MDE_Enum est un outil .NET complet conçu pour extraire et afficher des informations détaillées sur les exclusions de Windows Defender et les règles de réduction de la surface d'attaque (ASR). Il est capable d'interroger efficacement les systèmes locaux et distants, même dans un contexte peu utilisateur, ce qui en fait un outil polyvalent pour les administrateurs système et les professionnels de la sécurité.
Prise en charge des requêtes locales et distantes : interrogez en toute transparence les paramètres de Windows Defender sur les machines locales et distantes.
Contexte utilisateur : fonctionne efficacement à partir d'un contexte comportant peu d'utilisateurs, éliminant ainsi le besoin d'autorisations administratives.
Exclusions Windows Defender : récupérez et répertoriez tous les chemins d'exclusion configurés dans Windows Defender.
Règles de réduction de la surface d'attaque (ASR) : énumérez les règles ASR, affichant à la fois les identifiants et leurs noms correspondants pour une identification facile.
Événements ASR déclenchés : extrayez et répertoriez tous les événements ASR déclenchés pour surveiller les activités de sécurité du système.
Résultat détaillé : présente les informations dans un format clair et tabulé pour une lecture et une analyse faciles.
Cette fonctionnalité extrait les valeurs des journaux Windows Event ID 5007. L'outil utilise la correspondance de modèles regex pour extraire avec précision ces valeurs du texte de description de l'événement.
Énumérer les chemins d'exclusion localement
MDE_Enum /local /paths MDE_Enum /local /paths /access (check if current user has write access)
Énumérer les chemins d'exclusion sur les ordinateurs distants
MDE_Enum <remoteComputer> <username> <password> <domain> /paths
Cette fonctionnalité extrait les valeurs des journaux Windows Event ID 1121. L'outil utilise la correspondance de modèles regex pour extraire avec précision ces valeurs du texte de description de l'événement.
Énumérer les règles ASR enregistrées localement
MDE_Enum /local /asr
Énumérer les règles ASR enregistrées sur les ordinateurs distants
MDE_Enum <remoteComputer> <username> <password> <domain> /asr
Cette fonctionnalité extrait les règles de réduction de la surface d'attaque (ASR) de la classe WMI MSFT_MpPreference et fournit un statut complet des règles ainsi que leurs noms correspondants.
Énumérer les règles localement
MDE_Enum /local /asr /alt
Énumérez les règles sur les ordinateurs distants.
MDE_Enum <remoteComputer> <domain> <username> <password> /asr /alt
Merci à VakninHai (https://x.com/VakninHai/status/1796628601535652289)
