Powershell : comment configurer Windows Defender SmartScreen

Principaux points à retenir

• Le script configure les paramètres de Windows Defender SmartScreen via un objet de stratégie de groupe local.
• Conçu pour être utilisé sur les systèmes Windows à partir de Windows 8.1 et Windows Server 2012 et ultérieur.
• Permet d’activer ou de désactiver Windows Defender SmartScreen et de régler son niveau sur Avertir (« warn ») ou Bloquer (« block »).
• L’automatisation PowerShell simplifie et normalise les configurations de Windows Defender SmartScreen sur plusieurs systèmes.
• Une exécution correcte nécessite des droits d’administrateur. Dans le cas contraire, une erreur est renvoyée.
• Avant de procéder au déploiement, sauvegardez toujours les états du registre et testez le script dans des conditions contrôlées.
• L’utilisation de NinjaOne peut encore simplifier et améliorer ces tâches de configuration dans les environnements d’entreprise.

Dans le domaine de la sécurité informatique des entreprises, la configuration des paramètres et des préférences des outils est essentielle pour garantir une sécurité sans faille. Windows Defender SmartScreen fait justement partie de ces outils qui nécessitent souvent des configurations méticuleuses. Dans cet article, nous nous penchons sur un script PowerShell conçu pour configurer facilement Windows Defender SmartScreen via un objet de stratégie de groupe (GPO) local.

Contexte

Windows Defender SmartScreen est un élément essentiel de l’écosystème Windows. Il avertit les utilisateurs de la présence de sites, de fichiers, d’applications et d’autres éléments potentiellement dangereux. La nécessité d’un script PowerShell pour ajuster les paramètres de tous les utilisateurs d’une entreprise se fait sentir lorsque les professionnels de l’informatique et les fournisseurs de services gérés (MSP) cherchent à normaliser les paramètres et à éviter les failles potentielles en matière de sécurité.

Le script PowerShell

#Requires -Version 2.0

<#
.SYNOPSIS
    Changes the SmartScreen state for all users via local GPO.
.DESCRIPTION
    Changes the SmartScreen state for all users via local GPO.
    Effected registry entries that are set:
    HKLM:SoftwarePoliciesMicrosoftEdgeSmartScreenEnabled = 1
    HKLM:SoftwarePoliciesMicrosoftWindowsSystemEnableSmartScreen = 1
    HKLM:SoftwarePoliciesMicrosoftWindowsSystemShellSmartScreenLevel = Warn
    HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilterEnabledV9 = 1
    HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilterPreventOverride = 1
    HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilterPreventOverrideAppRepUnknown = 1
.EXAMPLE
     -Off
    Turn off SmartScreen
.EXAMPLE
     -On
    Turn on SmartScreen and Warn.
.EXAMPLE
     -On -Level Block
    Turn on SmartScreen and Block when it normally warns.
.EXAMPLE
    PS C:> Set-SmartScreen.ps1 -Off
    Turn off SmartScreen
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 8.1, Windows Server 2012
    Release Notes:
    Fixes bug where registry wasn't being set correctly.
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
.COMPONENT
    OSSecurity
#>

[CmdletBinding(DefaultParameterSetName = "On")]
param (
    [Parameter(Mandatory = $true, ParameterSetName = "On")]
    [Switch]
    $On,
    [Parameter(Mandatory = $true, ParameterSetName = "Off")]
    [Switch]
    $Off,
    [Parameter(Mandatory = $false, ParameterSetName = "On")]
    [ValidateSet("Block", "Warn")]
    [String]
    $Level = "Warn"
)

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        if ($p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator))
        { Write-Output $true }
        else
        { Write-Output $false }
    }
    function Set-ItemProp {
        param (
            $Path,
            $Name,
            $Value,
            [ValidateSet("DWord", "QWord", "String", "ExpandedString", "Binary", "MultiString", "Unknown")]
            $PropertyType = "DWord"
        )
        New-Item -Path $Path -Force | Out-Null
        if ((Get-ItemProperty -Path $Path -Name $Name -ErrorAction SilentlyContinue)) {
            Set-ItemProperty -Path $Path -Name $Name -Value $Value -Force -Confirm:$false | Out-Null
        }
        else {
            New-ItemProperty -Path $Path -Name $Name -Value $Value -PropertyType $PropertyType -Force -Confirm:$false | Out-Null
        }
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }
    # Set $State to 1 if -On was used or to 0 if -Off was used
    $State = if ($On) { 1 }
    elseif ($Off) { 0 }
    else {
        Write-Error ""
    }
    try {
        Set-ItemProp -Path "HKLM:SoftwarePoliciesMicrosoftWindowsSystem" -Name "EnableSmartScreen" -Value $State
        Set-ItemProp -Path "HKLM:SoftwarePoliciesMicrosoftWindowsSystem" -Name "ShellSmartScreenLevel" -Value $Level -PropertyType String
        Set-ItemProp -Path "HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilter" -Name "EnabledV9" -Value $State
        Set-ItemProp -Path "HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilter" -Name "PreventOverride" -Value $State
        Set-ItemProp -Path "HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilter" -Name "PreventOverrideAppRepUnknown" -Value $State
        # Uses: https://admx.help/?Category=EdgeChromium&Policy=Microsoft.Policies.Edge::SmartScreenEnabled
        Set-ItemProp -Path "HKLM:SoftwarePoliciesMicrosoftEdge" -Name "SmartScreenEnabled" -Value $State
    }
    catch {
        Write-Error $_
        exit 1
    }
    Write-Host "Values change in Registry:"
    # Output Proof of Work
    @(
        [PSCustomObject]@{
            "Registry Entry" = "HKLM:SoftwarePoliciesMicrosoftEdgeSmartScreenEnabled"
            Value            = "$(Get-ItemPropertyValue -Path "HKLM:SoftwarePoliciesMicrosoftEdge" -Name "SmartScreenEnabled" -ErrorAction SilentlyContinue)"
        }
        [PSCustomObject]@{
            "Registry Entry" = "HKLM:SoftwarePoliciesMicrosoftWindowsSystemEnableSmartScreen"
            Value            = "$(Get-ItemPropertyValue -Path "HKLM:SoftwarePoliciesMicrosoftWindowsSystem" -Name "EnableSmartScreen" -ErrorAction SilentlyContinue)"
        }
        [PSCustomObject]@{
            "Registry Entry" = "HKLM:SoftwarePoliciesMicrosoftWindowsSystemShellSmartScreenLevel"
            Value            = "$(Get-ItemPropertyValue -Path "HKLM:SoftwarePoliciesMicrosoftWindowsSystem" -Name "ShellSmartScreenLevel" -ErrorAction SilentlyContinue)"
        }
        [PSCustomObject]@{
            "Registry Entry" = "HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilterEnabledV9"
            Value            = "$(Get-ItemPropertyValue -Path "HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilter" -Name "EnabledV9" -ErrorAction SilentlyContinue)"
        }
        [PSCustomObject]@{
            "Registry Entry" = "HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilterPreventOverride"
            Value            = "$(Get-ItemPropertyValue -Path "HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilter" -Name "PreventOverride" -ErrorAction SilentlyContinue)"
        }
        [PSCustomObject]@{
            "Registry Entry" = "HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilterPreventOverrideAppRepUnknown"
            Value            = "$(Get-ItemPropertyValue -Path "HKLM:SoftwarePoliciesMicrosoftMicrosoftEdgePhishingFilter" -Name "PreventOverrideAppRepUnknown" -ErrorAction SilentlyContinue)"
        }
    )
    gpupdate.exe /force
    Write-Host "A reboot, or three, will be needed for this policy to take affect."
}
end {}

