Sécurité de Windows 11 : Defender, réduction de la surface d'attaque, BitLocker, VBS et comptes

Ce guide s'adresse à un PC personnel ou de petite structure. En entreprise, les mêmes réglages se déploient par stratégies de groupe ou par MDM (Intune ou autre), et les règles évoquées ici se testent d'abord en mode audit.

1. Faire l'état des lieux

L'application Sécurité Windows donne une vue d'ensemble : chaque section doit afficher une coche verte. En PowerShell (administrateur), le diagnostic complet :

# Antivirus : protections actives et date des signatures
Get-MpComputerStatus | Select-Object AMRunningMode,
  RealTimeProtectionEnabled, IsTamperProtected,
  AntivirusSignatureLastUpdated

# Chiffrement du disque système
Get-BitLockerVolume -MountPoint C: |
  Select-Object VolumeStatus, ProtectionStatus, EncryptionMethod

# Sécurité basée sur la virtualisation (2 = active)
Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard `
  -ClassName Win32_DeviceGuard |
  Select-Object VirtualizationBasedSecurityStatus,
  SecurityServicesRunning

# Pare-feu : les trois profils doivent être actifs
Get-NetFirewallProfile | Select-Object Name, Enabled

Dans SecurityServicesRunning, la valeur 1 désigne Credential Guard et 2 l'intégrité de la mémoire (HVCI).

2. Microsoft Defender

L'antivirus intégré est suffisant pour un usage personnel et professionnel courant, à condition de garder ses protections actives (voir aussi Antivirus et sécurité du système). Un antivirus tiers le désactive automatiquement : n'en installez pas deux.

Les réglages à vérifier dans Sécurité Windows › Protection contre les virus et menaces › Gérer les paramètres :

Set-MpPreference -PUAProtection Enabled
Update-MpSignature
Start-MpScan -ScanType QuickScan

L'analyse hors ligne (Options d'analyse › Analyse Microsoft Defender hors ligne) redémarre le PC dans un environnement minimal pour traquer les logiciels malveillants qui se cachent pendant le fonctionnement normal.

3. Les règles de réduction de la surface d'attaque

Les règles ASR bloquent des comportements typiques des attaques plutôt que des fichiers connus : une macro Office qui lance un programme, un script téléchargé qui exécute un fichier, un outil qui lit la mémoire de lsass.exe. Elles fonctionnent avec Defender, y compris sans abonnement entreprise, et se règlent par PowerShell ou stratégie de groupe.

Microsoft recommande d'activer directement les règles de protection standard, puis de tester les autres en mode audit avant de les bloquer.

Étape 1. Activez les règles standard :

$std = '56a863a9-875e-4185-98a7-b882c64b5ce5',
       '9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2',
       'e6db77e5-3df2-4cf1-b95a-636979351e5b'
foreach ($id in $std) {
  Add-MpPreference -AttackSurfaceReductionRules_Ids $id `
    -AttackSurfaceReductionRules_Actions Enabled
}

Étape 2. Passez les autres en audit (AuditMode au lieu de Enabled), utilisez le PC normalement une à deux semaines, puis consultez les événements 1121 (bloqué) et 1122 (audité) dans Observateur d'événements › Microsoft › Windows › Windows Defender › Opérationnel.

Étape 3. Si rien de légitime n'apparaît, passez-les en Enabled. Vérifiez l'état final :

$p = Get-MpPreference
for ($i = 0; $i -lt $p.AttackSurfaceReductionRules_Ids.Count; $i++) {
  '{0}  {1}' -f $p.AttackSurfaceReductionRules_Ids[$i],
    $p.AttackSurfaceReductionRules_Actions[$i]
}

La valeur 1 signifie bloqué, 2 audit, 0 désactivé.

4. Contre les rançongiciels : l'accès contrôlé aux dossiers

L'accès contrôlé aux dossiers n'autorise que les applications de confiance à modifier Documents, Images, Bureau et les dossiers que vous ajoutez. Un rançongiciel qui tente de chiffrer vos fichiers est bloqué.

Set-MpPreference -EnableControlledFolderAccess Enabled
Add-MpPreference -ControlledFolderAccessProtectedFolders 'D:\Projets'
Add-MpPreference -ControlledFolderAccessAllowedApplications `
  'C:\Program Files\MonLogiciel\appli.exe'

Au début, certaines applications légitimes (logiciels de dessin, jeux qui sauvegardent dans Documents) seront bloquées : une notification apparaît, et l'application s'autorise dans Sécurité Windows › Protection contre les rançongiciels. Cette protection ne remplace pas une sauvegarde hors ligne : voir la section maintenance de cette série.

