Defender : planifier les nouvelles recommandations Secure Score AI-Readiness
Microsoft ajoute dans Defender for Endpoint un ensemble GA de recommandations Secure Score taguées AI-Readiness, centrées sur TPM 2.0, VBS, HVCI, Windows LAPS, Secure Boot et l'exposition Internet inutile. Le signal ne demande pas une activation immédiate de tous les contrôles, mais une revue structurée des écarts, des exemptions et des politiques Windows déjà en place.
- Impact
- tenants Microsoft Defender for Endpoint et Microsoft Secure Score qui suivent la posture des appareils Windows, en particulier les parcs où VBS, Memory Integrity, Secure Boot, Windows LAPS ou les contrôles d'exposition Internet sont déjà dans la feuille de route sécurité.
- Action
- ouvrir les recommandations Defender filtrées sur AI-Readiness, exporter ou qualifier les appareils exposés par contrôle, puis séparer les corrections rapides des sujets qui exigent un pilote matériel, applicatif ou support.
- Statut
- À planifier
Classement : À planifier
Résumé : Microsoft ajoute dans Defender for Endpoint un ensemble GA de recommandations Secure Score taguées AI-Readiness, centrées sur TPM 2.0, VBS, HVCI, Windows LAPS, Secure Boot et l'exposition Internet inutile. Le signal ne demande pas une activation immédiate de tous les contrôles, mais une revue structurée des écarts, des exemptions et des politiques Windows déjà en place.
Impact : tenants Microsoft Defender for Endpoint et Microsoft Secure Score qui suivent la posture des appareils Windows, en particulier les parcs où VBS, Memory Integrity, Secure Boot, Windows LAPS ou les contrôles d'exposition Internet sont déjà dans la feuille de route sécurité.
Action : ouvrir les recommandations Defender filtrées sur AI-Readiness, exporter ou qualifier les appareils exposés par contrôle, puis séparer les corrections rapides des sujets qui exigent un pilote matériel, applicatif ou support.
Statut : À planifier.
Ce qui change
La page New features in Microsoft Defender for Endpoint, datée du 16 septembre 2026 et mise à jour le 17 septembre, annonce la disponibilité générale de nouvelles recommandations Microsoft Secure Score pour AI-Readiness. Microsoft regroupe six recommandations endpoint dans cette collection : quatre nouvelles recommandations sur TPM 2.0, Virtualization-based security, HVCI / Memory Integrity et Windows LAPS, plus deux recommandations existantes sur la réduction de l'exposition Internet inutile et la protection du démarrage avec Secure Boot.
Le point important pour les équipes Workplace n'est pas le libellé AI, mais le regroupement opérationnel dans Defender. Microsoft indique que le portail Defender permet d'aller dans Exposure Management > Recommendations > Devices > Misconfigurations, puis de filtrer sur le tag AI-Readiness pour voir les appareils affectés, les appareils critiques exposés, les points obtenus et l'impact potentiel sur le Devices Secure Score.
Cette annonce ne change pas à elle seule l'état de sécurité du parc. Elle rend plus visible une liste courte de contrôles Windows qui demandent souvent des arbitrages matériels, applicatifs et support. C'est pourquoi le classement PatchFactory est À planifier : la fonction est disponible, mais plusieurs remédiations ne doivent pas être poussées globalement sans validation.
Qui est concerné
Le périmètre principal est Windows géré avec Microsoft Defender for Endpoint et suivi dans Microsoft Secure Score ou Defender Vulnerability Management. Les environnements qui utilisent Intune, GPO, Configuration Manager ou une combinaison de ces outils pour piloter VBS, Memory Integrity, Secure Boot ou Windows LAPS ont intérêt à rapprocher les recommandations Defender des politiques réellement déployées.