 

Description détaillée

Le script fourni vise à modifier l’état de Windows Defender SmartScreen pour tous les utilisateurs. Il fonctionne en ajustant des entrées de registre spécifiques. En voici une description étape par étape :

• Configuration initiale : Le script commence par spécifier la version requise et donne un bref aperçu de son fonctionnement.
• Liaison et paramètres de la cmdlet : L’utilisateur peut exécuter le script avec les paramètres -On ou -Off. En outre, un paramètre -Level permet aux utilisateurs de choisir entre un état « Warn » (avertissement) ou « Block » (blocage) pour SmartScreen.
• Fonctions d’assistance :
• Test-IsElevated vérifie si le script est exécuté avec des privilèges administratifs.
• Set-ItemProp crée ou modifie des entrées de registre.
• Processus principal :
• Le script vérifie d’abord s’il est exécuté avec les autorisations nécessaires.
• En fonction des données fournies par l’utilisateur, le script définit l’état de SmartScreen et modifie les entrées de registre correspondantes.
• Une sortie affichant les valeurs de registre modifiées est présentée à l’utilisateur.
• Enfin, le script invoque gpupdate.exe pour forcer une mise à jour de la stratégie de groupe, en rappelant aux utilisateurs qu’un redémarrage pourrait être nécessaire.

Cas d’utilisation potentiels

Imaginez une entreprise où une nouvelle politique de sécurité impose que tous les ordinateurs aient Windows Defender SmartScreen d’activé et réglé sur « Bloquer ». Au lieu de configurer manuellement chaque machine, un professionnel de l’informatique peut déployer ce script pour ajuster les paramètres en masse, garantissant ainsi l’uniformité et la conformité sur tous les appareils.

Comparaisons

Bien que les GPO de la console de gestion des stratégies de groupe (GPMC) puissent également configurer les paramètres Windows Defender SmartScreen, ce script PowerShell rationalise le processus. Au lieu de naviguer à travers de multiples fenêtres et paramètres dans GPMC, les professionnels de l’informatique peuvent exécuter un seul script, ce qui leur permet de gagner du temps et de réduire les erreurs potentielles.

FAQ

• Ce script peut-il être exécuté sur n’importe quelle machine ?
  Le script est conçu pour les systèmes Windows, à commencer par Windows 8.1 et Windows Server 2012.
• Que se passe-t-il si je n’exécute pas le script en tant qu’administrateur ?
  Le script affichera un message d’erreur « Accès refusé », invitant les utilisateurs à l’exécuter avec les autorisations appropriées.

Implications

La configuration réussie de Windows Defender SmartScreen pour l’ensemble de l’entreprise renforce la sécurité informatique, en réduisant les risques associés aux téléchargements ou aux sites web nuisibles. Cependant, une mauvaise configuration peut soit exposer les systèmes à des menaces, soit entraîner un trop grand nombre de fausses alertes, ce qui entrave le travail.

Recommandations

• Sauvegardez toujours l’état actuel de votre registre avant d’y apporter des modifications.
• Testez minutieusement le script dans un environnement contrôlé avant de le déployer à l’échelle de l’entreprise.
• Contrôlez et ajustez en permanence les paramètres en fonction des besoins de l’entreprise.

Conclusion

Pour les professionnels de l’informatique qui recherchent une solution transparente pour de telles configurations, des outils tels que NinjaOne peuvent fournir des capacités améliorées. En intégrant des scripts comme celui présenté, NinjaOne peut aider à automatiser, gérer et surveiller les tâches informatiques au sein d’une entreprise, garantissant ainsi des opérations optimisées et sécurisées.