Probleme mit dem Netzwerkschutz beheben

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business

Dieser Artikel enthält Informationen zur Problembehandlung für den Netzwerkschutz in Folgenden Fällen:

  • Netzwerkschutz blockiert eine website, die sicher ist (falsch positiv)
  • Netzwerkschutz blockiert keine verdächtige oder bekannte schädliche Website (falsch negativ)

Es gibt vier Schritte zur Problembehandlung falsch positiver Ergebnisse und falsch negativer Ergebnisse im Netzwerkschutz:

  1. Bestätigen der Voraussetzungen
  2. Verwenden des Überwachungsmodus zum Testen der Regel
  3. Ausschlüsse für die angegebene Regel hinzufügen (für falsch positive Ergebnisse)
  4. Übermitteln von Supportprotokollen

Bestätigen der Voraussetzungen

Der Netzwerkschutz funktioniert auf Geräten mit den folgenden Bedingungen:

Verwenden Sie den Überwachungsmodus

Sie können den Netzwerkschutz im Überwachungsmodus aktivieren und dann die Demowebsite zum Netzwerkschutz besuchen, um das Feature zu testen. Alle Websiteverbindungen sind durch den Netzwerkschutz zulässig, aber ein Ereignis wird protokolliert, um jede Verbindung anzugeben, die blockiert würde, wenn der Netzwerkschutz aktiviert wäre.

  1. Legen Sie den Netzwerkschutz auf Überwachungsmodus fest. Der Überwachungsmodus lässt alle Verbindungen zu, protokolliert jedoch alle Verbindungen, die blockiert würden, sodass Sie testen können, ob das Problem durch das Blockieren verursacht wird.

    Set-MpPreference -EnableNetworkProtection AuditMode

  2. Führen Sie die Verbindungsaktivität aus, die ein Problem verursacht (z. B. versuchen Sie, die Website zu besuchen oder eine Verbindung mit der IP-Adresse herzustellen, die Sie tun oder nicht blockieren möchten).

  3. Überprüfen Sie die Netzwerkschutzereignisprotokolle , um festzustellen, ob das Feature die Verbindung blockieren würde, wenn sie auf Aktiviert festgelegt wäre.

    Wenn der Netzwerkschutz keine Verbindung blockiert, die sie blockieren soll, führen Sie den folgenden Befehl aus, um den Netzwerkschutz im Blockmodus erneut zu aktivieren und die Erzwingung wiederherzustellen:

    Set-MpPreference -EnableNetworkProtection Enabled

Ein falsch-positives oder falsch-negatives Ergebnis melden

Wenn Sie das Feature mit dem Demostandort und dem Überwachungsmodus getestet haben, funktioniert der Netzwerkschutz möglicherweise in voreingestellten Szenarien, aber nicht für eine bestimmte Verbindung. Um dieses Problem zu melden, verwenden Sie das webbasierte Übermittlungsformular von Windows Defender Security Intelligence, um ein falsch negatives oder falsch positives Ergebnis zu übermitteln. Mit einem E5-Abonnement können Sie auch einen Link zu jeder zugehörigen Warnung aus der Warnungswarteschlange herstellen.

Weitere Informationen finden Sie unter Behandeln von falsch positiven/negativen Ergebnissen in Microsoft Defender for Endpoint.

Hinzufügen von Ausschlüssen

Die aktuellen Ausschlussoptionen sind:

  1. Einrichten eines benutzerdefinierten Indikators für „Zulassen“.

  2. Verwendung von IP-Ausschlüssen: Add-MpPreference -ExclusionIpAddress 192.168.1.1.

  3. Ausschließen eines gesamten Prozesses. Weitere Informationen finden Sie unter Microsoft Defender Antivirusausschlüsse.

