à la mémoire à ces appareils, sauf dans des circonstances particulières, en particulier lorsque le PC est verrouillé ou que l’utilisateur est déconnecté.

Chaque appareil dispose d’un logiciel qui a été enregistré dans la mémoire morte de l’appareil, c’est-à-dire dans une puce de la carte mère. Ce logiciel est utilisé pour les fonctions de base de l’appareil, à savoir le chargement du système d’exploitation qui exécute toutes les applications que nous avons l’habitude d’utiliser. Ce logiciel étant difficile (mais pas impossible) à modifier, nous l’appelons microprogramme.

Du fait que le micrologiciel se charge en premier et s’exécute sous le système d’exploitation, les outils de sécurité et les fonctionnalités qui s’exécutent dans le système d’exploitation ont du mal à le détecter ou à s’en défendre. À l’instar d’une maison qui dépend d’une bonne base pour être sécurisé, un ordinateur a besoin que son microprogramme soit sécurisé afin de s’assurer que le système d’exploitation, les applications et les données sur cet ordinateur sont sécurisés.

System Guard est un ensemble de fonctionnalités qui permettent de s’assurer que les attaquants ne peuvent pas faire démarrer votre appareil avec un microprogramme non approuvé ou malveillant.

Les plateformes qui offrent une protection du microprogramme protègent généralement le mode de gestion du système (SMM), un mode de fonctionnement hautement privilégié, à des degrés divers. Vous pouvez vous attendre à l’une des trois valeurs, avec un nombre plus élevé indiquant un plus grand degré de protection SMM :

• Votre appareil est conforme à la version 1 de protection du microprogramme : celle-ci offre les atténuations de sécurité fondamentales pour aider SMM à résister à l’exploitation par des programmes malveillants et empêche l’exfiltration de secrets du système d’exploitation (y compris VBS)

• Votre appareil est conforme à la version 2 de protection du microprogramme : en plus de la version 1 de protection du microprogramme, la version 2 garantit que SMM ne peut pas désactiver la sécurité basée sur la virtualisation (VBS) et les protections DMA du noyau

• Votre appareil est conforme à la version 3 de protection du microprogramme : en plus de la version 2 de protection du microprogramme, elle renforce le SMM en empêchant l’accès à certains registres qui ont la possibilité de compromettre le système d’exploitation (y compris VBS)

La protection de l’autorité de sécurité locale (LSA) est une fonctionnalité de sécurité Windows qui permet d’empêcher le vol des informations d’identification utilisées pour la connexion à Windows.   

L’autorité de sécurité locale (LSA) est un processus crucial dans Windows impliqué dans l’authentification des utilisateurs. Il est responsable de la vérification des informations d’identification pendant le processus de connexion et de la gestion des jetons d’authentification et des tickets utilisés pour activer l’authentification unique pour les services. La protection LSA permet d’empêcher les logiciels non approuvés de s’exécuter dans LSA ou d’accéder à la mémoire LSA.  

Comment faire gérer la protection de l’autorité de sécurité locale ?

Vous pouvez activer oudésactiver la protection LSA à l’aide du bouton bascule.

Une fois que vous avez modifié le paramètre, vous devez redémarrer pour qu’il prenne effet. 

Que se passe-t-il si j’ai un logiciel incompatible ? 

Si la protection LSA est activée et qu’elle bloque le chargement du logiciel dans le service LSA, une notification indique le fichier bloqué. Vous pourrez peut-être supprimer le logiciel qui charge le fichier, ou vous pouvez désactiver les avertissements futurs pour ce fichier lorsqu’il est bloqué pour le chargement dans LSA.  

Lorsque vous utilisez votre appareil professionnel ou scolaire, vous vous connecterez discrètement et obtiendrez l’accès à une variété d’éléments tels que des fichiers, des imprimantes, des applications et d’autres ressources dans votre organization. En rendant ce processus sécurisé, mais facile pour l’utilisateur, votre PC dispose d’un certain nombre de jetons d’authentification à un moment donné.

Si un attaquant peut accéder à un ou plusieurs de ces jetons, il peut être en mesure de les utiliser pour accéder à la ressource de l’organisation (fichiers sensibles, etc.) pour laquelle le jeton est destiné. Credential Guard permet de protéger ces jetons en les plaçant dans un environnement protégé et virtualisé où seuls certains services peuvent y accéder si nécessaire.

