Rubriques Connexes

# Bonnes Pratiques de Déploiement TDR

Un Host Sensor TDR peut automatiquement mettre des fichiers en quarantaine, terminer des processus et supprimer des entrées de registre s'il identifie un fichier ou un processus comme un rançongiciel ou un autre type de menace. Etant donné que le Host Sensor entreprend des actions pouvant avoir une incidence sur les autres applications installées sur vos hôtes, nous vous recommandons d'adopter ces bonnes pratiques lors de votre déploiement TDR.

Pour effectuer les procédures décrites dans cette rubrique, connectez-vous à votre compte TDR avec un utilisateur possédant le rôle Opérateur.

## Déploiement du Host Sensor par Etapes

Si le Host Sensor identifie un fichier ou un processus comme une menace et que des stratégies TDR actives autorisent une action de traitement, le Host Sensor entreprend automatiquement les mesures visant à le désactiver. Pour identifier les interactions potentielles avec les autres logiciels installés auxquels vous faites confiance, nous recommandons d'abord de déployer et tester les Host Sensors sur un nombre d'hôtes limité qui exécutent les applications couramment utilisées sur votre réseau. Un petit déploiement pilote peut vous permettre d'identifier les interactions entre le Host Sensor et les autres applications afin de pouvoir ajouter les exceptions nécessaires à la résolution des problèmes d'interopérabilité ou de performances avant de procéder à un déploiement plus vaste.

Vous devez déterminer le nombre et le type d'hôtes à employer lors de votre déploiement pilote. Pour chaque hôte, installez le Host Sensor et utilisez les autres logiciels de l'hôte. Surveillez les indicateurs de votre compte TDR pour afficher les menaces et les actions signalées par les Host Sensors.

Si un Host Sensor identifie une menace, vous pouvez consulter les détails d'un indicateur pour afficher le nom du fichier ou du processus et le motif pour lequel il a été considéré comme une menace.

Pour afficher les indicateurs d'un hôte :

1. Sélectionnez ThreatSync > Indicateurs.
   La page Indicateurs s'affiche.
2. Supprimez tous les filtres puis filtrez ou effectuez une recherche par nom d'hôte.
3. Pour afficher davantage d'informations concernant un indicateur, cliquez sur Informations Supplémentaires dans la colonne Indicateurs.

Pour de plus amples informations concernant la page des Indicateurs, consultez Gérer les Indicateurs TDR.

Si le Host Sensor identifie une application approuvée comme une menace, vous pouvez ajouter sa valeur MD5 aux signatures de remplacement en tant qu'élément de la Liste Blanche. TDR ne génère pas d'indicateur pour les fichiers ajoutés à la Liste Blanche.

Pour ajouter un fichier à la Liste Blanche :

1. Sur la page des Indicateurs, recherchez l'indicateur de l'application que vous souhaitez ajouter à la Liste Blanche.
2. Cochez la case située en face de l'indicateur.
3. Dans la liste déroulante Actions, sélectionnez Liste Blanche.
   La boîte de dialogue Confirmer l'Action s'affiche.
4. Cliquez sur Exécuter l'Action.

Si le Host Sensor cause des problèmes de performances ou rentre en conflit avec un autre logiciel en entraînant son dysfonctionnement ou celui du Host Sensor, vous pouvez ajouter une exclusion pour le chemin d'installation du logiciel. Une exclusion demande au Host Sensor d'ignorer les fichiers du chemin spécifié.

Pour ajouter une Exclusion :

1. Sélectionnez Configurer > Exclusion.
2. Cliquez sur Ajouter.
3. Spécifiez le chemin à exclure.

Pour de plus amples informations concernant l'ajout d'une exclusion, consultez Configurer les Exclusions TDR.

Si le Host Sensor met un fichier en quarantaine, il le chiffre puis l'enregistre dans le répertoire de mise en quarantaine de l'hôte. Vous pouvez utiliser l'action de retrait de quarantaine pour retirer le fichier de quarantaine. Pour retirer un fichier de quarantaine :

1. Sur la page des Indicateurs, recherchez l'indicateur. Les indicateurs présentant une action de Mise en Quarantaine réussie possèdent un indice de menace de 1.
2. Sélectionnez l'indicateur.
3. Sélectionnez l'action Sortir le Fichier de Quarantaine ou Sortir le HRP de Quarantaine. L'action à votre disposition dépend si le fichier a été mis en quarantaine par Host Ransomware Prevention (HRP) ou par le biais d'une action Mettre le Fichier en Quarantaine.

Pour de plus amples informations concernant le retrait d'un fichier de quarantaine, consultez Retirer un Fichier de Quarantaine.

