Microsoft Defender ATP repère mieux les comportements malveillants grâce à un nouvel outil

Publié le 19 août 2020

Microsoft poursuit l’optimisation de Microsoft Defender ATP, sa solution de sécurité destinée aux entreprises. La firme de Redmond a récemment doté Microsoft Defender ATP d’une nouvelle fonctionnalité qui la rend plus efficace en matière de détection des comportements malveillants sur les appareils d’entreprise. Il s’agit de la fonctionnalité EDR (Endblock Detection and Response) en “mode bloc”.

Qu’est-ce que l’EDR en mode bloc ?

EDR en mode bloc est une fonctionnalité basée sur les différents modèles d’apprentissage machine intégrés dans Microsoft Defender ATP. Selon Shweta Jha, l’un des cadres de Microsoft en charge du projet, ces derniers utilisent des moteurs de protection spécialisés dans la détection des menaces par l’analyse comportementale. En clair, l’EDR en mode bloc permet d’étendre le blocage des applications potentiellement malveillantes et de mieux les contenir en analysant plus précisément leur comportement.

“La capacité de cette fonctionnalité à détecter et à arrêter les menaces en temps réel, même après qu’elles aient commencé à fonctionner, permet aux organisations de contrecarrer les cyberattaques, de maintenir la posture de sécurité et de réduire les étapes et le temps de réponse manuels aux menaces”.

Shweta Jha – Senior program manager (Microsoft)

Comment l’EDR en mode bloc fonctionne-t-il ?

Cette fonctionnalité est supportée par Windows 10, Windows Sever 2016 et les versions ultérieurs de l’OS. Elle est incluse dans les abonnements Microsoft 365 E5 et E3.

Lorsqu’elle est active, Microsoft Defender ATP devient capable d’arrêter les processus connexes en lien avec les applications potentiellement dangereuses repérées. Le logiciel travaille en arrière-plan pour bloquer les objets malveillants détectés après une intrusion même lorsque Windows Defender n’est pas définie en tant que protection antivirus principale. Windows Defender ATP agit alors en tant que deuxième rideau pour bloquer les menaces non repérées par d’autres solutions.

La fonctionnalité EDR en bloc n’est activable que par l’administrateur de l’entreprise et requiert l’activation de la protection Cloud afin d’utiliser les modèles d’apprentissage et d’analyse comportementale les plus récents.

La nouvelle fonctionnalité a été récemment publiée en avant-première, mais sachez que son utilisation nécessite l’activation des fonctions Preview dans le centre de sécurité de Microsoft Defender.