Activez et utilisez le mode dépannage dans Microsoft Defender for Endpoint

  • S’applique à: Microsoft Defender for Endpoint, Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Sur les appareils Windows, le mode dépannage dans Microsoft Defender for Endpoint vous permet de modifier temporairement certains paramètres Microsoft Defender Antivirus gérés par les politiques. Utilisez le mode dépannage pour diagnostiquer les performances, la compatibilité des applications, les faux positifs et d’autres problèmes antivirus, notamment lorsque la protection contre la falsification empêche les modifications des paramètres protégés.

Le mode dépannage est disponible pour les appareils enregistrés dans Defender for Endpoint qui fonctionnent sous Windows ou macOS. Actuellement, le mode dépannage n’est pas disponible pour les appareils Linux. Sur macOS, le mode de dépannage ne vous permet pas de désactiver la protection antialtération. Pour les exigences et instructions macOS, voir Mode de dépannage dans Microsoft Defender for Endpoint sur macOS.

Pendant que le mode dépannage est actif, les administrateurs locaux peuvent modifier les paramètres sur chaque appareil qui sont généralement verrouillés par une politique. Les administrateurs locaux ne peuvent pas désactiver ou désinstaller Microsoft Defender Antivirus, mais ils peuvent modifier d'autres paramètres de sécurité de Microsoft Defender Antivirus, comme la protection cloud et la protection contre la falsification.

Le mode dépannage peut prendre jusqu’à 15 minutes à démarrer et s’éteint automatiquement après quatre heures. Il est limité à huit heures par appareil, et le quota se réinitialise 24 heures après la première activation du mode dépannage. Lorsque le mode dépannage expire, les paramètres gérés par la politique deviennent en lecture seule et reviennent à leurs valeurs précédentes. L’utilisateur de l’appareil reçoit des notifications lorsque le mode dépannage commence, est sur le point de se terminer, puis se termine.

La désactivation temporaire de la protection contre les falsifications peut augmenter les risques de sécurité. L’appareil doit être en ligne lorsque vous désactivez temporairement la protection contre la falsification.

Les modifications apportées via les politiques de gestion pendant que le mode dépannage est actif n’entrent en vigueur qu’à l’expiration du mode dépannage. Les mises à jour de la plateforme antivirus Microsoft Defender ne sont pas non plus appliquées tant que le mode dépannage est actif. Les mises à jour de la plateforme sont appliquées après la fin du mode dépannage lors de l’exécution de Windows Update.

Prerequisites

Avant d’activer le mode dépannage, vérifiez les exigences suivantes :

  • Le rôle d’administrateur de sécurité Microsoft Entra. Pour un accès avec privilèges minimaux, utilisez un rôle personnalisé de contrôle d’accès en fonction du rôle (RBAC) unifié de Microsoft Defender avec les autorisations Autorisations et paramètres \ Paramètres de sécurité \ Paramètres de sécurité principaux (gérer) et Autorisations et paramètres \ Paramètres de sécurité \ Ajustement des détections (gérer). Pour plus d’informations, consultez Microsoft Defender RBAC unifié.
  • Un appareil qui est enregistré et actif dans Defender pour Endpoint.
  • Version 4.18.2203 de la plateforme antivirus Microsoft Defender (mars 2022) ou ultérieure, en cours d’exécution active sur l’appareil.
  • L’un des systèmes d’exploitation suivants et l’une des versions minimales ou numéros de build minimaux suivants :

Activez le mode dépannage dans le portail Microsoft Defender

Activez le mode dépannage sur un appareil avant d’apporter des modifications temporaires à ses paramètres antivirus Microsoft Defender :

  1. Sur la page d’inventaire des appareils dans le portail Microsoft Defender, https://security.microsoft.com/machinessélectionnez n’importe où dans la ligne des appareils sauf la case à cocher.

  2. Sur la page des détails de l’appareil, sélectionnez Plus d’options (...), puis activez le mode dépannage.

    Capture d’écran du menu des actions de l’appareil avec l’option Activer le mode de dépannage sélectionnée.

