L'EDR ralentit-il mon ordinateur ?

Vous pouvez constater des ralentissements sur votre poste de travail. Vous pourriez vous demander si cela est lié au logiciel Endpoint Detection & Response (EDR) installé sur votre machine.

Raisons habituelles des ralentissements

Un ralentissement peut avoir plusieurs causes :

• Une forte charge sur l'ordinateur (programmes gourmands, ressources mémoire saturées, disque plein)

• Un problème de connexion réseau ou serveur

• Une mise à jour ou un processus en arrière-plan

• Un dysfonctionnement logiciel

L'EDR peut, dans certains cas, utiliser davantage de ressources lors de scans occasionnels, mais ce n'est généralement pas la cause principale d'un ralentissement prolongé.

Qualifier le ralentissement

Pour mieux comprendre la situation et identifier la cause, recueillez ces quatre informations :

1. Le ralentissement est-il généralisé ? N'affecte-t-il que votre ordinateur ou plusieurs machines de votre organisation ?

2. S'il ne s'agit que d'un ordinateur, lequel exactement ? Notez le nom ou l'identifiant de la machine affectée.

3. Quelle est la nature du ralentissement ?

   1. Est-ce que l'ordinateur lui-même est lent : applications difficiles à ouvrir, curseur figé, ralentissements du système ?

   2. Ou est-ce que la connexion à un serveur ou à un service en ligne est lente ?

4. Tous les autres outils de sécurité ont-ils été complètement désinstallés ? En particulier, les logiciels antivirus et tout autre logiciel EDR déjà installé.

Dépanner le ralentissement

Pour nous aider à dépanner, veuillez suivre ces trois étapes :

1. Assurez-vous que l'antivirus est complètement désinstallé, y compris tous les services liés à l'antivirus

2. Désinstallez et réinstallez l'EDR depuis le poste

3. Enquêter en exécutant cette commande correspondant à la plateforme hôte et envoyez-nous les résultats à [email protected] :

• Windows (commande PowerShell)

try {
    # Postes de travail
    Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct -ErrorAction Stop | Select-Object displayName, productState, @{Name="Services_Associes"; Expression={
        $search = $_.displayName -replace "Windows ", "" -replace "Microsoft ", "" -replace "Sensor", "" -replace "Agent", "" -replace "Antivirus", ""
        $search = $search.Trim()
        
        if ($_.displayName -match "Defender") {
            $svcs = Get-Service -Name "WinDefend", "Sense", "WdNisSvc" -ErrorAction SilentlyContinue
        } else {
            $svcs = Get-Service | Where-Object { $_.DisplayName -match $search -or $_.Name -match $search }
        }
        
        if ($svcs) { ($svcs | Sort-Object Status -Descending | ForEach-Object { "$($_.Name):$($_.Status)" }) -join " | " } else { "Aucun service trouvé" }
    }} | Format-List | Out-String
}
catch {
    # Serveurs (solution de secours dans le cas où l'espace de noms "root/SecurityCenter2" n'existe pas)    
    $keywords = "WinDefend", "Sense", "Falcon", "Sophos", "Sentinel", "McAfee", "Symantec", "Carbon", "Cylance", "Trend", "Eset", "Kaspersky", "Bitdefender"
        Get-Service | Where-Object { 
        $n = $_.Name; $d = $_.DisplayName; 
        ($keywords | Where-Object { $n -match $_ -or $d -match $_ }) 
    } | Group-Object -Property DisplayName | ForEach-Object {
        [PSCustomObject]@{
            displayName       = $_.Name
            productState      = "N/A (Serveur)"
            Associated_Services = ($_.Group | Sort-Object Status -Descending | ForEach-Object { "$($_.Name):$($_.Status)" }) -join " | "
        }
    } | Format-List
}

• Linux / macOS

ps aux | grep -iE "falcon|mdatp|wdav|defend|sophos|sentinel|mcafee|cma|nails|carbon|cylance|symantec|eset|kav|clam|trend" | grep -v grep | awk '{print "Process: " $11 " | PID: " $2 " | CPU: " $3 "%"}'

Envoyez-le à Stoïk

Une fois ces informations recueillies, envoyez-les à "[email protected]".

Cela nous permettra d'analyser la situation plus rapidement et de distinguer entre un problème local (ordinateur), un problème réseau (connexion/serveur) ou un problème lié à l'EDR installé.