Antivirus

La configuration de politique Antivirus gère Microsoft Defender Antivirus, la protection antivirus intégrée à Windows. Elle définit les analyses planifiées et les mises à jour des signatures, les types de fichiers et les exclusions des analyses, les fonctions de protection de Defender, les actions par défaut en cas de menace détectée ainsi que les règles de réduction de la surface d’attaque (ASR). De nombreux libellés du portail utilisent encore l’ancien nom du produit, « Windows Defender ».

Microsoft décrit les différents paramètres dans la documentation du Policy CSP – Defender →.

Prérequis #

• Windows 10 à partir de la version 1703 dans les éditions Famille (Home), Professionnel (Pro), Entreprise et Éducation, ainsi que Windows 11.
• Une seule configuration Antivirus est possible par politique.
• Certains champs portent des badges de version dans le portail. Les appareils dotés d’une version de Windows plus ancienne ne reçoivent pas ces valeurs ; Relution les omet lors de la transmission :
  • à partir de Windows 10 version 1709 : niveau de protection cloud et délai d’analyse cloud, accès contrôlé aux dossiers, protection du réseau ainsi que tous les paramètres de réduction de la surface d’attaque,
  • uniquement Entreprise et Éducation à partir de la version 1709 : Le balayage ne démarre que lorsque l’appareil est allumé mais non utilisé et Permet la randomisation de l’heure de début de l’analyse programmée.
• Selon Microsoft, les paramètres ne s’appliquent que tant que Microsoft Defender Antivirus est la protection antivirus active de l’appareil. Si un antivirus tiers est installé, Windows fait généralement passer Defender en mode passif ou désactivé.

Paramètres de numérisation #

La section Paramètres de numérisation définit l’analyse planifiée et la mise à jour des signatures.

• Type d’analyse qui sera effectué : Balayage rapide (par défaut) ou Balayage complet pour l’analyse planifiée.
• Heure de la journée au cours de laquelle l’analyse sera effectuée : heure de début de l’analyse planifiée (par défaut : 02 h 00). L’heure est transmise en minutes après minuit ; les valeurs jusqu’à 23 h 00 sont admises.
• Jour où l’analyse de Windows Defender doit être exécutée : Tous les jours (par défaut), un seul jour de la semaine de Lundi à Dimanche, ou Jamais. Avec Jamais, aucune analyse planifiée n’a lieu.
• Le balayage ne démarre que lorsque l’appareil est allumé mais non utilisé (par défaut : activé ; uniquement Entreprise et Éducation à partir de la version 1709).
• Permet la randomisation de l’heure de début de l’analyse programmée (par défaut : activé ; uniquement Entreprise et Éducation à partir de la version 1709) : Windows décale aléatoirement le début de l’analyse planifiée afin que tous les appareils n’analysent pas en même temps.
• Vérifiez régulièrement les signatures (par défaut : activé) : le champ en retrait Spécifie l’intervalle (en heures) qui sera utilisé pour vérifier les signatures n’est modifiable que si l’interrupteur est activé (1 à 24 heures, par défaut : 8). Si l’interrupteur est désactivé, l’intervalle 0 est transmis ; selon Microsoft, la vérification périodique n’a alors plus lieu.
• Désactiver les scans de rattrapage pour les analyses complètes planifiées (par défaut : activé) et Désactiver les scans de rattrapage pour les scans rapides planifiés (par défaut : activé) : une analyse de rattrapage rattrape une analyse planifiée manquée, par exemple parce que l’appareil était éteint.
• Activer la faible priorité du processeur pour les scans planifiés (par défaut : désactivé).
• Vérifiez la présence de nouvelles définitions de virus et de logiciels espions avant d’exécuter une analyse (par défaut : désactivé).
• Sources de mise à jour des définitions à contacter : sélection multiple parmi Serveur de mise à jour des définitions (serveur interne), Serveur Microsoft Update, MMPC et Partage de fichiers. Les sources sélectionnées apparaissent dans une liste en dessous ; leur ordre se règle par glisser-déposer ou à l’aide des boutons fléchés et détermine l’ordre dans lequel Defender interroge les sources. Sans sélection, le réglage par défaut de Windows est conservé.
• Sources de partage de fichiers UNC pour le téléchargement des mises à jour : liste de chemins UNC (par ex. \\fileserver\defender-updates) utilisés pour la source Partage de fichiers.

Types de fichiers inclus #

La section Types de fichiers inclus définit le contenu que Defender vérifie.

