Aktivieren und nutzen Sie den Fehlerbehebungsmodus in Microsoft Defender for Endpoint

  • Gilt für:: Microsoft Defender for Endpoint, Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Auf Windows-Geräten ermöglicht der Fehlerbehebungsmodus in Microsoft Defender for Endpoint, bestimmte richtlinienverwaltete Einstellungen des Microsoft Defender Antivirus vorübergehend zu ändern. Nutzen Sie den Fehlerbehebungsmodus, um Leistung, Anwendungskompatibilität, Fehlalarme und andere Antivirenprobleme zu diagnostizieren, einschließlich wenn der Manipulationsschutz Änderungen an geschützten Einstellungen verhindert.

Der Fehlerbehebungsmodus ist für Geräte verfügbar, die in Defender for Endpoint registriert sind und Windows oder macOS ausführen. Derzeit ist der Fehlerbehebungsmodus für Linux-Geräte nicht verfügbar. Auf macOS erlaubt der Fehlerbehebungsmodus nicht, den Manipulationsschutz zu deaktivieren. Für macOS-Anforderungen und -Anweisungen siehe Fehlerbehebungsmodus in Microsoft Defender for Endpoint auf macOS.

Während der Fehlerbehebungsmodus aktiv ist, können lokale Administratoren Einstellungen auf einzelnen Geräten ändern, die üblicherweise durch Richtlinien gesperrt sind. Lokale Administratoren können Microsoft Defender Antivirus nicht deaktivieren oder deinstallieren, aber sie können andere Sicherheitseinstellungen von Microsoft Defender Antivirus ändern, wie Cloud-Schutz und Manipulationsschutz.

Der Fehlerbehebungsmodus kann bis zu 15 Minuten zum Start dauern und schaltet sich nach vier Stunden automatisch aus. Die Nutzung ist auf acht Stunden pro Gerät begrenzt, und das Kontingent wird 24 Stunden nach der erstmaligen Aktivierung des Problembehandlungsmodus zurückgesetzt. Wenn der Fehlerbehebungsmodus endet, werden die richtlinienverwalteten Einstellungen schreibgeschützt und auf ihre vorherigen Werte zurückgesetzt. Der Gerätebenutzer erhält Benachrichtigungen, wenn der Fehlerbehebungsmodus beginnt, kurz vor dem Ende steht und endet.

Das vorübergehende Deaktivieren des Manipulationsschutzes kann das Sicherheitsrisiko erhöhen. Das Gerät muss online sein, wenn Sie den Manipulationsschutz vorübergehend deaktivieren.

Änderungen, die während des aktiven Fehlerbehebungsmodus über Verwaltungsrichtlinien durchgeführt werden, treten erst in Kraft, wenn der Fehlerbehebungsmodus abläuft. Die Aktualisierungen der Microsoft Defender Antivirus-Plattform werden ebenfalls nicht angewendet, solange der Fehlerbehebungsmodus aktiv ist. Plattform-Updates werden nach dem Ende des Fehlerbehebungsmodus angewendet, wenn Windows Update ausgeführt wird.

Voraussetzungen

Bevor Sie den Fehlerbehebungsmodus aktivieren, überprüfen Sie die folgenden Anforderungen:

  • Die Rolle des Microsoft Entra Sicherheitsadministrators. Für den am wenigsten privilegierten Zugriff verwenden Sie eine benutzerdefinierte Microsoft Defender einheitliche rollenbasierte Zugriffskontrollrolle (RBAC) mit Autorisierung und Einstellungen \ Sicherheitseinstellungen \ Kernsicherheitseinstellungen (verwalten) und Autorisierung und Einstellungen \ Sicherheitseinstellungen \ Erkennungsabstimmung (verwalten) Berechtigungen. Weitere Informationen finden Sie unter Microsoft Defender einheitliches RBAC.
  • Ein Gerät, das in Defender for Endpoint registriert und aktiv ist.
  • Microsoft Defender Antivirus Plattform-Version 4.18.2203 (März 2022) oder später, läuft aktiv auf dem Gerät.
  • Eines der folgenden Betriebssysteme und Mindestversionen oder Buildnummern:

Aktivieren Sie den Fehlerbehebungsmodus im Microsoft Defender-Portal

Aktivieren Sie den Fehlerbehebungsmodus auf einem Gerät, bevor Sie temporäre Änderungen an den Microsoft Defender Antivirus-Einstellungen vornehmen:

  1. Auf der Geräte-Inventar-Seite im Microsoft Defender-Portal wählen Sie unter https://security.microsoft.com/machines, eine beliebige Stelle in der Gerätezeile außer im Kontrollkästchen.

  2. Auf der Seite mit Gerätedetails wählen Sie mehr Optionen (...) und wählen Sie dann den Fehlerbehebungsmodus aktivieren.

    Screenshot des Menüs „Geräteaktionen“ mit ausgewählter Option „Fehlerbehebungsmodus aktivieren“.

