Évaluer l’antivirus Microsoft Defender avec des politiques de sécurité des terminaux

Utilisez les politiques de sécurité des points de terminaison dans le portail Microsoft Defender pour configurer et tester les fonctionnalités antivirus Microsoft Defender et Windows. L’évaluation inclut la protection en temps réel, la protection fournie par le cloud, la protection réseau, les règles de réduction de la surface d’attaque (ASR) et la protection contre la falsification.

Prerequisites

Si vous avez des questions sur une détection effectuée par MDAV, ou si vous constatez qu’une détection a été manquée, vous pouvez nous soumettre un fichier sur notre site d’aide à la soumission d’échantillons.

Avant de commencer, assurez-vous d’avoir :

Configurer les politiques d’évaluation

Créez des politiques de sécurité séparées pour les paramètres antivirus Microsoft Defender, les règles ASR et la protection contre la falsification. Pour les étapes complètes de création, d’assignation, d’enregistrement, d’édition et de vérification des politiques, consultez Créer une politique de sécurité de terminaison et Modifier une politique de sécurité de terminaison.

Microsoft Defender Antivirus indique une détection par le biais de notifications Windows standard. Vous pouvez également consulter les résultats de l’analyse antivirus Microsoft Defender.

Le journal des événements Windows enregistre également les événements de détection et de moteur. Pour obtenir la liste des ID d’événement et leurs actions correspondantes, consultez Examiner les journaux d’événements et les codes d’erreur pour résoudre les problèmes liés à Microsoft Defender Antivirus.

Configurer les paramètres antivirus Microsoft Defender

Pour configurer les paramètres d’évaluation antivirus, utilisez une politique antivirus de Microsoft Defender.

Lorsque vous créez la politique dans l’onglet Politiques Windows de la page Politiques de sécurité Endpoint dans le portail Defender à https://security.microsoft.com/policy-inventory?osPlatform=Windows, utilisez ces paramètres spécifiques :

  • Sélectionner la plateforme : sélectionnez Windows.
  • Sélectionner le modèle : sélectionnez antivirus Microsoft Defender.

Lorsque vous créez ou modifiez la politique, configurez les paramètres d’évaluation suivants dans l’onglet Paramètres de configuration :

  • Protection en temps réel :

    Paramètre Valeur
    Autoriser la surveillance en temps réel Autorisé. Il active et exécute le service de surveillance en temps réel (par défaut).
    Direction du balayage en temps réel Surveillez tous les fichiers (bidirectionnel) (par défaut).
    Autoriser la surveillance du comportement Autorisé. Active la surveillance du comportement en temps réel (par défaut).
    Activer la protection à l’accès Autorisé (par défaut).
    PUA Protection Protection PUA activée. Les éléments détectés sont bloqués. Ils apparaissent dans l’histoire aux côtés d’autres menaces.

  • Fonctionnalités de protection cloud :

    Paramètre Valeur
    Autoriser la protection cloud Autorisé. Activez la protection cloud (par défaut).
    Niveau de blocage du cloud Élevé
    Délai d’expiration prolongé du Cloud Configuré, 50
    Envoyer des exemples de consentement Envoyer automatiquement tous les exemples

    Les mises à jour standard des informations de sécurité peuvent prendre des heures à être préparées et déployées. La protection Microsoft fournie par le cloud peut fournir une protection mise à jour contre les menaces émergentes en quelques secondes. Pour plus d’informations, consultez Utiliser des technologies de nouvelle génération dans Microsoft Defender Antivirus via une protection fournie par le cloud.

  • Analyses :

    Paramètre Valeur
    Autoriser l’analyse des e-mails Autorisé. Active l’analyse des e-mails.
    Autoriser l’analyse de tous les fichiers et pièces jointes téléchargés Autorisé (par défaut).
    Autoriser l’analyse des scripts Autorisé (par défaut).
    Autoriser l’analyse des archives Autorisé. Analyse les fichiers d’archive (par défaut).
    Autoriser l’analyse des fichiers réseau Autorisé. Analyse les fichiers réseau (par défaut).
    Autoriser l’analyse complète des lecteurs amovibles Autorisé. Analyse les lecteurs amovibles.