• Autoriser la numérisation des archives (par défaut : activé), par exemple les fichiers ZIP ou CAB.
• Autoriser l’analyse des fichiers réseau (par défaut : activé).
• Autoriser l’analyse complète des disques amovibles (par défaut : activé) : les clés USB et autres supports amovibles sont inclus dans les analyses complètes.
• Autoriser l’analyse des e-mails (par défaut : désactivé).
• Autoriser l’analyse complète des lecteurs réseau mappés (par défaut : désactivé) : les lecteurs réseau connectés sont inclus dans les analyses complètes.
• Contrôlez quels fichiers doivent être surveillés : sens de la surveillance en temps réel – Analyser tous les fichiers (par défaut), Analyser uniquement les fichiers entrants ou Analyser uniquement les fichiers sortants.

Types de fichiers exclus #

Dans la section Types de fichiers exclus, les exclusions sont gérées sous forme de listes. Chaque entrée est ajoutée individuellement.

• Désactiver l’analyse pour les chemins spécifiés : dossiers ou fichiers, par ex. C:\Donnees\Build\.
• Désactiver l’analyse pour les types de fichiers spécifiés : extensions de fichiers, par ex. log.
• Désactiver l’analyse des fichiers ouverts par un processus spécifié : les fichiers ouverts par ces processus ne sont pas analysés, par ex. C:\Program Files\Exemple\app.exe.

Le portail ne vérifie pas le format des entrées. Le texte d’aide du champ montre un exemple de chemin avec des barres obliques (/Users/user/Documents/) ; Windows attend des chemins au format Windows, avec lettre de lecteur et barres obliques inverses.

Réglages avancés #

La section Réglages avancés regroupe les fonctions de protection de Defender.

• Autoriser la surveillance en temps réel Windows Defender (par défaut : activé).
• Autoriser la surveillance du comportement de Windows (par défaut : activé) : surveillance du comportement de Windows Defender.
• Autoriser la protection cloud Windows Defender (par défaut : activé) : protection fournie par le cloud, dans laquelle les fichiers inconnus sont comparés au service cloud de Microsoft.
• Spécifiez le niveau de protection appliqué par Windows Defender Cloud Protection (à partir de la version 1709) :
  • Niveau de blocage Windows Defender par défaut (par défaut)
  • Bloquer tous les exécutables inconnus
  • Bloquez agressivement les inconnues tout en optimisant les performances du client
  • Bloquez agressivement les inconnues et appliquez des mesures de protection supplémentaires
• Spécifiez la durée pendant laquelle un fichier sera bloqué et analysé dans le nuage (à partir de la version 1709) : 10 à 60 secondes par pas de 10 secondes (par défaut : 10 secondes). C’est la prolongation au-delà des 10 secondes habituelles qui est transmise.
• Vérifie le niveau de consentement de l’utilisateur dans Windows Defender pour envoyer des données : définit si les fichiers suspects sont envoyés à Microsoft sous forme d’échantillons.
  • Demander toujours à l’utilisateur
  • Envoyer automatiquement des échantillons sûrs (par défaut)
  • Envoyer automatiquement tous les échantillons
  • N’envoyez jamais d’échantillons
• Autoriser la protection IOAV de Windows Defender (par défaut : activé) : vérification des fichiers téléchargés et des pièces jointes.
• Autoriser la protection contre les intrusions (par défaut : activé).
• Autoriser l’utilisateur à accéder à l’interface utilisateur Windows Defender (par défaut : activé).
• Autoriser la protection d’accès à Windows Defender (par défaut : activé) : vérification des fichiers lors de l’accès.
• Représente le facteur de charge CPU moyen pour l’analyse Windows Defender : charge CPU moyenne maximale pendant une analyse, de 0 à 100 % (par défaut : 50 %).
• Autoriser l’analyse des scripts (par défaut : activé).
• Activer l’accès contrôlé aux dossiers (à partir de la version 1709) : Désactivé (par défaut), Activé ou Mode audit. L’accès contrôlé aux dossiers protège les dossiers contre les modifications par des applications non fiables, par exemple par un rançongiciel ; en Mode audit, les accès sont seulement journalisés.
• Autoriser l’application à modifier les dossiers protégés par un accès contrôlé aux dossiers (à partir de la version 1709) : liste de chemins de programmes autorisés à modifier malgré tout les dossiers protégés.
• Ajouter des dossiers à l’accès contrôlé aux dossiers (à partir de la version 1709) : liste de dossiers supplémentaires protégés en plus de ceux définis par Windows.
• Spécifiez le niveau de protection contre les applications potentiellement indésirables (PUA) : Désactivé (par défaut), Activé ou Mode audit.
• Activer la protection du réseau (à partir de la version 1709) : Désactivé (par défaut), Activé ou Mode audit. Selon Microsoft, la protection du réseau empêche les connexions vers des adresses de faible réputation.

