Windows 11 a commencé à être déployé le 5 octobre sur les appareils personnels, mais la plupart des entreprises ne devraient pas pouvoir accéder à la mise à niveau avant le milieu de l’année 2022.
Quelle que soit la date à laquelle vous adoptez Windows 11, vous devrez connaître les fonctionnalités de sécurité incluses et disponibles afin de pouvoir le déployer efficacement dans toute votre organisation. Les premières données sont prometteuses : jusqu’à présent, les nouvelles fonctionnalités de Windows 11 ont réduit les malwares sur les appareils testés de 60 %.
.
Examinons les fonctionnalités de sécurité de Windows 11 auxquelles les entreprises peuvent s’attendre, ainsi que les exigences auxquelles elles devront satisfaire.Windows 11 offre davantage de fonctionnalités de sécurité que les versions précédentes du système d’exploitation, mais il nécessite toujours des mises à jour et des appareils sécurisés pour maximiser ce niveau de protection. Kolide
— le sponsor de cet article — travaille avec Okta pour s’assurer que seuls les appareils sécurisés peuvent accéder aux ressources de l’entreprise. La solution vérifie l’état de chaque appareil et exige la résolution des problèmes avant d’autoriser l’accès. Grâce à son modèle en libre-service, Kolide permet de résoudre rapidement les problèmes et de réduire la charge du personnel informatique.À quoi s’attendre de Windows 11
- Fonctionnalités activées par défaut
- Prêt pour le zero trust
- Virtualisation
- Sandboxing
- Accès sans mot de passe
- Exigences matérielles renforcées
Faut-il passer à Windows 11 ?
Fonctionnalités activées par défautWindows 10 proposait des fonctionnalités de sécurité, comme la sécurité basée sur la virtualisation (VBS), mais les entreprises devaient les activer manuellement. Dans Windows 11, en revanche, ces fonctionnalités seront activées par défaut — c’est l’une des raisons de l’augmentation des exigences en matière de processeur. Cette évolution s’inscrit dans une tendance souhaitable de la part de Microsoft visant à rendre la
sécurité moins optionnelle
- .
- Voici quelques-unes des fonctionnalités qui seront activées par défaut dans Windows 11 :
- VBSContrôle de l’exécution basé sur le mode (garantit des performances optimales lorsque VBS est en cours d’exécution)
- Chiffrement par module de plateforme sécurisée (TPM)
- Démarrage sécurisé
- Intégrité du code protégée par l’hyperviseur (HVCI)
Windows Sandbox
Protection des données du noyau (KDP)Prêt pour le zero trustGrâce à ces fonctionnalités de sécurité déjà en place, Microsoft présente Windows 11 comme
zero trust prêt. Cela devrait limiter le nombre d’incidents que les professionnels de la cybersécurité doivent traiter, et améliorer leur temps de réaction. Windows 11 permet également de déterminer si un appareil dispose ou non des fonctionnalités de sécurité activées, un peu comme on pourrait aujourd’hui utiliser son carnet de vaccination. Un appareil doit prouver qu’il est sécurisé avant d’accéder aux données, tout comme il peut être nécessaire de présenter son carnet de vaccination pour entrer dans une salle de concert.Associé à la prise en charge native de Microsoft Azure Attestation (MAA) par le système d’exploitation, cela permet à Windows 11 d’offrir une protection zero trust fondée à la fois sur les logiciels et le matériel. MAA peut confirmer à distance l’intégrité du matériel ou des logiciels qui tentent d’accéder à des ressources cloud sensibles. Étendre la protection aux environnements
cloud
et sur site est essentiel pour assurer la montée en charge des entreprises.
VirtualisationL’une des fonctionnalités promises par Windows 11 était la prise en charge des applications Android, qui nécessite la virtualisation des applications. Le développement étant extrêmement difficile sur les appareils mobiles, les développeurs ont besoin d’un moyen d’exécuter l’application depuis leur ordinateur. La virtualisation leur permet de tester les fonctionnalités d’une application depuis leur ordinateur avant de la proposer au public.La VBS utilise la virtualisation matérielle pour ajouter une couche de protection supplémentaire aux fonctionnalités de sécurité et empêcher les
malwares
de les infecter, même s’ils parviennent à compromettre le reste de l’appareil.
À l’avenir, Microsoft prévoit d’exécuter la virtualisation au moyen de conteneurs Krypton individuels. Bien que Microsoft ait annoncé cette fonctionnalité pour Windows 10X, elle ne fait pas encore partie de Windows 11.