  • Protection réseau :

    Paramètre Valeur
    Activer la protection réseau Activé (mode bloc)
    Autoriser le niveau inférieur de la protection réseau La protection réseau sera activée au niveau inférieur.
    Autoriser le traitement des datagrammes sur Win Server Le traitement des datagrammes sur Windows Server est désactivé (par défaut).
    Désactiver l’analyse du DNS sur TCP Le DNS via l’analyse TCP est activé (par défaut).
    Désactiver l’analyse HTTP L’analyse HTTP est activée (par défaut).
    Désactiver l’analyse SSH L’analyse syntaxique SSH est activée (par défaut).
    Désactiver l’analyse TLS L’analyse TLS est activée (par défaut).

    Note

    Laissez Autoriser le traitement des datagrammes sur Windows Server désactivé pour les rôles serveur à trafic UDP élevé. Activer ce paramètre peut affecter les performances et la fiabilité du réseau. Pour plus d’informations, voir Configurer la protection réseau dans Microsoft Defender Antivirus.

  • Mises à jour de Security Intelligence :

    Paramètre Valeur
    Intervalle de mise à jour de la signature Configuré, 4
    Ordre de basculement de mise à jour des signatures
    1. Sélectionnez Ajouter pour autant de sources de secours que vous souhaitez spécifier.
    2. Entrez l’une des valeurs suivantes dans chaque zone dans l’ordre souhaité :
      • InternalDefinitionUpdateServer: Votre propre serveur WSUS avec les mises à jour de Microsoft Defender Antivirus autorisées.
      • MicrosoftUpdateServer: Mise à jour Microsoft.
      • MMPC : https://www.microsoft.com/wdsi/definitions

    Pour supprimer une source de secours (remplie ou vide), sélectionnez la case à cocher à côté de la boîte, puis sélectionnez Supprimer.

  • Antivirus de l’administrateur local :

    Empêchez les administrateurs locaux de modifier les paramètres de Microsoft Defender Antivirus, comme les exclusions. Gérez les paramètres via Defender pour la gestion des paramètres de sécurité des terminaux.

    Paramètre Valeur
    Désactiver la fusion de l’administrateur local Désactiver la fusion de l’administrateur local

  • Action par défaut de gravité des menaces :

    Paramètre Valeur
    Action de correction pour les menaces de gravité élevée Quarantaine. Déplacer les fichiers en quarantaine.
    Mesure corrective pour les menaces sévères Quarantaine. Déplacer les fichiers en quarantaine.
    Action de correction pour les menaces de faible gravité Quarantaine. Déplacer les fichiers en quarantaine.
    Action de correction pour les menaces de gravité modérée Quarantaine. Déplacer les fichiers en quarantaine.

  • Options de quarantaine :

    Paramètre Valeur
    Nombre de jours de conservation des logiciels malveillants nettoyés Configuré, 60
    Autoriser l’accès à l’interface utilisateur Autorisé. Permet aux utilisateurs d’accéder à l’interface utilisateur (par défaut).

Configurer les règles de réduction de la surface d'attaque

Pour configurer les paramètres d’évaluation des règles ASR, utilisez une politique Attack Surface Reduction Rules. Pour plus d’informations sur les règles ASR, voir les règles ASR.

Pour des informations sur les actions de règles disponibles, voir Modes pour les règles ASR.

Lorsque vous créez la politique dans l’onglet Politiques Windows de la page Politiques de sécurité Endpoint dans le portail Defender à https://security.microsoft.com/policy-inventory?osPlatform=Windows, utilisez ces paramètres spécifiques :

  • Sélectionner la plateforme : sélectionnez Windows.
  • Sélectionnez le modèle : Sélectionnez Règles de réduction de la surface d’attaque.

Lorsque vous créez ou modifiez la politique, configurez les paramètres d’évaluation suivants dans l’onglet Paramètres de configuration :

Paramètre Valeur
Bloquer le contenu exécutable du client de messagerie et de la messagerie web Audit
Empêcher Adobe Reader de créer des processus enfants Audit
Bloquer l’exécution de scripts potentiellement obfusqués Audit
Bloquer l’abus de pilotes signés vulnérables exploités (appareil) Audit
Bloquer les appels d’API Win32 à partir de macros Office Audit
Bloquer l’exécution des fichiers exécutables, sauf s’ils répondent à un critère de prévalence, d’âge ou de liste de confiance Audit
Empêcher les applications de communication Office de créer des processus enfants Audit
Empêcher toutes les applications Office de créer des processus enfants Audit
Bloquer l'utilisation d'outils système copiés ou usurpés Audit
Empêcher JavaScript ou VBScript de lancer le contenu exécutable téléchargé Audit
Bloquer le vol d’informations d’identification à partir du sous-système d’autorité de sécurité locale Windows Audit
Bloquer la création de webshell pour les serveurs Audit
Empêcher les applications Office de créer du contenu exécutable Audit
Bloquer les processus non approuvés et non signés qui s’exécutent à partir d’USB Audit
Empêcher les applications Office d’injecter du code dans d’autres processus Audit
Bloquer la persistance via un abonnement aux événements WMI Audit
Utiliser une protection avancée contre les rançongiciels Audit
Bloquer les créations de processus provenant des commandes PSExec et WMI Audit
Empêcher le redémarrage de la machine en mode sans échec Audit
Activer l’accès contrôlé aux dossiers Mode d’audit

