Comment bloquer les lecteurs USB à l'aide des politiques de réduction de la surface d'attaque de Microsoft Intune

Pourquoi les organisations devraient-elles bloquer l'accès aux clés USB via Microsoft Intune ?

Les clés USB représentent l'un des risques de sécurité les plus importants dans les environnements d'entreprise. Elles peuvent introduire des logiciels malveillants, faciliter l'exfiltration de données et contourner les contrôles de sécurité réseau. Les politiques de réduction de la surface d'attaque (ASR) de Microsoft Intune offrent une solution robuste basée sur le cloud pour contrôler l'accès aux supports amovibles sur les appareils Windows 10 et 11.

Ce guide complet vous guide dans la mise en œuvre des restrictions sur les clés USB en utilisant les politiques de contrôle des appareils d'Intune, qui tirent parti des capacités de Microsoft Defender pour Endpoint pour fournir un contrôle granulaire sur les appareils de stockage amovibles.

Quelles sont les conditions préalables pour implémenter le blocage des clés USB dans Intune ?

Avant de plonger dans le processus de configuration, assurez-vous que votre environnement répond à ces exigences essentielles :

• Licences : Licence Microsoft 365 E5 ou équivalente pour les fonctionnalités complètes de contrôle des appareils ASR
• Gestion des appareils : Appareils Windows 10/11 inscrits dans Intune avec Microsoft Defender pour Endpoint activé
• Accès administratif : Permissions pour accéder au centre d'administration Intune et configurer les politiques de sécurité des points de terminaison
• Gestion des groupes : Groupes de sécurité Entra ID (Azure AD) configurés pour les affectations d'appareils

Comment accéder et naviguer dans les paramètres de réduction de la surface d'attaque de Microsoft Intune ?

Commencez par accéder au centre d'administration Microsoft Intune via votre navigateur web. Accédez à https://endpoint.microsoft.com et connectez-vous avec des identifiants administratifs ayant des permissions de sécurité des points de terminaison.

Une fois authentifié, localisez Sécurité des points de terminaison dans le panneau de navigation de gauche et cliquez sur Réduction de la surface d'attaque. Cette section abrite toutes les politiques liées à la réduction des vecteurs d'attaque potentiels, y compris les capacités de contrôle des appareils.

Le tableau de bord de réduction de la surface d'attaque affiche les politiques existantes et offre des options pour en créer de nouvelles. Cliquez sur + Créer une politique pour commencer à configurer votre politique de blocage des clés USB.

Quels paramètres de plateforme et de profil devez-vous choisir pour le contrôle des appareils USB ?

Lors de la création d'une nouvelle politique, vous devrez spécifier la plateforme cible et le type de profil. Pour le blocage des clés USB, configurez ces paramètres :

• Plateforme : Windows 10, Windows 11 et Windows Server
• Profil : Contrôle des appareils

Le profil de contrôle des appareils offre des options complètes pour gérer les appareils de stockage amovibles, y compris les clés USB, les disques durs externes et autres supports amovibles. Ce profil tire parti des capacités avancées de contrôle des appareils de Microsoft Defender pour Endpoint.

Configuration de la politique :
Plateforme : Windows 10, Windows 11 et Windows Server
Profil : Contrôle des appareils
Capacités : Contrôle du stockage amovible, exceptions d'appareils, mode audit

Comment configurer les informations de base de la politique et la convention de nommage ?

Un nommage et une documentation appropriés des politiques sont cruciaux pour la gestion à long terme. Dans l'onglet Informations de base, fournissez des informations claires et descriptives :

• Nom : Utilisez un format descriptif comme "Blocage d'écriture USB - [Département/Périmètre]"
• Description : Incluez l'objectif de la politique, son périmètre et toute exigence de conformité pertinente

Exemples de conventions de nommage :

Noms de politiques :
- "Blocage d'écriture USB - Département Finance"
- "Blocage complet USB - Appareils exécutifs"
- "Lecture seule USB - Appareils d'entreprise généraux"

Modèle de description :
"Empêche l'accès [lecture/écriture/tous] aux clés USB pour se protéger contre [l'exfiltration de données/l'introduction de logiciels malveillants]. Appliqué au [groupe cible]. Exigence de conformité : [norme pertinente]"

Quelles sont les différentes options de configuration de blocage USB disponibles ?

L'onglet Paramètres de configuration offre plusieurs options pour contrôler l'accès aux appareils USB. Comprendre ces options vous aide à choisir le niveau de restriction approprié :

Pour la plupart des organisations, activer Disque amovible : Refuser l'accès en écriture offre un équilibre efficace entre sécurité et convivialité. Cette configuration permet aux utilisateurs de lire des données à partir des clés USB (comme des installateurs de logiciels ou de la documentation) tout en empêchant l'exfiltration de données.

Configuration recommandée pour un environnement d'entreprise standard :
- Disque amovible : Refuser l'accès en écriture = Activé
- Disque amovible : Refuser l'accès en lecture = Non configuré
- Autres options de stockage = Non configuré

Comment devez-vous attribuer les politiques de blocage USB aux groupes cibles ?

L'attribution des politiques détermine quels appareils reçoivent votre configuration de blocage USB. Utilisez une approche par étapes pour le déploiement :

Phase 1 : Test pilote

• Créez un petit groupe de sécurité avec 5 à 10 appareils de test
• Incluez des appareils de différents départements pour tester divers cas d'utilisation
• Excluez les appareils administratifs nécessitant un accès USB

Phase 2 : Déploiement par département

• Déployez dans des départements spécifiques en fonction de l'évaluation des risques
• Priorisez les zones à haut risque comme la finance, les RH et les équipes exécutives
• Surveillez l'impact sur les utilisateurs et ajustez si nécessaire

Phase 3 : Déploiement à l'échelle de l'organisation

• Étendez à tous les appareils de l'entreprise
• Maintenez des groupes d'exception pour les besoins commerciaux légitimes

Exemple de structure de groupe :
Inclure les groupes :
- "Appareils d'entreprise - Pilote" (test)
- "Appareils du département Finance" (département à haut risque)
- "Tous les appareils Windows de l'entreprise" (déploiement complet)

Exclure les groupes :
- "Appareils administratifs IT" (exceptions administratives)
- "Appareils approuvés USB" (exceptions commerciales)

Comment surveiller le déploiement des politiques et forcer la synchronisation des appareils ?

Après avoir créé votre politique, surveillez son statut de déploiement et forcez la synchronisation si nécessaire. Les politiques Intune se déploient généralement en 5 à 10 minutes, mais peuvent prendre jusqu'à 8 heures dans certains cas.

Pour forcer une synchronisation immédiate :

1. Accédez à Appareils > Tous les appareils dans le centre d'administration Intune
2. Sélectionnez les appareils cibles et cliquez sur Synchroniser
3. Surveillez le statut de synchronisation jusqu'à son achèvement

Utilisez PowerShell sur les appareils cibles pour vérifier et forcer la synchronisation :

# Vérifier l'heure de la dernière synchronisation
Get-ScheduledTask | Where-Object {$_.TaskName -like "*EnterpriseMgmt*"} | Get-ScheduledTaskInfo

# Forcer la synchronisation immédiate (exécuter en tant qu'administrateur)
Get-ScheduledTask | Where-Object {$_.TaskName -like "*EnterpriseMgmt*"} | Start-ScheduledTask

# Vérifier l'application de la politique
Get-MpPreference | Select-Object AttackSurfaceReductionRules_*

Surveillez la progression du déploiement via la vue du statut des appareils de la politique, qui montre les déploiements réussis, échoués et en attente dans vos groupes d'appareils assignés.

Quelles méthodes pouvez-vous utiliser pour tester et vérifier la fonctionnalité de blocage USB ?

