Glossaire
Protection contre les falsifications (Tamper protection)
Paramètre de Microsoft Defender qui empêche la modification locale des réglages antivirus essentiels, même par les administrateurs, pour que les attaquants ne puissent pas simplement le désactiver.
La protection contre les falsifications verrouille les paramètres critiques de Microsoft Defender Antivirus afin qu'ils ne puissent pas être modifiés sur l'appareil via le registre, PowerShell, la stratégie de groupe ou l'application Sécurité Windows. Les paramètres protégés comprennent la protection en temps réel, la surveillance du comportement, la protection fournie par le cloud, IOAV (analyse des fichiers téléchargés), les mises à jour des renseignements de sécurité et, lorsque l'appareil est géré uniquement par Intune ou uniquement par Configuration Manager avec les prérequis remplis, les exclusions. Lorsqu'une modification est bloquée, Defender conserve sa configuration et, avec Defender for Endpoint, déclenche une alerte. Elle peut être gérée à l'échelle du locataire depuis le portail Microsoft Defender, via Intune ou Configuration Manager, ou activée localement sur les appareils grand public non gérés.
Désactiver l'antivirus est l'une des premières actions des opérateurs de ransomware une fois les droits d'administrateur obtenus. La protection contre les falsifications transforme ce geste silencieux en une tentative bruyante et vouée à l'échec. Activez-la partout, gérez les exclusions de manière centralisée plutôt que localement et déclenchez des alertes sur les tentatives de falsification. Gardez à l'esprit qu'elle ne protège pas contre les attaques au niveau du noyau : combinez-la avec la liste de blocage des pilotes vulnérables et l'intégrité de la mémoire.
Voir Durcir Microsoft Defender Antivirus au-delà des défauts et Auditer et réduire les exclusions Microsoft Defender.