Techniquement, un ordinateur peut fonctionner sans Microsoft Defender. Cependant, pour une entreprise professionnelle, travailler sans une protection complète des points de terminaison n’est pas un choix responsable. De plus, Microsoft Defender est un nom générique pour différents produits de sécurité : de l’antivirus standard intégré à Windows jusqu’à une solution complète d’endpoint detection & response pour entreprise.
Un appareil professionnel sans une sécurité endpoint professionnelle représente aujourd’hui un risque inutilement élevé.
Il n’est pas nécessairement obligatoire d’utiliser Microsoft Defender, mais une solution de sécurité complète doit être présente.
Que entendons-nous exactement par "Defender" ?
Microsoft utilise le nom Defender pour différents produits de sécurité.
Cela cause régulièrement de la confusion.
Il existe une différence importante entre :
- Microsoft Defender Antivirus — l’antivirus intégré de Windows ;
- Microsoft Defender for Business — sécurité endpoint professionnelle pour les petites et moyennes organisations ;
- Microsoft Defender for Endpoint — solution plus complète d’enterprise endpoint detection & response ;
- d’autres produits Microsoft Defender pour, par exemple, l’identité, le courrier électronique et les applications cloud.
La question pertinente est de savoir quelle fonctionnalité Defender est réellement présente, configurée et suivie.
Puis-je désactiver Microsoft Defender Antivirus ?
Windows peut également être protégé par une autre solution antivirus ou de sécurité endpoint compatible.
Dans ce cas, Microsoft Defender Antivirus peut selon la configuration jouer un autre rôle ou céder la fonction principale d’antivirus à l’autre produit de sécurité.
C’est très différent de :
Pourquoi un antivirus classique ne suffit-il plus ?
L’antivirus traditionnel se concentrait surtout sur la reconnaissance de fichiers malveillants connus.
Les attaques modernes sont beaucoup plus larges.
Pensez par exemple à :
- les rançongiciels ;
- les malwares sans fichiers virus classiques ;
- l’exploitation de PowerShell ou d’autres outils légitimes ;
- le vol de données d’identification ;
- le phishing où l’utilisateur exécute lui-même une action ;
- l’exploitation de vulnérabilités connues ;
- les mouvements latéraux dans un réseau ;
- les attaques utilisant des processus Windows légitimes détournés.
Qu’est-ce que l’EDR ?
EDR signifie Endpoint Detection & Response.
Une solution EDR ne cherche pas seulement à bloquer les malwares, mais aussi à suivre les activités suspectes sur l’appareil.
Une solution EDR professionnelle peut par exemple aider à détecter :
- des processus inhabituels ;
- des scripts suspects ;
- le dumping de données d’identification ;
- un comportement de rançongiciel ;
- des connexions réseau suspectes ;
- l’exploitation d’outils système ;
- des attaques composées de plusieurs étapes.
l’antivirus demande surtout « ce fichier est-il malveillant ? », tandis que l’EDR demande aussi « cet appareil se comporte-t-il de manière suspecte ? »
Pourquoi est-ce si important ?
Beaucoup d’attaques modernes cherchent précisément à contourner la détection antivirus traditionnelle.
Un attaquant n’a pas forcément besoin d’installer un fichier virus classique.
Il peut par exemple :
- abuser d’un compte utilisateur valide ;
- utiliser PowerShell ;
- exploiter un outil de gestion à distance existant ;
- exécuter des scripts ;
- utiliser des composants système légitimes à des fins malveillantes.
Est-ce que ça doit être Microsoft Defender ?
Non.
Il existe plusieurs plateformes professionnelles de sécurité endpoint et EDR.
La solution appropriée dépend notamment de :
- la taille de l’organisation ;
- les licences Microsoft utilisées ;
- le niveau de sécurité souhaité ;
- l’environnement de gestion ;
- d’autres produits de sécurité déjà utilisés ;
- la manière dont la surveillance et la réponse aux incidents sont organisées.
L’exigence est que chaque ordinateur professionnel soit protégé de manière professionnelle et démontrable.
Que doit au minimum pouvoir faire une solution de sécurité endpoint professionnelle ?
FLEXAMIT attend beaucoup plus qu’un simple antivirus pour un environnement professionnel.
