Plusieurs services peuvent être contrôles :

• Microsoft Defender Antivirus Service (WinDefend) ;
• Windows Security Service (SecurityHealthService) ;
• Security Center (wscsvc).

Get-Service Windefend, SecurityHealthService, wscsvc| Select Name,DisplayName, Status

• Ouvrir le panneau de commande Super + I
• Dans la zone de recherche saisir 'Protection contre les virus et les menaces'
• Dans la section 'Paramètres de protection contre les virus et les menaces' cliquer sur Gérer les paramètres ;
• Désactiver la protection temps réel ;

Les commandes de gestion de Microsoft Defender sous PowerShell sont regroupées dans le module Dedenfer :

Get-Command -Module Defender

La cmdlet Get-MpComputerStatus retourne de nombreuses informations sur l'état de Windows Defender :

# Status détaillé des composants Windows Defender
Get-MpComputerStatus | Select-Object '*Enabled'
 
 
AMServiceEnabled          : True
AntispywareEnabled        : True
AntivirusEnabled          : True
BehaviorMonitorEnabled    : True
IoavProtectionEnabled     : True
NISEnabled                : True
OnAccessProtectionEnabled : True
RealTimeProtectionEnabled : True

• AMServiceEnabled décrit l'état du composant Anti-Malware
• NISEnabled décrit l'état du composant réseau Network Inspection System
• IOAV Analyse des fichiers téléchargés et pièces jointes

# Vérifier si la protection contre les falsifications est active
# (tamper protection)
Get-MpComputerStatus | Select-Object RealTimeProtectionEnabled,IsTamperProtected | Format-List  

# Stopper l'analyse temps réel jusqu'au prochain redémarrage
Set-MpPreference -DisableRealtimeMonitoring $True
Set-MpPreference -MAPSReporting 0​

Après désactivation de la “protection temps réel” via la GUI

Get-MpComputerStatus | Select-Object '*Enabled'
 
 
AMServiceEnabled          : True
AntispywareEnabled        : True
AntivirusEnabled          : True
BehaviorMonitorEnabled    : False
IoavProtectionEnabled     : False
NISEnabled                : False
OnAccessProtectionEnabled : False
RealTimeProtectionEnabled : False

Le journal de l'application Windows Defender est disponible:

• Ouvrir le gestionnaire de l'ordinateur ;
• Déployer Observateur d'événements > Journaux des applications et des services > Microsoft > Windows > Windows Defender > Operational.

Déployer :

HKEY_LOCAL_MACHINE > SOFTWARE > Policies > Microsoft > Windows Defender

Ajouter une nouvelle valeur de type DWORD 32bits ayant pour nom DisableAntiSpyware et valeur hexadécimale 0x1

Redémarre le système pour que la configuration prenne effet.

Après édition du registre et redémarrage, les composants de l'antivirus Windows Defender sont bien désactivés :

Get-MpComputerStatus | Select-Object '*Enabled'
 
 
AMServiceEnabled          : False
AntispywareEnabled        : False
AntivirusEnabled          : False
BehaviorMonitorEnabled    : False
IoavProtectionEnabled     : False
NISEnabled                : False
OnAccessProtectionEnabled : False
RealTimeProtectionEnabled : False

Créer la clé si elle n'existe pas (ceci devra être fait depuis le mode sans échec):

• HKLM\SOFTWARE\Microsoft\Windows Defender
• Modifier les droits d'accès sur la clé : clic droit sur la clé sélectionner l'option Autorisations…
  • Désactiver l'héritage : Bouton Avancé puis Désactiver l'héritage puis sélectionner l'option Convertir les autorisations héritées en autorisations explicites sur cet objet ;
  • Modifier le propriétaire : définir le groupe administrateurs et cocher Remplacer le propriétaire des sous conteneurs et des objets ;
  • Modifier les droits d'accès : seul administrateurs doit avoir le contrôle total les autre utilisateurs et Système doivent avoir seulement les droits en lecture ;
  • Cocher Remplacer toutes les entrées d'autorisation des objets enfant par des entrées d'autorisation pouvant être héritées de cet objet

Ajouter les valeurs suivantes de type DWORD 32 bits ayant pour valeur hexadécimale 0x01 :

• DisableAntiVirus
• DisableAntiSpyware
• ServiceStartStates

• Usage de DisableAntiSpyware (Microsoft Learn)
• Fonctionnement de la protection contre les falsifications ou tamper protection (Microsoft Learn)
• Vérifier l'état de Windows Defender depuis la ligne de commande
• Gérer Windows Defender depuis PowerShell
• https://windowsreport.com/fr/windows-11-desactiver-windows-defender/
• Désactiver la protection contre les falsifications
• https://www.ubackup.com/fr/windows-11/windows-11-desactiver-windows-defender.html
• https://theitbros.com/managing-windows-defender-using-powershell/