Faut-il encore un antivirus avec un VPN actif ?

Partez du téléchargement que vous êtes sur le point d'exécuter. Vous avez ouvert une page, un fichier a atterri dans le dossier des téléchargements, et la question est de savoir lequel de vos deux produits de sécurité l'a regardé. Le tunnel a transporté les octets ; quelque chose sur l'appareil doit décider si le fichier est sûr à exécuter. Ce sont des tâches différentes, assurées par des composants différents.

Parcourir un seul fichier est plus rapide que comparer des listes de fonctions, alors suivez-le du clic à l'invite d'installation.

Commencez par ce que transporte le tunnel

Quand vous demandez un fichier via un VPN, le client chiffre votre trafic et l'envoie à un point de sortie, qui le transmet vers le site. Le site renvoie des octets qui repartent par le même chemin. À aucun moment le tunnel n'ouvre l'archive, n'inspecte l'installateur ni ne demande ce que fera l'exécutable, car ce n'est pas le rôle d'un transport.

Le chiffrement en transit résout un problème plus étroit : il ne garde le contenu lisible que pour les extrémités de cette connexion. Un fichier malveillant reste un fichier malveillant après un trajet parfaitement chiffré. Si le site qui l'héberge est l'attaquant, le tunnel protège le téléchargement de l'attaquant de l'observation plutôt que de vous protéger de la charge utile.

Vérifiez où va votre trafic avant de faire confiance au téléchargement. Une page qui ressemble au site d'un fournisseur peut être une publicité ou un domaine sosie, et le tunnel la transportera tout aussi fidèlement.

Où se situe le logiciel malveillant par rapport au tunnel

Un logiciel malveillant doit s'exécuter sur quelque chose. Un installateur cheval de Troie s'exécute avec vos droits et, une fois lancé, peut lire des fichiers avant qu'une application ne les chiffre ou après qu'elle les a déchiffrés, ce qui le place entièrement hors de la vue du tunnel. Le tunnel peut protéger le chemin d'exfiltration qui suit, et il ne peut pas empêcher le vol survenu avant qu'un seul paquet ait quitté l'appareil.

C'est pourquoi la protection du poste existe comme contrôle distinct. Elle inspecte les fichiers au repos après le téléchargement, surveille le comportement des processus et bloque des indicateurs malveillants connus, avec la réserve habituelle que la détection dépend des signatures, de l'heuristique, des recherches dans le cloud et de la configuration. Aucun analyseur ne reconnaît tout, et c'est pourquoi les sauvegardes, l'hygiène des comptes et des téléchargements prudents comptent encore.

Ouvrez la liste des téléchargements du navigateur et regardez le nom et la source réels du fichier avant d'exécuter quoi que ce soit. Les extensions doublées, les archives contenant un exécutable et les installateurs obtenus via une chaîne de redirections sont tous visibles à ce moment-là, et aucun d'eux ne vous oblige à raisonner sur la cryptographie.

Lisez la liste des fonctions du produit installé

Certaines suites réunissent un client tunnel, un filtre de domaines malveillants et un analyseur local dans un seul installateur. C'est un produit qui combine des outils, pas la preuve qu'un outil fait le travail de l'autre. Lisez quel composant fait quoi avant d'annuler un abonnement ou de désinstaller un analyseur qui fait encore quelque chose.

Le filtre de domaines est celui que l'on confond le plus souvent avec la protection du poste. Il bloque la résolution de noms pour des domaines malveillants connus, ce qui peut arrêter un téléchargement avant qu'il ne commence, et il ne fait rien pour un fichier déjà présent sur le disque. Un analyseur local lit le fichier ; un filtre distant ne le voit jamais. Un simple profil de tunnel importé dans un client générique ne contient aucune de ces fonctions.

Les contrôles d'autorisations se situent à la même couche que la décision de téléchargement. Si un installateur demande des droits d'administrateur pour modifier les paramètres réseau, cette demande mérite d'être lue, et le fait que le téléchargement ait été chiffré ne la rend pas plus sûre.

Résolvez un conflit sans désactiver la protection

Quand les deux produits s'opposent, identifiez la couche qui a échoué avant d'ajouter une exclusion. Un installateur mis en quarantaine, un tunnel qui ne s'établit pas et un certificat refusé sont trois événements différents avec trois correctifs différents, et seul le troisième a un rapport avec la cryptographie.

Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled
Get-MpThreatDetection | Select-Object -Last 5
Get-NetConnectionProfile | Select-Object Name, InterfaceAlias

N'accordez pas une exclusion à tout un dossier de téléchargements juste pour qu'un fichier d'installation se lance. Là où la machine est gérée, un administrateur décide si un composant vérifié mérite une exception étroite, et ce que vous avez assoupli est rétabli à la fin du test. Si une modification n'a pas expliqué la panne, revenez en arrière plutôt que de laisser l'appareil plus faible que vous ne l'avez trouvé.

Aucun des deux produits ne remplace l'autre. Le tunnel s'occupe du chemin et de l'adresse que voit l'extrémité distante, la protection du poste s'occupe du fichier et de son comportement, et les questions fréquentes de Microsoft sur les logiciels antivirus et antimalware sont un point de départ raisonnable pour ce que le second est censé couvrir.