Bloquer les lecteurs USB à l'aide des politiques de réduction de la surface d'attaque de Microsoft Intune

Ouvrez votre navigateur web et accédez au centre d'administration Intune. Connectez-vous avec vos identifiants administratifs disposant des autorisations de sécurité des points de terminaison.

https://endpoint.microsoft.com

Une fois connecté, accédez à Sécurité des points de terminaison dans la barre latérale gauche, puis cliquez sur Réduction de la surface d'attaque. Cette section contient toutes les politiques pour contrôler l'accès aux appareils et réduire les vecteurs d'attaque potentiels.

Vérification : Vous devriez voir le tableau de bord de réduction de la surface d'attaque avec des options pour créer de nouvelles politiques et consulter celles existantes.

Cliquez sur le bouton + Créer une politique pour commencer à créer votre politique de blocage USB. Vous aurez des options de plateforme et de profil.

Configurez les paramètres suivants :

• Plateforme : Sélectionnez "Windows 10, Windows 11, et Windows Server"
• Profil : Choisissez "Contrôle des appareils"

Cliquez sur Créer pour passer à l'assistant de configuration de la politique.

Vérification : L'assistant de création de politique devrait s'ouvrir avec l'onglet "Principes de base" actif.

Dans l'onglet Principes de base, fournissez des informations essentielles sur votre politique :

• Nom : Entrez un nom descriptif comme "Bloquer l'accès en écriture USB - Appareils d'entreprise"
• Description : Ajoutez des détails tels que "Empêche l'accès en écriture aux lecteurs USB pour protéger contre l'exfiltration de données et l'introduction de logiciels malveillants"

Cliquez sur Suivant pour passer aux paramètres de configuration.

Vérification : L'onglet "Paramètres de configuration" devrait maintenant être actif, affichant diverses options de contrôle des appareils.

Dans l'onglet Paramètres de configuration, localisez la section Stockage. Ici, vous trouverez les contrôles de disque amovible.

Pour le blocage d'écriture USB de base, configurez :

• Disque amovible : Refuser l'accès en écriture : Réglez sur Activé

Pour un blocage USB complet (lecture et écriture), vous pouvez également activer :

• Disque amovible : Refuser l'accès en lecture : Réglez sur Activé

Exemple de configuration :
- Disque amovible : Refuser l'accès en écriture = Activé
- Disque amovible : Refuser l'accès en lecture = Non configuré (permet la lecture)
- Autres options de stockage = Non configuré

Cliquez sur Suivant pour passer aux affectations.

Vérification : Vos options sélectionnées devraient apparaître comme "Activé" dans le résumé de configuration.

Dans l'onglet Affectations, vous devez spécifier quels appareils ou utilisateurs recevront cette politique. Cliquez sur + Ajouter des groupes pour sélectionner vos groupes cibles.

Choisissez parmi :

• Groupes d'appareils : Groupes de sécurité Entra ID contenant des appareils Windows
• Groupes d'utilisateurs : Groupes contenant des utilisateurs dont les appareils doivent recevoir la politique

Pour les tests, commencez par un petit groupe pilote :

Exemple d'affectation :
- Inclure : "IT-Pilot-Devices" (groupe de sécurité avec 5-10 appareils de test)
- Exclure : "IT-Admin-Devices" (appareils administratifs nécessitant l'accès USB)

Cliquez sur Suivant pour revoir votre configuration.

Vérification : Vos groupes sélectionnés devraient apparaître dans la section "Groupes inclus" avec le nombre correct de membres.

Dans l'onglet Révision + création, examinez attentivement tous vos paramètres de politique :

• Nom et description de la politique
• Plateforme et type de profil
• Paramètres de configuration (options de blocage USB)
• Affectations de groupe

Si tout semble correct, cliquez sur Créer pour déployer la politique.

La politique apparaîtra maintenant dans votre liste de politiques de réduction de la surface d'attaque avec un statut de "Déploiement" ou "Actif".

Vérification : La nouvelle politique devrait apparaître dans votre liste de politiques avec le nom correct et le nombre d'affectations.

Pour accélérer le déploiement des politiques, forcez la synchronisation sur les appareils cibles. Accédez à Appareils > Tous les appareils dans le centre d'administration Intune.

