Behebung von Fehlalarmen/falschen positiven Ergebnissen in Microsoft Defender for Endpoint

In Endpunktschutzlösungen ist ein falsch positives Ergebnis eine Datei, ein Prozess oder eine andere Entität, die fälschlich als schädlich eingestuft wird. Ein falsch-negatives Ergebnis liegt vor, wenn die Lösung eine bösartige Entität nicht erkennt. Falsch-positive und falsch-negative Ergebnisse können bei jeder Bedrohungsschutzlösung auftreten, einschließlich Microsoft Defender for Endpoint.

Nutzen Sie die in diesem Artikel beschriebenen Arbeitsabläufe, um die Erkennungsquelle zu identifizieren, Warnungen zu klassifizieren und zu unterdrücken, Sanierungsmaßnahmen zu überprüfen, Ausschlüsse zu konfigurieren, Dateien zur Analyse einzureichen und vermutete Fehlalarme zu untersuchen. Führen Sie die Portalprozeduren im Microsoft Defender-Portal durch. Wenn Sie Microsoft Defender XDR verwenden, identifizieren Sie zunächst die Warnquelle, wie sie in Investigate alerts in Microsoft Defender XDR beschrieben ist. Lesen Sie diesen Artikel, wenn die Warnquelle Defender for Endpoint ist.

Voraussetzungen

Unterstützte Betriebssysteme

• Windows.

Identifizieren der Erkennungsquelle

Bei einem Fehlalarm identifizieren Sie zunächst die Erkennungsquelle. Verwenden Sie die Quelle, um die passende Antwort auszuwählen.

Falsch positive Ergebnisse und deren Behebung

Nutzen Sie den folgenden fünfteiligen Workflow, um Fehlalarme zu beheben und zukünftige Vorfälle zu reduzieren.

Teil 1: Überprüfen und Klassifizieren von Warnungen

Wenn eine Warnung eine Entität fälschlicherweise als bösartig oder verdächtig identifiziert, klassifizieren Sie die Warnung und erwägen, ähnliche Warnungen für diese Entität zu unterdrücken. Sie können auch genaue Benachrichtigungen für Ereignisse unterdrücken, die für Ihre Organisation nicht wichtig sind.

Die Klassifizierung von Warnungen hilft, den Bedrohungsschutz zu verbessern, und kann im Laufe der Zeit falsch positive und falsch negative Ergebnisse reduzieren. Unterdrückungsregeln reduzieren Warteschlangengeräusche, sodass sich Ihr Sicherheitsteam auf Aufgaben mit höherer Priorität konzentrieren kann.

Bestimmen, ob eine Warnung korrekt ist

Bevor Sie eine Warnung klassifizieren oder unterdrücken, bestimmen Sie, ob die Warnung korrekt, falsch positiv oder gutartig ist.

1. Wählen Sie auf der Seite "Alerts" im Defender-Portal unter https://security.microsoft.com/alerts, eine Warnung aus.

2. Überprüfen Sie die Benachrichtigungsdetails. Weitere Informationen finden Sie unter Review alerts in Defender for Endpoint.

3. Führen Sie je nach Warnstatus die in der folgenden Tabelle beschriebenen Schritte aus:

   Alarmbeurteilung	Vorgehensweise
   Die Warnung ist genau.	Weisen Sie die Warnung zu, und untersuchen Sie sie dann weiter.
   Die Warnung ist ein Fehlalarm.	1. Klassifizieren Sie die Warnung als Fehlalarm. 2. Unterdrücken Sie die Warnung. 3. Erstellen Sie einen Indikator für Microsoft Defender for Endpoint. 4. Übermitteln Sie eine Datei zur Analyse an Microsoft.
   Die Warnung ist zutreffend, aber harmlos (unwichtig)	Klassifizieren Sie die Warnung als richtig positiv, und unterdrücken Sie dann die Warnung.

