Colonne vertébrale des entreprises du monde entier, Windows équipe plus d'un milliard d'appareils et prend en charge des millions d'applications. Cependant, Microsoft reconnaît que les applications deviennent de plus en plus incontrôlables, modifiant les paramètres, installant des composants supplémentaires ou altérant des fonctionnalités essentielles de Windows à l'insu ou sans l'accord des utilisateurs. En réponse, la société prévoit de déployer ce qu'il appelle un modèle de « consentement préalable ».

Cette exigence par défaut n'accordera l'accès qu'aux applications explicitement approuvées, mais les utilisateurs conserveront le contrôle total pour autoriser, refuser ou annuler les décisions d'autorisation. Ils bénéficieront également d'une visibilité totale sur le comportement des applications et des agents. « C’est une réponse directe aux abus réels liés à la mauvaise configuration des terminaux, au vol d'identifiants via l'exécution au niveau utilisateur et aux techniques d'exploitation post-intrusion », a déclaré Ensar Seker, RSSI chez SOCRadar.

Plus de contrôle, sans perte de transparence

Avec  Windows Baseline Security Mode, les protections d'exécution seront activées par défaut et n'autoriseront que les applications, services et pilotes « correctement signés » à s'exécuter. Cependant, les utilisateurs et les administrateurs pourront contourner ces protections pour certaines applications spécifiques si nécessaire, et ils auront une visibilité sur les protections actives et les exceptions accordées. L'objectif, selon Microsoft, est de protéger le système contre « les altérations ou les modifications non autorisées ». De plus, grâce à ces mesures, les utilisateurs recevront des invites lorsque des applications tenteront d'accéder à leurs données et ressources sensibles, que ce soit des fichiers, des caméras ou des microphones, ou lorsqu'elles tenteront d'installer d'autres « logiciels non souhaités ».

Les personnes peuvent accepter ou refuser les demandes des applications qui cherchent à accéder à leurs données et à leur matériel protégés, et peuvent également choisir de révoquer les autorisations précédemment accordées. Microsoft affirme que cette approche dans la manière dont Windows communique ses décisions de sécurité est « plus cohérente et intuitive ». Selon l’entreprise, ces capacités sont une réponse directe aux clients qui réclament « des bases de sécurité plus solides et plus cohérentes » dans son système d'exploitation. « Windows doit à la fois rester une plateforme ouverte et doit être sécurisé par défaut, afin de protéger l'intégrité de l’expérience utilisateur, quelles que soient les applications installées », a écrit Logan Iyer, développeur émérite dans un blog.

Les partenaires et les développeurs sollicités

Microsoft dit avoir opté pour une « approche progressive guidée par des principes clairs » pour déployer ces mesures, même si le fournisseur n’a pas explicité en détail ce que cela signifiera concrètement pour les entreprises, ni sur la date à laquelle ces changements devraient prendre effet. La société a refusé de répondre à une demande de précisions à ce sujet. Cependant, elle a indiqué qu'elle fournirait des outils et des API pour faciliter l'adoption et donner aux utilisateurs et aux administrateurs IT une visibilité sur le comportement des applications et des agents dans leurs systèmes. Les applications existantes « qui se comportent correctement » fonctionneront comme d'habitude, ce qui laissera aux développeurs « le temps et la marge de manœuvre » nécessaires pour se conformer à des mesures de sécurité et de confidentialité plus strictes.

L’entreprise travaille avec des développeurs et des partenaires, notamment CrowdStrike, OpenAI, Adobe, 1Password et Raycast, sur ces initiatives. « Microsoft fait évoluer sa posture de sécurité vers le bas de la pile en rendant les protections de base obligatoires par défaut plutôt qu'optionnelles », a fait remarquer M. Seker de SOCRadar. Ce qui ressort, selon lui, c'est « l'association explicite d'une configuration par défaut renforcée avec une transparence et un consentement visibles pour l'utilisateur », plutôt que l'application silencieuse de contrôles. « Cela marque le passage d'une « sécurité basée sur une politique » à une « sécurité par conception et par anticipation », en particulier au niveau du système d'exploitation, où de nombreuses entreprises ont historiquement sous-investi », a déclaré M. Seker.

Une visibilité sur la sécurité de base

David Shipley, de Beauceron Security, estime que ces fonctions de sécurité et de visibilité de Microsoft sont une excellente idée. « Elles vont contribuer à réduire considérablement les dommages auxquels les acteurs malveillants ont trop facilement accès, ce qui est une grande victoire », a-t-il déclaré. Un comportement sécurisé par défaut est essentiel, en particulier compte tenu de la ruée vers les agents IA. « Cette poussée a finalement incité quelqu'un à dire qu’il fallait éteindre cet incendie avant d'en déclencher un autre », s’est félicité David Shipley. « En verrouillant rapidement les voies d'attaque courantes, Microsoft vise à réduire la portée des attaques de phishing, des logiciels malveillants d'accès initial et des élévations de privilèges non gérées », a reconnu de son côté Ensar Seker de SOCRadar. C’est particulièrement important dans les environnements de travail hybrides et BYOD, où la cohérence des terminaux est faible. « Le plus grand avantage est de supprimer le problème des mesures « sécurisées mais jamais déployées », a expliqué le RSSI. « Les bases de référence activées par défaut peuvent réduire considérablement le temps nécessaire à la mise en place de la protection et la fatigue décisionnelle des équipes informatiques », a-t-il ajouté.

Cependant, ce dernier souligne que les entreprises doivent se méfier des défis liés aux frictions : les applications héritées, les utilisateurs expérimentés et les flux de travail spécialisés peuvent entraîner des dysfonctionnements ou nécessiter des exceptions. Et si ces dernières ne sont pas strictement contrôlées, les mêmes failles de sécurité peuvent se reproduire et devenir encore plus complexes. « Les dirigeants doivent considérer cette transition comme une « fonction contraignante » visant à nettoyer la prolifération des terminaux, les dépendances non documentées et les privilèges d'administration informels », a conseillé M. Seker. La préparation consiste à tester les bases de référence dans des groupes pilotes réalistes, à cartographier à l'avance les flux de travail exceptionnels et à aligner les équipes d'assistance afin que les contrôles de sécurité ne soient pas annulés sous la pression des utilisateurs. « D'un point de vue stratégique, il ne faut pas considérer cela comme une fonctionnalité Windows supplémentaire, mais plus comme l’acceptation d’une sécurité de base qui n'est plus facultative ou invisible », a déclaré le responsable.