Problème Set-MpPreference avec Powershell (Windows Defender)

[Mangafan]

Bonjour à tous,

Voulant renforcer la sécurité de Windows Defender, je voulais exécuter des commandes PowerShell.
Cependant en exécutant les commandes trouvées sur le sile Malekal, toutes les commandes que je tape me font des erreurs écrites en rouge. Je ne comprend pas parce que je suis bien en mode administrateur (system32 ?) et aucune commande ne passe.

Par exemple lorsque je tape: Set-MpPreference -PUAProtection 1, ça me met en rouge "classe non valide" et toutes les autres commandes en Set-MpPreference en rouge aussi "classe non valide".

Je suis aller voir dans le registre pour la protection PUA, elle existe et elle bien sur la valeur 1 par contre pour les autres commandes ne sont pas dans le registre:

Code : Tout sélectionner

Set-MpPreference -CheckForSignaturesBeforeRunningScan $True
Set-MpPreference -DisableArchiveScanning $False
Set-MpPreference -DisableEmailScanning $False
Set-MpPreference -DisableIntrusionPreventionSystem $False
Set-MpPreference -DisableRemovableDriveScanning $False
Set-MpPreference -PUAProtection $True

Elles font toutes des erreurs rouge "classe non valide".

Est-ce que vous savez pourquoi l'erreur "classe non valide" apparait à chaque commande ? Comment la corriger ? Est-ce que si c'est en rouge cela veut dire que j'aurai déjà tapé les commandes par le passé sans m'en rappeler et que du coup vu que c'est déjà actif c'est considéré comme erreur ?

Merci de m'avoir lu.

Informaticalement.

[Parisien_entraide]

Bonjour

Tu dis

Cependant en exécutant les commandes trouvées sur le sile Malekal,

Lesquelles ?
Quel tuto ?

Celui ci ?
https://www.malekal.com/comment-desacti ... ell-mshta/


Si "OUI", tu as 2 scripts
-L'un pour le désactiver
- L'autre pour activer PowerShell,

C'est la même chose si tu as utilisé l'outil Hardentools, mais dans ce cas de figure tu peux utiliser le script pour réactiver en cas de besoin SANS pour cela relancer Hardentools (et bien entendu désactiver ensuite pour remettre en place ce "'curseur" de sécurité

[Mangafan]

Non je ne veux pas le désactiver, les commandes dont je parle je les ai trouvées ici:
https://www.malekal.com/les-reglages-av ... ransomware

Donc je redis, lorsque je les exécute j'ai une erreur en rouge marqué "classe non valide" et j'ignore pourquoi vu que je suis bien en administrateur et que je prend soin de vérifier qu'en recopiant les lignes de commandes si je ne fais pas d'erreur.

Tu m'as donné un tuto pour désactiver PowerShell, c'est sympa mais ce n'est pas du tout ce que je veux.

[Parisien_entraide]

En fait j'ai donné un lien A LA FOIS pour activer PowerShell ET le désactiver
En général si il y a des erreurs c'est qu'il y a des restrictions d'utilisation de PowerShell (j'ai parfois le même soucis lorsque j'oublie de désactiver les restrictions)
C'est UNE des possibilités

Et j'aurais du ajouter ; Tu n'as pas utilisé d'outils tiers comme HardenTools, SysHardener, OS Armor ?


Sinon tu peux passer par HardConfigurator pour arriver au même résultat que via PowerShell
viewtopic.php?t=65877

L'auteur précise qu'il peut y avoir des erreurs lors de la mise en place des règles ASR (indiquées dans le lien)

Idem chez Hardentools (voir à la fin)
viewtopic.php?p=540871#p540871

Le soucis en fait c'est que Microsoft modifie des tas de règles de fonctionnement au fil des maj et ne le dit pas

Par ex comme il est dit (lien HarConfigurator)

Windows 11 ver. 22H2 (nouvelle installation) désactive par défaut les politiques de restriction logicielle

.

Pourquoi ? On ne sait pas
Je suppute un lien avec les restrictions sur les dossiers par ex, qui est une vraie plaie, pour lesquelles les utilisateurs râlaient mais ce n'est qu''est que mon avis
https://www.malekal.com/activer-protect ... ows-10-11/

[Malekal_morte]

Faut utiliser

Code : Tout sélectionner

Set-MpPreference -PUAProtection Enabled/Disabled

ou

Code : Tout sélectionner

Set-MpPreference -PUAProtection 1/0

Je vais mettre à jour le tuto.
Par contre, je ne sais pas comment on active sur les applications/téléchargements.
De toute façon, maintenant, on peut le faire depuis /b]Sécurité Windows > Protection fondée sur la réputation > Blocage d'application potentiellement indésirable[/b]

[Mangafan]

En fait j'ai donné un lien A LA FOIS pour activer PowerShell ET le désactiver
En général si il y a des erreurs c'est qu'il y a des restrictions d'utilisation de PowerShell (j'ai parfois le même soucis lorsque j'oublie de désactiver les restrictions)
C'est UNE des possibilités

Et j'aurais du ajouter ; Tu n'as pas utilisé d'outils tiers comme HardenTools, SysHardener, OS Armor ?