5. Smart App Control, SmartScreen et la marque du web

SmartScreen vérifie la réputation des fichiers téléchargés et des sites. Il s'appuie sur la marque du web, que Windows inscrit sur chaque fichier téléchargé (voir Windows 11 sous le capot). Ne débloquez un fichier (Propriétés › Débloquer) que si vous êtes sûr de sa provenance.

Smart App Control va plus loin : il n'autorise que les applications signées ou jugées sûres par le service de réputation de Microsoft. Il convient très bien à un PC familial ou bureautique, moins à un poste de développeur.

• Depuis avril 2026, il peut être réactivé sans réinstaller Windows (Sécurité Windows › Contrôle des applications et du navigateur).
• La mise à jour d'octobre 2026 (KB5127648) a introduit un bug : sur les PC où il avait été désactivé, l'interrupteur reste grisé. Microsoft prévoit un correctif dans une prochaine mise à jour.

6. Le pare-feu

Le pare-feu Windows filtre les connexions entrantes selon trois profils :

Étape 1. Vérifiez que chaque réseau inconnu est bien en Public : Paramètres › Réseau et Internet › Wi-Fi › (réseau) › Type de profil réseau.

Étape 2. Pour aller plus loin, le pare-feu avancé (wf.msc) ou PowerShell permettent des règles précises. Exemple : autoriser le bureau à distance uniquement depuis le réseau local d'administration :

New-NetFirewallRule -DisplayName "RDP depuis ADMIN" -Direction Inbound `
  -Protocol TCP -LocalPort 3389 -RemoteAddress 10.10.10.0/24 `
  -Profile Private,Domain -Action Allow

Étape 3. Activez la journalisation des connexions bloquées pour diagnostiquer :

Set-NetFirewallProfile -Profile Public,Private -LogBlocked True `
  -LogFileName "%SystemRoot%\System32\LogFiles\Firewall\pfirewall.log"

Pour le principe général des pare-feu, voir Comprendre les pare-feu.

7. BitLocker et le chiffrement de l'appareil

BitLocker chiffre le disque : un PC volé ou un disque retiré ne livre aucune donnée. La clé est protégée par le TPM, qui ne la libère que si la chaîne de démarrage est intacte.

Étape 1. Vérifiez l'état et les protecteurs :

manage-bde -status C:
manage-bde -protectors -get C:

Étape 2. Sauvegardez la clé de récupération (48 chiffres), à au moins deux endroits hors du PC : gestionnaire de mots de passe, impression rangée en lieu sûr. Avec un compte Microsoft, elle est aussi enregistrée dans le compte en ligne ; avec un compte local, elle ne l'est nulle part tant que vous ne l'avez pas sauvegardée.

(Get-BitLockerVolume -MountPoint C:).KeyProtector |
  Where-Object KeyProtectorType -eq 'RecoveryPassword' |
  Select-Object KeyProtectorId, RecoveryPassword

Étape 3. Pour un portable professionnel, ajoutez un code PIN au démarrage (protecteur TPM + PIN). Il protège contre les attaques matérielles sur la puce TPM. Activez d'abord la stratégie Configuration ordinateur › Modèles d'administration › Composants Windows › Chiffrement de lecteur BitLocker › Lecteurs du système d'exploitation › Exiger une authentification supplémentaire au démarrage, puis :

manage-bde -protectors -add C: -TPMAndPIN

Suspend-BitLocker -MountPoint C: -RebootCount 1

8. Isolation du noyau et protection des identifiants

Ces protections s'appuient sur la sécurité basée sur la virtualisation (voir Windows 11 sous le capot). Elles se trouvent dans Sécurité Windows › Sécurité de l'appareil › Isolation du noyau.

Si l'intégrité de la mémoire refuse de s'activer, la page indique le pilote fautif : mettez-le à jour, ou désinstallez le logiciel qui l'a installé (souvent un vieil utilitaire de carte mère, de RGB ou d'overclocking).

9. Comptes et connexion

• Travaillez avec un compte standard et gardez un compte administrateur séparé pour l'installation. Un logiciel malveillant lancé par erreur ne pourra pas modifier le système.
• Windows Hello (code PIN, visage, empreinte) remplace le mot de passe. Le PIN est lié à l'appareil et protégé par le TPM : volé, il ne sert à rien sur une autre machine.
• Les clés d'accès (passkeys) enregistrées dans Windows Hello remplacent le mot de passe sur les sites compatibles et résistent à l'hameçonnage.
• LAPS (Local Administrator Password Solution), intégré à Windows, donne à chaque PC un mot de passe administrateur local unique et renouvelé automatiquement. Il demande un Active Directory ou Entra ID pour stocker les mots de passe : c'est un outil de parc, pas de PC isolé. Voir Créer un domaine Active Directory.

10. Check-list de sécurité