# Tamper Protection : protéger Microsoft Defender contre toute désactivation

> Tamper Protection (protection contre les falsifications) de Microsoft Defender : ce qu’elle bloque, comment l’activer avec Intune ou le portail Defender et la vérifier.

- URL: https://benjamintestart.fr/fr/tamper-protection-proteger-microsoft-defender-contre-toute-desactivation/
- Auteur: Benjamin Testart (Practice Leader Périphériques & consultant Microsoft Intune)
- Publié: 2026-01-16
- Mis à jour: 2026-10-05
- Catégorie: Sécurité & Defender
- Langue: fr
- Tags: Defender for Endpoint, Microsoft Defender Antivirus, Intune, Microsoft Sentinel, PowerShell
- English version: https://benjamintestart.fr/en/tamper-protection-protect-microsoft-defender-from-being-disabled/

## En bref

Tamper Protection (protection contre les falsifications) empêche la désactivation ou la modification des paramètres critiques de Microsoft Defender Antivirus, même par un administrateur local, via PowerShell, le registre ou une GPO. Elle s’active à l’échelle via Intune ou le portail Microsoft Defender, se vérifie avec Get-MpComputerStatus et ne se contourne temporairement que via le mode de résolution des problèmes.

Tamper Protection est la fonctionnalité de Microsoft Defender qui empêche toute désactivation ou modification non autorisée de l’antivirus, même par un administrateur local. Elle s’active de façon centralisée via Intune ou le portail Microsoft Defender, et c’est l’une des protections les plus efficaces contre les ransomwares qui tentent de neutraliser Defender.

La désactivation de l’antivirus est en effet l’une des premières actions effectuées par les malwares et ransomwares lors d’une compromission. Dans un environnement Windows moderne, **Tamper Protection** joue un rôle clé en empêchant toute modification non autorisée des paramètres de **Microsoft Defender**.

Cet article s’adresse aux **DSI, RSSI et équipes IT**, et détaille le fonctionnement, l’activation, la supervision et les bonnes pratiques autour de Tamper Protection.

## Qu’est-ce que Tamper Protection dans Microsoft Defender ?

**Tamper Protection** (protection contre les falsifications) est une fonctionnalité de sécurité intégrée à Microsoft Defender dont l’objectif est de bloquer toute tentative de modification des paramètres critiques de protection.

Une fois activée sur Windows, elle garantit notamment que :

- la protection en temps réel reste activée
- la surveillance comportementale reste activée
- la protection cloud reste activée
- les mises à jour des renseignements de sécurité continuent de s’appliquer
- les actions automatiques sur les menaces détectées sont exécutées
- les exclusions gérées par l’organisation ne peuvent pas être ajoutées ou modifiées (sous conditions)
- les modifications des paramètres Defender via le registre sont bloquées

Tamper Protection bloque ces modifications **même si elles sont tentées via PowerShell, le registre, une GPO ou avec un compte administrateur local**. Une modification par GPO peut sembler réussir, mais elle n’est pas appliquée.

Cette protection est essentielle face aux menaces modernes qui tentent systématiquement de neutraliser l’antivirus avant toute phase d’attaque.

## Pourquoi Tamper Protection est-elle critique pour les organisations ?

Du point de vue sécurité :

- elle limite les attaques dites _living-off-the-land_ qui s’appuient sur les outils natifs pour désactiver la protection
- elle réduit l’impact des compromissions de comptes administrateurs
- elle empêche les ransomwares de désactiver Defender avant chiffrement

Du point de vue gouvernance IT :

- elle garantit l’intégrité de la configuration sécurité
- elle empêche les contournements locaux non maîtrisés
- elle renforce la posture Zero Trust sur les endpoints

## Comment activer Tamper Protection à l’échelle de l’organisation ?

Tamper Protection est activée par défaut sur les nouveaux déploiements, dans le cadre de la protection intégrée de Defender for Endpoint. Pour la piloter explicitement, plusieurs méthodes existent. Pour Intune et le portail Defender, les appareils doivent être intégrés (onboardés) à Microsoft Defender for Endpoint.

### Via le portail Microsoft Defender

1. Se connecter au **portail Microsoft Defender (security.microsoft.com)**
2. Aller dans **Paramètres > Points de terminaison > Fonctionnalités avancées**
3. Localiser **Tamper Protection**
4. Activer la fonctionnalité
5. Enregistrer la configuration

### Via Microsoft Intune (recommandé si vous utilisez Intune)

1. Ouvrir le **Centre d’administration Microsoft Intune (intune.microsoft.com)**
2. Aller dans **Sécurité du point de terminaison > Antivirus** et créer une stratégie
3. Plateforme **Windows**, profil **Expérience de sécurité Windows**
4. Régler **Tamper protection (device)** sur **Activé**
5. Affecter la stratégie aux groupes ciblés

À noter : une stratégie Intune prend le pas sur le réglage du portail Defender, qui prend lui-même le pas sur le réglage local de l’application Sécurité Windows. Les appareils Configuration Manager peuvent être couverts via le tenant attach, avec une stratégie Antivirus de type Windows (ConfigMgr).

Une fois activée de façon centralisée, Tamper Protection **ne peut plus être désactivée localement**.

## Comment vérifier l’état de Tamper Protection en PowerShell ?

Même si l’activation est centralisée, il est possible de vérifier l’état localement :

```powershell
Get-MpComputerStatus | Select-Object IsTamperProtected, RealTimeProtectionEnabled
```

### Interprétation

- `True` → **Tamper Protection activée**
- `False` → **Tamper Protection désactivée**

Il est **impossible de modifier cet état via PowerShell** en fonctionnement normal : seul le mode de résolution des problèmes le permet.