Gestion des menaces #

Dans la section Gestion des menaces, l’action par défaut exécutée par Defender en cas de menace détectée est définie pour chaque niveau de gravité :

• Menaces de faible gravité
• Menaces de gravité modérée
• Menaces de gravité élevée
• Menaces graves

Les options disponibles sont Non configuré (par défaut), Essayez de récupérer des fichiers et de désinfecter, Déplacer les fichiers en quarantaine, Supprimer des fichiers du système, Autoriser les fichiers, L’utilisateur peut choisir l’action à effectuer et Exécution d’un fichier (bloque l’exécution du fichier). Avec Non configuré, Relution ne transmet aucune action pour ce niveau de gravité ; le comportement par défaut de Windows s’applique.

• Supprimer les éléments mis en quarantaine au bout d’un certain nombre de jours (par défaut : désactivé) : le champ en retrait Période (en jours) pendant laquelle les éléments de quarantaine seront stockés sur le système n’est modifiable que si l’interrupteur est activé (1 à 90 jours, par défaut : 1). Si l’interrupteur est désactivé, 0 est transmis ; selon Microsoft, les éléments en quarantaine sont alors conservés sans limite de durée.

Règles de réduction des surfaces d’attaque #

Les règles de réduction de la surface d’attaque (Attack Surface Reduction, ASR) empêchent des comportements typiques des logiciels malveillants, comme le lancement de processus depuis des applications Office. Tous les paramètres de cette section nécessitent Windows 10 version 1709 ou ultérieure.

• Désactiver les règles de réduction de surface d’attaque (ASR) pour les chemins spécifiés : liste de fichiers et de dossiers exclus de toutes les règles ASR.

Les règles elles-mêmes figurent dans une liste avec les colonnes Règle ASR et État. Ajouter ouvre la boîte de dialogue Règle de réduction de surface d’attaque avec les champs Règle ASR (obligatoire) et État :

• Désactiver la règle ASR (par défaut) : la règle est désactivée.
• Activer la règle ASR : la règle bloque.
• Évaluez l’impact de la règle ASR sur votre organisation si elle est activée : mode audit, les événements sont seulement journalisés.
• Activez la règle ASR mais autorisez l’utilisateur final à contourner le blocage : mode avertissement.

Une règle existante ne peut pas être modifiée. Pour changer son état, la règle est sélectionnée, supprimée via Supprimer puis ajoutée à nouveau. Le portail n’empêche pas qu’une même règle figure plusieurs fois dans la liste ; chaque règle ne devrait être saisie qu’une seule fois.

Les règles suivantes sont proposées dans le champ Règle ASR, dans l’ordre du portail :

Relution ne transmet la règle Bloquer la persistance via l’abonnement aux événements WMI qu’aux appareils équipés de Windows 10 version 1903 ou ultérieure.

Transmission à l’appareil #

Relution transmet les paramètres via le Policy CSP Defender sous ./Vendor/MSFT/Policy/Config/Defender/. Tous les interrupteurs et champs de sélection du formulaire sont définis, même s’ils sont sur leur valeur par défaut. Font exception :

• les listes vides : elles ne sont pas transmises ; si une valeur avait été définie auparavant, elle est supprimée de l’appareil,
• les actions par défaut de la Gestion des menaces réglées sur Non configuré,
• les champs que la version ou l’édition de Windows de l’appareil ne prend pas en charge (voir Prérequis →).

Les listes sont transmises sous forme d’une seule valeur avec | comme séparateur, les actions par défaut sous la forme gravité=action (par ex. 4=2|5=3) et les règles ASR sous la forme GUID=état.

Les détails de l’appareil affichent l’état de Defender dans la carte Sécurité, à condition que le service Defender soit en cours d’exécution sur l’appareil, notamment Defender est activé, La protection en temps réel est activée, La signature Windows Defender est obsolète et Heure de la dernière analyse rapide de Windows Defender. Une analyse en dehors de la planification peut être déclenchée via l’action Scanner l’appareil.

Sujets connexes #

• Actions disponibles → — notamment l’action Scanner l’appareil pour une analyse Defender à la demande.
• Pare-feu Windows → — profils et règles de pare-feu pour les appareils Windows.
• Contrôle des applications → — contrôle des applications avec des politiques WDAC.
• CSP personnalisé → — paramètres Defender non couverts par la configuration.
• Limites de Windows Home → — politiques et actions sous Windows Home.