Vous devez empêcher l'exécution de code non signé sur les serveurs de fichiers Windows Server 2022, autoriser uniquement les binaires/pilotes signés par Microsoft et Contoso, et commencer en mode audit pendant une semaine avant l'application. Que devez-vous faire ?

La bonne approche consiste à utiliser Windows Defender Application Control (WDAC). WDAC permet de spécifier précisément quels binaires et scripts sont autorisés à s'exécuter, en se basant sur des règles d'éditeur (comme Microsoft et Contoso dans ce cas). Le mode audit est essentiel pour tester l'impact de la politique avant de l'appliquer, évitant ainsi des interruptions de service inattendues. Le déploiement dans le dossier CiPolicies\Active est la méthode correcte pour activer la politique. AppLocker est une option plus ancienne et moins robuste que WDAC, ne pouvant pas bloquer les pilotes et étant plus complexe à gérer pour les scénarios avancés. SmartScreen et la protection basée sur la réputation sont des fonctionnalités de sécurité pour les navigateurs et les téléchargements, non adaptées pour contrôler l'exécution de code au niveau du système d'exploitation. Les stratégies de restriction logicielle sont également une technologie plus ancienne et moins granulaire que WDAC, ne permettant pas le même niveau de contrôle basé sur les éditeurs.