Selon l’environnement, nous regardons notamment :
- la protection antivirus en temps réel ;
- la détection comportementale ;
- l’EDR ;
- l’intelligence sur les menaces basée sur le cloud ;
- la protection contre les rançongiciels ;
- la réduction de la surface d’attaque ;
- les politiques centrales ;
- la surveillance centrale ;
- les alertes ;
- l’investigation des incidents ;
- l’isolation ou d’autres possibilités de réponse ;
- le reporting et l’audit.
La détection sans suivi est aussi insuffisante
Cela est au moins aussi important que le produit de sécurité lui-même.
Supposons qu’une plateforme EDR détecte une attaque grave à 02h17.
Alors, quelqu’un doit savoir :
- qu’une alerte existe ;
- à quel point elle est grave ;
- quel appareil est touché ;
- quel utilisateur est impliqué ;
- si l’appareil doit être isolé ;
- si des identifiants ont peut-être été volés ;
- si d’autres appareils doivent être examinés.
C’est pourquoi la surveillance est si importante
La sécurité endpoint professionnelle se compose de deux parties :
La solution de sécurité endpoint détecte et bloque les activités suspectes.
2. Suivi
Les alertes sont évaluées et, en cas d’incident grave, une action est entreprise.
"Nous ne sommes qu’une petite entreprise"
Même une petite entreprise peut être touchée par :
- les rançongiciels ;
- le phishing ;
- le vol d’identifiants ;
- les malwares ;
- un fournisseur piraté ;
- une application vulnérable.
De plus, les petites entreprises disposent souvent de moins de capacités informatiques internes pour résoudre un incident elles-mêmes.
Beaucoup d’attaques sont automatisées et ciblent les organisations vulnérables, pas la taille du personnel.
"Mais nous avons un pare-feu"
C’est bien, mais un pare-feu ne remplace pas la sécurité endpoint.
Un ordinateur portable peut par exemple être attaqué :
- via phishing ;
- via un document malveillant ;
- via un navigateur ;
- via un compte volé ;
- lorsque l’employé travaille à domicile ;
- lorsque l’ordinateur portable est hors du réseau de l’entreprise.
"Mais tout le monde utilise Microsoft 365"
Cela ne rend pas non plus la sécurité endpoint superflue.
Le SaaS réduit certains risques liés à l’infrastructure locale classique, mais les employés travaillent toujours à partir d’appareils physiques.
Sur ces appareils :
- des fichiers sont ouverts ;
- du contenu web est exécuté ;
- des jetons Microsoft 365 sont utilisés ;
- des mots de passe et autres identifiants sont saisis ;
- des fichiers sont synchronisés ;
- des applications professionnelles sont utilisées.
"Nos collaborateurs ne cliquent pas sur des liens suspects"
La sécurité ne doit jamais dépendre entièrement du comportement parfait des utilisateurs.
Même les employés expérimentés peuvent :
- ouvrir un mail de phishing convaincant ;
- atterrir sur une fausse page de connexion ;
- ouvrir un mauvais fichier ;
- approuver par erreur une demande MFA ;
- installer une application apparemment légitime qui s’avère malveillante.
La sécurité endpoint n’est qu’une couche
Même la meilleure sécurité endpoint ne rend pas une organisation invulnérable.
Un modèle de sécurité mature combine plusieurs couches :
- MFA et clés d’accès ;
- Conditional Access ;
- sécurité endpoint et EDR ;
- gestion des appareils ;
- sécurité des emails ;
- sécurité pare-feu et réseau ;
- gestion des correctifs ;
- gestion des mots de passe ;
- sauvegarde ;
- sensibilisation à la sécurité ;
- surveillance et réponse aux incidents.
Puis-je donc travailler sans Microsoft Defender ?
Oui, lorsque une autre solution complète de sécurité endpoint professionnelle ou EDR assume correctement ce rôle de sécurité.
Mais la question plus importante est :
Un appareil professionnel sans sécurité endpoint active et gérée centralement crée un risque de sécurité évitable et substantiel.
Comment FLEXAMIT aborde-t-il cela ?
FLEXAMIT ne part pas de la question de savoir quel logo figure sur le produit de sécurité.