    Note

    L’option Activer le mode dépannage apparaît pour tous les appareils, même si un appareil ne remplit pas les prérequis.

  3. Dans le flyout de confirmation, sélectionnez Envoyer.

    Capture d’écran du flyout de confirmation pour activer le mode dépannage.

  4. Attendez que la page des détails de l’appareil indique que le mode dépannage est actif. L’activation peut prendre jusqu’à 15 minutes.

Désactiver temporairement la protection contre les manipulations

Une fois le mode dépannage activé, utilisez PowerShell sur un appareil Windows supporté ou l’application Sécurité Windows sur un appareil client Windows compatible pour désactiver temporairement la protection contre la falsification.

Désactiver temporairement la protection contre la falsification avec PowerShell

Pour désactiver temporairement la protection contre la falsification pendant que l’appareil est en mode dépannage, exécutez la commande suivante Set-MpPreference dans une session PowerShell élevée (une fenêtre PowerShell que vous avez ouverte en sélectionnant Exécuter en tant qu’administrateur) :

Set-MPPreference -DisableTamperProtection $true

Pour vérifier l’état de la protection contre les falsifications sur l’appareil, exécutez la commande suivante :

Get-MpComputerStatus | Select-Object IsTamperProtected

La valeur False confirme que la protection contre les altages est désactivée.

Désactivez temporairement la protection contre la falsification via l’application Sécurité Windows

Suivez les étapes de Configurer la protection contre les manipulations via l’application Sécurité Windows pour désactiver la protection contre les manipulations.

Note

Vous n’avez pas besoin de réactiver manuellement la protection anti-sabotage. Lorsque le mode de dépannage prend fin, la modification temporaire est annulée et la protection contre la falsification revient à son état précédent, géré par stratégie. Si la protection contre les manipulations était activée auparavant, elle se réactive. Si elle était éteinte auparavant, elle reste éteinte.

Consulter les résultats du mode de dépannage

Defender for Endpoint collecte des journaux et des données d’investigation tout au long du processus de dépannage :

  • Un instantané de MpPreference est pris avant que le mode de dépannage ne commence.
  • Un deuxième instantané est effectué juste avant l’expiration du mode de dépannage.
  • Les journaux opérationnels sont collectés pendant que le mode dépannage est actif.

Utilisez les méthodes suivantes pour revoir ou collecter les informations sur le mode de dépannage :

Requêtes de chasse avancées

Utilisez les requêtes de chasse avancée suivantes pour afficher les événements du mode de dépannage dans votre environnement. Vous pouvez également utiliser ces requêtes pour créer des règles de détection qui génèrent des alertes lorsque les appareils sont en mode dépannage.

Obtenir les événements de dépannage pour un appareil spécifique

Cherchez par deviceId ou deviceName en commentant la ligne que vous ne souhaitez pas utiliser.

//let deviceName = "<deviceName>";   // update with device name
let deviceId = "<deviceID>";   // update with device id
DeviceEvents
| where DeviceId == deviceId
//| where DeviceName  == deviceName
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| project Timestamp,DeviceId, DeviceName, _tsmodeproperties,
 _tsmodeproperties.TroubleshootingState, _tsmodeproperties.TroubleshootingPreviousState, _tsmodeproperties.TroubleshootingStartTime,
 _tsmodeproperties.TroubleshootingStateExpiry, _tsmodeproperties.TroubleshootingStateRemainingMinutes,
 _tsmodeproperties.TroubleshootingStateChangeReason, _tsmodeproperties.TroubleshootingStateChangeSource

Appareils actuellement en mode résolution des problèmes

DeviceEvents
| where Timestamp > ago(3h) // troubleshooting mode automatically disables after 4 hours
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
|summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| order by Timestamp desc

Nombre d’instances de mode de résolution des problèmes par appareil

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(30d)  // choose the date range you want
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| sort by count_

Compter les instances du mode dépannage dans une plage de temps

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(2d) //beginning of time range
| where Timestamp < ago(1d) //end of time range
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count()
| where count_ > 5          // choose your max # of TS mode instances for your time range

Contenu connexe

  • Dernière mise à jour :