Configuration des règles d'exclusion d'analyse pour l'EDR

Hi Samoa,

Avant de configurer votre portail, vous devez comprendre que Microsoft a intentionnellement conçu le capteur de détection et de réponse des points de terminaison (EDR), connu sous le processus MsSense.exe, pour ignorer complètement les exclusions de chemin de répertoire. Cette conception stricte empêche les attaquants d'utiliser des dossiers exclus comme des angles morts permanents. Les exclusions de répertoire s'appliquent uniquement au moteur antivirus standard Microsoft Defender, connu sous le processus MsMpEng.exe. Par conséquent, si le capteur EDR est véritablement le service qui consomme votre processeur lors de l'indexation, une exclusion de dossier ne l'arrêtera pas.

Étant donné que ces deux processus de sécurité sont fréquemment confondus, vous devriez tout de même configurer l'exclusion de dossier pour vérifier quel moteur est à l'origine du goulot d'étranglement. Connectez-vous au centre d'administration Microsoft Intune, accédez à la sécurité des points de terminaison et sélectionnez le module Antivirus. Modifiez votre stratégie Microsoft Defender Antivirus active et insérez les emplacements de vos répertoires dans le paramètre de configuration des chemins exclus.

Si le cœur du processeur reste à sa capacité maximale après l'application de la stratégie, vous subissez définitivement une surcharge de la télémétrie EDR. Puisque vous ne pouvez pas exclure de répertoires de l'EDR, vous devez plutôt exclure l'application d'indexation elle-même. Retournez dans la même stratégie Intune et configurez une exclusion de processus contenant l'exécutable exact effectuant les opérations d'indexation. Si l'application est toujours analysée de manière agressive, vous devez ouvrir un ticket auprès du support Microsoft afin que leurs ingénieurs appliquent une limitation de la télémétrie en arrière-plan à votre environnement.

J'espère que cette réponse vous a apporté des informations utiles. Si tel est le cas, veuillez cliquer sur « accept answer ». Si vous avez des questions, n'hésitez pas à laisser un commentaire.

VPHAN