SandboxingWindows Sandbox permet aux utilisateurs d’exécuter des applications dans un environnement sécurisé, séparé du reste de leur PC. Lorsque l’utilisateur ferme l’application, tout ce qui se trouve dans le bac à sable est supprimé. Pour les applications susceptibles d’héberger des malwares, cela les empêche d’accéder aux autres fichiers et applications de l’appareil.Microsoft ne pensait pas que les utilisateurs particuliers s’intéresseraient au
sandboxing
, mais ils l’ont en réalité beaucoup utilisé. Le sandboxing modifie évidemment l’expérience d’exécution d’une application ; Microsoft cherche donc toujours à trouver le bon équilibre entre sécurité et facilité d’utilisation.Accès sans mot de passeWindows Hello offre un
accès sans mot de passe pour vos appareils, en s’appuyant plutôt sur un code PIN, une empreinte digitale ou la reconnaissance faciale. Pour les particuliers, l’accès sans mot de passe sera activé par défaut, mais les entreprises pourront déployer des modèles simples d’accès sans mot de passe. Les administrateurs informatiques conserveront également un contrôle granulaire sur les méthodes d’authentification afin de garantir la conformité des utilisateurs avec la politique de l’entreprise.Outre le renforcement de la sécurité, l’accès sans mot de passe peut également réduire les coûts d’exploitation des équipes informatiques, car elles consacreront moins de temps à aider les utilisateurs à réinitialiser leurs mots de passe. Et comme
81 % des compromissions utilisent des mots de passe volés ou piratés par des attaquants, les équipes informatiques auront moins de ressources à consacrer à la traque des intrus.À lire également :
Microsoft étend la connexion sans mot de passe à tous les comptes
Exigences matérielles renforcéesMicrosoft exige que les appareils exécutant Windows 11 disposent au minimum d’un processeur Intel de huitième génération afin d’activer les fonctionnalités de sécurité par défaut qu’il souhaite intégrer. Non seulement les processeurs de huitième génération et ultérieurs prennent en charge ces fonctionnalités, mais ils peuvent également optimiser les performances afin que les utilisateurs n’aient pas à sacrifier la facilité d’utilisation au profit de la sécurité. À terme, cela inclura le
processeur Pluton.En outre, les appareils certifiés pour Windows 11 seront équipés d’une puce TPM 2.0 qui protège les identifiants et les clés de
chiffrement au niveau matériel. Cette protection est difficile à contourner pour les attaquants et fournit nativement une racine de confiance.Même si les nouvelles exigences matérielles peuvent être frustrantes pour certains, 80 % des responsables des décisions de sécurité estiment que les logiciels de sécurité doivent être complétés par du matériel moderne pour contrer les attaques. Dave Weston, directeur de la sécurité des systèmes d’exploitation chez Microsoft, a déclaré que la prévention était au cœur de cette évolution dans son entretien avec
Tech Republic
. « Ce que j’entends, c’est qu’étant donné la voracité des attaquants et le paysage des menaces, la détection fonctionne très bien ; mais peu d’entreprises peuvent réellement mobiliser le personnel nécessaire pour enquêter sur chacun de ces problèmes et y remédier. Nous commençons donc à observer un retour à la bonne vieille prévention : plus nous pouvons réduire le flux de problèmes, mieux nous pouvons agir et remédier à [ces menaces]. »Faut-il passer à Windows 11 ?Les entreprises qui disposent du budget nécessaire pour mettre à niveau leur matériel devraient envisager de passer à Windows 11. Ce système réduit la surface d’attaque de vos appareils et allège la charge de votre équipe informatique en limitant le nombre d’incidents qu’elle doit traiter. Compte tenu de la
difficulté à trouver de bons spécialistes de la sécurité informatique sur le marché actuel, réduire leur charge de travail peut vous aider à les conserver.Cependant, les nouvelles versions logicielles comportent inévitablement des
bogues, il peut donc être judicieux d’attendre quelques mois après la sortie initiale afin de laisser à votre organisation le temps de se préparer aux problèmes signalés par les autres utilisateurs. De cette manière, Microsoft pourra espérons-le résoudre ces problèmes avant même que votre entreprise n’ait à s’en préoccuper.Malgré tout, Microsoft prend la sécurité au sérieux depuis un certain temps déjà et obtient de bons résultats aux tests MITRE dans le domaine de la
détection et réponse sur les terminaux (EDR). Par conséquent, les éventuels bogues du nouveau système d’exploitation seront probablement mineurs et ne devraient pas avoir d’incidence majeure sur la sécurité. Ils sont plus susceptibles d’affecter l’expérience utilisateur.À lire ensuite :