Comment configurer et dépanner les stratégies AppLocker sous Windows
Gérer les applications autorisées à s’exécuter sous Windows peut s’avérer complexe, notamment pour appliquer des politiques de sécurité ou bloquer des logiciels indésirables. Bien qu’AppLocker existe depuis un certain temps, son utilisation reste parfois délicate : sa configuration et son fonctionnement en cas de dysfonctionnement ne sont pas toujours maîtrisés. Vous souhaitez peut-être bloquer une application comme AnyDesk ou restreindre l’accès de certains utilisateurs sans leur accorder de droits d’administrateur complets. Il se peut également que les GPO n’appliquent pas correctement les politiques et que votre système ignore tout simplement les règles. Ce guide vous explique comment configurer et utiliser AppLocker, créer des règles efficaces et identifier les points à vérifier en cas d’anomalie. Vous maîtriserez ainsi mieux le contrôle des applications sur votre réseau sans avoir recours à des outils obsolètes comme les stratégies de restriction logicielle. De plus, vous apprendrez à surveiller et à résoudre les problèmes de lancement d’applications. Car, soyons honnêtes, Windows a parfois tendance à compliquer inutilement les choses.
Comment résoudre le problème d’AppLocker qui ne s’applique pas ou ne bloque pas correctement les applications ?
Méthode 1 : S’assurer que le service d’identité de l’application est activé
Pourquoi c’est utile : AppLocker dépend du service Identité des applications. S’il n’est pas en cours d’exécution, les règles ne seront pas appliquées. Que vous souhaitiez bloquer ou autoriser certaines applications, c’est la première étape. Quand cela s’applique : Vous constatez que les règles ne bloquent pas les applications ou que vos stratégies ne s’appliquent pas après avoir vu des messages « Accès refusé » ou un comportement incorrect.À quoi s’attendre : Après avoir activé ce service et configuré son démarrage automatique, les stratégies devraient être appliquées et AppLocker fonctionnera comme prévu. Conseil pratique : Sur certaines configurations, le service Identité des applications peut être désactivé par défaut. Accédez simplement à Services (tapez `services.msc`), recherchez Identité des applications, définissez-le sur Automatique, puis démarrez-le. Attention : Windows ne conservera pas cette modification après un redémarrage, sauf si vous configurez le démarrage automatique.
Méthode 2 : Élaborer des règles appropriées et les appliquer correctement
Pourquoi c’est utile : Sans règles appropriées, même si AppLocker est activé, les stratégies peuvent s’avérer inefficaces. Créer des règles pour la catégorie de logiciels adéquate garantit un contrôle précis. Quand cela s’applique : Lorsque vous constatez que certaines applications ne sont ni bloquées ni autorisées malgré vos stratégies, ou si les règles ne sont pas appliquées du tout.À quoi s’attendre : Après avoir défini des règles pour les exécutables, les scripts, les installateurs MSI ou les applications MSIX, et après avoir correctement lié l’objet de stratégie de groupe (GPO), vous bénéficierez d’un meilleur contrôle sur l’exécution des applications dans votre environnement. Conseil : Si vous bloquez un élément tel que AnyDesk.exe, veillez à créer une règle Refuser basée sur l’éditeur ou le chemin d’accès, selon le cas. Dans la console AppLocker, cliquez avec le bouton droit sur Règles d’exécution, puis choisissez Créer une nouvelle règle. Sélectionnez Refuser pour le blocage, choisissez les groupes d’utilisateurs, puis Éditeur ou Chemin d’accès comme conditions. Pour les règles d’éditeur, l’accès à la signature numérique de l’exécutable peut s’avérer utile ; toutefois, il peut être nécessaire de spécifier manuellement les informations de l’éditeur si elles ne sont pas correctement reconnues.
