Microsoft Defender Antivirus via GPO¶

Defender est présent sur chaque poste Windows. Il fonctionne par défaut, mais son état par défaut n'est pas un état durci.

Sans configuration active, plusieurs fonctions avancées restent désactivées ou sous-optimales. Les exclusions héritées, les sources de signatures mal ordonnées et l'absence de protection cloud réduisent la capacité de détection sans que le poste ne signale un problème.

1. Defender n'est pas "bon par défaut"¶

1.1 L'état par défaut¶

Defender fonctionne dès l'installation de Windows. Mais plusieurs de ses mécanismes avancés ne sont pas activés ou pas configurés de manière optimale.

Les situations suivantes sont courantes en entreprise :

• La protection cloud (MAPS) est désactivée par une GPO héritée ou un paramètre local.
• Les exclusions contiennent des chemins trop larges hérités d'un ancien logiciel désinstallé.
• Les mises à jour de signatures passent uniquement par WSUS, sans fallback vers le cloud Microsoft.
• Le niveau de blocage cloud reste sur Default au lieu d'un niveau plus agressif.

1.2 Ce que la GPO ajoute¶

La GPO centralise et verrouille la configuration Defender. Les modifications locales par un utilisateur ou un script ne peuvent pas contourner les paramètres imposés par la stratégie.

Trois apports concrets :

• Forcer les paramètres indépendamment des modifications locales.
• Activer des fonctions désactivées par défaut : protection cloud intensive, blocage au premier contact.
• Assurer la cohérence du parc : chaque poste reçoit les mêmes règles de détection.

2. Protection cloud et MAPS¶

2.1 Qu'est-ce que MAPS¶

MAPS (Microsoft Active Protection Service) est le service de renseignement sur les menaces en temps réel de Microsoft.

Quand Defender rencontre un fichier inconnu, il envoie des métadonnées au cloud Microsoft pour obtenir un verdict avant de laisser le fichier s'exécuter.

Deux niveaux de participation existent :

Le niveau Advanced offre une meilleure couverture car il permet à Microsoft d'analyser les fichiers réellement suspects, pas seulement leurs métadonnées.

2.2 Clés de registre MAPS¶

Les clés MAPS se trouvent sous HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet.

2.3 Block at First Sight¶

Block at First Sight est un mécanisme complémentaire à MAPS. Quand Defender rencontre un fichier inconnu, il bloque son exécution en attendant le verdict cloud.

Le fichier reste en quarantaine temporaire pendant que le cloud analyse ses caractéristiques. Si le verdict est malveillant, le fichier est bloqué définitivement. Si le verdict est propre, l'exécution reprend.

Ce mécanisme nécessite deux conditions :

• MAPS au niveau Advanced (SpynetReporting = 2).
• Protection en temps réel active.

3. Protection en temps réel et comportementale¶

3.1 Paramètres de protection temps réel¶

Les paramètres de protection en temps réel se trouvent sous HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection.

3.2 Niveau de protection comportementale¶

Les paramètres de niveau de blocage se trouvent sous HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\MpEngine.

Les niveaux de MpCloudBlockLevel sont les suivants :

4. Mises à jour des signatures¶

4.1 Sources de mises à jour¶

Defender supporte plusieurs sources de signatures, consultées dans un ordre de priorité configurable :

La clé SignatureUpdateFallbackOrder définit l'ordre de consultation. Si la première source est indisponible, Defender passe automatiquement à la suivante.

4.2 Clés de registre¶

Les clés de mise à jour se trouvent sous HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Signature Updates.

4.3 GPO de mise à jour¶

Le chemin GPO pour les signatures est :

Computer Configuration
  > Administrative Templates
    > Windows Components
      > Microsoft Defender Antivirus
        > Security Intelligence Updates

Les paramètres clés dans ce noeud :

• Define the order of sources for downloading security intelligence updates : définit le fallback.
• Specify the interval to check for security intelligence updates : fréquence de vérification.
• Allow security intelligence updates from Microsoft Update : autorise le fallback vers Windows Update.

5. Exclusions : risques et bonnes pratiques¶

5.1 Pourquoi les exclusions sont dangereuses¶

Une exclusion retire un chemin, une extension ou un processus de la surveillance en temps réel et du scan planifié.

Les attaquants connaissent les exclusions courantes. Les dossiers d'installation de bases de données, de serveurs web ou de certains logiciels métier sont souvent exclus pour des raisons de performance.

Un malware déposé dans un dossier exclu ne déclenche aucune alerte.

5.2 Types d'exclusions¶

5.3 Audit des exclusions existantes¶

La commande suivante liste les exclusions actives sur un poste :

Get-MpPreference |
    Select-Object ExclusionPath, ExclusionExtension, ExclusionProcess

6. Chemin GPO et paramètres recommandés¶

6.1 Chemin GPO principal¶

Computer Configuration
  > Administrative Templates
    > Windows Components
      > Microsoft Defender Antivirus

Les sous-noeuds importants :

• Real-time Protection
• MAPS
• Scan
• Security Intelligence Updates
• Quarantine
• Exclusions

6.2 Paramètres recommandés¶

6.3 Ne jamais désactiver Defender via GPO¶

La clé DisableAntiSpyware sous HKLM\SOFTWARE\Policies\Microsoft\Windows Defender désactive complètement Defender lorsqu'elle est positionnée à 1.

Sur les versions récentes de Windows 10 et Windows 11, Microsoft ignore cette clé si elle provient d'une source autre que Microsoft Defender for Endpoint (Tamper Protection). Mais cette protection n'est active que si Tamper Protection est activé.

7. Tableau récapitulatif¶

flowchart LR
    A[Fichier inconnu] --> B[Protection temps réel]
    B --> C{Verdict local\nsignatures}
    C -- Connu malveillant --> D[Quarantaine]
    C -- Connu sain --> E[Autorisation]
    C -- Inconnu --> F[MAPS cloud]
    F --> G{Verdict cloud}
    G -- Malveillant --> D
    G -- En analyse --> H[Block at First Sight]
    H --> I{Résultat dans le délai ?}
    I -- Oui, malveillant --> D
    I -- Oui, sain --> E
    I -- Timeout --> J[Décision selon\nMpCloudBlockLevel]