Netzwerkleistungsprobleme beheben

Eine Netzwerkschutzkomponente verlangsamt möglicherweise Verbindungen mit Domänencontrollern oder Exchange Servern. Möglicherweise werden auch Ereignis-ID 5783 NETLOGON-Fehler angezeigt. Diese Fehler bedeuten, dass das Gerät keine Verbindung mit einem Domänencontroller herstellen kann.

Um langsame Netzwerkverbindungen oder Ereignis-ID 5783 NETLOGON-Fehler zu beheben, wechseln Sie vom Netzwerkschutz von "Blockmodus" in "Überwachungsmodus" oder "Deaktiviert". Wenn das Problem behoben wird, deaktivieren Sie die Netzwerkschutzkomponenten einzeln, um zu isolieren, welche Komponente das Problem verursacht.

Deaktivieren Sie die folgenden Komponenten einzeln, und testen Sie die Netzwerkgeschwindigkeit nach jeder Änderung:

  1. Deaktivieren der Datagrammverarbeitung auf Windows Server
  2. Netzwerkschutz-Leistungstelemetrie deaktivieren
  3. Deaktivieren der FTP-Analyse
  4. Deaktivieren der SSH-Analyse
  5. Deaktivieren der RDP-Analyse
  6. Deaktivieren der HTTP-Analyse
  7. Deaktivieren der SMTP-Analyse
  8. Deaktivieren der DNS-analyse über TCP
  9. Deaktivieren der DNS-Analyse
  10. Deaktivieren der Filterung eingehender Verbindungen
  11. Deaktivieren der TLS-Analyse

Wenn Ihre Netzwerkleistungsprobleme nach dem Deaktivieren jeder zuvor aufgeführten Netzwerkschutzkomponente weiterhin bestehen, sind die Probleme wahrscheinlich nicht mit dem Netzwerkschutz verbunden. Suchen Sie nach anderen Ursachen für Netzwerkleistungsprobleme.

Diagnosedaten für Dateiübermittlungen sammeln

Wenn Sie ein Problem mit dem Netzwerkschutz melden, werden Sie aufgefordert, Diagnosedaten für Microsoft-Support- und -Entwicklungsteams zu sammeln und zu übermitteln, um Probleme zu beheben. Sie erfassen und übermitteln die Diagnosedaten, indem Sie MpCmdrun.exe -GetFiles ausführen, wobei die Daten unter C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab gespeichert werden.

Ausführliche Anweisungen finden Sie unter Sammeln von Microsoft Defender Antivirus-Diagnosedaten.

Beheben von Konnektivitätsproblemen mit dem Netzwerkschutz (für E5-Kunden)

Da der Netzwerkschutz Ihre Proxyeinstellungen des Betriebssystems nicht sehen kann, können Netzwerkschutzclients den Clouddienst in einigen Umgebungen möglicherweise nicht erreichen. Um diese Konnektivitätsprobleme zu beheben, konfigurieren Sie einen der folgenden Registrierungsschlüssel, damit der Netzwerkschutz die Proxykonfiguration erkennt. Sie können den Registrierungsschlüssel mithilfe von PowerShell, Microsoft Configuration Manager oder Gruppenrichtlinie konfigurieren.

Wenn Ihre Umgebung einen festen Proxyendpunkt verwendet, konfigurieren Sie Microsoft Defender so, dass datenverkehr über diesen Proxyserver weitergeleitet wird, indem Sie die Adresse und den Port festlegen:

Set-MpPreference -ProxyServer <proxy IP address: Port>

---ODER---

Wenn Ihr Netzwerk Datenverkehr dynamisch über eine PAC-Datei statt über einen statischen Proxy leitet, verwenden Sie den folgenden Befehl, um Microsoft Defender für die Verwendung dieser PAC-URL zu konfigurieren:

Set-MpPreference -ProxyPacUrl <Proxy PAC url>

Sie können den Registrierungsschlüssel mithilfe von PowerShell, Microsoft Configuration Manager oder Gruppenrichtlinie konfigurieren. Hier sind einige Hilfreiche Ressourcen:

Siehe auch

  • Last updated on