Bewerten Sie Microsoft Defender Antivirus mit Endpunkt-Sicherheitsrichtlinien

Verwenden Sie Endpunkt-Sicherheitsrichtlinien im Microsoft Defender-Portal, um Microsoft Defender Antivirus und Windows-Schutzfunktionen zu konfigurieren und zu testen. Die Bewertung umfasst Echtzeitschutz, cloud-bereitgestellten Schutz, Netzwerkschutz, Regeln zur Reduzierung von Angriffsflächen (ASR) und Manipulationsschutz.

Voraussetzungen

Wenn Sie Fragen zu einer von MDAV vorgenommenen Erkennung haben oder eine verpasste Erkennung feststellen, können Sie uns auf unserer Hilfeseite zur Beispielübermittlung eine Datei übermitteln.

Bevor Sie beginnen, sollten Sie sicherstellen, dass Sie über Folgendes verfügen:

Konfiguration von Evaluationsrichtlinien

Erstellen Sie separate Endpunkt-Sicherheitsrichtlinien für Microsoft Defender Antivirus-Einstellungen, ASR-Regeln und Manipulationsschutz. Für die vollständigen Schritte zum Erstellen, Zuweisen, Speichern, Bearbeiten und Verifizieren von Richtlinien siehe Eine Endpunkt-Sicherheitsrichtlinie erstellen und eine Endpunkt-Sicherheitsrichtlinie bearbeiten.

Microsoft Defender Antivirus zeigt eine Erkennung über Standardmäßige Windows-Benachrichtigungen an. Sie können auch die Ergebnisse des Microsoft Defender Antivirus-Scans überprüfen.

Das Windows-Ereignisprotokoll zeichnet auch Erkennungs- und Engine-Ereignisse auf. Eine Liste der Ereignis-IDs und deren entsprechende Aktionen finden Sie unter Überprüfen von Ereignisprotokollen und Fehlercodes, um Probleme mit Microsoft Defender Antivirus zu beheben.

Konfigurieren Sie die Microsoft Defender Antivirus-Einstellungen

Um die Antivirus-Bewertungseinstellungen zu konfigurieren, verwenden Sie eine Microsoft Defender Antivirus-Richtlinie.

Wenn Sie die Richtlinie im Reiter Windows-Richtlinien auf der Seite "Endpunkt-Sicherheitsrichtlinien" im Defender-Portal erstellenhttps://security.microsoft.com/policy-inventory?osPlatform=Windows, verwenden Sie diese spezifischen Einstellungen:

  • Plattform auswählen: Wählen Sie Windows aus.
  • Vorlage auswählen: Wählen Sie Microsoft Defender Antivirus aus.

Wenn Sie die Richtlinie erstellen oder ändern, konfigurieren Sie die folgenden Auswertungseinstellungen im Reiter Konfigurationseinstellungen :

  • Echtzeitschutz:

    Einstellung Wert
    Echtzeitüberwachung zulassen Erlaubt. Schaltet den Echtzeit-Überwachungsdienst (Standard) ein und startet ihn.
    Scanrichtung in Echtzeit Überwachen Sie alle Dateien (bidirektional) (Standard).
    Verhaltensüberwachung zulassen Erlaubt. Aktiviert Echtzeit-Verhaltensüberwachung (Standard).
    Zugriffsschutz zulassen Erlaubt (Standard).
    PUA-Schutz PUA-Schutz aktiviert. Erkannte Elemente werden blockiert. Sie tauchen zusammen mit anderen Bedrohungen in der Geschichte auf.

  • Cloud-Schutzfunktionen:

    Einstellung Wert
    Cloudschutz zulassen Erlaubt. Aktiviert den Cloud-Schutz (Standard).
    Cloud-Blockebene Hoch
    Cloud-erweitertes Timeout Konfiguriert, 50
    Einwilligung zur Übermittlung von Proben Automatisches Senden aller Beispiele

    Standard Security Intelligence-Updates können Stunden dauern, bis sie vorbereitet und bereitgestellt werden. Microsoft cloud-bereitgestellter Schutz kann in wenigen Sekunden einen aktualisierten Schutz gegen neue Bedrohungen bieten. Weitere Informationen finden Sie unter Verwenden von Technologien der nächsten Generation in Microsoft Defender Antivirus durch cloudbasierten Schutz.

