supprimer historique de protection Windows Defender

[serge152]

Bonjour,
Afin de supprimer l'historique de protection de windows defender, j'ai suivi votre tuto :
https://www.malekal.com/comment-supprim ... -defender/

Mais il semblerait qu'il y a une nouveauté, après avoir iniqué la ligne de commande je recois ce message :

2023-08-06_163555.png

puis :

2023-08-06_163629.png

et

2023-08-06_164752.png

mais du coup tout est grisé :-( je ne sais pas comment m'en servir
et si j'utilise la seconde méthode du tuto cela ne fonctionne pas

Pouvez-vous m'aider svp ?
Merci
Serge

[serge152]

complément d'information, ce n'est sans doute pas à cause d'une maj puisque cela fonctionne sur mon autre ordinateur !
en fait sur les options de sécurité il est impossible d'afficher le prorpiétaire actuel !
alors que sur mon autre ordinateur c'est système qui est propriétaire et cela peut même être modifié.

[Malekal_morte]

Salut,

C'est le dossier History et pas scans.
Sinon je vois pas bien en quoi c'est gênant cet historique de Windows Defender.

[serge152]

bonjour, merci de ta réponse

C'est le dossier History et pas scans.

oui bien sûr mais le dossier History est dans le dossier Scans :-(

Sinon je vois pas bien en quoi c'est gênant cet historique de Windows Defender

En fait j'ai découvert l'anomalie en voulant supprimer l'historique, afin d'avoir une vue claire avant de faire une analyse complète, mais en fait WD ne fonctionne pas correctement mais surtout ce problème est présent sur plusieurs dossiers.

Ce qui se passe c'est qu'il est impossible d'afficher le propriétaire alors que sur mes autres ordi c'est mentionné système

sur l'ordi concerné :

2023-08-07_112530.png

sur mes autres ordis :

2023-08-07_113405.png

En espérant que je me fasse bien comprendre et que tu puisses m'aider
bonne journée
Serge

[Malekal_morte]

Comme je t'ai dit, le mieux est de rien toucher.
Tu cherches à modifier des autorisations et tu risques d'endommager Windows Defender.
L'historique plein ou vide, ça ne pose aucun problème donc laisse comme cela.

[serge152]

Comme je t'ai dit, le mieux est de rien toucher.
Tu cherches à modifier des autorisations et tu risques d'endommager Windows Defender.
L'historique plein ou vide, ça ne pose aucun problème donc laisse comme cela.

J ai tout réinstallé ;-)
Cela me dérangeait d avoir cette restriction,
Signe d un problème je pense.
Merci beaucoup
Bonne soirée
Serge

[serge152]

Comme je t'ai dit, le mieux est de rien toucher.
Tu cherches à modifier des autorisations et tu risques d'endommager Windows Defender.
L'historique plein ou vide, ça ne pose aucun problème donc laisse comme cela.

Re,

J'insiste afin de bien comprendre je viens de regarder votre tutoriel
https://www.malekal.com/comment-supprim ... -defender/

Comme précisé précedemment j'ai tout réinstallé et effectivement conserver ou pas cet historique n'est pas forcément très important
MAIS par rapport à votre tuto, il semblerait que la suppression de cet historique ne soit plus possible
sur mon ordi W10

2023-08-13_170406.png

En effet arrivé à la suppression du dossier

2023-08-13_170604.png

je reçois le message suivant :

2023-08-13_170803.png

J'ai essayé également la seconde méthode mais elle est elle aussi sans effet :-(
est-ce une nouveauté windows ?
Avez-vous la possibilité de faire le test avec un windows famille ??

