Antivirus et exclusions

Oui, Stoïk recommande fortement de désinstaller tout antivirus ou autre solution EDR existant avant d’installer votre EDR MDR Stoïk (CrowdStrike ou SentinelOne), afin d’éviter tout conflit pouvant compromettre le bon fonctionnement de la solution.

Les équipes de Stoïk ont mis en place un déploiement progressif en trois phases afin de limiter le risque de blocages et l’impact sur les postes utilisateurs, la phase 1 vous permettant d’installer l’EDR tout en conservant votre antivirus ou votre EDR en place. Il est donc essentiel de désinstaller votre ancien antivirus ou votre ancienne solution EDR avant de passer à la phase 2.

Si vous ne le désinstallez pas avant de passer à la phase 2, un « écran bleu » peut apparaître lors du redémarrage du poste.

Cependant, certaines solutions antivirus ou EDR, qu’elles soient à usage unique ou polyvalentes, peuvent provoquer des blocages dès la phase 1 du déploiement. Ces solutions sont सूचीées plus loin dans ce document.

SentinelOne n’utilise pas de déploiement par phases : la protection complète est active dès son installation. Il est donc essentiel de désinstaller votre ancien antivirus ou votre ancienne solution EDR avant d’installer SentinelOne, afin d’éviter tout conflit.

Antivirus à usage unique

Ces programmes n’ont qu’une seule fonction : la protection antivirus.

Bitdefender: doit être désinstallé durant la phase 1 du déploiement. Si vous ne le désinstallez pas, un écran bleu peut apparaître lors du redémarrage de votre ordinateur.
Trend Micro: doit être désinstallé à partir de la phase 2 du déploiement, sinon des messages d’erreur peuvent apparaître.
macOS: Aucun conflit connu, aucune action requise.

Bitdefender et Trend Micro: doit être désinstallé avant l’installation, car SentinelOne ne fonctionne pas par phases.
macOS: Aucun conflit connu, aucune action requise.

Solutions polyvalentes

Ces logiciels offrent plusieurs fonctions de sécurité dans un seul outil : antivirus, pare-feu, contrôle des périphériques USB, EDR intégré, etc. Parmi les exemples courants, on trouve WithSecure, ESET, et Kaspersky.

Il suffit de désactiver uniquement la fonctionnalité antivirus, sans besoin de désinstaller l’ensemble du logiciel.

Pour Windows Defender, il n’est pas nécessaire de le désinstaller ; il est pleinement compatible avec votre EDR. Il reste actif en phase 1, et le moteur antivirus est automatiquement désactivé à la phase 2.

Ces solutions doivent être entièrement désinstallées avant l’installation de SentinelOne, puisqu’il n’existe pas de déploiement par phases permettant de tolérer un conflit temporaire.

La seule exception est Windows Defender: il n’est pas nécessaire de le désinstaller, il est pleinement compatible avec SentinelOne, et le moteur antivirus est automatiquement désactivé dès l’installation de SentinelOne.

Attention aux effets secondaires sous Windows :

Si vous désactivez complètement la solution polyvalente, et qu’elle gérait auparavant votre pare-feu, alors :

Le le pare-feu Windows prendra automatiquement le relais.
Cependant, il appliquera ses propres règles par défaut, très restrictives.
Cela peut bloquer complètement vos connexions réseau.

La solution consiste à reconfigurer votre pare-feu Windows local avec les règles et exclusions nécessaires pour rétablir les connexions attendues.

Exemple de message d’erreur :

Règles d’exclusion

La gestion des flux applicatifs via des règles d’exclusion est une approche propre aux antivirus traditionnels, mais elle ne s’applique pas à un EDR comme CrowdStrike ou SentinelOne.

Différence de fonctionnement entre antivirus et EDR

Antivirus : analyse de manière proactive tous les fichiers inactifs du système (qu’ils soient exécutés ou non). Cela génère un grand volume d’analyses et nécessite de nombreuses exclusions pour éviter les faux positifs sur les fichiers inactifs.
EDR (CrowdStrike, SentinelOne) : se concentre uniquement sur les fichiers réellement exécutés et sur les comportements dynamiques du système (processus, connexions, actions des utilisateurs, etc.). Aucun scan continu de l’ensemble du disque n’est effectué ; les fichiers inactifs ne sont analysés qu’au cours des analyses manuelles.

Puisqu’un EDR analyse les comportements suspects plutôt que les signatures, l’exclusion d’un dossier de l’analyse est inutile.

Exclure un dossier aurait un effet négatif : si un comportement suspect devait se produire dans ce dossier, l’EDR ne pourrait pas le détecter. Cela dit, cela reste techniquement possible si le besoin est validé par notre équipe SOC.

Prévention intelligente et gestion réactive des exclusions

Votre EDR intègre un ensemble de mécanismes préventifs pour limiter les faux positifs sans intervention manuelle :

Des listes d’exclusion préconfigurées sont automatiquement appliquées lors du déploiement.
En cas de détection suspecte impliquant une application métier, le programme est temporairement bloqué, puis analysé par notre SOC avant toute action définitive.

Pour éviter d’éventuelles perturbations métier non souhaitées, l’isolement complet n’est effectué que manuellement, soit après analyse par notre équipe SOC, soit par vous.

Les exclusions ne doivent pas être définies à l’avance

Chercher à anticiper les exclusions avant toute détection représente un risque majeur :

Cela revient à exclure de manière préventive des comportements potentiellement malveillants simplement parce qu’ils sont associés à une application métier connue.
Résultat : vous risquez de neutraliser les capacités de détection de l’EDR, laissant certaines attaques passer inaperçues.

Chez Stoïk, les exclusions sont gérées uniquement en réponse à une détection réelle, sur la base de l’analyse du SOC.

Conclusion

Les exclusions dans un EDR sont beaucoup moins nombreuses et sont appliquées uniquement lorsqu’un événement bloquant s’est réellement produit. Il n’est ni nécessaire ni conseillé d’ajouter des règles d’exclusion « préventives » comme vous le feriez avec un antivirus traditionnel.

Exemple concret : L’un de nos clients (un acteur national de la distribution) disposait de plus de 3 000 postes de travail et de plusieurs milliers d’exclusions dans son ancienne solution antivirus. Après le passage à un EDR, aucune exclusion n’a été nécessaire.

PrécédentDéployer l’EDR

SuivantCrowdStrike

Mis à jour il y a 2 mois

Ce contenu vous a-t-il été utile ?