Klassifizieren einer Warnung

Klassifizieren Sie Warnungen im Defender-Portal als Fehlalarme oder echte Positive. Die Klassifikation hilft, Defender für den Endpunkt zu verbessern, sodass Sie im Laufe der Zeit genauere Benachrichtigungen sehen.

1. Wählen Sie auf der Seite "Alerts" im Defender-Portal unter https://security.microsoft.com/alerts, eine Warnung aus.

2. Wählen Sie für die ausgewählte Warnung Warnung verwalten aus. Ein Flyout-Bereich wird geöffnet.

3. Unter Klassifikation wählen Sie Wahr-positiv, Informations-, Erwartete Aktivität oder Falsch-Positiv.

Unterdrücken einer Warnung

Unterdrücken Sie Fehlalarme und genaue Warnungen für unwichtige Ereignisse, um Rauschen in Ihrer Alarmwarteschlange zu reduzieren.

1. Wählen Sie auf der Benachrichtigungsseite im Defender-Portal unter https://security.microsoft.com/alerts, die Warnung aus, die Sie unterdrücken möchten.

2. Im Details-Bereich wählen Sie die Ellipse (...) und wählen Sie dann die Unterdrückungsregel erstellen.

3. Konfigurieren Sie die Unterdrückungsregel, und wählen Sie dann Speichern.

Teil 2: Überprüfen von Wartungsaktionen

Sanierungsmaßnahmen, wie das Quarantänieren einer Datei oder das Stoppen eines Prozesses, gelten für als Bedrohung erkannte Entitäten. Automatisierte Untersuchungen und Microsoft Defender Antivirus können die folgenden Maßnahmen automatisch ausführen:

• Datei unter Quarantäne stellen.
• Entfernen Sie einen Registrierungsschlüssel.
• Beenden Sie einen Prozess.
• Beenden Sie einen Dienst.
• Deaktiviere einen Treiber.
• Entferne eine geplante Aufgabe.

Andere Maßnahmen, wie das Starten eines Antivirenscans oder das Sammeln eines Untersuchungspakets, erfolgen manuell oder durch Live-Response. Man kann Aktionen, die durch eine Live-Reaktion durchgeführt wurden, nicht rückgängig machen.

Nachdem Sie die Warnungen geprüft haben, überprüfen Sie die Sanierungsmaßnahmen. Sie können die meisten Aktionen, die durch Fehlalarme verursacht wurden, rückgängig machen:

• Stelle eine quarantänierte Datei aus dem Aktionszentrum wieder her.
• Mehrere Aktionen auf einmal rückgängig machen.
• Entferne eine Datei aus der Quarantäne auf mehreren Geräten.
• Stelle eine Datei aus der Quarantäne wieder her.

Nachdem Sie die durch Fehlalarme verursachten Aktionen überprüft und rückgängig gemacht haben, überprüfen oder definieren Sie Ausschlüsse.

Überprüfen abgeschlossener Aktionen

Sehen Sie sich die Historie des Aktionszentrums an, um abgeschlossene Sanierungsmaßnahmen zu sehen:

1. Wählen Sie auf der Seite Aktionscenter im Defender-Portal unter https://security.microsoft.com/action-center die Registerkarte Verlauf aus.

2. Wählen Sie einen Punkt aus, um Details zur abgeschlossenen Sanierungsmaßnahme einzusehen.

Stelle eine quarantänierte Datei aus dem Aktionszentrum wieder her

Eine Quarantäneaktion für eine einzelne Datei aus dem Aktionszentrum rückgängig machen:

1. Wählen Sie auf der Seite Aktionscenter im Defender-Portal unter https://security.microsoft.com/action-center die Registerkarte Verlauf aus, und wählen Sie dann die Aktion aus, die Sie rückgängig machen möchten.

