Durcir Microsoft Defender Antivirus au-delà des défauts

Microsoft Defender Antivirus s'exécute sur tous les clients et serveurs Windows pris en charge, sauf si un autre antivirus l'a remplacé. Tel quel, il détecte déjà beaucoup de choses. Mais plusieurs de ses fonctionnalités les plus efficaces sont désactivées, laissées à la main des utilisateurs locaux, ou reposent sur des valeurs par défaut que les attaquants savent défaire. Ce guide liste les paramètres qui le font passer d'« installé » à « durci », avec les chemins de stratégie de groupe, le PowerShell pour tester et les vérifications à mener ensuite.

Tous les paramètres de stratégie de groupe ci-dessous se trouvent sous Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Antivirus. Les mêmes paramètres existent dans Intune sous Endpoint security > Antivirus.

1. S'assurer que Defender tourne vraiment

Avant de régler quoi que ce soit, vérifiez l'état sur un échantillon de machines :

Get-MpComputerStatus | Select-Object AMRunningMode, AMServiceEnabled,
  RealTimeProtectionEnabled, BehaviorMonitorEnabled, IoavProtectionEnabled,
  IsTamperProtected, AntivirusSignatureAge, AMProductVersion

• AMRunningMode doit valoir Normal. Passive Mode signifie qu'un autre antivirus est principal et que Defender ne bloque rien.
• AntivirusSignatureAge doit valoir 0 ou 1 jour.
• AMProductVersion est la version de la plateforme ; les plateformes anciennes n'ont ni certaines fonctionnalités ni certains correctifs, alors laissez passer les mises à jour de plateforme (elles arrivent par Windows Update / WSUS dans une catégorie de mise à jour distincte).

2. Protection cloud et blocage à la première détection

L'essentiel de la capacité de Defender à arrêter des fichiers jamais vus vient du cloud. Quand un fichier suspect apparaît, le client peut le retenir pendant que le cloud analyse les métadonnées et, si nécessaire, l'échantillon lui-même.

Équivalents PowerShell pour une machine de test :

Set-MpPreference -MAPSReporting Advanced -SubmitSamplesConsent SendSafeSamples `
  -DisableBlockAtFirstSeen $false -CloudBlockLevel High -CloudExtendedTimeout 50

Le blocage à la première détection (block at first sight) ne fonctionne que si le signalement MAPS et l'envoi d'échantillons sont tous deux activés. Le niveau de blocage cloud « High » est assez agressif pour compter et rarement bruyant ; High+ et Zero tolerance sont réservés aux appareils verrouillés.

3. Tamper Protection

Tamper Protection (protection contre les falsifications) empêche les modifications locales des paramètres clés de Defender : désactivation de la protection en temps réel, de la surveillance du comportement, de la protection cloud, suppression des mises à jour de renseignements de sécurité. Elle les bloque même pour un administrateur local, c'est-à-dire exactement le compte dont dispose un attaquant lorsqu'il essaie.

Elle ne peut pas être activée par stratégie de groupe. Activez-la via Microsoft Defender for Endpoint / Intune (à l'échelle du locataire ou par profils d'appareils) ou, sur une machine autonome, dans Sécurité Windows > Paramètres de protection contre les virus et menaces. Vérifiez avec IsTamperProtected dans Get-MpComputerStatus.

Si vous gérez Defender uniquement par stratégie de groupe, vous profitez quand même de Tamper Protection lorsqu'elle est activée depuis Sécurité Windows, mais vous perdez l'application centralisée. C'est un bon argument pour faire gérer au moins la configuration de Defender par Intune.

4. Protection en temps réel, comportementale et des scripts

Ces protections sont actives par défaut. Assurez-vous que rien (ancienne GPO, script de construction d'image, outil tiers) ne les a désactivées, et verrouillez-les :

La dernière ligne est importante : avec la fusion désactivée, les exclusions ajoutées localement par un attaquant avec Add-MpPreference -ExclusionPath sont ignorées, et seules les exclusions gérées de façon centralisée s'appliquent.

