Meilleur contrôle des applications sans pilote en mode noyau
Meilleur contrôle des applications sans pilote en mode noyau
Le contrôle des applications sans noyau échange un peu de profondeur de détection contre une bien meilleure fiabilité opérationnelle. Les outils à pilote en mode noyau offrent un cloisonnement (ringfencing) poussé, mais au prix d’un risque d’écran bleu, de défaillances de signature des pilotes et d’une instabilité des hôtes de session Bureau à distance.
Commencez gratuitement, sans carte de crédit Quoi rechercher
Le contrôle des applications sans noyau autorise uniquement les exécutables approuvés et bloque le reste sans pilote en mode noyau, ce qui évite les écrans bleus, le casse-tête de la signature des pilotes quand Microsoft renouvelle ses autorités de certification et l’instabilité des hôtes de session Bureau à distance propre aux agents en mode noyau. Les meilleurs outils s’exécutent en mode utilisateur ou comme composant intégré fourni par Microsoft, approuvent d’avance selon le certificat de signature (et non l’empreinte du fichier) pour que les mises à jour des fournisseurs ne brisent pas la liste d’autorisation, appliquent la politique localement sans rappel vers le nuage et alimentent automatiquement les preuves de conformité avec les événements de la liste d’autorisation.
Le contrôle des applications, la discipline qui consiste à autoriser uniquement les exécutables approuvés et à bloquer le reste, a historiquement exigé un pilote en mode noyau. Les pilotes en mode noyau voient chaque création de processus et chaque chargement de binaire, ce qui est exactement ce qu’il faut pour un blocage de haute fidélité. Ils sont aussi exactement le pire endroit pour des bogues logiciels : un bogue en mode noyau, c’est un écran bleu, une boucle de démarrage ou tout un parc de postes de travail hors service en même temps.
Plusieurs FSG l’ont appris à la dure. Après une panne très médiatisée liée à un pilote en mode noyau, « contrôle des applications sans pilote en mode noyau » est passé d’une préférence de niche à une exigence d’approvisionnement sérieuse.
Quoi chercher dans un contrôle des applications sans noyau
- Aucun pilote en mode noyau. Cherchez des produits qui indiquent clairement qu’ils s’exécutent entièrement en mode utilisateur ou comme composant intégré fourni par Microsoft (AppLocker, Windows Defender Application Control). Certains fournisseurs se disent « sans pilote en mode noyau » tout en installant un pilote de filtre; lisez donc attentivement la documentation technique.
- Préapprobation par programme d’installation signé. Autoriser par empreinte de fichier signifie que chaque mise à jour d’un fournisseur brise votre politique. Autoriser par certificat de signature (idéalement avec une correspondance de l’éditeur et du nom du produit) résiste aux mises à jour normales des fournisseurs sans intervention d’un opérateur.
- Aucun rappel obligatoire vers le nuage. Pour les clients en environnement distant, réglementé ou isolé du réseau (air gap), le produit de contrôle des applications doit appliquer la politique localement, sans exiger d’aller-retour avec le nuage.
- Prise en charge de l’hôte de session Bureau à distance. Les agents en mode noyau ont une longue histoire d’instabilité sur les hôtes RDS, car chaque session lance des processus que l’agent du noyau doit arbitrer. Les conceptions sans noyau gèrent généralement bien mieux RDS.
- Coexistence avec EDR / AV. Le contrôle des applications cohabite avec Defender, Huntress, Sophos, SentinelOne ou CrowdStrike. Le produit doit coexister sans problème avec l’EDR / AV que le client utilise déjà.
- Intégration des preuves d’audit. Les événements de la liste d’autorisation devraient alimenter automatiquement vos preuves CMMC / NIST 800-171 / CIS.
- Couverture multiplateforme. Cherchez aussi un contrôle des applications sur macOS et Linux, particulièrement pour les niveaux de clientèle réglementés où le cloisonnement (ringfencing) s’applique à l’ensemble du parc.
Options à évaluer
Cinq approches du contrôle des applications, avec les acheteurs auxquels chacune convient le mieux.
Lavawall®
Élévation des privilèges administrateur et prévention de l’exécution, sans pilote en mode noyau, dans un RMM complet
Lavawall® est une plateforme RMM et de soutien à distance multilocataire pour les FSG et les équipes de TI, avec application des correctifs, surveillance de la sécurité, détection des intrusions Microsoft 365 et Google Workspace et conformité intégrés au même agent et à la même console. Elle comprend l’élévation des privilèges administrateur (droits d’administrateur juste-à-temps, Windows seulement) avec des règles fondées sur les certificats et le cloisonnement (ringfencing), ainsi que la prévention de l’exécution pour les outils à risque élevé, déployée d’abord en mode audit. Aucun pilote en mode noyau : aucun risque d’écran bleu, aucun casse-tête de signature des pilotes, et elle fonctionne sur les hôtes de session Bureau à distance. Les règles d’élévation peuvent suivre le certificat de signature de l’éditeur (et non l’empreinte du fichier), de sorte que les mises à jour des fournisseurs ne les brisent pas lors du Patch Tuesday. Fonctionne sans rappel vers le nuage.
Idéal pour : les FSG qui veulent l’élévation des privilèges administrateur et la prévention de l’exécution sans les modes de défaillance des pilotes en mode noyau, dans le même RMM que le reste de leur pile de sécurité et de conformité.
