Microsoft Defender Antivirus sur Windows Server avec PowerShell

Objectif

Vérifier l'état de Microsoft Defender Antivirus et l'ancienneté de ses signatures, forcer une mise à jour des signatures, lancer une analyse à la demande et passer en revue les exclusions configurées sur Windows Server, depuis une session PowerShell et sans interface graphique.

Prérequis

Une session d'administrateur avec élévation de privilèges ; Windows Server 2016 ou version ultérieure, où Microsoft Defender Antivirus et son module PowerShell Defender sont installés par défaut (si les cmdlets sont absentes, vérifier avec Get-WindowsFeature Windows-Defender). Si un autre produit antivirus est installé, vérifier AMRunningMode à l'étape 1 : sous Windows Server, Defender ne passe pas de lui-même en mode passif.

Étapes

1. Vérifier l'état global et l'ancienneté des signatures en un seul appel : Get-MpComputerStatus. La cmdlet renvoie notamment les champs AntivirusEnabled, AntivirusSignatureAge et AntivirusSignatureLastUpdated, ce qui permet de scripter un seuil d'ancienneté (par exemple signaler tout ce qui présente AntivirusSignatureAge -gt 2).
2. Forcer une mise à jour des signatures en dehors du calendrier habituel : Update-MpSignature, dont la documentation indique qu'elle met à jour « the antimalware definitions on a computer » (les définitions antimalware d'un ordinateur) ; sans -UpdateSource, elle suit l'ordre de repli configuré, et -UpdateSource accepte InternalDefinitionUpdateServer (WSUS), MicrosoftUpdateServer, MMPC ou FileShares.
3. Lancer une analyse à la demande : Start-MpScan -ScanType QuickScan ou -ScanType FullScan ; Start-MpScan -ScanType CustomScan -ScanPath D:\data analyse un seul dossier. La cmdlet attend la fin de l'analyse, ce qui peut prendre des heures pour une analyse complète ; dans les sessions non interactives, ajouter -AsJob.
4. Passer en revue les exclusions configurées avant de se fier à une analyse sans détection : Get-MpPreference | Select-Object ExclusionPath, ExclusionExtension, ExclusionProcess. Get-MpPreference « gets preferences for the Windows Defender scans and updates » (récupère les préférences des analyses et des mises à jour de Windows Defender), y compris toutes les catégories d'exclusions.
5. Appliquer le principe du minimum d'exclusions : supprimer, avec Remove-MpPreference -ExclusionPath <path>, tout chemin, toute extension ou tout processus exclu qui ne repose pas sur une raison opérationnelle actuelle et documentée (un agent de sauvegarde précis, un moteur de base de données précis) ; chaque exclusion correspond à une activité sur le système de fichiers ou à un processus que Defender n'inspecte jamais. Les exclusions distribuées par stratégie de groupe ou par Intune doivent être modifiées à cet endroit, faute de quoi elles reviennent à la prochaine actualisation de la stratégie.
6. Les détections sont consignées dans le journal d'événements Windows sous Microsoft-Windows-Windows Defender/Operational et peuvent être interrogées en PowerShell avec Get-MpThreatDetection, qui liste les détections récentes indépendamment de la sortie de l'analyse en cours.

Résultat attendu

Get-MpComputerStatus indique AntivirusEnabled: True et une valeur récente pour AntivirusSignatureLastUpdated ; les listes d'exclusions de Get-MpPreference correspondent à un ensemble approuvé et documenté ; l'analyse volontaire d'un dossier contenant le fichier de test EICAR (lorsque la politique en vigueur autorise son utilisation) produit une détection visible avec Get-MpThreatDetection.

Limites et base de vérification

Supprimer une exclusion peut ralentir une charge de travail qui comptait sur l'absence d'analyse : supprimer les exclusions une par une et surveiller avant de passer à la suivante. Pour annuler une modification d'exclusion, la rajouter avec Add-MpPreference -ExclusionPath <path> (son pendant pour ajouter des exclusions plutôt que les lire), en utilisant la valeur relevée à l'étape 4. Aucune de ces étapes ne nécessite de redémarrage.