2. Wählen Sie im Flyout Undo aus. Wenn die Aktion nicht rückgängig gemacht werden kann, ist der Rückgängig-Button nicht verfügbar. Weitere Informationen finden Sie unter Abgeschlossene Aktionen rückgängig machen.

Mehrere Aktionen auf einmal rückgängig machen

Führe mehrere abgeschlossene Aktionen gemeinsam aus dem Aktionszentrum zurück:

1. Wählen Sie auf der Seite Aktionscenter im Defender-Portal unter https://security.microsoft.com/action-center die Registerkarte Verlauf aus, und wählen Sie dann die Aktionen aus, die Sie rückgängig machen möchten.

2. Wählen Sie im Flyout Undo aus.

Entferne eine Datei aus der Quarantäne auf mehreren Geräten

Wenden Sie eine Rückgängigkeitsaktion auf andere Instanzen derselben quarantänierten Datei an:

1. Wählen Sie auf der Seite Aktionscenter im Defender-Portal unter https://security.microsoft.com/action-center die Registerkarte Verlauf aus, und wählen Sie dann eine Datei mit dem Wert Quarantänedatei im Feld Aktionstyp aus.

2. Wählen Sie im Flyoutbereich Auf weitere X Instanzen dieser Datei anwenden und dann Rückgängig aus.

Unter Quarantäne gestellte Nachrichten überprüfen

Überprüfen Sie quarantänierte E-Mail-Nachrichten in Exchange Message Trace:

1. Wählen Sie auf der Exchange-Nachrichtenverfolgungsseite im Defender-Portal unter https://security.microsoft.com/messagetraceeine Nachricht aus.

2. Überprüfen Sie die Nachrichtendetails.

Eine Datei aus der Quarantäne wiederherstellen

Wenn eine Untersuchung ergibt, dass eine quarantänegeschützte Datei sicher ist, stellen Sie sie auf jedem betroffenen Gerät wieder her.

Die folgenden Befehle öffnen den neuesten Ordner der Microsoft Defender Antivirus-Plattform und stellen alle Dateien mit dem angegebenen Bedrohungsnamen wieder her. Führe sie in einem Eingabeaufforderungsfenster aus, das du geöffnet hast, indem du Ausführen als Administrator ausgewählt hast:

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Restore -Name EUS:Win32/CustomEnterpriseBlock -All

Weitere Informationen finden Sie unter Konfigurieren und Verwalten Microsoft Defender Antivirus mit dem Befehlszeilentool MpCmdRun.

Teil 3: Überprüfen oder Definieren von Ausschlüssen

Ein Ausschluss ist eine Entität, wie eine Datei oder URL, die Sie von Sanierungsmaßnahmen ausnehmen. Defender for Endpoint kann die Entität weiterhin erkennen, aber sie stoppt, isoliert, entfernt oder ändert sie nicht.

Um Ausschlüsse für Defender for Endpoint zu definieren, erledigen Sie die folgenden Aufgaben:

• Erstellen Sie Erlaubnisindikatoren für Microsoft Defender for Endpoint.
• Definieren Sie Ausschlüsse für Microsoft Defender Antivirus.
• Konfigurieren Sie für Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) globale ASR-Regelausschlüsse oder Ausschlüsse pro ASR-Regel.

In den Verfahren in diesem Abschnitt wird beschrieben, wie Indikatoren und Ausschlüsse definiert werden.

Indikatoren für Defender for Endpoint

Indikatoren, insbesondere Indikatoren für Kompromittierung (IoCs), ermöglichen es Ihrem Sicherheitsoperationsteam, die Erkennung, Verhinderung und Ausschluss von Entitäten zu kontrollieren. Zum Beispiel können Sie bestimmte Dateien von Scans und Sanierungsmaßnahmen ausnehmen oder Warnungen für Dateien, IP-Adressen oder URLs generieren.

Um Entitäten in Defender for Endpoint zu befreien, erstellen Sie Erlaubnisindikatoren. Erlaubnisindikatoren gelten für den Schutz der nächsten Generation sowie automatisierte Untersuchungen und Sanierungen.