Sinon tu peux passer par HardConfigurator pour arriver au même résultat que via PowerShell
viewtopic.php?t=65877

L'auteur précise qu'il peut y avoir des erreurs lors de la mise en place des règles ASR (indiquées dans le lien)

Idem chez Hardentools (voir à la fin)
viewtopic.php?p=540871#p540871

Le soucis en fait c'est que Microsoft modifie des tas de règles de fonctionnement au fil des maj et ne le dit pas

Par ex comme il est dit (lien HarConfigurator)

Windows 11 ver. 22H2 (nouvelle installation) désactive par défaut les politiques de restriction logicielle

.

Pourquoi ? On ne sait pas
Je suppute un lien avec les restrictions sur les dossiers par ex, qui est une vraie plaie, pour lesquelles les utilisateurs râlaient mais ce n'est qu''est que mon avis
https://www.malekal.com/activer-protect ... ows-10-11/

Bonjour,

Désolé je ne pouvais pas répondre avant. Donc j'ai lu le lien et peut-être mal lu car je n'ai pas vu comment l'activer.
Et non je n'ai pas d'outils tier pour cela.

[Mangafan]

Faut utiliser

Code : Tout sélectionner

Set-MpPreference -PUAProtection Enabled/Disabled

ou

Code : Tout sélectionner

Set-MpPreference -PUAProtection 1/0

Je vais mettre à jour le tuto.
Par contre, je ne sais pas comment on active sur les applications/téléchargements.
De toute façon, maintenant, on peut le faire depuis /b]Sécurité Windows > Protection fondée sur la réputation > Blocage d'application potentiellement indésirable[/b]

Bonjour Malekal,

C'est exactement la commande que j'ai tapé dans Powershell mais elle me fait une erreur "classe non valide". Je suis allé voir dans le registre pour la protection PUA et elle était déjà activée.
Alors du coup, est-ce que vu que cela est déjà activée, ça pourrait provoquer une erreur marquée en rouge ? Et donc toutes les autres commandes que j'ai tapé et qui ressorte en rouge serait déjà activées dans le registre ?

[Parisien_entraide]

Bonjour

Ce que tu cherches est en relation avec
https://www.malekal.com/configuredefend ... loit_Guard

asr.png

Quant à l'erreur Powershell et les lignes rouges, perso je l'ai toujours constaté soit du fait d'un blocage par un programme tiers (Hardentools dans mon cas) soit du fait d'un problème de droits sur des fichiers/dossiers avec Powershell qui n'est pas lancé avec les droits admins par ex

Mais il n'y a pas que cela..
Les auteurs de Hardentools et Configure Defender indiquent bien qu'il y a des pré requis ou des contraintes pour tout mettre en place

Exemple :

- You are using Windows Defender Antivirus as the sole antivirus protection app,
- Real-time protection is enabled in Windows Defender.
- Cloud protection is enabled in Windows Defender (only needed for some of the ASR rules)_

Je suis dans ce cas (AV tiers, pas d'usage de cloud)

Cela génère 2 messages d 'erreur

Erreur harden.png

harden erreur 2.png

A cela comme indiqué, Microsoft verouille pas mal de choses liées à la sécurité et souvent sans l'indiquer au cours des maj mensuelles



Sinon je conseille le Fork PowerShell (qui émane de Microsoft) , qui peut s'installer dans un dossier à part et est donc considéré comme.. un programme quelconque et non pas comme intégré au système et cible des malfaisants (PowerShell Core)

https://github.com/PowerShell/PowerShel ... tag/v7.4.2

[Mangafan]

Bonjour

Ce que tu cherches est en relation avec
https://www.malekal.com/configuredefend ... loit_Guard

asr.png

Quant à l'erreur Powershell et les lignes rouges, perso je l'ai toujours constaté soit du fait d'un blocage par un programme tiers (Hardentools dans mon cas) soit du fait d'un problème de droits sur des fichiers/dossiers avec Powershell qui n'est pas lancé avec les droits admins par ex

Mais il n'y a pas que cela..
Les auteurs de Hardentools et Configure Defender indiquent bien qu'il y a des pré requis ou des contraintes pour tout mettre en place

Exemple :

- You are using Windows Defender Antivirus as the sole antivirus protection app,
- Real-time protection is enabled in Windows Defender.
- Cloud protection is enabled in Windows Defender (only needed for some of the ASR rules)_

Je suis dans ce cas (AV tiers, pas d'usage de cloud)

Cela génère 2 messages d 'erreur

Erreur harden.png

harden erreur 2.png


A cela comme indiqué, Microsoft verouille pas mal de choses liées à la sécurité et souvent sans l'indiquer au cours des maj mensuelles



Sinon je conseille le Fork PowerShell (qui émane de Microsoft) , qui peut s'installer dans un dossier à part et est donc considéré comme.. un programme quelconque et non pas comme intégré au système et cible des malfaisants (PowerShell Core)

https://github.com/PowerShell/PowerShel ... tag/v7.4.2

Pour PowerShell, quand on le lance en administrateur, on a C:\Windows\system32 c'est bien ça ?
Donc du coup comment savoir si c'est un programme tiers qui provoque les lignes rouges ? Car à part Windows Repair je n'ai rien d'autre...
Y'a t'il une commande PowerShell, pour savoir si on a bien les droits administrateur ? Parce que j'aimerais bien renforcer encore davantage Windows Defender.