Les recommandations ne valent pas toutes le même effort. TPM 2.0 et Secure Boot relèvent d'abord de l'inventaire matériel et firmware. Windows LAPS relève du modèle d'identité et de la sauvegarde des mots de passe locaux dans Microsoft Entra ID ou Active Directory. HVCI / Memory Integrity implique une validation plus prudente, car la documentation Microsoft rappelle que certains pilotes ou applications peuvent être incompatibles, avec des dysfonctionnements possibles et, plus rarement, des échecs de démarrage.
Actions recommandées
Commencer par une lecture SOC + Workplace de la liste filtrée AI-Readiness. Pour chaque recommandation, noter le nombre d'appareils exposés, les appareils critiques, l'impact Secure Score et les groupes d'appareils concernés. Le résultat attendu est une matrice simple : correction rapide, pilote requis, exemption justifiée, ou décision à reporter.
Pour Windows LAPS, vérifier si les appareils concernés sont Microsoft Entra joined, domain joined ou hybrid joined, car la documentation Windows LAPS précise que l'état de jonction détermine où le mot de passe peut être sauvegardé. Les appareils Microsoft Entra joined sauvegardent vers Microsoft Entra ID ; les appareils joints uniquement à Active Directory sauvegardent vers AD ; les appareils hybrides peuvent utiliser l'un ou l'autre, mais pas les deux simultanément. Cette décision doit précéder toute remédiation de masse.
Pour HVCI / Memory Integrity, traiter la recommandation comme un chantier de compatibilité. Former un lot pilote représentatif par modèle matériel, famille de pilotes et applications bas niveau, activer via Intune Settings Catalog ou GPO selon le mode de gestion déjà utilisé, puis comparer les échecs de chargement pilote, incidents applicatifs, retours support et état réellement exécuté. La vérification utile ne se limite pas à une politique configurée : Microsoft documente la classe WMI Win32_DeviceGuard et msinfo32.exe pour contrôler si VBS et Memory Integrity sont configurés et en cours d'exécution.
Pour l'exposition Internet inutile, utiliser la recommandation comme point de départ d'inventaire, pas comme preuve définitive que le poste doit rester ou sortir d'Internet. Les exceptions doivent garder une justification, un propriétaire et une durée de revue. La documentation Defender rappelle que les recommandations peuvent être transformées en demandes de remédiation vers Intune ou Configuration Manager, ce qui peut aider à séparer la décision sécurité de l'exécution Workplace.
Points de vigilance
Microsoft Secure Score reste un indicateur de posture, pas une mesure absolue de probabilité de compromission. La documentation Microsoft précise aussi que toutes les recommandations ne s'appliquent pas mécaniquement à chaque environnement et que le score peut refléter des atténuations alternatives. L'objectif n'est donc pas de maximiser un chiffre au détriment de la stabilité, mais de documenter les écarts et les décisions.
Ne pas confondre visibilité dans Defender et prise en charge effective par vos anneaux de déploiement. Une recommandation peut apparaître avant que tous les modèles matériels, pilotes, applications de sécurité tierces ou procédures support soient prêts. Les contrôles qui touchent au démarrage, à la virtualisation ou aux comptes administrateurs locaux doivent rester liés à un plan de validation et de retour arrière.
Sources
- New features in Microsoft Defender for Endpoint, septembre 2026, recommandations Secure Score AI-Readiness : https://learn.microsoft.com/en-us/defender-endpoint/whats-new-in-microsoft-defender-endpoint#september-2026
- Security recommendations dans Defender Vulnerability Management, navigation, impact, remédiation Intune/Configuration Manager et délais de reflet : https://learn.microsoft.com/en-us/defender-vulnerability-management/tvm-security-recommendation
- Microsoft Secure Score, fonctionnement, scoring et limites d'interprétation : https://learn.microsoft.com/en-us/defender-xdr/microsoft-secure-score
- Enable memory integrity, méthodes Intune/GPO et validation Win32_DeviceGuard / msinfo32 : https://learn.microsoft.com/en-us/windows/security/hardware-security/enable-virtualization-based-protection-of-code-integrity
- Windows LAPS overview, plateformes, état de jonction et options de sauvegarde : https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-overview