Points clés
- Microsoft Defender for Business intègre un antivirus, l’EDR (détection et réponse sur les terminaux) et des outils de remédiation automatisée, ce qui en fait une solution idéale pour les PME et les fournisseurs de services gérés qui administrent des environnements multi-tenant.
- Intégrez les appareils Windows à l’aide de scripts PowerShell, d’objets de stratégie de groupe (GPO) ou d’une intégration RMM, pour une protection homogène et évolutive.
- Configurez et surveillez tous vos clients depuis le portail Microsoft 365 Defender ou Microsoft Lighthouse, avec une visibilité en temps réel et une réponse aux incidents.
- Affinez les règles ASR, les politiques de pare-feu, la protection contre les ransomware et la protection contre la falsification, client par client ou groupe d’appareils par groupe d’appareils.
- Utilisez le Repérage avancé avec KQL pour l’analyse des menaces, activez les notifications d’alertes et connectez le tout à des outils SIEM comme Microsoft Sentinel.
- Associez Microsoft Defender à la plateforme d’UEM (gestion unifiée des terminaux) de NinjaOne pour une supervision complète, la mise à jour et la remédiation automatisée sur l’ensemble de vos clients.
Ce guide explique comment configurer Microsoft Defender for Business dans un environnement MSP : déploiement, configuration et gestion au quotidien. Vous y trouverez la procédure d’intégration des appareils via PowerShell ou les objets de stratégie de groupe (GPO), ainsi que des conseils pour paramétrer vos politiques de sécurité et assurer la surveillance et le reporting continus de tous vos terminaux.
Bien maîtriser Microsoft Defender for Business est essentiel pour les administrateurs informatiques internes comme pour les fournisseurs de services gérés qui gèrent plusieurs clients. Son antivirus, ses fonctions d’EDR (détection et réponse sur les terminaux), la gestion du pare-feu et ses outils d’investigation et de remédiation automatisées offrent une protection solide. De plus, la solution peut s’intégrer à votre plateforme MSP ou à votre outil de surveillance et gestion à distance (RMM) pour gagner en visibilité et réduire les délais de résolution.
MS Defender for Business : ce qu’il faut savoir
Microsoft Defender for Business protège vos appareils contre les menaces telles que les malware et les intrusions. Il est inclus sans surcoût dans les abonnements Microsoft 365 Business Premium et proposé en module complémentaire autonome aux clients disposant d’autres formules Microsoft 365.
Microsoft Defender peut être déployé par les équipes informatiques internes ou par des fournisseurs de services gérés (MSP). Son administration se fait soit depuis le tenant Microsoft 365 (via PowerShell ou l’interface web), soit via Microsoft Lighthouse lorsqu’il s’agit de gérer plusieurs clients. Les principales plateformes RMM peuvent également s’intégrer à MS Defender for Business pour une supervision et une gestion centralisées.
Lorsque vous déployez Microsoft Defender for Business et que vous concevez puis appliquez vos politiques de sécurité, visez notamment les objectifs suivants :
- une intégration évolutive des appareils clients
- une personnalisation des politiques par client ou par groupe d’appareils
- une détection et une réponse en temps réel
- une remédiation automatisée des menaces
- un reporting et des alertes homogènes d’un tenant à l’autre
Configuration initiale dans Microsoft 365 et le portail Defender
Microsoft Defender for Business est inclus dans les abonnements Microsoft 365 Business Premium, mais peut aussi être acheté séparément. Une fois que vous disposez d’une licence valide couvrant vos utilisateurs, procédez comme suit :
- Rendez-vous sur le portail Microsoft Defender à l’adresse security.microsoft.com, puis ouvrez Paramètres > Points de terminaison > Intégration
- Sélectionnez Windows 10 and 11 > Télécharger le package d’intégration
- Affectez les appareils aux groupes de sécurité appropriés pour l’application des politiques
Les packages d’intégration peuvent être déployés par script local, par stratégie de groupe (GPO) ou depuis votre RMM.
Intégrer des appareils avec PowerShell
Pour les appareils qui ne sont pas gérés par Intune ou par GPO, PowerShell constitue une alternative pour les intégrer à Microsoft Defender for Business :
- Téléchargez le package d’intégration depuis le portail Defender en choisissant le script local comme méthode de déploiement, puis extrayez-le
- Exécutez le script d’intégration extrait en local ou déployez-le via votre RMM en lançant WindowsDefenderATPOnboardingScript.cmd
- Vérifiez l’intégration en exécutant Get-MpComputerStatus | Select AMServiceEnabled, OnboardingState, et contrôlez que OnboardingState a pour valeur 1 (intégré) ou 2 (intégration en cours).