## Ajouter des Exclusions pour l'Antivirus de Bureau

TDR Host Sensor et l'antivirus de bureau détectent et préviennent tous deux les menaces. Pour éviter les conflits entre le Host Sensor et le logiciel antivirus de bureau, nous vous recommandons d'ajouter des exclusions dans TDR et votre logiciel antivirus de bureau.

### Configurer le Logiciel Antivirus de Bureau de Manière à Exclure les Chemins de Fichier TDR

Dans la configuration du logiciel antivirus de bureau, ajoutez le répertoire d'installation de TDR Host Sensor à la liste des exclusions ou à la liste blanche.

Les répertoires à exclure sont les suivants :

c:\Program Files (x86)\WatchGuard\Threat Detection and Response\

c:\Program Files\WatchGuard\Threat Detection and Response\

Consultez la documentation du fournisseur de votre logiciel antivirus pour obtenir les instructions de modification de la liste des exclusions ou de la liste blanche.

### Configurer TDR de Manière à Exclure les Chemins de Fichier de l'Antivirus

Dans TDR, ajoutez les exclusions correspondant aux emplacements d'installation de votre logiciel antivirus. Les chemins à exclure diffèrent selon le fournisseur d'antivirus de bureau et parfois en fonction du système d'exploitation ou de la version du logiciel antivirus. Testez le Host Sensor avec votre solution antivirus de bureau pour vous confirmer que vous avez exclu tous les chemins nécessaires.

Pour obtenir une liste partielle des chemins à exclure des fournisseurs d'antivirus de bureau les plus courants, consultez la rubrique Ajouter des exclusions TDR au logiciel antivirus de la Base de Connaissances WatchGuard.

Pour de plus amples informations concernant l'ajout d'une exclusion TDR, consultez Host Sensors et Exclusions du Logiciel AV.

## Configurer les Groupes d'Hôtes

Par défaut, les paramètres Host Sensor globaux et les stratégies TDR par défaut s'appliquent à tous les Host Sensors déployés. Nous vous recommandons de configurer des Groupes d'Hôtes de manière à configurer facilement différents paramètres de Host Sensor et différentes stratégies pour chaque groupe. Vous pouvez utiliser les Groupes d'Hôtes pour regrouper les hôtes possédant une version du système d'exploitation, un équipement, des applications ou un type d'utilisateur identiques. Vous pouvez par exemple créer des groupes pour les Serveurs, les Ordinateurs de Bureau Windows 7, les Ordinateurs Portables, le Service Commercial, le Service Financier, le Service d'Assistance, etc. Après avoir configuré les Groupes d'Hôtes, vous pouvez modifier les Paramètres Host Sensor de chaque groupe et utiliser les noms des groupes dans vos stratégies TDR. Nous vous recommandons de tester quelques hôtes de chaque groupe dans le cadre de votre phase de déploiement initial.

Pour ajouter un Groupe d'Hôtes :

1. Sélectionnez Configuration > Groupes.
2. Cliquez sur Ajouter un Groupe.
3. Saisissez un nom de groupe dans la zone de texte Nom de Groupe.
4. Dans la liste déroulante Type, sélectionnez Hôte. Il s'agit de l'option par défaut.
5. Dans la zone de texte Hôtes, saisissez au moins trois caractères du nom d'hôte pour le rechercher.
   Les noms d'hôte contenant les caractères saisis s'affichent sous la zone de texte.
6. Sélectionnez l'hôte pour l'ajouter.
7. Répétez les deux dernières étapes pour chaque hôte à ajouter.
8. Pour supprimer un hôte, cliquez sur en face de son nom.
9. Cliquez sur Enregistrer et Fermer.

Pour de plus amples informations concernant la configuration des Groupes, consultez Gérer les Groupes TDR.

## Configurer les Paramètres Host Sensor des Groupes d'Hôtes

Pour chaque Groupe d'Hôtes, vous pouvez configurer les Paramètres Host Sensor devant être utilisés par les hôtes de ce groupe. Dans la configuration du Groupe d'Hôtes, vous pouvez remplacer les paramètres Host Sensor globaux et spécifier différents Paramètres Host Sensor pour le groupe.

Pour configurer les Paramètres Host Sensor d'un Groupe d'Hôtes :

1. Sélectionnez Configuration > Groupes.
2. Cliquez sur en face du nom du groupe.
3. Sélectionnez l'onglet Configuration du Host Sensor.
4. Cliquez sur le sélecteur Remplacer les Paramètres Host Sensor pour ce groupe.
5. Configurez les Paramètres Host Sensor de ce groupe.

WatchGuard fournit les paramètres de configuration du Host Sensor recommandés pour certains types d'hôtes à titre de directive. Nous vous recommandons de tester ces paramètres avec un petit nombre d'hôtes pour identifier d'éventuels problèmes.