    Hinweis

    Die Option "Fehlerbehebung aktivieren" erscheint für alle Geräte, auch wenn ein Gerät die Voraussetzungen nicht erfüllt.

  3. Wählen Sie im Bestätigungs-Flyout Absenden aus.

    Screenshot des Bestätigungs-Flyouts zum Einschalten des Fehlerbehebungsmodus.

  4. Warte darauf, dass auf der Gerätedetailseite angezeigt wird, dass der Fehlerbehebungsmodus aktiv ist. Die Aktivierung kann bis zu 15 Minuten dauern.

Manipulationsschutz vorübergehend deaktivieren

Nachdem der Fehlerbehebungsmodus aktiv ist, verwenden Sie PowerShell auf einem unterstützten Windows-Gerät oder die Windows-Sicherheit-App auf einem unterstützten Windows-Client-Gerät, um den Manipulationsschutz vorübergehend zu deaktivieren.

Deaktivieren Sie vorübergehend den Manipulationsschutz mit PowerShell

Um den Manipulationsschutz vorübergehend zu deaktivieren, während das Gerät im Fehlerbehebungsmodus ist, führen Sie den folgenden Befehl Set-MpPreference in einer erhöhten PowerShell-Sitzung aus (ein PowerShell-Fenster, das Sie durch die Auswahl Ausführen als Administrator geöffnet haben):

Set-MPPreference -DisableTamperProtection $true

Um den Status des Manipulationsschutzes am Gerät zu überprüfen, führen Sie folgenden Befehl aus:

Get-MpComputerStatus | Select-Object IsTamperProtected

Der Wert False bestätigt, dass der Manipulationsschutz ausgeschaltet ist.

Deaktivieren Sie vorübergehend den Manipulationsschutz mit der Windows-Sicherheit-App

Befolgen Sie die Schritte in "Manipulationsschutz konfigurieren" mit der Windows-Sicherheit-App, um den Manipulationsschutz auszuschalten.

Hinweis

Du musst den Manipulationsschutz nicht manuell wieder aktivieren. Wenn der Modus zur Problembehandlung abläuft, wird die temporäre Änderung verworfen, und der Manipulationsschutz kehrt in seinen zuvor durch Richtlinien verwalteten Zustand zurück. Wenn der Manipulationsschutz vorher aktiviert war, schaltet er sich wieder ein. Wenn sie vorher aus war, bleibt sie aus.

Überprüfen Sie die Ergebnisse des Fehlerbehebungsmodus

Defender for Endpoint sammelt Protokolle und Untersuchungsdaten während des gesamten Fehlerbehebungsprozesses:

  • Eine Momentaufnahme von MpPreference wird erstellt, bevor der Problembehandlungsmodus beginnt.
  • Eine zweite Momentaufnahme wird kurz vor Ablauf des Problembehandlungsmodus ausgeführt.
  • Betriebsprotokolle werden gesammelt, während der Fehlerbehebungsmodus aktiv ist.

Verwenden Sie die folgenden Methoden, um Informationen zum Fehlerbehebungsmodus zu überprüfen oder zu sammeln:

Erweiterte Suchabfragen

Verwenden Sie die folgenden erweiterten Suchanfragen, um Fehlerbehebungsmodus-Ereignisse in Ihrer Umgebung anzuzeigen. Sie können die Abfragen auch nutzen, um Erkennungsregeln zu erstellen , die Warnungen erzeugen, wenn Geräte im Fehlerbehebungsmodus sind.

Abrufen von Troubleshooting-Ereignissen für ein bestimmtes Gerät

Suchen Sie nach deviceId oder deviceName indem Sie die Zeile kommentieren, die Sie nicht verwenden möchten.

//let deviceName = "<deviceName>";   // update with device name
let deviceId = "<deviceID>";   // update with device id
DeviceEvents
| where DeviceId == deviceId
//| where DeviceName  == deviceName
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| project Timestamp,DeviceId, DeviceName, _tsmodeproperties,
 _tsmodeproperties.TroubleshootingState, _tsmodeproperties.TroubleshootingPreviousState, _tsmodeproperties.TroubleshootingStartTime,
 _tsmodeproperties.TroubleshootingStateExpiry, _tsmodeproperties.TroubleshootingStateRemainingMinutes,
 _tsmodeproperties.TroubleshootingStateChangeReason, _tsmodeproperties.TroubleshootingStateChangeSource

Geräte, die sich derzeit im Problembehandlungsmodus befinden

DeviceEvents
| where Timestamp > ago(3h) // troubleshooting mode automatically disables after 4 hours
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
|summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| order by Timestamp desc

Anzahl der Instanzen des Problembehandlungsmodus nach Gerät

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(30d)  // choose the date range you want
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| sort by count_

Zählung von Instanzen im Fehlerbehebungsmodus innerhalb eines Zeitbereichs

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(2d) //beginning of time range
| where Timestamp < ago(1d) //end of time range
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count()
| where count_ > 5          // choose your max # of TS mode instances for your time range

Verwandte Inhalte

  • Zuletzt aktualisiert um