Des tests approfondis garantissent que votre politique de blocage USB fonctionne comme prévu. Suivez cette approche de test systématique :

Test de fonctionnalité de base :

1. Insérez une clé USB dans un appareil de test
2. Tentez de copier un fichier sur la clé USB
3. Vérifiez que l'accès en écriture est refusé avec un message d'erreur approprié
4. Testez l'accès en lecture (si autorisé) en ouvrant des fichiers depuis la clé USB

Vérification des journaux d'événements :

Vérifiez le Visualiseur d'événements Windows pour les événements ASR confirmant l'application de la politique :

# Voir les événements ASR dans le Visualiseur d'événements
# Accédez à : Journaux des applications et services > Microsoft > Windows > Windows Defender > Opérationnel

# Commande PowerShell pour vérifier les événements ASR
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; ID=1121,1122} -MaxEvents 10 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Vérification de l'inventaire des appareils :

# Lister les appareils de stockage de masse USB connectés
Get-WmiObject Win32_USBControllerDevice | ForEach-Object {[wmi]($_.Dependent)} | Where-Object {($_.Description -like '*mass*')} | Sort-Object Description,DeviceID | Format-Table Description,DeviceID -AutoSize

# Vérifier les lecteurs amovibles
Get-WmiObject -Class Win32_LogicalDisk | Where-Object {$_.DriveType -eq 2} | Select-Object DeviceID, VolumeName, Size, FreeSpace

Comment pouvez-vous configurer des paramètres avancés et des exceptions d'appareils ?

Certaines situations commerciales nécessitent des exceptions aux politiques de blocage USB. La fonctionnalité de paramètres réutilisables d'Intune vous permet de créer des exceptions granulaires basées sur les caractéristiques des appareils :

Création d'exceptions d'appareils :

1. Modifiez votre politique de contrôle des appareils existante
2. Accédez à l'onglet Paramètres de configuration
3. Cliquez sur + Ajouter sous Paramètres réutilisables
4. Créez un nouveau paramètre nommé "Appareils USB approuvés"
5. Sous Contrôleur d'appareils, ajoutez des identifiants d'appareils spécifiques

Identification des informations sur les appareils USB :

# Obtenir des informations détaillées sur les appareils USB
Get-WmiObject -Class Win32_LogicalDisk | Where-Object {$_.DriveType -eq 2} | ForEach-Object {
    $drive = $_.DeviceID
    Write-Host "Drive: $drive"
    
    # Obtenir des informations sur le disque physique associé
    Get-WmiObject -Class Win32_LogicalDiskToPartition | Where-Object {$_.Dependent -like "*$drive*"} | ForEach-Object {
        $partition = $_.Antecedent
        Get-WmiObject -Class Win32_DiskDriveToDiskPartition | Where-Object {$_.Dependent -eq $partition} | ForEach-Object {
            $diskDrive = $_.Antecedent.Split('=')[1] -replace '"',''
            Get-WmiObject -Class Win32_DiskDrive | Where-Object {$_.DeviceID -eq $diskDrive} | Select-Object Model, SerialNumber, PNPDeviceID
        }
    }
}

# Méthode alternative pour les IDs d'instance des appareils USB
Get-PnpDevice | Where-Object {$_.Class -eq "DiskDrive" -and $_.Status -eq "OK"} | Select-Object FriendlyName, InstanceId, HardwareID

Options de configuration des exceptions :

• ID d'instance : Spécifique aux appareils individuels
• ID matériel : S'applique aux modèles d'appareils
• Numéro de série : Identifiant unique de l'appareil (le plus fiable)

Quelles étapes de dépannage devez-vous suivre pour les problèmes de politique ?

Lorsque les politiques de blocage USB ne fonctionnent pas comme prévu, suivez cette approche de dépannage systématique :

Vérifier les prérequis :

# Vérifier le statut de Windows Defender
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled, IoavProtectionEnabled, AMServiceEnabled

# Vérifier la connectivité de Defender pour Endpoint
Get-MpComputerStatus | Select-Object AMServiceVersion, AMProductVersion, AntispywareSignatureVersion

# Vérifier la configuration des règles ASR
Get-MpPreference | Select-Object AttackSurfaceReductionRules_Ids, AttackSurfaceReductionRules_Actions

Problèmes courants et solutions :

https://endpoint.microsoft.com

Exemple de configuration :
- Disque amovible : Refuser l'accès en écriture = Activé
- Disque amovible : Refuser l'accès en lecture = Non configuré (permet la lecture)
- Autres options de stockage = Non configuré