Les meilleurs Paramètres Host Sensor à employer par vos hôtes peuvent différer en fonction des applications et du système d'exploitation installés, du matériel virtuel ou physique ainsi que d'autres aspects de l'environnement de l'hôte.

Afin d'éviter les conflits avec les logiciels du serveur, nous vous recommandons de désactiver Host Ransomware Prevention et de ne pas activer les paramètres de configuration du pilote.

Paramètres du Host Sensor

- Autoriser les Evènements sur les Host Sensors ACTIVÉ
- Mode Prévenir de Host Ransomware Prevention : DÉSACTIVÉ
- Autoriser les Heuristiques sur les Host Sensors ACTIVÉ
- Autoriser les Modules Chargés sur les Host Sensors : DÉSACTIVÉ
- Autoriser les Référentiels sur les Host Sensors DÉSACTIVÉ

Paramètres de Configuration du Pilote du Host Sensor :

- Tous les paramètres de configuration du pilote : DÉSACTIVÉ

### Paramètres Host Sensor Recommandés pour Windows 7

Sur certains ordinateurs Windows 7, en particulier sur le matériel ancien, le Host Sensor offre de meilleures performances lorsque les paramètres de configuration du pilote du Host Sensor sont désactivés.

Paramètres Host Sensor :

- Autoriser les Evènements sur les Host Sensors ACTIVÉ
- Mode Prévenir de Host Ransomware : PRÉVENIR
- Autoriser les Heuristiques sur les Host Sensors ACTIVÉ
- Autoriser les Modules Chargés sur les Host Sensors : DÉSACTIVÉ
- Autoriser les Référentiels sur les Host Sensors DÉSACTIVÉ

Paramètres de Configuration du Pilote du Host Sensor :

- Tous les paramètres de configuration du pilote : DÉSACTIVÉ

### Paramètres Host Sensor Recommandés pour la Plupart des Autres Hôtes

Les paramètres de configuration du pilote du Host Sensor contrôlent certaines actions du Host Sensor effectuées dans l'espace utilisateur ou l'espace noyau. Pour optimiser les performances du Host Sensor sur la plupart des hôtes, nous vous recommandons d'activer et de tester les paramètres de configuration du pilote du Host Sensor. Ces paramètres ne sont pas activés par défaut dans les paramètres Host Sensor globaux afin d'éviter les problèmes avec les Host Sensors déployés sur les serveurs.

Paramètres Host Sensor :

- Autoriser les Evènements sur les Host Sensors ACTIVÉ
- Mode Prévenir de Host Ransomware : PRÉVENIR
- Autoriser les Heuristiques sur les Host Sensors ACTIVÉ
- Autoriser les Modules Chargés sur les Host Sensors : DÉSACTIVÉ
- Autoriser les Référentiels sur les Host Sensors DÉSACTIVÉ

Paramètres de Configuration du Pilote du Host Sensor :

- Tous les paramètres de configuration du pilote : ACTIVÉ

Pour de plus amples informations concernant les Paramètres Host Sensor, consultez Configurer les Paramètres de Host Sensor TDR.

## Configurer les Stratégies des Groupes d'Hôtes

Chaque compte TDR active par défaut les stratégies par défaut. Ces stratégies autorisent les Host Sensors à entreprendre des actions de traitement automatisées pour différents niveaux de menaces en fonction du niveau Cybercon défini dans votre compte TDR. Les stratégies TDR par défaut s'appliquent au groupe prédéfini Tous les Hôtes et définissent les actions automatisées que le Host Sensor peut entreprendre sur tous les hôtes. Pour disposer d'un contrôle granulaire sur les actions automatisées, vous pouvez ajouter des stratégies pour des Groupes d'Hôtes ou même des hôtes spécifiques afin de modifier les actions que les Host Sensors peuvent effectuer.

Si vous disposez par exemple d'un groupe Serveurs pour lequel vous souhaitez que ses Host Sensors n'apportent pas de modifications au registre, vous pouvez ajouter une stratégie pour le groupe Serveur, qui spécifie que les Host Sensors ne peuvent pas exécuter l'action Supprimer la Valeur de Registre. Si vous ne souhaitez pas que les Host Sensors d'un groupe effectuent des actions de traitement automatisées, ajoutez une stratégie pour un groupe qui spécifie que les Host Sensors ne peuvent pas exécuter les actions Mise en Quarantaine de Fichier, Terminaison de Processus ou Supprimer la Valeur de Registre.

Si vous ajoutez un stratégie pour un Groupe d'Hôtes, veillez à lui assigner une priorité supérieure à celles des stratégies s'appliquant à Tous les Hôtes dans la liste des stratégies.

Pour obtenir des informations concernant les stratégies TDR par défaut et recommandées, consultez Stratégies TDR Recommandées

#### Voir aussi

Configurer les Stratégies TDR

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique