EDR en mode blocage, mode passif et antivirus tiers

Beaucoup d'organisations utilisent Microsoft Defender for Endpoint (MDE) comme EDR tout en gardant l'antivirus d'un autre éditeur comme produit principal, au moins pendant une migration. C'est pris en charge, mais cela change ce que fait Defender Antivirus sur chaque appareil, et les détails diffèrent entre postes clients et serveurs. Si vous vous trompez, vous vous retrouvez avec deux produits qui se battent, ou avec un Defender qui ne fait discrètement rien alors que tout le monde le croit en train de protéger la machine.

Ce guide explique les modes, la façon dont les appareils se retrouvent dans chacun d'eux, ce qu'apporte l'EDR en mode blocage (EDR in block mode) et comment prouver l'état de chaque appareil. Il s'appuie sur le guide pilier sur le durcissement de Defender Antivirus et sur le thème Microsoft Defender plus large.

Les modes

Vérifiez-le sur n'importe quel appareil :

Get-MpComputerStatus | Select-Object AMRunningMode, AMServiceEnabled, RealTimeProtectionEnabled,
  AMProductVersion, AntivirusSignatureAge, IsTamperProtected

Le Centre de sécurité Windows indique quel produit est enregistré comme principal :

Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct |
  Select-Object displayName, productState   # SecurityCenter2 n'existe que sur les éditions clientes

Ce que l'on garde et ce que l'on perd en mode passif

Ce tableau est l'argument pour terminer une migration : chaque ligne marquée Non est une protection que vous avez configurée par stratégie mais dont vous ne bénéficiez pas. Pour la liste complète, y compris le comportement de l'investigation automatisée, consultez la matrice de compatibilité de Microsoft entre Defender Antivirus et les autres produits de sécurité ; elle est mise à jour au fil de l'évolution des fonctionnalités.

Comment les appareils se retrouvent dans chaque mode

Postes clients Windows 10 et 11

Les postes clients basculent automatiquement. Quand un antivirus tiers s'enregistre auprès du Centre de sécurité Windows :

• Si l'appareil est intégré à MDE, Defender Antivirus passe en mode passif.
• S'il n'est pas intégré, Defender Antivirus est désactivé (éventuellement avec l'analyse périodique limitée).

Quand le produit tiers est désinstallé, Defender repasse de lui-même en mode actif. Une stratégie résiduelle peut l'en empêcher : Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Turn off Microsoft Defender Antivirus (DisableAntiSpyware) est ignorée sur les plateformes actuelles mais figure encore dans beaucoup d'anciennes GPO. Supprimez-la malgré tout pour qu'elle ne brouille pas le dépannage.

Windows Server

Les serveurs ne basculent pas automatiquement. Avec un autre antivirus installé et Defender toujours actif, vous obtenez deux moteurs d'analyse en temps réel sur les mêmes E/S : c'est lent, et parfois instable. Avant ou pendant l'intégration, définissez :

HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
  ForceDefenderPassiveMode   REG_DWORD 1

Déployez-le avec les préférences de stratégie de groupe ou votre outil de gestion des serveurs, puis intégrez. Pour remettre un serveur en mode actif, passez la valeur à 0 (ou supprimez-la) et redémarrez. Définissez la valeur avant l'intégration si le serveur doit rester passif. À partir de la plateforme 4.18.2208, une fois qu'un serveur intégré est actif avec Tamper Protection activée, Tamper Protection bloque le retour en mode passif, même avec ForceDefenderPassiveMode = 1.

Ne désinstallez pas la fonctionnalité Windows Defender pour « faire de la place » à un autre produit si le serveur est intégré à MDE. Le mode passif conserve l'EDR en mode blocage et une solution de repli.

Postes clients qui ne passent pas en mode passif

Microsoft documente ForceDefenderPassiveMode pour Windows Server ; sur les postes clients, le mode passif dépend de l'enregistrement du produit tiers auprès du Centre de sécurité Windows. Si le service Centre de sécurité Windows est désactivé, Defender ne voit pas l'autre produit et reste actif à ses côtés, ce que Microsoft ne prend pas en charge. Corrigez l'enregistrement ou le service plutôt que de compter sur une modification du registre.

L'EDR en mode blocage

L'EDR en mode blocage permet à Defender Antivirus d'agir sur ce que voit le capteur EDR, même lorsqu'un autre produit est principal. Si la détection comportementale de MDE juge un fichier ou un processus malveillant, Defender en mode passif le bloque et le remédie : mise en quarantaine du fichier, arrêt du processus. Sans lui, MDE lèverait une alerte et attendrait que l'autre antivirus, ou un analyste, agisse.

Prérequis :

• Defender for Endpoint Plan 2 (ou une licence qui l'inclut) et des appareils intégrés.
• Windows 10 ou 11, Windows Server 2019 ou ultérieur, ou Server 2016 / 2012 R2 avec la solution unifiée moderne.
• Defender Antivirus installé et en mode passif ou actif, avec la plateforme 4.18.2001.10 et le moteur 1.1.16700.2 ou ultérieurs (en pratique, maintenez les deux à jour).
• Protection cloud activée dans la configuration de Defender.