  • Scans:

    Einstellung Wert
    Email-Überprüfung zulassen Erlaubt. Aktiviert die E-Mail-Überprüfung.
    Überprüfung aller heruntergeladenen Dateien und Anlagen zulassen Erlaubt (Standard).
    Skriptüberprüfung zulassen Erlaubt (Standard).
    Archiv-Überprüfung zulassen Erlaubt. Scannt Archivdateien (Standard).
    Scannen von Netzwerk-Files zulassen Erlaubt. Scannt Netzwerkdateien (Standard).
    Vollständige Überprüfung von Wechseldatenträgern zulassen Erlaubt. Überprüft Wechseldatenträger.

  • Netzwerkschutz:

    Einstellung Wert
    Aktivieren des Netzwerkschutzes Aktiviert (Blockmodus)
    Netzwerkschutz auf niedrigerer Ebene zulassen Der Netzwerkschutz wird nach unten aktiviert.
    Datagrammverarbeitung auf Win Server zulassen Die Datagrammverarbeitung auf Windows Server ist standardmäßig deaktiviert.
    Deaktivieren des DNS-über-TCP-Parsing DNS over TCP-Parsing ist aktiviert (Standard).
    Deaktivieren der HTTP-Analyse HTTP-Parsing ist (Standard) aktiviert.
    Deaktivieren der SSH-Analyse SSH-Parsing ist aktiviert (Standard).
    Deaktivieren der TLS-Analyse TLS-Parsing ist aktiviert (Standard).

    Note

    Lassen Sie Datagrammverarbeitung auf Win Server zulassen auf Serverrollen mit hohem UDP-Datenverkehr deaktiviert. Das Aktivieren dieser Einstellung kann die Netzwerkleistung und Zuverlässigkeit beeinträchtigen. Weitere Informationen finden Sie unter Netzwerkschutz konfigurieren in Microsoft Defender Antivirus.

  • Updates der Sicherheitsinformationen:

    Einstellung Wert
    Signaturaktualisierungsintervall Konfiguriert, 4
    Fallback-Reihenfolge für Signaturaktualisierungen
    1. Wählen Sie Hinzufügen aus, um so viele Fallbackquellen anzugeben, wie Sie angeben möchten.
    2. Geben Sie in jedem Feld einen der folgenden Werte in der gewünschten Reihenfolge ein:
      • InternalDefinitionUpdateServer: Ihr eigener WSUS-Server mit zulässigen Microsoft Defender Antivirus-Updates.
      • MicrosoftUpdateServer: Microsoft Update.
      • MMPC: https://www.microsoft.com/wdsi/definitions

    Um eine Rückfallquelle (gefüllt oder leer) zu entfernen, markiere das Kontrollkästchen neben dem Kästchen und wähle dann Entfernen.

  • Lokaler Administrator AV:

    Verhindern Sie, dass lokale Administratoren Microsoft Defender Antivirus-Einstellungen wie Ausschlüsse ändern. Verwalten Sie die Einstellungen über Defender für das Sicherheitsmanagement von Endpunkten.

    Einstellung Wert
    Zusammenführung lokaler Administratoren deaktivieren Zusammenführung lokaler Administratoren deaktivieren

  • Standardaktion für den Bedrohungsschweregrad:

    Einstellung Wert
    Behebungsmaßnahme für Bedrohungen mit hohem Schweregrad Quarantäne. Verschieben sie Dateien in Quarantäne.
    Abhilfemaßnahmen für schwerwiegende Bedrohungen Quarantäne. Verschieben sie Dateien in Quarantäne.
    Korrekturaktion für Bedrohungen mit niedrigem Schweregrad Quarantäne. Verschieben sie Dateien in Quarantäne.
    Korrekturaktion für Bedrohungen mit mittlerem Schweregrad Quarantäne. Verschieben sie Dateien in Quarantäne.