Sie können Zulassungsindikatoren erstellen für:

• Files
• IP-Adressen, URLs und Domänen
• Anwendungszertifikate

Indikatoren für Dateien

Wenn Sie eine Erlaubnisanzeige für eine Datei, wie zum Beispiel eine ausführbare Datei, erstellen, helfen Sie, zu verhindern, dass Defender for Endpoint vertrauenswürdige Dateien in Ihrer Organisation blockiert. Zu den unterstützten Dateien gehören Portable-Executable-(PE-)Dateien, beispielsweise .exe- und .dll-Dateien.

Stellen Sie vor dem Erstellen von Indikatoren für Dateien sicher, dass die folgenden Anforderungen erfüllt sind:

• Microsoft Defender Antivirus hat cloudbasierten Schutz aktiviert. Weitere Informationen finden Sie unter Verwalten des cloudbasierten Schutzes.
• Die Antimalware-Client-Version ist 4.18.1901.x oder neuer.
• Client-Geräte laufen mit Windows 11 oder Windows 10, Version 1703 oder neuer.
• Servergeräte laufen mit Windows Server 2016 oder neuer.
• Windows Server 2012 R2-Geräte verwenden die moderne einheitliche Lösung.
• Die Block- oder Erlaubnisfunktion ist aktiviert.
• Geräte laufen mit Azure Stack HCI OS, Version 23H2 oder neuer.

Indikatoren für IP-Adressen, URLs oder Domänen

Wenn Sie einen Erlaubnisindikator für eine IP-Adresse, URL oder Domain erstellen, helfen Sie, zu verhindern, dass Defender for Endpoint vertrauenswürdige Netzwerkziele blockiert.

Bevor Sie Indikatoren für IP-Adressen, URLs oder Domänen erstellen, stellen Sie sicher, dass die folgenden Anforderungen erfüllt sind:

• Netzwerkschutz in Defender for Endpoint ist im Blockmodus aktiviert. Weitere Informationen finden Sie unter Aktivieren des Netzwerkschutzes.
• Die Antimalware-Client-Version ist 4.18.1906.x oder neuer.
• Geräte laufen mit Windows 10, Version 1709 oder neuer, oder Windows 11.

Benutzerdefinierte Netzwerkindikatoren sind in Microsoft Defender XDR aktiviert. Weitere Informationen finden Sie unter Erweiterte Features.

Indikatoren für Anwendungszertifikate

Wenn Sie einen Erlaubnisindikator für ein Anwendungszertifikat erstellen, helfen Sie, zu verhindern, dass Defender for Endpoint vertrauenswürdige Anwendungen, wie z. B. intern entwickelte Anwendungen, blockiert. Die unterstützten Dateiendungen sind .CER und .PEM.

Stellen Sie vor dem Erstellen von Indikatoren für Anwendungszertifikate sicher, dass die folgenden Anforderungen erfüllt sind:

• Microsoft Defender Antivirus hat cloudbasierten Schutz aktiviert. Weitere Informationen finden Sie unter Verwalten des cloudbasierten Schutzes.
• Die Antimalware-Client-Version ist 4.18.1901.x oder neuer.
• Geräte laufen mit einem der folgenden Betriebssysteme:
  • Windows 10, Version 1703 oder neuer, oder Windows 11.
  • Windows Server 2012 R2 oder später mit der modernen einheitlichen Lösung.
  • Azure Stack HCI OS, Version 23H2 oder neuer.
• Die Definitionen von Viren- und Bedrohungsschutz sind aktuell.