Pour chaque appareil de test :

1. Sélectionnez l'appareil dans la liste
2. Cliquez sur Synchroniser dans l'aperçu de l'appareil
3. Attendez que la synchronisation soit terminée (généralement 1-2 minutes)

Vous pouvez également vérifier l'état de la synchronisation en utilisant PowerShell sur l'appareil cible :

# Vérifier la dernière heure de synchronisation
Get-ScheduledTask | Where-Object {$_.TaskName -like "*EnterpriseMgmt*"} | Get-ScheduledTaskInfo

# Forcer une synchronisation immédiate (exécuter en tant qu'administrateur)
Get-ScheduledTask | Where-Object {$_.TaskName -like "*EnterpriseMgmt*"} | Start-ScheduledTask

Surveillez l'état du déploiement dans Sécurité des points de terminaison > Réduction de la surface d'attaque en cliquant sur votre politique et en visualisant l'état de l'appareil.

Vérification : L'état de l'appareil doit indiquer "Réussi" pour les politiques déployées avec succès.

Une fois la politique déployée, testez la fonctionnalité de blocage USB sur un appareil cible :

1. Insérez une clé USB dans l'appareil de test
2. Tentez de copier un fichier sur la clé USB
3. Vérifiez que l'accès en écriture est refusé

Vérifiez le Visualiseur d'événements Windows pour les événements ASR :

# Ouvrez le Visualiseur d'événements et naviguez vers :
# Journaux des applications et services > Microsoft > Windows > Windows Defender > Opérationnel

# Ou utilisez PowerShell pour vérifier les événements ASR :
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; ID=1121,1122} -MaxEvents 10

Vous pouvez également vérifier les appareils USB connectés en utilisant PowerShell :

# Lister les appareils de stockage de masse USB
Get-WmiObject Win32_USBControllerDevice | ForEach-Object {[wmi]($_.Dependent)} | Where-Object {($_.Description -like '*mass*')} | Sort-Object Description,DeviceID | Format-Table Description,DeviceID -AutoSize

Vérification : Les opérations d'écriture USB devraient échouer avec une erreur d'accès refusé, et le Visualiseur d'événements devrait montrer des événements de blocage ASR.

Pour un contrôle plus granulaire, vous pouvez créer des paramètres réutilisables avec des exceptions spécifiques pour les appareils. Retournez à votre politique de contrôle des appareils et modifiez la configuration.

Pour créer des exceptions pour des appareils USB spécifiques :

1. Dans la configuration de la politique, cliquez sur + Ajouter sous Paramètres réutilisables
2. Nommer le paramètre (par exemple, "Appareils USB approuvés")
3. Sous Contrôleur de périphérique, cliquez sur + Ajouter
4. Sélectionnez Stockage amovible
5. Ajoutez des ID d'instance ou des numéros de série spécifiques pour les exceptions

Trouvez l'ID d'instance de l'appareil USB en utilisant PowerShell :

# Obtenez les ID d'instance des appareils USB
Get-WmiObject -Class Win32_LogicalDisk | Where-Object {$_.DriveType -eq 2} | ForEach-Object {
    $drive = $_.DeviceID
    Get-WmiObject -Class Win32_LogicalDiskToPartition | Where-Object {$_.Dependent -like "*$drive*"} | ForEach-Object {
        Get-WmiObject -Class Win32_DiskDriveToDiskPartition | Where-Object {$_.Dependent -eq $_.Antecedent} | ForEach-Object {
            Get-WmiObject -Class Win32_DiskDrive | Where-Object {$_.DeviceID -eq ($_.Antecedent.Split('=')[1] -replace '"','')}
        }
    }
} | Select-Object Model, SerialNumber, PNPDeviceID

Vérification : Les appareils exceptés devraient conserver un accès complet en lecture/écriture tandis que les autres lecteurs USB restent bloqués.

Surveillez régulièrement l'efficacité de votre politique de blocage USB via le centre d'administration Intune. Accédez à Sécurité des points de terminaison > Réduction de la surface d'attaque et cliquez sur votre politique.

Examinez les métriques suivantes :

• Statut de l'appareil : Affiche les déploiements réussis, échoués et en attente
• Statut de l'utilisateur : Affiche l'application de la politique par utilisateur
• Statut par paramètre : Détaille quels paramètres spécifiques ont réussi ou échoué

Étapes courantes de dépannage pour les échecs de politique :

# Vérifier le statut de Windows Defender
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled, IoavProtectionEnabled

# Vérifier le statut des règles ASR
Get-MpPreference | Select-Object AttackSurfaceReductionRules_*

# Vérifier la conformité de l'appareil
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntispywareEnabled

Si les appareils apparaissent comme non conformes :

1. Vérifiez que l'appareil est correctement inscrit dans Intune
2. Vérifiez que Microsoft Defender pour Endpoint est installé et en cours d'exécution
3. Forcez une synchronisation de l'appareil et attendez 10-15 minutes
4. Redémarrez l'appareil si nécessaire

Vérification : La conformité de la politique devrait afficher un taux de réussite de 100 % pour les appareils correctement configurés dans les 24 heures suivant le déploiement.