D'avance merci

[serge152]

@Malekal_morte

Bonjour,
au risque de paraître "relou" j'ai peut-être trouvé d'ou vient ce changement
après une réinstallation tout fonctionnait normalement MAIS après mises à jour suivantes :

2023-08-16_165545.png

2023-08-16_165609.png

2023-08-16_165629.png

le problème est réapparu, ne serait-ce pas une modification faite par Microsoft ?
sur w10 Home et Pro
j'ai ce souci sur tous mes ordinateurs (4) dont un vierge de tous logiciels autre que Windows

Avez-vous svp la possibilité de voir si cela fait pareil chez vous ?
Merci
Serge

[Parisien_entraide]

Le sujet date de quelques mois mais pour compléter :

Comment supprimer l'historique de protection de Windows Defender
https://www.malekal.com/comment-supprim ... -defender/


Rappel : Defender stocke les événements de détection/blocage de deux manières différentes :

- Historique de protection - disponible via Security Center
- Journal des événements - disponible via 'ProviderName'='Microsoft-Windows-Windows Defender'

La deuxième méthode est utilisée dans ConfigureDefender viewtopic.php?t=65877 pour voir les événements détectés/bloqués - elle peut être facilement maintenue et effacée.
Cela peut etre affiché dans le Bloc-notes (ou Notepad++) , ce qui permet d'utiliser facilement la fonction de recherche et de modifier le contenu - C'est idéal pour l'analyse.

De plus certaines méthodes ne fonctionneront que pour les détections standard. Toutes les détections liées aux paramètres avancés (comme les règles ASR, etc.) ne peuvent pas être effacées de cette manière.

Il faut en outre supprimer le fichier :
C:\ProgramData\Microsoft\Windows Defender\Scans\mpenginedb.db

Malheureusement, cela nécessite le privilège TrustedInstaller pour arrêter le service Windefend.
Il faut utiliser alors PowerRun, AdvanvedRun, Defender Control, etc. pour ce faire
https://www.malekal.com/acces-refuse-su ... -powerrun/

C'est pour cela que la méthode sur le long terme, ou en immédiat par l'effacement manuel via le journal des événements, indiqué dans le tuto de Malekal permettra de passer outre


Ce qui suit ne sont que des méthodes alternatives que l'on voit décrites un peu partout
Si cela bloque via CMD ou PowerShell, il faut revenir aux méthodes du tuto (parfois PowerShell peut indiquer des erreurs qui figureront en "rouge" mais le travail peut etre fait)



EFFET IMMEDIAT


Via CMD

Ouvrir le menu Démarrer, et dans la zone de recherche taper : cmd

Effectuer un clic avec le bouton droit de la souris, et dans la fenêtre qui s'ouvre sélectionnez l’option" Exécuter en tant qu’administrateur".
Cliquez sur Oui dans l'invite UAC qui apparaît.
Cela ouvrira la fenêtre d’invite de commande avec les droits d’administrateur.

Tapez ou copiez et collez la commande suivante puis appuyez sur Entrée :

Code : Tout sélectionner

del/f/s/q "C:\ProgramData\Microsoft\Windows Defender\Scans\History\Service\*"

ou

Code : Tout sélectionner

del "%ProgramData%\Microsoft\Windows Defender\Scans\History" /s /f /q

Cela effacera/supprimera les fichiers journaux de Defender ET l’historique de protection

ou

Code : Tout sélectionner

MpCmdRun.exe -RemoveDefinitions -All

Si vous n'avez pas les droits voici un ex type de message d'erreur

Defender erreur.png

Du reste en accès manuel on voit bien le problème. Si on accepte la le fait de "continuer" on pourras avoir le visu des dossiers et fichiers

droit acces.png

Seul moyen ; Accéder en mode sans echec et refaire la procédure
https://www.malekal.com/tag/mode-sans-echec/



Avec PowerShell

Ouvrir PowerShell en tant qu'administrateur en recherchant "PowerShell" dans la barre de recherche, puis faire un clic droit et choisir Exécuter en tant qu'administrateur.
Taper la commande suivante: (ou coller ce qui figure dans la fenetre ci dessous)

Code : Tout sélectionner

Remove-MpThreat -All

DANS LA DUREE


Via POWERSHELL

1) Ouvrir le menu Démarrer, et dans la zone de recherche taper : Powershell

Effectuer un clic avec le bouton droit de la souris, et dans la fenêtre qui s'ouvre sélectionnez l’option" Exécuter en tant qu’administrateur".
Cliquez sur Oui dans l'invite UAC qui apparaît.
Cela ouvrira la fenêtre d’invite de commande avec les droits d’administrateur.

