Security Baseline Windows 11 26H2 : nouveautés et déploiement
Fin septembre, Microsoft a publié la security baseline Windows 11 26H2. Celle-ci permet de prendre en compte les dernières features...
Parmi les nouveautés de la security baseline 26H2, on retrouve l’activation par défaut d’Admin Protection.
Cette feature, supportée sur Windows 11 24H2, 25H2 et 26H2, vient renforcer la sécurité globale de l’OS.
Prérequis d’Admin Protection sur Windows 11
Admin Protection a besoin de quelques prérequis :
- Appareil Windows 11 physique (pas de support W365 ou AVD pour l’instant, néanmoins le support est annoncé dans une future release)
- Windows 11 Pro – Home – Enterprise – Education – 24H2 – 25H2 – 26H2
- Windows KB : KB5120998
Qu’est-ce qu’Admin Protection sur Windows 11 ?
Le nom explicite le but de cette fonctionnalité : renforcer la sécurité des comptes administrateurs locaux et réduire la surface d’attaque possible sur Windows 11 en privilégiant le principe du moindre privilège.
Aujourd’hui, lorsqu’un utilisateur doit disposer de droits élevés sur sa machine, cela peut être directement élevé, validé par un simple clic ou encore à confirmer avec l’authentification Username+Password.
Admin Protection vient redistribuer les cartes pour assurer que chaque élévation soit protégée dans un conteneur séparé du compte user.
En un schéma, voici l’overview fournie par Microsoft :
Les avantages d’Admin Protection
- Sécurité accrue : Chaque tâche nécessitant des droits élevés devra être explicitement lancée et autorisée par l’utilisateur. Admin Protection protégera le système d’exploitation des changements accidentels d’un utilisateur ou des changements néfastes d’un malware.
- Contrôle utilisateur : les utilisateurs devront explicitement valider leurs demandes d’élévation de privilège pour chaque application. Cela permet de réduire le risque d’accident et de modifications malveillantes.
- Réduction des malwares : Les malwares reposent régulièrement sur des privilèges élevés afin de modifier malicieusement des configurations, ou exécuter des actions potentiellement dangereuses. Admin Protection vient assurer qu’un malware ne puisse pas bénéficier de droits élevés sur l’ensemble du système.
Comment fonctionne Admin Protection ?
Lorsqu’un utilisateur se connecte sur une machine Windows, un jeton utilisateur standard lui est délivré. Lors d’une élévation de droit, l’utilisateur devra confirmer avec ses identifiants explicitement, même si le compte user est un administrateur local de la machine. Une fois validé, un jeton administrateur isolé et caché prend le relais pour l’opération demandée. Une fois l’opération terminée (exemple : Outlook.exe > fermé), le jeton est supprimé et les droits perdus.
L’ensemble du processus bénéficie alors des privilèges élevés tout en étant sécurisé sans ouvrir la porte à d’autres actions non désirées.
Pour aller plus loin dans le détail, l’on peut vérifier quel compte est utilisé. Voici le résultat d’une commande Whoami lorsque le compte lance CMD de manière classique sans Admin Protection activé :
On y retrouve le nom du compte. Maintenant voici le résultat après avoir lancé CMD en tant qu’administrateur avec ce même compte, Admin Protection étant activé sur la machine :
On peut constater que le compte est encapsulé dans « Admin_Synapsysadmpr » : il s’agit du même compte et du même identifiant ; toutefois, le jeton de protection admin est utilisé.
Comment activer Admin Protection via Intune ou GPO ?
Si vous remplissez les prérequis et déployez une security baseline 26H2, alors vous êtes déjà prêt. Si toutefois ce n’est pas le cas, vous avez la possibilité de passer à cette version de la 26H2 et ses nouveautés explicitées ici (lien vers Baseline 26H2). Autrement, il est toujours possible de le faire via Intune ou GPO.
Accéder aux profils de configuration
Créer sa stratégie
Configurer les paramètres
Vérifier qu’Admin Protection est activé
Pour le vérifier sur une machine, vous pouvez lancer une fenêtre CMD en tant qu’admin et lancer la commande Whoami.
Si Admin Protection est bien activé, alors au lieu de retrouver le nom du compte admin, il sera précédé de « admin_ ».
Toutefois, cette solution permet surtout de vérifier sur une machine directement lorsque l’on dispose d’un compte admin local.
Si l’on souhaite le savoir sans forcément disposer d’un compte à privilèges élevés, l’information se retrouve côté registre :
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
Clé : TypeOfAdminApprovalMode
Value : 2
Si la valeur est bien configurée sur 2, alors Admin Protection est bien activé sur la machine en question. Cette information est constatable avec un simple compte user.
Déployer Admin Protection : bonnes pratiques d’adoption
La fonctionnalité n’est pas disruptive pour l’utilisation des comptes à privilèges. Toutefois, comme pour tout changement technique, il est recommandé de tester la fonctionnalité sur un pilote IT restreint, puis de l’étendre progressivement à un pilote utilisateurs et enfin à l’ensemble de votre parc. Chaque étape devra être vérifiée et approuvée avant le déploiement global.
