Votre protection anti-rançongiciel Windows est-elle vraiment active ?

Ce qu’est l’accès contrôlé aux dossiers

L’accès contrôlé aux dossiers est une fonctionnalité de Microsoft Defender qui aide à protéger les fichiers contre les rançongiciels en laissant les applications de confiance modifier les dossiers protégés et en bloquant les autres. Elle agit au niveau du noyau, exactement là où doit se trouver un bloqueur : elle peut refuser une écriture pendant qu’elle se produit. C’est une fonctionnalité de Microsoft, intégrée à Windows, et elle est désactivée par défaut sur beaucoup de machines.

Voilà l’honnête répartition des rôles sur cette page. Windows bloque. WinSight vous dit si Windows le fait vraiment. WinSight n’est pas un bloqueur de rançongiciels et ne le devient pas en lisant ce réglage.

Pourquoi « activé » n’est pas synonyme de « protège »

C’est ce qu’un écran de réglages ne vous dira pas. L’accès contrôlé aux dossiers n’applique la protection que si Defender lui-même fonctionne réellement : en mode normal, avec l’antivirus et la protection en temps réel activés. Si Defender s’est effacé (mode passif, antivirus désactivé, protection en temps réel coupée) l’interrupteur peut toujours afficher « activé » alors que rien n’est appliqué.

WinSight refuse de rapporter une protection qu’il ne peut pas prouver. Une valeur configurée « activé » avec des preuves d’exécution incomplètes ou contradictoires est rapportée comme prérequis d’exécution non satisfaits, jamais comme protégeant. C’est la même règle que suit le pare-feu sortant quand il rapporte Degraded au lieu d’Active.

Si vous n’utilisez pas Microsoft Defender

L’accès contrôlé aux dossiers appartient à Defender : sur une machine équipée de Norton, Bitdefender ou CrowdStrike, la réponse honnête n’est donc pas « vous n’êtes pas protégé ». WinSight lit le Centre de sécurité Windows, indépendant des éditeurs, où tout antivirus souhaitant que Windows cesse de le signaler doit s’enregistrer. Il rapporte quels produits sont enregistrés, lesquels se déclarent en analyse active, et si leurs définitions sont à jour.

Quand un autre antivirus analyse activement, la ligne d’accès contrôlé aux dossiers le nomme et indique qu’il s’agit d’une configuration normale plutôt que d’un défaut, puis énonce la limite clairement : WinSight ne peut pas lire la protection anti-rançongiciel propre à ce produit, c’est donc à vous de confirmer qu’elle est activée. Sur une machine où rien n’analyse, la formulation reste brutale.

L’encodage utilisé par le Centre de sécurité pour l’état d’un produit n’est pas documenté par Microsoft, et il est traité comme tel : un octet que le lecteur ne reconnaît pas est décodé en « inconnu » plutôt qu’arrondi à la supposition la plus proche. Le produit reste listé (« quelque chose est enregistré et son état n’a pas pu être lu » est une information dont vous avez besoin) mais cela ne compte jamais comme une protection.

Comment la vérification se déroule

• Elle fait partie de la vérification integrity, aux côtés de la signature des pilotes, de l’intégrité de la mémoire et du démarrage sécurisé. Vous obtenez donc la lecture pendant une analyse normale, pas comme une démarche à part.
• Elle lit le fournisseur WMI de Defender (la même source que Get-MpPreference) et n’exige aucun droit administrateur.
• Elle rapporte les dossiers protégés et la liste des applications explicitement autorisées. Si Defender refuse cette liste à un appelant non élevé, WinSight la marque comme nécessitant une élévation plutôt que de l’afficher vide : une liste vide et une liste illisible ne sont pas le même fait.
• Quand la posture est notable, elle renvoie directement vers la page de protection contre les rançongiciels de Sécurité Windows, pour que vous changiez le réglage là où il appartient : dans Windows.

Ce que cela ne fait pas

• WinSight n’active ni ne désactive jamais l’accès contrôlé aux dossiers. Il ne configure jamais Defender. La lecture est en lecture seule et c’est l’opérateur qui effectue le changement.
• WinSight ne bloque pas les rançongiciels. Sa propre fonctionnalité repose sur des fichiers leurres facultatifs, plus des heuristiques de rafale de renommage/suppression et d’entropie à l’écriture : elle détecte une vague de chiffrement et vous alerte, en mode utilisateur. Arrêter un processus en plein chiffrement exige un minifiltre noyau signé que WinSight ne fournit pas. C’est précisément pourquoi savoir si le bloqueur de Windows est actif compte.
• Ce n’est ni un antivirus ni un EDR, et lire un réglage de Defender n’est pas un audit de sécurité complet.
• Rien de tout cela ne remplace des sauvegardes. Une écriture bloquée vaut mieux qu’une écriture détectée, et un fichier restauré vaut mieux que les deux.

Les deux couches ensemble

Utilisé comme prévu, WinSight couvre l’écart entre les deux : Windows applique la protection au niveau noyau quand l’accès contrôlé aux dossiers protège réellement, WinSight vous dit quand ce n’est pas le cas, et ses propres leurres attrapent une vague de chiffrement qui passerait au travers de ce qui reste. Aucune couche n’est présentée comme suffisante à elle seule. Voir l’outil rançongiciel en détail ou la réponse de la FAQ.