MDE_Enum

MDE_Enum

MDE_Enum est un outil .NET complet conçu pour extraire et afficher des informations détaillées sur les exclusions de Windows Defender et les règles de réduction de la surface d'attaque (ASR). Il est capable d'interroger efficacement les systèmes locaux et distants, même dans un contexte peu utilisateur, ce qui en fait un outil polyvalent pour les administrateurs système et les professionnels de la sécurité.

Caractéristiques

• Prise en charge des requêtes locales et distantes : interrogez en toute transparence les paramètres de Windows Defender sur les machines locales et distantes.
• Contexte utilisateur : fonctionne efficacement à partir d'un contexte peu utilisateur, éliminant le besoin d'autorisations administratives.
• Exclusions Windows Defender : récupérez et répertoriez tous les chemins d'exclusion configurés dans Windows Defender.
• Règles de réduction de la surface d'attaque (ASR) : énumérez les règles ASR, affichant à la fois les identifiants et leurs noms correspondants pour une identification facile.
• Événements ASR déclenchés : extrayez et répertoriez tous les événements ASR déclenchés pour surveiller les activités de sécurité du système.
• Résultat détaillé : présente les informations dans un format clair et tabulé pour une lecture et une analyse faciles.

Usage

Chemins d’exclusion de Windows Defender

Cette fonctionnalité extrait les valeurs des journaux Windows Event ID 5007. L'outil utilise la correspondance de modèles regex pour extraire avec précision ces valeurs du texte de description de l'événement.

1. Énumérer les chemins d'exclusion localement

 MDE_Enum /local /paths

MDE_Enum /local /paths /access (check if current user has write access) 

2. Énumérer les chemins d'exclusion sur les ordinateurs distants

 MDE_Enum     /paths 

Règles ASR déclenchées

Cette fonctionnalité extrait les valeurs des journaux Windows Event ID 1121. L'outil utilise la correspondance de modèles regex pour extraire avec précision ces valeurs du texte de description de l'événement.

1. Énumérer les règles ASR enregistrées localement

 MDE_Enum /local /asr 

2. Énumérer les règles ASR enregistrées sur les ordinateurs distants

 MDE_Enum     /asr 

Énumérer les règles ASR

Cette fonctionnalité extrait les règles de réduction de la surface d'attaque (ASR) de la classe WMI MSFT_MpPreference et fournit un statut complet des règles ainsi que leurs noms correspondants.

1. Énumérer les règles localement

 MDE_Enum /local /asr /alt 

2. Énumérez les règles sur les ordinateurs distants.

 MDE_Enum     /asr /alt 

Remerciements

• Merci à VakninHai (https://x.com/VakninHai/status/1796628601535652289)