Méthode 3 : Application des règles via une stratégie de groupe en mode d’application pour un blocage réel
Pourquoi c’est utile : Il est préférable de commencer par tester en mode Audit. Ce mode enregistre les éléments qui auraient été bloqués sans pour autant interrompre l’exécution des applications. Une fois que tout semble correct, passez en mode Application. Quand l’utiliser : Après avoir testé les stratégies en mode Audit et vérifié qu’elles ne bloquent aucun élément critique par inadvertance, à quoi s’attendre : En mode Application, les applications non explicitement autorisées seront bloquées, affichant généralement le message « Cette application a été bloquée par votre administrateur ».Conseil : N’oubliez pas d’associer l’objet de stratégie de groupe (GPO) à l’unité d’organisation (UO) ou au domaine approprié, et d’utiliser gpmc.msc pour le gérer. Notez également que les stratégies sont appliquées après un redémarrage ou une commande gpupdate /force. Par conséquent, exécutez cette commande sur les machines clientes pour accélérer le processus.
Méthode 4 : Utilisation de l’Observateur d’événements pour déboguer et vérifier le bon fonctionnement des règles
Pourquoi c’est utile : Si vous vous demandez si vos règles sont bien appliquées ou si certaines applications parviennent à contourner les restrictions, les journaux de l’Observateur d’événements dans AppLocker sont vos meilleurs alliés. Quand cela s’applique : Vous avez configuré des règles, mais vous n’êtes pas certain qu’elles soient respectées ou qu’une application s’exécute malgré les restrictions.À quoi s’attendre : Lorsqu’une application est bloquée, l’ID d’événement 8004 vous indique quel exécutable a été empêché. S’il est autorisé, l’ID d’événement 8002 apparaît. Conseil : Ouvrez eventvwr.msc, puis accédez à Journaux des applications et des services > Microsoft > Windows > AppLocker > EXE et DLL. Par exemple, pour dépanner AnyDesk, vérifiez si vos règles bloquent ses tentatives d’exécution. L’exécution d’une commande PowerShell comme : `powershell Get-WinEvent -LogName « Microsoft-Windows-AppLocker/EXE and DLL » -ID 8003 -MaxEvents 50` vous fournira les journaux récents. Cela vous permettra de vérifier si vos règles fonctionnent et si elles nécessitent des ajustements.
Méthode 5 : Rendre les règles plus flexibles ou automatiser la création de règles
Pourquoi c’est utile : Créer des règles manuelles pour chaque application est fastidieux. Utiliser des outils pour générer des règles basées sur le comportement des applications existantes permet de gagner un temps précieux. Quand cela s’applique : Lors du déploiement de stratégies sur plusieurs PC ou lorsque vous souhaitez autoriser rapidement certaines applications.À quoi s’attendre : Grâce aux fonctionnalités intégrées telles que « Générer automatiquement des règles » (disponible dans l’éditeur GPO sous AppLocker), vous pouvez sélectionner un dossier de test, y exécuter les applications et laisser AppLocker créer des règles en fonction des logiciels installés. Astuce : Pour les scénarios avancés, vous pouvez exporter les journaux avec la commande PowerShell `Get-AppLockerFileInformation -EventLog -EventType Audited | fl` et identifier les applications bloquées. Générez ensuite les règles en conséquence.
Résumé
- Assurez-vous que le service Identité de l’application est activé et configuré en mode automatique.
- Créez des règles correctes, ciblant l’éditeur, le chemin ou le hachage.
- Effectuez le test en mode audit avant de passer en mode imposé.
- Utilisez les journaux de l’Observateur d’événements pour dépanner et vérifier les règles.
- Tirez parti des fonctionnalités de génération automatique pour accélérer la création de règles.
Conclure
Configurer correctement les stratégies AppLocker peut s’avérer complexe, notamment en raison des nombreux paramètres et des particularités de la journalisation. Cependant, une fois correctement configurées, elles renforcent considérablement la sécurité et le contrôle des lancements d’applications. Il est important de noter que certaines applications peuvent nécessiter des exceptions ou des règles spécifiques, et la surveillance des journaux est essentielle pour comprendre ce qui se passe réellement. Windows peut parfois être capricieux, car les stratégies semblent être ignorées ou partiellement appliquées, mais avec de la patience et une vérification étape par étape, la tâche devient plus simple. J’espère que ce guide permettra à certains de gagner du temps.