Microsoft Defender for Business : ce qu’il couvre et comment le déployer en PME

La réponse courte : Microsoft Defender for Business est la solution de sécurité des postes de travail que Microsoft destine aux entreprises jusqu’à 300 utilisateurs. Elle reprend le moteur de Microsoft Defender for Endpoint, l’outil des grandes entreprises, avec une console simplifiée : antivirus nouvelle génération, réduction de la surface d’attaque, détection et réponse (EDR), investigation et correction automatiques. Elle est incluse dans Microsoft 365 Business Premium ou vendue seule, protège jusqu’à cinq appareils par utilisateur (Windows, Mac, Android, iOS), et les serveurs demandent une licence en plus. Le déploiement se fait par Intune, stratégie de groupe ou script local. Ce guide détaille ce qu’elle couvre, ses limites et la méthode de déploiement que nous appliquons.

Chez ALLSAFE SOLUTIONS, infogérant à Casablanca et partenaire Microsoft, nous déployons et supervisons Defender for Business dans le cadre de notre offre de cybersécurité des entreprises au Maroc. Toutes les capacités citées proviennent de la documentation Microsoft Learn consacrée à Defender for Business.

Ce que couvre Defender for Business

Microsoft présente Defender for Business comme une protection contre les rançongiciels, les logiciels malveillants, l’hameçonnage et les autres menaces sur les appareils. Concrètement, elle regroupe :

• Protection nouvelle génération : l’antivirus et la protection en temps réel, intégrés à Windows et disponibles sous forme d’application sur Mac, Android et iOS.
• Réduction de la surface d’attaque : règles qui bloquent les comportements typiques d’une attaque (macros, scripts, exécutables lancés depuis la messagerie), protection réseau, protection web.
• Détection et réponse (EDR) : enregistrement de l’activité des postes pour reconstituer une attaque et réagir, par exemple en isolant un poste du réseau.
• Investigation et correction automatiques : l’outil analyse une alerte et corrige lui-même une partie des menaces.
• Interruption automatique d’attaque : Microsoft la liste parmi les fonctions incluses, pour contenir une attaque en cours.
• Gestion des vulnérabilités (fonctions de base) : liste des logiciels vulnérables et des correctifs manquants sur le parc.
• Configuration simplifiée du pare-feu et de l’antivirus Windows, une fonction propre à Defender for Business.
• Rapport de sécurité mensuel et analyse des menaces.

Pour comprendre pourquoi l’EDR change la donne par rapport à un antivirus classique, lisez notre article EDR ou antivirus.

Defender for Business, Defender for Endpoint P1 et P2

Microsoft décrit Defender for Business comme l’ensemble des fonctions de Defender for Endpoint Plan 1, une partie de celles du Plan 2, et des fonctions propres aux PME.

Fonction	Defender for Business	Defender for Endpoint P1	Defender for Endpoint P2
Antivirus nouvelle génération	Oui	Oui	Oui
Réduction de la surface d’attaque	Oui	Oui	Oui
EDR	Oui (version optimisée)	Non	Oui
Investigation et correction automatiques	Oui	Non	Oui
Interruption automatique d’attaque	Oui	Non	Oui
Gestion des vulnérabilités (base)	Oui	Non	Oui
Chasse avancée et conservation longue des données	Non	Non	Oui
Configuration simplifiée pare-feu et antivirus	Oui	Non	Non
Serveurs	Licence en plus	Licence en plus	Licence en plus

Source : Microsoft Learn, « What is Microsoft Defender for Business ». Pour une PME, ce qui manque par rapport au Plan 2 concerne surtout la chasse avancée aux menaces et la durée de conservation des données, utiles à une équipe de sécurité dédiée.

Licences : seul ou dans Business Premium

Defender for Business existe sous deux formes :

• Inclus dans Microsoft 365 Business Premium, avec Intune, l’accès conditionnel Entra ID P1 et Defender for Office 365 Plan 1 pour la messagerie. Nous comparons les éditions dans Microsoft 365 Business Basic, Standard ou Premium.
• En version autonome, pour les entreprises en Business Basic, Business Standard ou Office 365 E1, ou qui n’utilisent pas Microsoft 365.

Trois règles de licence à connaître, selon la FAQ Microsoft :

1. 300 utilisateurs maximum. Au-delà, Microsoft oriente vers Defender for Endpoint ou Microsoft 365 E3/E5.
2. Cinq appareils clients par licence utilisateur.
3. Les serveurs sont en plus : Windows Server et Linux demandent une licence supplémentaire, comme Microsoft Defender for Business servers, disponible en complément de la version autonome et de Business Premium. Au-delà de 60 serveurs, Microsoft indique qu’il faut un autre type de licence.

Microsoft précise aussi que les licences ne se mélangent pas : une organisation qui possède à la fois Defender for Business et quelques licences Defender for Endpoint Plan 2 reste sur l’expérience Defender for Business. Si vous achetez vos licences au Maroc, voir acheter Microsoft 365 au Maroc.

Systèmes pris en charge

Appareil	Prise en charge	Méthodes de déploiement proposées par Microsoft
Windows 10 et 11	Éditions Professionnel, Entreprise et Business	Intune, stratégie de groupe, script local
Mac	Oui	Script local (recommandé par Microsoft), Intune
Android, iOS et iPadOS	Oui	Application Microsoft Defender, Intune
Windows Server	Avec licence serveur	Script local
Linux	Avec licence serveur	Outil de déploiement Defender, script, Ansible, Chef, Puppet

Attention à l’édition de Windows : les postes en Windows Famille ne figurent pas dans la liste des systèmes requis. C’est un point fréquent dans les PME qui ont acheté des portables grand public ; une mise à niveau vers Windows Professionnel est alors nécessaire.

