Microsoft déploie une nouvelle fonctionnalité de sécurité nommée « Protection administrateur » sur Windows 11, visant à limiter les privilèges des utilisateurs. Parallèlement, une protection matérielle appelée « Intégrité de la mémoire » (HVCI) est activée automatiquement sur certains PC compatibles pour renforcer la défense contre les pilotes malveillants.
Le fonctionnement de la Protection administrateur
La « Protection administrateur » est une nouvelle couche de sécurité pour Windows 11 conçue pour appliquer le principe du moindre privilège. Plutôt que de conserver des droits administratifs permanents, le système maintient les utilisateurs dans un état restreint. Lorsqu’une tâche nécessite des privilèges élevés, le système accorde des droits « juste-à-temps » après une approbation explicite de l’utilisateur.
D’après les informations techniques fournies par Microsoft, cette approche réduit la surface d’attaque en empêchant les acteurs malveillants d’exploiter des privilèges administrateur pour modifier les configurations système ou désactiver les mesures de sécurité.
Déploiement et configuration via les stratégies de groupe
Pour les organisations utilisant les bases de référence de sécurité, cette protection sera activée par défaut lors de la mise à jour de sécurité d’octobre 2026. La gestion s’effectue via le fournisseur de services de configuration (CSP) LocalPoliciesSecurityOptions. Les administrateurs système peuvent configurer le comportement de la fonctionnalité en accédant à la stratégie :
User Account Control: Configure type of Admin Approval Mode.
Microsoft, documentation technique
Pour activer Administrator protection, configurez le paramètre UserAccountControl_TypeOfAdminApprovalMode dans LocalPoliciesSecurityOptions CSP. Microsoft précise que cette fonctionnalité n’est actuellement pas prise en charge sur les PC Cloud Windows 365, les hôtes de session Azure Virtual Desktop et les éditions Windows Server, où il est recommandé de configurer les utilisateurs avec des comptes standard.
Vérification de l’Intégrité de la mémoire (HVCI)
En complément, Windows 11 active l’intégrité de la mémoire, également connue sous l’acronyme HVCI (Hypervisor-Protected Code Integrity), sur les systèmes compatibles. Cette protection utilise la virtualisation pour isoler les contrôles de code au sein du noyau Windows, empêchant ainsi les pilotes compromis ou vulnérables d’être chargés.
Pour vérifier si cette protection est opérationnelle, les utilisateurs peuvent consulter l’interface de Sécurité Windows :
- Ouvrez Sécurité Windows.
- Sélectionnez Sécurité des appareils.
- Accédez aux Détails de l’isolation du noyau.
Le déploiement dépend de la compatibilité matérielle et de l’impact potentiel sur les performances. Si un pilote incompatible bloque l’activation, le système affichera un message d’erreur : dans ce cas, il est conseillé de rechercher une mise à jour via Windows Update ou sur le site du fabricant avant de forcer l’activation.
Suivi et dépannage des accès
Pour surveiller l’activité liée à la Protection administrateur, le système génère des événements ETW (Event Tracing for Windows) sous le fournisseur Microsoft-Windows-LUA. Les événements 15031 (élévation approuvée) et 15032 (échec ou refus d’élévation) permettent aux administrateurs de tracer le compte utilisateur, le chemin de l’application et la méthode d’authentification utilisée.
Microsoft indique que les problèmes de lancement d’applications observés après l’installation de la mise à jour KB5124010 sont désormais corrigés. En cas de blocage persistant, il est possible de désactiver temporairement la protection en réinitialisant la stratégie Legacy Admin Approval Mode (Default)
.