Conseil

Si les événements d’audit identifient un comportement acceptable dans votre organisation, ajoutez une exclusion par règle à Réduction de la surface d’attaque uniquement. Pour plus d’informations, consultez Exclusions de fichiers et de dossiers pour les règles ASR.

Examinez les événements d’audit avant d’activer les règles ASR ou de contrôler l’accès aux dossiers en mode bloc. Pour plus d’informations, voir Tester le déploiement de vos règles ASR.

Configurer la protection contre les falsifications

Pour configurer la protection contre la falsification, utilisez une politique Windows Security Experience.

Lorsque vous créez la politique dans l’onglet Politiques Windows de la page Politiques de sécurité Endpoint dans le portail Defender à https://security.microsoft.com/policy-inventory?osPlatform=Windows, utilisez ces paramètres spécifiques :

  • Sélectionner la plateforme : sélectionnez Windows.
  • Sélectionner le modèle : Sélectionnez Sécurité Windows Experience.

Lorsque vous créez ou modifiez la politique, utilisez ce paramètre spécifique dans l’onglet Paramètres de configuration :

Paramètre Valeur
Protection contre la falsification (dispositif) Protection contre les falsifications (activée)

Valider la protection antivirus Microsoft Defender

Utilisez les procédures suivantes pour vérifier la connectivité cloud et mettre à jour les versions des dispositifs d’évaluation.

Vérifiez la connectivité réseau de la protection dans le cloud

La protection cloud utilise l’apprentissage automatique et l’analyse basés sur le cloud pour permettre une détection des menaces plus rapide. L’appareil doit pouvoir accéder à la protection cloud fournie par Microsoft pour que cette fonctionnalité fonctionne correctement.

La procédure suivante s’applique à Windows 10 ou versions ultérieures ainsi qu’à Windows Server 2019 ou versions ultérieures.

Exécutez les commandes suivantes dans une invite de commande surélevée (une fenêtre d’invite que vous avez ouverte en sélectionnant Exécuter en tant qu’administrateur) :

Conseil

La première commande bascule vers le répertoire de la dernière version de la <plateforme antimalware> dans %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Si ce chemin n’existe pas, il passe à %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Pour plus d’informations, consultez Configurer et gérer Microsoft Defender Antivirus avec l’outil en ligne de commande MpCmdRun.

Vérifier la version de mise à jour de la plateforme

Exécutez la commande suivante dans une session PowerShell surélevée pour afficher la version de la plateforme antivirus Microsoft Defender installée sur l’appareil :

Get-MPComputerStatus | Format-Table AMProductVersion

Comparez la sortie avec la dernière version du canal de production dans le catalogue Microsoft Update.

Vérifiez la version de la mise à jour du renseignement de sécurité

Exécutez la commande suivante dans une session PowerShell élevée pour afficher la version de l’intelligence de sécurité installée sur l’appareil :

Get-MPComputerStatus | Format-Table AntivirusSignatureVersion

Comparez le résultat à la version mise à jour des renseignements de sécurité sur la page Renseignements de sécurité et mises à jour des produits de Microsoft Defender Antivirus.

Vérifiez la version de mise à jour du moteur

Exécutez la commande suivante dans une session PowerShell élevée pour afficher la version du moteur antivirus Microsoft Defender installée sur l’appareil :

Get-MPComputerStatus | Format-Table AMEngineVersion

Comparez la sortie avec la version Engine sur la page de renseignement de sécurité et de mises à jour des produits Microsoft Defender Antivirus.

Si vous constatez que vos paramètres ne prennent pas effet, vous risquez d’avoir un conflit. Pour plus d’informations sur la résolution des conflits, consultez Résoudre les problèmes Microsoft Defender paramètres antivirus.

Soumettre des détections manquées

Si l'antivirus Microsoft Defender ne détecte pas de fichier ou d'activité malveillante lors de votre évaluation, soumettez le fichier non détecté à Microsoft pour analyse :

  • Dernière mise à jour :