Tapez ou copiez et collez la commande suivante puis appuyez sur Entrée :

Code : Tout sélectionner

Set-MpPreference -ScanPurgeItemsAfterDelay 7

powersh.png

Le "7" indique le nombre de jours après lesquels les journaux de l'historique de protection seront effacés, ce que l'on peut changer à sa guise
Pour rappel le nombre de jours défini par Microsoft est de 30 jours




Via GPEDIT.MSC

1) Sous Windows 10 Professionnel, ou Windows 11 Professionnel vous pouvez également utiliser l'éditeur de stratégie de groupe "gpedit.msc"

Sur les versions "Home/Famille" sous Windows 10 et 11, pour accéder à l'éditeur de stratégie de groupe il faut passer par le script indiqué dans ce tuto https://www.malekal.com/comment-activer ... indows-11/


Appuyez sur les touches Win + R pour ouvrir la boîte Exécuter.

Tapez gpedit.msc pour ouvrir l' éditeur de stratégie de groupe local ou tapez simplement gpedit dans la barre de recherche et cliquez dessus pour l'ouvrir

Dans l' éditeur de stratégie de groupe local , dans le volet de gauche sous Configuration ordinateur , développez

Modèles d'administration en cliquant sur la flèche vers le bas à côté.
Dans le dossier Modèles d'administration , cliquez sur Composants Windows et la liste de ses composants apparaîtra dans le volet central de l' éditeur de stratégie de groupe .
Faites ensuite défiler vers le bas pour trouver Antivirus Windows Defender Antivirus et double-cliquez dessus

Dans la liste des éléments Antivirus Windows Defender , double-cliquez sur le dossier Analyse .

Dans le volet de droite, double-cliquez sur Activer la suppression des éléments du dossier de l'historique d'analyse ou cliquez via un clic droit de la souris, sur Modifier

via gfpedt.png

Ce paramètre de stratégie définit le nombre de jours pendant lesquels les éléments doivent être conservés dans le dossier de l’historique d’analyse avant d’être définitivement supprimés.

Il faut cliquer sur Activer et indiquer le nombre de jours que l'on souhaite
Ensuite ne pas oublier de cliquer sur "'Appliquer" et "OK"

via gfpedt_1.png

Désormais, toutes les opérations ont été effectuées et vous n'aurez plus besoin d'effacer manuellement l'historique de protection. Le système effacera automatiquement l'historique de protection de Windows Defender en fonction du nombre de jours que vous avez défini.




AUTRES AVANTAGES

Rappel : Ces fichiers apparaissent lors d'une analyse alors que la menace a disparu

Outre le fait de voir disparaitre des menaces disparues, la suppression de l’historique de protection permet EGALEMENT de libérer de l’espace de stockage sur le système.
Pour certains utilisateurs, il a été vu des fichiers occupant 20 à 25 Go d'espace, ce qui "peut" occasionner un crash à chaque fois que l'on ouvre l'historique de protection de Defender

Le fait d' effacer l'historique de protection dans Windows 10 ou 11 n'affecte pas le fonctionnement du PC.
Peu importe que Windows Defender soit désormais désactivé et que vous utilisiez un antivirus tiers , vous pouvez toujours effacer les anciens fichiers journaux si ceux ci étaient présents

[serge152]

Et encore plus simple ... en mode sans échec supprimer le dossier service

[Parisien_entraide]

En fait c'est ce qui permet d' outrepasser le blocage via la méthode "manuelle"

Vu que j'ai fais les tests sur un PC sous Defender, pour les captures, en repassant sur l'autre PC de travail j'avais oublié de coller cette partie de mon brouillon
Merci du rappel :-)

Néanmoins il vaut mieux privilégier les méthodes dans la durée dont du tuto de Malekal pour éviter de faire X manips par la suite (nombre de personnes ne savent pas passer en mode sans échec par ex)

[serge152]