Intégrer des appareils par stratégie de groupe
La stratégie de groupe peut également servir à intégrer des appareils dans un domaine Windows :
- Téléchargez le package d’intégration depuis le portail en choisissant Group Policy comme méthode de déploiement, puis extrayez-le dans un partage réseau accessible aux appareils cibles
- Ouvrez la console de gestion des stratégies de groupe
- Accédez à Configuration ordinateur > Modèles d’administration > Composants Windows > Microsoft Defender Antivirus > Intégration
- Activez le paramètre Gérer l’intégration à l’aide d’un script local et définissez WindowsDefenderATPOnboardingScript.cmd comme script de démarrage
Activation via CMD dans les environnements avancés ou anciens
Si Microsoft Defender ne fonctionne pas, vous pouvez vérifier qu’il est bien activé (et qu’il n’a pas été désactivé par un antivirus tiers) en démarrant le service Defender depuis l’invite de commande à l’aide des commandes suivantes :
Service antivirus principal : saisissez les commandes suivantes dans une invite CMD (invite de commande) exécutée en tant qu’administrateur.
sc config WinDefend start= auto
net start WinDefend
Si vous utilisez Defender for Business, saisissez la commande suivante dans une invite CMD (invite de commande) exécutée en tant qu’administrateur afin de collecter la télémétrie de sécurité et d’activer la détection et la réponse avancées aux menaces :
sc config Sense start= auto
net start Sense
Vérifiez l’état de Defender en version locale ou entreprise en saisissant les commandes suivantes en tant qu’administrateur :
sc query WinDefend
sc query Sense
Vous pouvez également confirmer que Defender est actif en exécutant la commande PowerShell suivante :
Get-MpComputerStatus | Select OnboardingState
Surveillance et reporting
Le portail Microsoft Defender permet de suivre les détections de menaces, de consulter le niveau de risque d’un appareil, de vérifier les incidents et alertes en cours et d’examiner les actions de remédiation automatisée.
Vous pouvez aussi utiliser le Repérage avancé et le langage de requête KQL pour rechercher des événements, par exemple :
DeviceEvents | where ActionType contains "Antivirus" or ActionType contains "Remediation"
Lors de la configuration de Microsoft Defender for Business, assurez-vous que les notifications pour les alertes de gravité élevée sont activées et bien reçues par les techniciens concernés. Envisagez également de transférer les données de journalisation vers Microsoft Sentinel ou vers vos outils SIEM tiers.
Configurer les politiques de sécurité par client et résoudre les problèmes de configuration de Microsoft Defender for Business
Après avoir configuré Microsoft Defender for Business et intégré vos appareils, vous pouvez utiliser le portail Microsoft 365 Defender pour paramétrer :
- les règles de réduction de la surface d’exposition aux attaques (ASR)
- la protection contre les ransomware
- la protection contre la falsification
- l’application du pare-feu
- les analyses antivirus et les exclusions
Lorsque vous élaborez vos politiques Microsoft Defender for Business et que vous les reliez à vos outils ITSM, réfléchissez à la façon dont vous allez gérer plusieurs tenants (un point particulièrement important pour les MSP) et vous assurer que tous les terminaux sont correctement intégrés. Veillez aussi à ce que Microsoft Defender n’entre pas en conflit avec d’autres solutions de sécurité des terminaux déjà déployées, comme CrowdStrike ou Bitdefender.
Pour limiter les risques lors du déploiement, testez vos politiques avant de les appliquer. En cas de problème, commencez par vérifier les points suivants :
- une licence Microsoft Defender for Business valide est attribuée à tous les utilisateurs
- les règles de pare-feu et la connectivité vers les points de terminaison *.wdatp.com fonctionnent
- le service Defender est activé et l’antivirus tiers a été désinstallé
- les appareils apparaissent bien dans le portail Defender
- les scripts d’automatisation ou les GPO sont correctement configurés
Gagnez en visibilité, en contrôle des politiques et en automatisation de la réponse avec Microsoft Defender for Business
Les outils de sécurité de Microsoft Defender for Business sont robustes et s’intègrent parfaitement à l’écosystème Microsoft, mais ils laissent malgré tout des angles morts dans les déploiements complexes.
NinjaOne s’intègre à Microsoft Defender for Business pour offrir une gestion unifiée des terminaux, la gestion des correctifs et des logiciels, la sauvegarde et la protection de l’ensemble de vos appareils. La solution prend en charge Microsoft Defender ainsi que les plateformes de cybersécurité tierces, et donne une visibilité complète sur toute votre infrastructure informatique, y compris celle de plusieurs clients MSP.
NinjaOne prend aussi en charge le déploiement de scripts, l’audit, la conformité, la remédiation automatisée et le transfert des alertes issues de Microsoft Defender, afin que les incidents soient résolus le plus rapidement possible.