[Parisien_entraide]

Dans le menu "Démarrer" en bas à gauche, si tu tapotes "Powershell", tu fais un clic droit et dans le menu qui apparait tu exécutes en mode administrateur
L'UAC va te poser une question (normal) tu dis OUI

Bon après lorsque je vois cela :

Pour PowerShell, quand on le lance en administrateur, on a C:\Windows\system32 c'est bien ça ?
Donc du coup comment savoir si c'est un programme tiers qui provoque les lignes rouges ? Car à part Windows Repair je n'ai rien d'autre...
Y'a t'il une commande PowerShell, pour savoir si on a bien les droits administrateur ? Parce que j'aimerais bien renforcer encore davantage Windows Defender.

Je pense qu'il te manque quelques bases
Là c'est comme si tu voulais pratiquer une course auto sur circuit alors que tu n'a pas appris à conduire...


Comme je l'ai indiqué déjà plusieurs fois, il y a un programme tout pret : Configure Defender
viewtopic.php?t=65877

MAIS avec les blocages ASR, lis bien les conséquences, car si tu es bloqué à un moment ou un autre, tu ne sauras pas d'où ca vient car tu auras oublié


C'est pour cela que je te conseille HARDENTOOLS... traite l'ASR en grande partie sans les effets indésirables du moins les règles en rapport avec les attaques courantes, il se laisse oublier et ne devrais pas t'embêter
Avec Hard Configurator tu peux avoir d'autres règles ASR mais cela ne sert à rien de blinder à fond si tu te retrouve bloqué, ou si le PC est ralenti (comme lorsqu'on active la défense PUA de Defender)

https://www.malekal.com/hardentools-securiser-windows/

2024-04-12_124401.png

[Mangafan]

Dans le menu "Démarrer" en bas à gauche, si tu tapotes "Powershell", tu fais un clic droit et dans le menu qui apparait tu exécutes en mode administrateur
L'UAC va te poser une question (normal) tu dis OUI

Bon après lorsque je vois cela :

Pour PowerShell, quand on le lance en administrateur, on a C:\Windows\system32 c'est bien ça ?
Donc du coup comment savoir si c'est un programme tiers qui provoque les lignes rouges ? Car à part Windows Repair je n'ai rien d'autre...
Y'a t'il une commande PowerShell, pour savoir si on a bien les droits administrateur ? Parce que j'aimerais bien renforcer encore davantage Windows Defender.

Je pense qu'il te manque quelques bases
Là c'est comme si tu voulais pratiquer une course auto sur circuit alors que tu n'a pas appris à conduire...


Comme je l'ai indiqué déjà plusieurs fois, il y a un programme tout pret : Configure Defender
viewtopic.php?t=65877

MAIS avec les blocages ASR, lis bien les conséquences, car si tu es bloqué à un moment ou un autre, tu ne sauras pas d'où ca vient car tu auras oublié


C'est pour cela que je te conseille HARDENTOOLS... traite l'ASR en grande partie sans les effets indésirables du moins les règles en rapport avec les attaques courantes, il se laisse oublier et ne devrais pas t'embêter
Avec Hard Configurator tu peux avoir d'autres règles ASR mais cela ne sert à rien de blinder à fond si tu te retrouve bloqué, ou si le PC est ralenti (comme lorsqu'on active la défense PUA de Defender)

https://www.malekal.com/hardentools-securiser-windows/

2024-04-12_124401.png

D'accord donc il vaut mieux d'après tes judicieux conseil que je prenne Hardentools car il est moins restrictif.
Et tu as écris:
"Je pense qu'il te manque quelques bases. Là c'est comme si tu voulais pratiquer une course auto sur circuit alors que tu n'a pas appris à conduire...".
Peut-être mais si je suis là c'est pour apprendre des choses, et les forums d'entraide comme celui-ci un bon moyen pour cela.

[Mangafan]

J'ai installé Hardentools, j'ai tout de suite vu la différence car il me demande le mot de passe administrateur pour chaque programme que j'ouvre là où avant cela s'ouvrait tout seul. J'aimerai changer cela mais quand je coche la case "Show expert settings" je ne peux rien modifier tout est en gris, est-ce normal ? Pourtant je le démarre en mode administrateur.

[Parisien_entraide]

C'est le soucis avec hardentools.. C'es tout ou rien, et chaque fonction se choisit AVANT d'appliquer, sinon après application tout reste grisé

Il y a moyen de contourner ton soucis pour l'UAC sans relancer hardentools
viewtopic.php?p=534905#p534905