Windows Defender Forensics

Définition

La forensique Windows Defender analyse les journaux et artefacts laisses par Windows Defender Antivirus lors des scans et des detections pour reconstituer les incidents de securite, identifier les malwares qui ont ete detectes ou bloques, et determiner l'etendue d'une compromise. Windows Defender est active par defaut sur tous les systemes Windows 10/11 et genere des logs forensiquement precieux. Les sources de logs Windows Defender incluent : le journal d'evenements 'Microsoft-Windows-Windows Defender/Operational' avec les EventIDs 1006 (Detection), 1007 (Action taken on malware), 1008 (Failed to take action), 1116 (Detection), 1117 (Remediation), 1118 (Remediation failed). Ces evenements documentent : le nom de la menace detectee, le fichier incrimine (chemin complet), la date et heure, l'action effectuee (quarantaine, suppression, autorisation), et le resultat. Le dossier de quarantaine de Windows Defender (C:\ProgramData\Microsoft\Windows Defender\Quarantine\) contient les fichiers mis en quarantaine apres detection. Ces fichiers sont stockes dans un format chiffre proprietaire — des outils comme defender-dump peuvent dechiffrer et extraire les fichiers en quarantaine pour analyse forensique. L'historique de quarantaine peut reveler des malwares qui ont ete detectes puis supprimes, fournissant une trace des fichiers malveillants meme s'ils ne sont plus presents sur le systeme. Les exclusions Windows Defender (configurees dans HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\ dans le registre) sont un artefact forensique important. Des exclusions ajoutees par un attaquant pour proteger ses outils de la detection (exclure le repertoire C:\Users\username\AppData\Local\Temp\ ou un hash specifique) indiquent une manoeuvre de persistence et d'evasion deliberee. La Detection History accessible via PowerShell (Get-MpThreatDetection) ou l'API Windows Defender fournit un historique complet des detections recentes avec les memes informations que les Event Logs mais dans un format plus facilement interrogeable.