Defender Linux : le mode audit antivirus passe en disponibilité générale
Le journal Defender d’octobre 2026 classe désormais le mode audit antivirus Linux en disponibilité générale, après une entrée Preview en août. Il permet d’évaluer la détection en temps réel sans remédiation automatique ; son intérêt concerne les essais préparant une activation du blocage, pas le remplacement d’une protection déjà opérationnelle.
- Impact
- machines Linux prises en charge et équipées de l’agent Defender for Endpoint ; la disponibilité générale de ce mode ne change pas le statut Preview de la prise en charge des postes Linux.
- Action
- contrôler le niveau antivirus réellement actif et, si une évaluation est nécessaire, tester le mode audit sur un groupe isolé avec des critères de détection et de performance définis.
- Statut
- À tester
Détecter sans neutraliser automatiquement
L’entrée Antivirus audit mode for Linux porte explicitement la mention GA dans les nouveautés Microsoft. Elle rattache la disponibilité à octobre sans préciser de jour : la révision documentaire du 29 octobre ne prouve pas une sortie ce jour-là.
Le mode audit surveille et détecte les menaces en temps réel, mais ne met pas automatiquement les fichiers en quarantaine et ne termine pas automatiquement les processus concernés. Le mode real_time assure, lui, la détection et la remédiation. passive ne fournit pas la détection antivirus en temps réel : audit et passif ne sont donc pas interchangeables.
Le seuil fonctionnel documenté est 101.26062.0007. Ce n’est ni une version cible recommandée aujourd’hui ni une preuve de GA par simple comparaison de numéros : le statut vient du journal produit. Conserver une version prise en charge et approuvée dans le canal de l’organisation, sans rétrograder vers ce seuil.
Contrôler l’état réel avant de modifier une stratégie
La référence Linux expose la valeur audit pour Enforcement level via Defender Security Settings Management et pour antivirusEngine.enforcementLevel dans un profil JSON géré. Il ne s’agit pas d’une preuve d’enrôlement MDM Intune du poste. Les préférences gérées ont priorité sur les réglages locaux.
Dans un terminal de la machine équipée de Defender, ces commandes de consultation sont documentées sans élévation explicitement exigée :
mdatp health
mdatp health --field antivirus_enforcement_level
La première donne notamment app_version, release_ring, healthy et health_issues. Comparer la version applicative à celle du paquet installé ; edr_client_version désigne un autre composant, le client EDR exécuté. La seconde doit retourner audit si cette configuration est celle attendue. Une valeur différente impose de vérifier la stratégie reçue et ses priorités, pas de conclure sur le seul réglage visible dans le portail.
Ces commandes n’ont pas été exécutées pour cette veille.
Un essai utile avant le blocage
PatchFactory recommande de réserver l’essai à des machines de laboratoire ou à une évaluation déjà prévue. Ne pas passer un parc protégé en real_time vers audit uniquement parce que ce mode devient GA.
Avant/après, comparer la santé de l’agent, les alertes reçues, la charge CPU et la latence des applications représentatives. Utiliser un scénario de détection bénin déjà validé par l’équipe sécurité, puis vérifier que l’événement attendu est exploitable et que les tâches légitimes restent fonctionnelles. Poursuivre uniquement si les alertes attendues remontent, si les faux positifs sont qualifiés et si les seuils de performance internes sont respectés ; sinon suspendre l’extension et analyser les écarts.
Ce mode est distinct de Tamper Protection en audit et de Memory Scan, dont les préversions et restrictions restent séparées. Aucun gain de performance chiffré ni innocuité universelle n’est promis. Avant d’activer ensuite la protection temps réel, Microsoft recommande une analyse complète pour identifier et traiter les menaces déjà présentes.