## Comment désactiver temporairement Tamper Protection ?

Dans certains scénarios spécifiques (dépannage avancé, déploiement de logiciels sensibles, investigation sécurité), une désactivation temporaire de Tamper Protection peut être nécessaire.

Cette opération **passe par le mode de résolution des problèmes** (troubleshooting mode) de Microsoft Defender for Endpoint.

### Procédure d’activation du mode de résolution des problèmes

1. Se connecter au **portail Microsoft Defender (security.microsoft.com)**
2. Accéder à l’inventaire des **Appareils**
3. Sélectionner l’appareil concerné
4. Cliquer sur **Activer le mode de résolution des problèmes** (Turn on troubleshooting mode)
5. Durée : **4 heures** maximum

Pendant cette fenêtre, un administrateur local peut modifier les paramètres protégés, par exemple :

```powershell
Set-MpPreference -DisableTamperProtection $true
```

À l’issue de cette période, **les paramètres reviennent automatiquement à leur état géré**.

Ce mode doit être utilisé de manière exceptionnelle et sous supervision, car il réduit temporairement le niveau de protection de l’endpoint.

## Comment détecter les tentatives de désactivation ?

### Journalisation Windows

Les tentatives de modification bloquées par Tamper Protection sont consignées dans l’Observateur d’événements Windows.

- **Event ID** : `5013` (Tamper Protection a bloqué une modification de Microsoft Defender Antivirus)
- **Event ID** : `5007` (modification de la configuration de Microsoft Defender Antivirus, utile pour l’audit)
- **Chemin** : `Journaux des applications et des services > Microsoft > Windows > Windows Defender > Operational`

### Supervision via Microsoft Defender for Endpoint et Microsoft Sentinel

Dans un environnement utilisant **Microsoft Defender for Endpoint (MDE)**, les tentatives de falsification remontent dans le portail Microsoft Defender (alertes, chronologie de l’appareil) et dans la chasse avancée :

```kusto
DeviceEvents
| where Timestamp > ago(10d)
| where ActionType == "TamperingAttempt"
```

Ces données peuvent ensuite être exploitées dans **Microsoft Sentinel** (via le connecteur Microsoft Defender XDR) afin de :

- détecter des tentatives de compromission ciblées
- corréler avec des événements de privilèges élevés
- enrichir des règles de détection SOC

#### Bonnes pratiques SOC / RSSI

- activer des alertes sur les événements de falsification
- surveiller les répétitions sur un même endpoint
- corréler avec des tentatives d’escalade de privilèges

## Conclusion

Tamper Protection est un composant essentiel de la sécurité des endpoints Windows. Elle empêche toute tentative de neutralisation de Microsoft Defender, volontaire ou malveillante.

Pour les **DSI, RSSI et équipes sécurité**, son activation garantit l’intégrité de la configuration antivirus et renforce la posture de défense face aux menaces avancées.

Besoin d’approfondir la sécurité Microsoft Defender, Intune ou Microsoft Sentinel ? Consultez mes autres articles ou contactez-moi pour échanger sur vos enjeux sécurité.

## Points clés à retenir

- Tamper Protection verrouille la protection en temps réel, la surveillance comportementale, la protection cloud, les mises à jour et les exclusions de Defender.
- Elle se pilote via Intune (stratégie Antivirus), le portail Microsoft Defender, Configuration Manager en tenant attach ou, poste par poste, l’application Sécurité Windows.
- Une stratégie Intune prime sur le réglage du portail Defender, qui prime lui-même sur le réglage local.
- Get-MpComputerStatus (propriété IsTamperProtected) permet de vérifier l’état sur un poste.
- Le mode de résolution des problèmes permet de la désactiver temporairement, pendant 4 heures au maximum.

## Questions fréquentes

### Comment activer Tamper Protection pour toute l’organisation ?

Dans le portail Microsoft Defender (security.microsoft.com), allez dans Paramètres > Points de terminaison > Fonctionnalités avancées et activez Tamper Protection. Avec Intune, créez une stratégie Sécurité du point de terminaison > Antivirus, profil Expérience de sécurité Windows, et réglez Tamper protection (device) sur Activé.

### Comment vérifier si Tamper Protection est activée sur un poste Windows ?

Lancez Get-MpComputerStatus | Select-Object IsTamperProtected dans PowerShell. La valeur True indique que la protection contre les falsifications est active.

### Peut-on désactiver Tamper Protection en PowerShell ?

Pas en fonctionnement normal. Il faut d’abord activer le mode de résolution des problèmes sur l’appareil depuis le portail Microsoft Defender ; pendant ces 4 heures, un administrateur local peut modifier les paramètres protégés.

### Quel événement Windows signale une modification bloquée par Tamper Protection ?

L’événement 5013 du journal Microsoft-Windows-Windows Defender/Operational indique que Tamper Protection a bloqué une modification de Microsoft Defender Antivirus. L’événement 5007 trace, lui, les changements de configuration.

## Sources et documentation

- [Vue d’ensemble de la protection contre les falsifications](https://learn.microsoft.com/fr-fr/defender-endpoint/tamper-protection-overview)
- [Configurer la protection contre les falsifications sur Windows](https://learn.microsoft.com/fr-fr/defender-endpoint/tamper-protection-windows-configure)
- [Mode de résolution des problèmes dans Microsoft Defender for Endpoint](https://learn.microsoft.com/fr-fr/defender-endpoint/troubleshooting-mode-enable)
- [Journaux d’événements et codes d’erreur de Microsoft Defender Antivirus](https://learn.microsoft.com/fr-fr/defender-endpoint/troubleshoot-microsoft-defender-antivirus)