Exemple d'affectation :
- Inclure : "IT-Pilot-Devices" (groupe de sécurité avec 5-10 appareils de test)
- Exclure : "IT-Admin-Devices" (appareils administratifs nécessitant l'accès USB)

# Vérifier la dernière heure de synchronisation
Get-ScheduledTask | Where-Object {$_.TaskName -like "*EnterpriseMgmt*"} | Get-ScheduledTaskInfo

# Forcer une synchronisation immédiate (exécuter en tant qu'administrateur)
Get-ScheduledTask | Where-Object {$_.TaskName -like "*EnterpriseMgmt*"} | Start-ScheduledTask

# Ouvrez le Visualiseur d'événements et naviguez vers :
# Journaux des applications et services > Microsoft > Windows > Windows Defender > Opérationnel

# Ou utilisez PowerShell pour vérifier les événements ASR :
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; ID=1121,1122} -MaxEvents 10

# Lister les appareils de stockage de masse USB
Get-WmiObject Win32_USBControllerDevice | ForEach-Object {[wmi]($_.Dependent)} | Where-Object {($_.Description -like '*mass*')} | Sort-Object Description,DeviceID | Format-Table Description,DeviceID -AutoSize

# Obtenez les ID d'instance des appareils USB
Get-WmiObject -Class Win32_LogicalDisk | Where-Object {$_.DriveType -eq 2} | ForEach-Object {
    $drive = $_.DeviceID
    Get-WmiObject -Class Win32_LogicalDiskToPartition | Where-Object {$_.Dependent -like "*$drive*"} | ForEach-Object {
        Get-WmiObject -Class Win32_DiskDriveToDiskPartition | Where-Object {$_.Dependent -eq $_.Antecedent} | ForEach-Object {
            Get-WmiObject -Class Win32_DiskDrive | Where-Object {$_.DeviceID -eq ($_.Antecedent.Split('=')[1] -replace '"','')}
        }
    }
} | Select-Object Model, SerialNumber, PNPDeviceID

# Vérifier le statut de Windows Defender
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled, IoavProtectionEnabled

# Vérifier le statut des règles ASR
Get-MpPreference | Select-Object AttackSurfaceReductionRules_*

# Vérifier la conformité de l'appareil
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntispywareEnabled

À propos de l'auteur

Emanuel DE ALMEIDA

Senior IT Journalist & Cloud Architect

Microsoft MCSA-certified Cloud Architect | Fortinet-focused. I modernize cloud, hybrid & on-prem infrastructure for reliability, security, performance and cost control - sharing field-tested ops & troubleshooting.

Dernière mise à jour mars 11, 2026

Tutoriels Similaires

Intermediaire

Cybersecurity

Comment configurer Windows LAPS avec Microsoft Intune pour une sécurité renforcée

Configurer la solution de mot de passe administrateur local Windows (LAPS) avec Microsoft Intune pour gérer et sécuriser automatiquement les mots de passe administrateur local sur les appareils Windows de votre organisation.

6 etapesmars 11, 2026

Avance

Cybersecurity

Comment mettre en œuvre le renforcement EDR contre les tueurs de logiciels malveillants en 2026

Configurez la protection avancée contre les altérations, l'isolation des processus et la surveillance comportementale dans Microsoft Defender pour Endpoint et CrowdStrike Falcon pour empêcher les logiciels malveillants comme BlackSanta de désactiver vos outils de sécurité.

8 etapesmars 11, 2026

Intermediaire

Cybersecurity

Comment vérifier si votre PC possède les nouveaux certificats Secure Boot 2023 (Windows UEFI CA 2023)

Les trois certificats Secure Boot originaux de Microsoft (2011) commencent à expirer en juin 2026. Windows déploie automatiquement les trois certificats de remplacement 2023 (Windows UEFI CA 2023, Microsoft UEFI CA 2023, KEK 2K CA 2023) via Windows Update. Ce guide vous montre comment vérifier en une seule commande PowerShell si votre PC Windows 10 ou 11 a déjà reçu les nouveaux certificats.

8 etapesmars 11, 2026