Activez-le dans le portail Microsoft Defender : Settings > Endpoints > General > Advanced features > Enable EDR in block mode. Ce bouton s'applique à tout le locataire ; à partir de la plateforme 4.18.2202, vous pouvez à la place cibler des groupes d'appareils avec le CSP Defender Configuration/PassiveRemediation ou la GPO Microsoft Defender Antivirus > Features > Enable EDR in block mode. Microsoft le destine avant tout aux appareils où Defender est en mode passif.

Les détections remédiées de cette façon apparaissent dans le Centre de notifications (Action center) du portail comme actions terminées avec l'état Blocked ou Prevented ; l'alerte peut désigner Microsoft Defender Antivirus comme source alors qu'il est en mode passif. Sur l'appareil, la remédiation est visible dans l'historique de protection de Defender et dans le journal Windows Defender Operational (détection 1116, action 1117).

Faire cohabiter deux produits sans conflit

Quand un antivirus tiers et Defender coexistent, chacun doit ignorer les fichiers de l'autre, sinon vous obtenez des faux positifs, des interblocages et des analyses lentes.

1. Dans le produit tiers, excluez les binaires et les données de Defender : C:\Program Files\Windows Defender\, C:\ProgramData\Microsoft\Windows Defender\, ainsi que le capteur MDE (MsSense.exe, SenseCncProxy.exe, SenseIR.exe et le dossier C:\Program Files\Windows Defender Advanced Threat Protection\). Utilisez le mécanisme de l'éditeur et la liste publiée par Microsoft, qui fait référence.
2. Dans Defender, n'ajoutez des exclusions pour les dossiers d'installation et de données du produit tiers que si vous constatez des conflits. En mode passif, Defender n'analyse pas en temps réel : ces exclusions servent surtout pour la future phase active. Gardez-les étroites et attribuées, comme dans l'audit des exclusions.
3. Configurez tout de même Defender entièrement. Déployez dès maintenant vos paramètres ASR, protection du réseau, CFA et cloud. Ils sont ignorés en mode passif et s'appliquent dès que l'appareil devient actif, ce qui est exactement ce que vous voulez au moment de la bascule.

La bascule de migration

Ordre typique pour passer d'un autre antivirus à Defender :

1. Définir ForceDefenderPassiveMode sur les serveurs, puis intégrer les appareils à MDE.
2. Activer l'EDR en mode blocage sur tout le locataire.
3. Déployer les stratégies Defender (antivirus, règles ASR en audit, protection du réseau, exclusions).
4. Désinstaller le produit tiers par anneaux. Les postes clients passent en actif automatiquement ; sur les serveurs, passer ForceDefenderPassiveMode à 0 et redémarrer.
5. Vérifier le mode Normal, puis passer les règles ASR en blocage.
6. Activer Tamper Protection à mesure que chaque anneau devient actif.

Ce qui casse

• Deux moteurs d'analyse en temps réel actifs sur un serveur jamais passé en mode passif : CPU élevé, verrous de fichiers, sauvegardes en échec. Corrigez avec ForceDefenderPassiveMode.
• Defender bloqué en mode passif après la suppression de l'autre produit, à cause d'un enregistrement résiduel dans le Centre de sécurité ou d'une valeur ForceDefenderPassiveMode oubliée. Vérifiez les deux.
• Fonctionnalité Defender supprimée sur des serveurs, si bien que l'EDR en mode blocage ne peut pas agir, sans le moindre signal. Réinstallez avec Install-WindowsFeature Windows-Defender là où c'est pris en charge.
• Renseignements de sécurité obsolètes sur les appareils passifs. Les mises à jour doivent continuer d'arriver ; un appareil passif avec des renseignements vieux d'une semaine donne de mauvais résultats en EDR en mode blocage.

Vérifier

Construisez un rapport sur tout le parc, pas un contrôle ponctuel :

$s = Get-MpComputerStatus
[pscustomobject]@{
  Computer     = $env:COMPUTERNAME
  Mode         = $s.AMRunningMode
  Platform     = $s.AMProductVersion
  SigAgeDays   = $s.AntivirusSignatureAge
  Tamper       = $s.IsTamperProtected
  ForcePassive = (Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection' -ErrorAction SilentlyContinue).ForceDefenderPassiveMode
}

Dans le portail Defender, le rapport Microsoft Defender Antivirus health (sous Reports > Device health) indique le mode antivirus de chaque appareil intégré. Chaque appareil doit se trouver dans exactement un état attendu : Normal là où Defender est principal, EDR Block Mode là où un autre produit l'est encore. Passive Mode sans mode blocage, ou SxS Passive Mode sur un appareil intégré, est une lacune à corriger.

Liste de contrôle

• Mode d'exécution inventorié pour chaque appareil, avec l'état attendu documenté
• ForceDefenderPassiveMode défini sur les serveurs exécutant un autre antivirus ; supprimé après la bascule
• Fonctionnalité Defender conservée sur les serveurs intégrés
• EDR en mode blocage activé sur tout le locataire
• Exclusions mutuelles en place entre Defender et le produit tiers
• Stratégies Defender (ASR, protection du réseau, CFA) déployées avant la bascule
• Anciennes GPO « Turn off Microsoft Defender Antivirus » supprimées
• Appareils dans un mode inattendu signalés et assortis d'alertes