  • Quarantäneoptionen:

    Einstellung Wert
    Tage zum Aufbewahren von bereinigter Schadsoftware Konfiguriert, 60
    Benutzeroberflächenzugriff zulassen Erlaubt. Ermöglicht es den Nutzern, standardmäßig auf die Benutzeroberfläche zuzugreifen.

Konfigurieren von Regeln zur Verringerung der Angriffsfläche

Um die Einstellungen für die Auswertung von ASR-Regeln zu konfigurieren, verwenden Sie eine Richtlinie für Angriffflächenreduzierungsregeln. Weitere Informationen zu ASR-Regeln finden Sie unter ASR-Regeln.

Informationen zu den verfügbaren Regelaktionen finden Sie unter Modi für ASR-Regeln.

Wenn Sie die Richtlinie im Reiter Windows-Richtlinien auf der Seite "Endpunkt-Sicherheitsrichtlinien" im Defender-Portal erstellenhttps://security.microsoft.com/policy-inventory?osPlatform=Windows, verwenden Sie diese spezifischen Einstellungen:

  • Plattform auswählen: Wählen Sie Windows aus.
  • Vorlage auswählen: Wählen Sie Regeln zur Verringerung der Angriffsfläche aus.

Wenn Sie die Richtlinie erstellen oder ändern, konfigurieren Sie die folgenden Auswertungseinstellungen im Reiter Konfigurationseinstellungen :

Einstellung Wert
Ausführbare Inhalte aus E-Mail-Client und Web-E-Mail blockieren Audit
Adobe Reader daran hindern, untergeordnete Prozesse zu erstellen Audit
Ausführung potenziell verborgener Skripts blockieren Audit
Blockieren des Missbrauchs von anfälligen signierten Treibern (Gerät) Audit
Win32-API-Aufrufe von Office-Makros blockieren Audit
Ausführbare Dateien blockieren, es sei denn, sie erfüllen ein Kriterium hinsichtlich Verbreitung, Alter oder Vertrauensliste Audit
Erstellung untergeordneter Prozesse durch Office-Anwendungen blockieren Audit
Alle Office-Anwendungen am Erstellen von untergeordneten Prozessen hindern Audit
Blockieren der Verwendung kopierter oder imitierter Systemtools Audit
JavaScript und VBScript am Starten heruntergeladener ausführbarer Inhalte hindern Audit
Diebstahl von Anmeldeinformationen aus dem Subsystem der lokalen Sicherheitsautorität von Windows verhindern Audit
Webshellerstellung für Server blockieren Audit
Office-Anwendungen am Erstellen ausführbarer Inhalte hindern Audit
Nicht vertrauenswürdige und nicht signierte Prozess, die von USB ausgeführt werden, blockieren Audit
Office-Anwendungen am Einfügen von Code in untergeordnete Prozesse hindern Audit
Persistenz durch WMI-Ereignisabonnement blockieren Audit
Erweiterten Schutz vor Ransomware verwenden Audit
Prozesserstellungen durch PSExec- und WMI-Befehle blockieren Audit
Neustart des Computers im abgesicherten Modus blockieren Audit
Aktivieren des kontrollierten Ordnerzugriffs Überwachungsmodus

Tipp

Wenn Audit-Ereignisse Verhalten erkennen, das in Ihrer Organisation zulässig ist, fügen Sie eine Ausnahme pro Regel für Ausschlüsse nur zur Verringerung der Angriffsfläche hinzu. Weitere Informationen finden Sie unter Datei- und Ordnerausschlüsse für ASR-Regeln.

Überprüfen Sie die Audit-Ereignisse, bevor Sie ASR-Regeln oder den Zugriff auf kontrollierte Ordner im Blockmodus aktivieren. Weitere Informationen finden Sie unter Testen der Bereitstellung von ASR-Regeln.

Manipulationsschutz konfigurieren

Um den Manipulationsschutz zu konfigurieren, verwenden Sie eine Windows-Sicherheit Experience-Richtlinie.