Ausschlüsse für Microsoft Defender Antivirus

Im Allgemeinen sollten Sie keine Microsoft Defender Antivirus-Ausschlüsse benötigen. Definieren Sie Ausschlüsse sparsam und nur für Dateien, Ordner, Prozesse und von Prozessen geöffnete Dateien, die Fehlalarme verursachen. Überprüfen Sie Ausschlüsse regelmäßig. Wir empfehlen, Microsoft Intune zu verwenden, um Antivirenausschlüsse zu konfigurieren. Du kannst auch andere Methoden verwenden, wie zum Beispiel Group Policy. Weitere Informationen finden Sie unter Verwalten von Microsoft Defender for Endpoint.

Für unterstützte Konfigurationsmethoden und detaillierte Verfahren siehe Konfigurieren und validieren Ausschlüsse für Microsoft Defender Antivirus.

Teil 4: Übermitteln einer Datei zur Analyse

Sie können Dateien, dateilose Erkennungen und andere Entitäten zur Analyse bei Microsoft einreichen. Microsoft-Sicherheitsforscher analysieren Einsendungen, um den Schutz von Bedrohungen durch Defender for Endpoints zu verbessern. Melden Sie sich auf der Einreichungsseite an, um Ihre Einreichungen zu verfolgen.

Übermitteln von Hashes zur Analyse

Nutzen Sie das Microsoft Security Intelligence Einreichungsportal, um bis zu 100 Hashes zur Analyse einzureichen. Geben Sie die Quelle jedes Indikators für Kompromittierung (IoC) an, wie zum Beispiel einen Blogbeitrag oder Sicherheitsartikel.

Übermitteln einer Datei zur Analyse

Wenn Defender for Endpoint eine Datei falsch erkennt oder übersieht, reichen Sie die Datei zur Analyse ein:

1. Überprüfen Sie die Richtlinien für die Einreichung von Akten.

2. Reichen Sie Dateien in Defender for Endpoint ein oder reichen Sie sie über die Microsoft Security Intelligence Einreichungsseite ein.

Dateilose Erkennung zur Analyse übermitteln

Wenn Defender for Endpoint Malware anhand ihres Verhaltens erkennt und du keine Datei zum Einreichen hast, reiche stattdessen die MpSupportFiles.cab Diagnosedatei ein. Verwenden Sie das MpCmdRun-Kommandozeilen-Tool unter Windows 10 oder Windows 11, um die .cab Datei zu generieren.

1. Generieren Sie C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab wie unter Sammeln von Diagnosedaten für Microsoft Defender Antivirus beschrieben.

2. Überprüfen Sie die Richtlinien für die Einreichung von Akten.

3. Reichen Sie die .cab Datei über die Microsoft Security Intelligence-Einreichungsseite ein.

Was geschieht, nachdem eine Datei übermittelt wurde?

Microsoft-Systeme scannen Ihre Einreichung sofort und liefern die aktuellsten verfügbaren Entscheidungen, bevor ein Analyst den Fall prüft. Wenn ein Analyst die Akte bereits bearbeitet hat, könnten Sie schnell eine Entscheidung erhalten.

Microsoft priorisiert unbearbeitete Einreichungen wie folgt:

• Dateien, die weit verbreitet sind und viele Geräte betreffen könnten, erhalten eine höhere Priorität.
• Einsendungen von authentifizierten Kunden, insbesondere von Unternehmenskunden mit gültigen Software Assurance IDs (SAIDs), haben eine höhere Priorität.
• Einsendungen, die von SAID-Inhabern als hohe Priorität eingestuft werden, erhalten sofortige Aufmerksamkeit.

Um den Status Ihrer Einreichung zu überprüfen, melden Sie sich auf der Microsoft Security Intelligence Einreichungsseite an.

