[SCCM/SCEP/FEP] Mise à jour de Mars 2016 pour la plateforme Anti-Malware

Microsoft vient d’annoncer la publication d’une mise à jour (4.9.218.0) pour sa plateforme anti logiciels malveillants. Cette mise à jour concerne les clients Forefront EndPoint Protection 2010 UR1, et System Center 2012 EndPoint Protection SP1/SP2/R2/R2 SP1 qu’ils soient gérés ou non. La mise à jour est publiée à travers Microsoft Updates sous la catégorie Critical Updates et le produit Forefront EndPoint Protection.

Que fait cette mise à jour ?

• La détection est améliorée pour les applications potentiellement non souhaitées (PUAs). Ceci bloque les PUAs d’être téléchargées depuis Internet Explorer, Firefox et Chrome. Ceci permet de détecter les PUAs dans les circonstances et emplacements :
  • Un fichier qui a Mark of the Web (MOTW)
  • Un fichier dans le répertoire Downloads
  • Un fichier dans le répertoire Temp

Il ne détectera pas en dehors des dossiers et ne supprimera pas les PUAs déjà installées. Vous devez l’activé en utilisant la clé de registre suivante :

Emplacement:

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Microsoft Antimalware\MpEngine
DWORD name: MpEnablePUS
DWORD value: 1

• Les ameliorations VDI à l’interface graphique pour mieux gérer les multiples sessions à distance et pour empêcher les utilisateurs de redémarrer la machine si le nettoyage d’un logiciel malveillant nécessite un redémarrage. Les administrateurs peuvent contrôler ceci par GPO en utilisant :

Emplacement:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Microsoft Antimalware\UX Configuration
DWORD name: SuppressRebootNotification
DWORD value: 1

• Optimisation des performances sur les machines virtuelles autour de l’utilisation de la mémoire et le temps initial de chargement de la machine virtuelle. Un script est disponible pour télécharger les signatures une fois sur le serveur hôte et les réutiliser par les VMs. Ceci permet de sauvegarder la bande passante lors du téléchargement des signatures.
• Le hash (SHA1) des fichiers de menaces détectées peut être enregistré dans le journal d’événements (EventID 1120) afin de faire des recherches additionnelles sur d’autres menaces. Pour activer cette fonction, vous devez utiliser la clé de registre :

Emplacement:
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Microsoft Antimalware
DWORD name: ThreatFileHashLogging
DWORD value: 1

Plus d’informations sur la KB3106514 : March 2016 anti-malware platform update for Endpoint Protection clients