Un pilote est un logiciel qui permet au système d’exploitation (Windows dans ce cas) et à un appareil (comme un clavier ou une webcam) de communiquer entre eux. Lorsque l’appareil souhaite que Windows fasse quelque chose, il utilise le pilote pour envoyer cette demande. De ce fait, les pilotes disposent d’un grand nombre d’accès sensibles dans votre système.

Windows 11 inclut une liste de blocage de pilotes qui présentent des vulnérabilités de sécurité connues, qui ont été signés avec des certificats utilisés pour signer des programmes malveillants ou qui contournent le modèle Sécurité Windows.

Si vous disposez de l’intégrité de la mémoire, du contrôle intelligent des applications ou du mode S Windows activé, la liste de blocage des pilotes vulnérables est également activée.

C'est ici que vous trouvez des informations sur le fabricant du processeur de sécurité et les numéros de version, ainsi que sur l’état du processeur de sécurité.

Dans l'application Sécurité Windows sur votre PC, sélectionnez Sécurité  de l’appareil> Détails du processeur de sécurité ou utilisez le raccourci suivant :

Détails du processeur de sécurité

Si votre processeur de sécurité ne fonctionne pas correctement, vous pouvez sélectionner le lien Résolution des problèmes du processeur de sécurité pour afficher les messages d’erreur et les options avancées, ou utiliser le raccourci suivant :

Résolution des problèmes liés aux processeurs de sécurité

La page de résolution des problèmes du processeur de sécurité fournit tous les messages d’erreur pertinents concernant le module de plateforme sécurisée. Voici une liste des messages d’erreur et des détails :

Message	Détails
Une mise à jour du microprogramme est nécessaire pour votre processeur de sécurité (TPM).	La carte mère de votre appareil ne semble pas prendre en charge le module de plateforme sécurisée actuellement, mais une mise à jour du microprogramme peut résoudre ce problème. Contactez le fabricant de votre appareil pour voir si une mise à jour du microprogramme est disponible et comment l’installer. Les mises à jour du microprogramme sont généralement gratuites.
Le module de plateforme sécurisée (TPM) est désactivé, et vous devez le vérifier.	Le module de plateforme approuvée est probablement désactivé dans le SYSTÈME BIOS (Basic Input/Output System) ou UEFI (Unified Extensible Firmware Interface). Reportez-vous à la documentation de support du fabricant de votre appareil ou contactez son support technique pour obtenir des instructions sur la façon de l’activer.
Le stockage TPM n’est pas disponible. Veuillez effacer votre TPM.	Le bouton Effacer le module de plateforme sécurisée se trouve sur cette page. Vous devez vous assurer que vous disposez d’une bonne sauvegarde de vos données avant de continuer.
L’attestation d’intégrité de l’appareil n’est pas disponible. Veuillez effacer votre TPM.	Le bouton Effacer le module de plateforme sécurisée se trouve sur cette page. Vous devez vous assurer que vous disposez d’une bonne sauvegarde de vos données avant de continuer.
L’attestation d’intégrité de l’appareil n’est pas prise en charge sur cet appareil.	Cela signifie que l’appareil ne nous donne pas suffisamment d’informations pour déterminer pourquoi le module de plateforme sécurisée ne fonctionne pas correctement sur votre appareil.
Votre module TPM n’est pas compatible avec votre microprogramme et peut ne pas fonctionner correctement.	Contactez le fabricant de votre appareil pour voir si une mise à jour du microprogramme est disponible et comment l’obtenir et l’installer. Les mises à jour du microprogramme sont généralement gratuites.
Le journal de démarrage mesuré pour le module de plateforme sécurisée (TPM) est manquant. Essayez de redémarrer votre appareil.
Nous avons rencontré un problème avec votre module de plateforme sécurisée (TPM). Essayez de redémarrer votre appareil.

Si vous rencontrez toujours des problèmes après avoir traité un message d’erreur, contactez le fabricant de votre appareil pour obtenir une assistance.

Sélectionnez Effacer le TPM pour réinitialiser votre processeur de sécurité à ses paramètres par défaut.