Wenn Sie die Richtlinie im Reiter Windows-Richtlinien auf der Seite "Endpunkt-Sicherheitsrichtlinien" im Defender-Portal erstellenhttps://security.microsoft.com/policy-inventory?osPlatform=Windows, verwenden Sie diese spezifischen Einstellungen:

  • Plattform auswählen: Wählen Sie Windows aus.
  • Vorlage auswählen: Windows-Sicherheit Experience auswählen.

Wenn Sie die Richtlinie erstellen oder ändern, verwenden Sie diese spezielle Einstellung im Tab Konfigurationseinstellungen :

Einstellung Wert
Manipulationsschutz (Gerät) Manipulationsschutz (an)

Validieren Sie den Microsoft Defender Antivirus-Schutz

Verwenden Sie die folgenden Verfahren, um die Cloud-Konnektivität zu überprüfen und die Versionen der Bewertungsgeräte zu aktualisieren.

Überprüfen Sie die Netzwerkverbindung zum Cloud-Schutz

Cloud-Schutz nutzt cloudbasiertes maschinelles Lernen und Analysieren, um eine schnellere Bedrohungserkennung zu ermöglichen. Das Gerät muss in der Lage sein, Microsoft-Cloud-Schutz zu erreichen, damit diese Funktion korrekt funktioniert.

Das folgende Verfahren gilt für Windows 10 oder neuere und Windows Server 2019 oder neuer.

Führe die folgenden Befehle in einer erhöhten Eingabeaufforderung aus (einem Kommandozeilenfenster, das du durch die Auswahl 'Als Administrator ausführen' geöffnet hast):

Tipp

Der erste Befehl ändert das Verzeichnis in die neueste Version von <antimalware platform version> in %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Wenn dieser Pfad nicht vorhanden ist, wechselt er zu %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Weitere Informationen finden Sie unter Konfigurieren und Verwalten Microsoft Defender Antivirus mit dem Befehlszeilentool MpCmdRun.

Überprüfen Sie die Version des Plattformupdates

Führen Sie den folgenden Befehl in einer erhöhten PowerShell-Sitzung aus, um die auf dem Gerät installierte Version der Microsoft Defender Antivirus-Plattform anzuzeigen:

Get-MPComputerStatus | Format-Table AMProductVersion

Vergleichen Sie das Ergebnis mit der neuesten Version des Produktionskanals im Microsoft Update Catalog.

Überprüfen Sie die Version des Security-Intelligence-Updates

Führen Sie den folgenden Befehl in einer erhöhten PowerShell-Sitzung aus, um die auf dem Gerät installierte Security-Intelligence-Version anzuzeigen:

Get-MPComputerStatus | Format-Table AntivirusSignatureVersion

Vergleichen Sie die Ausgabe mit der Version des Security Intelligence-Updates auf der Seite „Microsoft Defender Antivirus-Sicherheitsinformationen und Produktupdates“.

Schau dir die Motor-Update-Version an

Führen Sie den folgenden Befehl in einer erhöhten PowerShell-Sitzung aus, um die auf dem Gerät installierte Version der Microsoft Defender Antivirus-Engine anzuzeigen:

Get-MPComputerStatus | Format-Table AMEngineVersion

Vergleichen Sie die Ergebnisse mit der Engine-Version auf der Seite zur Sicherheitsintelligenz und Produktupdates von Microsoft Defender Antivirus.

Wenn Sie feststellen, dass Ihre Einstellungen nicht wirksam werden, liegt möglicherweise ein Konflikt vor. Informationen zum Beheben von Konflikten finden Sie unter Problembehandlung für Microsoft Defender Antivirus-Einstellungen.

Verpasste Erkennungen einreichen

Wenn Microsoft Defender Antivirus während Ihrer Bewertung keine bösartige Datei oder Aktivität erkennt, senden Sie die nicht entdeckte Datei zur Analyse bei Microsoft ein:

  • Zuletzt aktualisiert um