Microsoft Windows Defender Application Control (WDAC)
Liste d’autorisation sans noyau conçue par Microsoft
Intégré à Windows. Applique la politique au niveau du noyau par l’intégrité du code, mais n’exige aucun pilote tiers. Puissant, mais complexe sur le plan opérationnel : la rédaction des politiques n’est pas simple et l’outillage de l’écosystème est moins étoffé que les offres commerciales.
Idéal pour : les équipes de sécurité matures qui ont la capacité d’ingénierie nécessaire pour maintenir des politiques WDAC et la discipline de les tester avant un déploiement général.
Microsoft AppLocker
Liste d’autorisation intégrée à Windows
Intégré à Windows. Plus facile à rédiger que WDAC; moins résistant aux techniques de contournement modernes. Utile comme point de départ pour les organisations qui découvrent le contrôle des applications.
Idéal pour : les petits environnements au portefeuille d’applications simple qui ont seulement besoin d’une liste d’autorisation de base.
ThreatLocker
Contrôle des applications par pilote en mode noyau avec cloisonnement (ringfencing)
Contrôle des applications mature fondé sur un pilote en mode noyau, avec un cloisonnement (ringfencing) poussé (réseau, registre, fichiers, processus enfants). Profondeur de détection la plus élevée. Les compromis liés au risque d’écran bleu, à l’entretien de la signature des pilotes et à la stabilité des hôtes RDS sont inhérents aux conceptions en mode noyau.
Idéal pour : les FSG qui ont adopté un modèle de cloisonnement (ringfencing) à confiance zéro au niveau du noyau et qui ont la capacité d’ingénierie pour le maintenir.
Airlock Digital
Liste d’autorisation des applications
Produit mature de contrôle des applications courant dans les environnements australiens et alignés sur l’ASD. Prend en charge les exigences de maturité de la liste d’autorisation de l’Essential Eight.
Idéal pour : les sous-traitants du gouvernement australien et les environnements Essential Eight de niveau de maturité 2 et plus.
Où se situe Lavawall®
Lavawall® a été conçu délibérément pour offrir l’élévation des privilèges administrateur et la prévention de l’exécution sans pilote en mode noyau. La page des tarifs décrit directement l’objectif de conception : « Remplacez ThreatLocker et AutoElevate par une approche plus rapide et plus légère, conçue pour les FSG qui se sont brûlés avec des agents au niveau du noyau. »
L’approche technique : fonder les règles d’élévation sur le certificat de signature de l’éditeur, appliquer la politique localement sans aller-retour avec le nuage, fonctionner proprement sur les hôtes de session Bureau à distance et éviter complètement le casse-tête de la signature des pilotes. Le compromis est un modèle de cloisonnement (ringfencing) légèrement moins profond que celui des produits à pilote en mode noyau les plus poussés. Lavawall® contrôle l’élévation et bloque des outils à risque élevé nommés, plutôt que d’arbitrer chaque appel système réseau / registre / fichiers. Mais pour la grande majorité des clients de FSG, ce compromis est le bon.
Comme Lavawall® est aussi la plateforme d’application des correctifs, d’évaluation de la configuration, de GRC et de détection des intrusions, les événements d’élévation et de prévention de l’exécution alimentent directement les preuves de conformité (CMMC 2.0, NIST 800-171, CIS Controls v8 IG2/IG3, Essential Eight australien) sans taxe d’intégration distincte.
Questions fréquentes
- Pourquoi le mode noyau est-il si important?
- Parce qu’un bogue du noyau peut mettre tout un parc hors service. Un pilote en mode noyau s’exécute à l’anneau 0, avec un accès complet à la mémoire et au matériel. Un bogue dans du code du noyau, c’est un écran bleu (BSOD), une boucle de démarrage ou, à grande échelle, tout un parc de postes de travail impossibles à démarrer en même temps. Le mode noyau exige aussi un pilote signé par le fournisseur, ce qui fait de la chaîne de l’autorité de certification, du processus de signature des pilotes et de l’attestation des pilotes en mode noyau de Microsoft autant de dépendances opérationnelles. Le contrôle des applications sans noyau élimine toute cette catégorie de pannes.
- Retirer le pilote en mode noyau affaiblit-il le modèle de sécurité?
- Légèrement. On perd en profondeur de détection, plus précisément la capacité d’arbitrer chaque appel système individuel qu’un processus effectue après avoir été autorisé à s’exécuter. Pour les objectifs typiques de liste d’autorisation des FSG (bloquer les exécutables inconnus, contrôler l’élévation, empêcher l’exécution d’outils de rançongiciel prêts à l’emploi), l’approche en mode utilisateur est plus que suffisante. Pour un cloisonnement (ringfencing) poussé du comportement ultérieur des applications autorisées, les conceptions en mode noyau conservent un avantage.
- Puis-je utiliser un contrôle des applications sans noyau en parallèle avec Defender ou Huntress?
- Oui. Le contrôle des applications et l’EDR sont des couches complémentaires. Lavawall® coexiste avec Defender, Huntress, Sophos, SentinelOne, CrowdStrike et d’autres produits EDR / AV, et présente leur état à côté de ses propres constats.
- Que se passe-t-il quand un fournisseur publie une mise à jour?
- Elle s’installe normalement. Les mises à jour d’éditeurs approuvés continuent de s’installer sans intervention d’un opérateur, parce que les règles d’élévation de Lavawall® peuvent suivre le certificat de signature de l’éditeur plutôt qu’une empreinte de fichier. Les listes d’autorisation fondées sur les empreintes, en revanche, exigent un réétiquetage manuel à chaque Patch Tuesday, une grande source de fardeau opérationnel à l’époque du contrôle des applications par pilote en mode noyau.