Teil 5: Überprüfen und Anpassen der Einstellungen für den Bedrohungsschutz

Wenn Sie viele Fehlalarme erhalten, überprüfen Sie die folgenden Bedrohungsschutzeinstellungen:

• In der Cloud bereitgestellter Schutz
• Wartung für potenziell unerwünschte Anwendungen
• Automatisierte Untersuchung und Behebung

Aus der Cloud gelieferter Schutz

Überprüfen Sie das cloudbasierte Schutzniveau für Microsoft Defender Antivirus. Die Standard-Richtlinieneinstellung ist Nicht konfiguriert, aber wir empfehlen, cloud-gelieferten Schutz zu aktivieren. Für Konfigurationsanweisungen siehe Cloud Protection aktivieren in Microsoft Defender Antivirus.

Wenn Ihre Organisation Microsoft Intune besitzt, können Sie es nutzen, um cloud-bereitgestellten Schutz zu konfigurieren. Intune ist ein separates Produkt und nicht in allen Abonnements enthalten. Für Lizenzinformationen siehe Microsoft Intune Lizenzierung. Sie können auch andere im Konfigurationsartikel beschriebene Methoden verwenden, wie zum Beispiel Group Policy.

Wartung für potenziell unerwünschte Anwendungen

Potenziell unerwünschte Anwendungen (PUA) sind Software, die Geräte dazu bringen kann, langsam zu laufen, unerwartete Werbung anzuzeigen oder andere unerwartete Software zu installieren. Beispiele sind Werbe-, Bündel- und Umgehungssoftware, die sich anders verhält, wenn Sicherheitsprodukte vorhanden sind. Obwohl PUA keine Malware ist, klassifizieren Sicherheitsprodukte einige Software aufgrund ihres Verhaltens und Rufs als PUA.

Weitere Informationen zu PUA finden Sie unter Erkennen und Blockieren potenziell unerwünschter Anwendungen.

Ihre PUA-Schutzeinstellungen könnten bei Apps, die Ihre Organisation verwendet, falsch positive Erkennungen verursachen. Falls nötig, führe den PUA-Schutz vorübergehend im Audit-Modus aus oder wende ihn auf eine Teilmenge von Geräten an. Du kannst PUA-Schutz für Microsoft Edge und Microsoft Defender Antivirus konfigurieren.

Wenn Ihre Organisation Microsoft Intune besitzt, empfehlen wir, es zur Konfiguration des PUA-Schutzes zu verwenden. Intune ist ein separates Produkt und nicht in allen Abonnements enthalten. Für Lizenzinformationen siehe Microsoft Intune Lizenzierung. Wenn du kein Intune hast, verwende eine andere Methode in "PUA-Schutz konfigurieren" in Microsoft Defender Antivirus, wie zum Beispiel Group Policy.

Automatisierte Untersuchung und Behebung

Automatisierte Untersuchung und Behebung (AIR) prüft Warnungen und kann sofort Maßnahmen ergreifen, um Sicherheitsverletzungen zu beheben. Während einer automatisierten Untersuchung weist AIR jedem Beweisstück ein Urteil zu: Böswillig, Verdächtig oder Keine Drohungen festgestellt.

Je nach Automatisierungsniveau Ihrer Organisation und anderen Sicherheitseinstellungen kann AIR Artefakte mit böswilligen oder verdächtigen Urteilen automatisch, manuell oder nach Genehmigung durch Ihr Sicherheitsteam beheben.

• Überprüfen Sie die Automatisierungsniveaus.
• Konfigurieren sie AIR-Funktionen in Defender für Endpunkt.

Falsch-Negative und wie man damit umgeht

Ein falsch negatives Ergebnis tritt auf, wenn eine bösartige Entität (wie eine Datei, ein Prozess oder eine Netzwerkverbindung) von Defender for Endpoint nicht erkannt wird. Falsche Negative können durch veraltete Sicherheitsinformationen, falsch konfigurierte Funktionen oder Bedrohungen entstehen, die bestehende Signaturen umgehen.

Überprüfen Sie einen vermuteten falsch-negativen Test

Bevor Sie ein falsch negatives Ergebnis melden, bestätigen Sie, dass die verdächtige Aktivität ohne entsprechende Erkennung stattgefunden hat. Vergleichen Sie das Endpunktverhalten in der Geräte-Zeitleiste mit fortgeschrittenen Jagdergebnissen im Defender-Portal.