Nous examinons l’architecture complète de sécurité.
Nous évaluons notamment :
- quelle protection endpoint est utilisée ;
- si un EDR est présent ;
- si les appareils sont gérés centralement ;
- si les politiques de sécurité sont correctement configurées ;
- à quelle vitesse les mises à jour de sécurité sont déployées ;
- si les alertes sont effectivement suivies ;
- comment la réponse aux incidents est organisée ;
- comment la sécurité endpoint s’intègre à l’identité, au courrier électronique et à la sécurité réseau.
FLEXAMIT considère la sécurité endpoint professionnelle comme une couche de base absolue de la cybersécurité.
Nous ne voulons pas seulement qu’un logiciel soit installé sur un ordinateur portable.
Nous voulons que :
- la sécurité soit correctement configurée ;
- l’appareil soit protégé en permanence ;
- les activités suspectes soient détectées ;
- les alertes soient visibles ;
- les incidents graves puissent être efficacement investigués et suivis.
Ce n’est qu’alors que vous avez une solution de sécurité et pas seulement une licence antivirus.
Pourquoi FLEXAMIT est un partenaire solide pour cela
La sécurité endpoint ne fonctionne jamais isolément.
Un incident sur un seul ordinateur portable peut directement entraîner :
- le vol d’identifiants Microsoft 365 ;
- l’accès aux données de l’entreprise ;
- les rançongiciels ;
- l’exploitation des comptes emails ;
- des attaques sur d’autres systèmes ;
- des fuites de données.
C’est pourquoi FLEXAMIT combine la sécurité endpoint avec :
- la sécurité Microsoft 365 ;
- Microsoft Entra ;
- Conditional Access ;
- Intune ;
- la sécurité des emails ;
- la gestion des mots de passe ;
- la sécurité pare-feu et réseau ;
- la sauvegarde ;
- la surveillance ;
- la sensibilisation à la sécurité.
L’objectif est de construire un environnement de sécurité cohérent où chaque couche soutient les autres.
FLEXAMIT adapte cette sécurité à votre organisation afin qu’elle protège au maximum sans gêner inutilement les collaborateurs.
Notre expertise en cybersécurité a été reconnue trois années consécutives par notre distributeur Microsoft avec le prix Cybersecurity Partner of the Year.
Vous ne savez pas comment vos appareils sont sécurisés aujourd’hui ?
C’est déjà une bonne raison de faire vérifier cela.
FLEXAMIT peut évaluer :
- quelle sécurité endpoint est active ;
- si tous les appareils sont protégés ;
- si l’EDR est correctement configuré ;
- si les politiques sont suffisamment strictes ;
- si les alertes sont suivies ;
- si les utilisateurs peuvent contourner les paramètres de sécurité ;
- si la sécurité endpoint s’intègre bien à Microsoft 365 et au reste de l’environnement.
Contactez-nous via :
sales@flexamit.com
Résumé
- Microsoft Defender est un nom générique pour différents produits de sécurité Microsoft.
- L’antivirus intégré Microsoft Defender Antivirus n’est pas la même chose qu’une plateforme EDR complète.
- Une entreprise peut remplacer Microsoft Defender par une autre solution professionnelle de sécurité endpoint.
- Cependant, un appareil professionnel sans sécurité endpoint professionnelle n’est pas un choix responsable.
- Les attaques modernes nécessitent plus que la détection antivirus traditionnelle.
- L’EDR analyse également le comportement suspect sur un endpoint.
- La surveillance centrale et le suivi des alertes sont au moins aussi importants que le logiciel lui-même.
- Un pare-feu ou Microsoft 365 ne rendent pas la sécurité endpoint superflue.
- Même les petites entreprises ont besoin d’une protection endpoint professionnelle.
- La sécurité endpoint doit fonctionner avec l’identité, le courrier électronique, le réseau, la sauvegarde et d’autres couches de sécurité.
- La question n’est donc pas de savoir si vous pouvez fonctionner sans Microsoft Defender, mais si vous pouvez fonctionner sans sécurité endpoint professionnelle. Notre conseil : absolument pas.
Commentaires
0 commentaire
Vous devez vous connecter pour laisser un commentaire.