Le déploiement, étape par étape

Voici la méthode que nous suivons, alignée sur le guide de mise en place de Microsoft.

1. Préparer le terrain

• Vérifier les licences attribuées et l’édition de Windows de chaque poste.
• Inventorier l’antivirus actuel. Microsoft prévient qu’avec un antivirus tiers en place, la protection en temps réel peut être désactivée et le poste apparaître non protégé : on prévoit donc de désinstaller proprement l’ancien produit, poste par poste, au moment de la bascule.
• Définir les rôles d’accès au portail Microsoft Defender, en limitant les administrateurs, comme expliqué dans notre guide sur la gestion des comptes administrateurs.

2. Choisir la méthode d’intégration des postes

• Intune, si vos postes y sont déjà inscrits ou si vous avez Business Premium : c’est la méthode la plus propre, car la même console gère ensuite les mises à jour, le chiffrement et la conformité. Voir notre guide Microsoft Intune pour PME.
• Stratégie de groupe, si vous avez un Active Directory local et pas encore Intune.
• Script local, pour quelques postes. Microsoft indique que le script crée la relation avec Microsoft Entra ID, inscrit l’appareil dans Intune s’il ne l’est pas déjà et l’intègre à Defender for Business ; il recommande de procéder par lots de dix appareils au plus.

3. Tester la détection

Après l’intégration, Microsoft fournit un test de détection pour Windows et un test d’hameçonnage : le poste doit bloquer une adresse de test et une alerte doit apparaître dans le portail. On ne passe pas à la suite tant que ces tests ne sont pas concluants.

4. Appliquer et durcir les stratégies

Defender for Business applique des stratégies de sécurité par défaut dès l’intégration. Nous les complétons :

• Règles de réduction de la surface d’attaque, d’abord en mode audit pour repérer ce qui casserait, puis en blocage. Selon Microsoft, certaines fonctions comme ces règles et l’accès contrôlé aux dossiers se configurent dans le centre d’administration Intune.
• Groupes d’appareils : postes standards, postes de la direction et de la comptabilité, serveurs, avec des stratégies adaptées.
• Filtrage web : Microsoft précise qu’une seule stratégie de filtrage du contenu web est possible par organisation.
• Protection contre la falsification, pour qu’un attaquant ou un utilisateur ne puisse pas désactiver la protection.

5. Intégrer les serveurs et les mobiles

Les serveurs sont intégrés une fois les licences serveurs acquises et le périmètre d’application des stratégies activé pour Windows Server. Les smartphones professionnels reçoivent l’application Microsoft Defender, qui ajoute la protection contre l’hameçonnage sur mobile.

6. Surveiller et traiter les incidents

C’est l’étape la plus souvent oubliée. Defender for Business corrige automatiquement une partie des menaces, mais les incidents restent à lire et à traiter : un poste isolé doit être nettoyé, un compte compromis réinitialisé, une vulnérabilité corrigée. Sans quelqu’un qui regarde la console, un outil EDR perd l’essentiel de sa valeur. C’est tout l’objet d’un EDR managé avec supervision 24/7.

Defender for Business ou une autre solution ?

Defender for Business est un choix naturel si vous êtes déjà sur Microsoft 365 Business Premium : vous l’avez déjà payé, et il s’intègre à Intune et Entra ID. Ce n’est pas le seul bon choix. Une entreprise avec beaucoup de serveurs, un parc hétérogène ou une préférence pour une console indépendante de Microsoft peut préférer une autre solution, comme Kaspersky ou WatchGuard. Nous comparons les options dans antivirus entreprise au Maroc : comment choisir.

Quel que soit le produit, la protection des postes n’est qu’une couche : elle s’accompagne de la double authentification, d’une messagerie sécurisée, voir sécuriser Microsoft 365 en 10 réglages, et d’un annuaire durci, voir durcissement Active Directory en PME.

Les erreurs que nous corrigeons le plus souvent

1. Business Premium payé, Defender for Business jamais activé : les licences existent mais aucun poste n’est intégré.
2. Deux antivirus en même temps, qui se neutralisent ou ralentissent les postes.
3. Des postes en Windows Famille, impossibles à intégrer.
4. Les serveurs oubliés, alors que ce sont eux que le rançongiciel chiffre en premier.
5. Des règles de réduction de la surface d’attaque jamais activées, par crainte de bloquer un logiciel métier.
6. Une console que personne ne consulte, avec des alertes non traitées depuis des semaines.

Checklist

• Licences vérifiées : Business Premium ou Defender for Business, plus licences serveurs.
• Tous les postes en Windows Professionnel, Entreprise ou Business.
• Ancien antivirus retiré proprement au moment de la bascule.
• Postes intégrés par Intune, stratégie de groupe ou script, par lots.
• Tests de détection et d’hameçonnage réussis.
• Règles de réduction de la surface d’attaque passées de l’audit au blocage.
• Protection contre la falsification et filtrage web activés.
• Serveurs et smartphones professionnels intégrés.
• Incidents surveillés et traités, y compris hors heures ouvrées.

Comment nous procédons

Nous commençons par un audit initial offert : licences en place, éditions de Windows, antivirus actuel, état d’Intune et de l’annuaire. Nous préparons ensuite les stratégies, déployons Defender for Business par lots en commençant par un groupe pilote, vérifions chaque poste dans la console et intégrons les serveurs. Les incidents sont ensuite surveillés par notre équipe de supervision 24/7, et un incident critique est pris en charge en moins de 15 minutes, dans le cadre de notre infogérance au Maroc.

ALLSAFE SOLUTIONS fournit aussi les licences Microsoft 365 et Defender for Business, avec ou sans déploiement. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.