1. Auf der Geräte-Inventar-Seite des Defender-Portals unter https://security.microsoft.com/machines, wähle das betroffene Gerät aus.

2. Auf der geöffneten Seite der Gerätentität wählen Sie den Reiter Zeitleiste und suchen Sie nach Ereignissen, die der verdächtigen Aktivität entsprechen (zum Beispiel Dateierstellung, Prozessausführung oder Netzwerkverbindungen im erwarteten Zeitrahmen).

3. Auf der Seite Erweiterte Suche im Defender-Portal unter https://security.microsoft.com/v2/advanced-hunting fragen Sie die relevanten Tabellen nach Aktivitäten in Ihrer gesamten Umgebung ab. Zum Beispiel findet die folgende Abfrage Dateierstellungsereignisse für einen bestimmten Dateihash:

   DeviceFileEvents
   | where SHA1 == "<hash>"
   | where ActionType == "FileCreated"
   

   Die folgende Abfrage findet Netzwerkaktivität für eine verdächtige Domäne:

   DeviceNetworkEvents
   | where RemoteUrl has "<suspicious-domain>"
   

4. Wenn die Protokolle die Aktivität enthalten, aber Defender for Endpoint keinen Alarm erzeugt hat, sammeln Sie Beweise für die Eskalation.

Sammeln von Beweisen für eine Eskalation falsch negativer Ergebnisse

Bevor Sie ein falsch-negatives Ergebnis bei Microsoft einreichen, sammeln Sie die folgenden forensischen Artefakte:

• Endpunkt-Unterstützungsdateien: Erzeugen Sie das Diagnosepaket C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab durch Ausführen von MpCmdRun.exe -GetFiles in einer Eingabeaufforderung mit erhöhten Rechten. Anweisungen finden Sie unter Sammeln von Microsoft Defender Antivirus-Diagnosedaten.

• Details zur Prozessausführung: Dokumentieren Sie den Prozessbaum, die Kommandozeilenparameter und die mit der verdächtigen Aktivität verbundenen Elternprozesse. Finden Sie diese Details in der Geräte-Zeitleiste oder fragen Sie die Tabelle DeviceProcessEvents in Advanced Hunting ab.

• Netzwerkflussdaten: Wenn die Bedrohung Netzwerkverbindungen betrifft, erfassen Sie relevante Verbindungsdetails (entfernte IPs, Domänen, Ports) aus der Tabelle DeviceNetworkEvents .

• Speicher-Dumps oder Sandbox-Traces: Wenn möglich, erfassen Sie Speicher-Dumps oder Sandbox-Ausführungs-Traces vom betroffenen Gerät, um Microsoft bei der Analyse des Bedrohungsverhaltens zu helfen. Du kannst auch ein Ermittlungspaket vom Gerät im Defender-Portal abholen.

• Roh-Ereignisdaten: Exportiere relevante Ereignisse aus der fortgeschrittenen Jagd im Microsoft Defender-Portal zur Aufnahme in deine Einreichung.

Falsch negative Ergebnisse zur Analyse übermitteln

Nachdem Sie die Beweise gesammelt haben, reichen Sie das falsch-negative Ergebnis mit einer der folgenden Methoden bei Microsoft ein:

• Auf der Submissions-Seite im Defender-Portal unterhttps://security.microsoft.com/reportsubmission:

  • Registerkarte Dateien: Ausführliche Anweisungen finden Sie unter Dateien in Microsoft Defender for Endpoint übermitteln.
  • Reiter URLs: Für vollständige Anweisungen siehe Fragwürdige URLs an Microsoft melden.

• Reichen Sie Hashes und Dateien über die Microsoft Security Intelligence Einreichungsseite ein. Weitere Informationen finden Sie unter Übermitteln von Dateien zur Analyse.