5. Applications potentiellement indésirables (PUA)

Les installeurs groupés avec des logiciels publicitaires, les cryptomineurs et les outils d'accès à distance « gratuits » ne sont pas des malwares au sens strict, mais c'est souvent par eux qu'une intrusion commence ou persiste.

• GPO : Configure detection for potentially unwanted applications = Enabled, Block.
• PowerShell : Set-MpPreference -PUAProtection Enabled (commencez par AuditMode si votre culture logicielle est permissive).

Microsoft Edge dispose de son propre blocage des PUA pour les téléchargements, dans ses paramètres SmartScreen ; activez les deux.

6. Protection du réseau

La protection du réseau étend le blocage par réputation de type SmartScreen à tous les processus, pas seulement au navigateur : un script malveillant ou un implant qui contacte un domaine ou une IP réputés malveillants est bloqué au moment de la connexion.

• GPO : Microsoft Defender Exploit Guard > Network Protection > Prevent users and apps from accessing dangerous websites = Enabled, Block (commencez par Audit Mode).
• PowerShell : Set-MpPreference -EnableNetworkProtection Enabled.
• Sur Windows Server, la protection du réseau doit aussi être explicitement autorisée : Set-MpPreference -AllowNetworkProtectionOnWinServer $true.

Dans le journal Operational de Defender, les événements d'audit sont les 1125 (aurait bloqué) et les blocages les 1126.

7. Accès contrôlé aux dossiers (au cas par cas)

L'accès contrôlé aux dossiers protège Documents, Images et d'autres dossiers contre les modifications par des processus non approuvés : une solide couche anti-ransomware. Il génère aussi des tickets de support quand des applications légitimes ne peuvent plus enregistrer. Faites-le tourner en mode audit (Set-MpPreference -EnableControlledFolderAccess AuditMode), examinez les événements 1124, autorisez les applications de confiance et appliquez le blocage aux groupes qui le supportent, comme les postes de la finance.

8. Analyses, mises à jour et remédiation

9. Hygiène des exclusions

C'est dans les exclusions que la protection de Defender disparaît sans bruit. Auditez-les :

Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess, ExclusionExtension

Signaux d'alerte :

• Des lecteurs entiers, C:\Windows\Temp, %TEMP%, %APPDATA%, C:\Users, C:\ProgramData.
• Des exclusions de processus pour des interpréteurs (powershell.exe, python.exe, cmd.exe).
• Des exclusions d'extensions pour .exe, .dll, .ps1.

Sur les serveurs, Defender applique déjà des exclusions automatiques pour les rôles Windows Server (par exemple les fichiers de base de données AD DS et SYSVOL sur les contrôleurs de domaine). Vous avez rarement besoin des longues listes manuelles des anciens guides d'éditeurs. Pour les applications tierces, demandez à l'éditeur les chemins minimaux et documentez un responsable et une date de revue pour chacun.

Masquez aussi les exclusions avec Exclusions > Control whether or not exclusions are visible to Local Users (non configuré par défaut, donc à définir explicitement), et de préférence avec son équivalent plus strict Control whether or not exclusions are visible to Local Admins, qui prive l'attaquant d'une carte toute prête des endroits où déposer ses outils.

10. Surveiller

Transférez le journal Operational de Defender vers votre SIEM et alertez sur :

Liste de contrôle

• Defender en mode Normal partout où il doit être l'antivirus principal
• Advanced MAPS, échantillons sûrs, block at first sight, niveau cloud High, vérification étendue de 50 s
• Tamper Protection activée (vérifier IsTamperProtected)
• Remplacement local et fusion des exclusions locales désactivés
• PUA et protection du réseau en mode blocage (après audit)
• Exclusions revues, attribuées et minimales
• Événements Defender transférés et assortis d'alertes

Une fois l'antivirus solide, ajoutez par-dessus les règles ASR et envisagez le contrôle des applications pour les systèmes où « uniquement des logiciels connus » est réaliste.