t'as raison, et y'a moyen de le vérifier au lieu de rester sur une impression.
 
deux id comptent, et ils ne disent pas du tout la même chose :
 
5007 = un réglage de defender a bougé. une mise à jour de définitions en pose à chaque fois.
5001 = la protection en temps réel a vraiment été coupée.
 
le piège c'est l'endroit : ces événements ne sont pas dans le journal système, ils sont dans "microsoft-windows-windows defender/operational". si tu cherches dans système tu ne trouves rien et tu conclus à tort qu'il n'y a pas de trace.
 
en powershell :
 
get-winevent -filterhashtable @{logname='microsoft-windows-windows defender/operational'} -maxevents 40 | group-object id | sort count -desc
 
je viens de le lancer chez moi : 2 x 5007, zéro 5001. et le dernier 5007 tombe à 19:26:42, une seconde après un 2000 (mise à jour de définitions) à 19:26:41.
 
donc oui, c'est bien la mise à jour qui déclenche la notif.  
et tant qu'il n'y a pas de 5001 daté à la même heure, la protection n'a jamais sauté — y'a juste l'affichage qui raconte un truc qui n'a pas eu lieu. comme souvent avec win...

Il n'y a plus aucune alerte depuis quelques jours, situation normale.
 
...

MS a patché ce "bug" il semblerait
 
https://www.techpowerup.com/352865/ [...] us-was-off