WDAC Windows Defender Application Control

Définition

WDAC (Windows Defender Application Control) est une technologie de contrôle applicatif intégrée nativement à Windows 10, Windows 11 et Windows Server, permettant de définir des stratégies granulaires déterminant quels exécutables, scripts, pilotes et bibliothèques DLL sont autorisés à s'exécuter sur un système, selon un modèle de liste blanche (allowlisting) plutôt que la traditionnelle liste noire antivirus. Les stratégies WDAC, définies au format XML puis compilées en fichiers binaires de politique, s'appliquent au niveau du noyau du système d'exploitation via le composant Code Integrity, offrant une protection plus robuste qu'AppLocker, solution logicielle antérieure opérant en espace utilisateur et donc plus facilement contournable. Les critères d'autorisation peuvent reposer sur le certificat de signature de l'éditeur, le hash du fichier, le chemin d'origine, ou la réputation via l'intégration avec Microsoft Intelligent Security Graph. Dans le contexte Active Directory, WDAC constitue une contre-mesure efficace contre l'exécution d'outils offensifs non signés comme Mimikatz ou des payloads personnalisés, en particulier lorsqu'il est déployé sur les postes d'administration privilégiés (PAW) et les serveurs de niveau Tier 0, en combinaison avec le mode audit permettant de valider une politique avant son application effective en mode enforced. Microsoft recommande WDAC en priorité sur AppLocker pour toute nouvelle implémentation de contrôle applicatif.