Bedrohungen abmildern während der Prüfung

Nachdem Sie ein falsch-negatives Ergebnis eingereicht haben, könnte die Bedrohung in Ihrer Umgebung aktiv bleiben. Verwenden Sie benutzerdefinierte Indikatoren in Defender for Endpoint, um bekannte böswillige Entitäten zu blockieren, bis Microsoft seine Erkennungen aktualisiert:

• Datei-Hashes: Erstellen Sie Blockindikatoren für bösartige Datei-Hashes. Weitere Informationen finden Sie unter Erstellen von Indikatoren für Dateien.
• IP-Adressen und Domains: Erstellen Sie Blockindikatoren für bösartige IPs oder Domains. Weitere Informationen finden Sie unter Erstellen von Indikatoren für IP-Adressen und URLs/Domänen.

Benutzerdefinierte Indikatoren gelten in Ihrer gesamten Organisation und bieten sofortigen Schutz, während Microsoft die Einreichung analysiert.

Überprüfen Sie die Endpunkt-Gesundheit und -Konfiguration

Veraltete Sicherheitsintelligenz oder deaktivierte Schutzfunktionen können zu falschen Negativen führen. Überprüfen Sie die Endpunkt-Gesundheit des betroffenen Geräts:

1. Führen Sie folgenden Befehl in einem erhöhten PowerShell-Fenster aus, um die Engine und die Sicherheitsintelligenzversionen zu überprüfen:

   Get-MpComputerStatus | Select-Object AMServiceVersion, AMProductVersion, AMEngineVersion, AntispywareSignatureVersion, AntivirusSignatureVersion
   

2. Bestätigen Sie, dass Sicherheitsinformationen aktuell sind. Wenn die Versionen veraltet sind, führen Sie folgenden Befehl aus, um sie zu aktualisieren:

   Update-MpSignature
   

   Hinweis

   Sie können über eine Eingabeaufforderung mit erhöhten Rechten auch nach Updates für Sicherheitsinformationen suchen, indem Sie MpCmdRun.exe -SignatureUpdate ausführen. Weitere Informationen finden Sie unter Befehlszeile zur Verwaltung von Microsoft Defender Antivirus.

3. Überprüfen Sie, ob Schlüsselschutzfunktionen aktiviert sind. Falsche Negative können auftreten, wenn die folgenden Funktionen deaktiviert oder falsch konfiguriert sind:

   • In der Cloud bereitgestellter Schutz
   • Echtzeitschutz
   • EDR im Blockmodus
   • Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR)

4. Überprüfe, ob die Geräteplattform und das Betriebssystem aktuell sind. Ältere Versionen verfügen möglicherweise nicht über Erkennungsfunktionen, die in neueren Versionen verfügbar sind.

Benötigen Sie weitere Hilfe?

Wenn das Problem nach Abschluss der in diesem Artikel beschriebenen Workflows noch besteht, wenden Sie sich an den Microsoft-Support.

1. Wählen Sie in der oberen rechten Ecke des Defender-Portals unter https://security.microsoft.com das Fragezeichen (?) und dann Microsoft-Support aus.

2. Beschreiben Sie im Fenster Support-Assistent Ihr Problem, und senden Sie dann Ihre Nachricht. Von dort aus können Sie eine Serviceanfrage öffnen.

Siehe auch

• Defender for Endpoint verwalten
• Verwalten von Ausschlüssen für Microsoft Defender for Endpoint und Microsoft Defender Antivirus
• Übersicht über das Microsoft Defender-Portal
• Microsoft Defender for Endpoint auf dem Mac
• Microsoft Defender für Endpunkt unter Linux
• Konfigurieren von Features für Microsoft Defender für Endpunkt unter iOS
• Funktionen von Microsoft Defender for Endpoint auf Android konfigurieren