Valuta Microsoft Defender Antivirus con le politiche di sicurezza degli endpoint

Utilizza le policy di sicurezza degli endpoint nel portale Microsoft Defender per configurare e testare le funzionalità di protezione antivirus di Microsoft Defender e Windows. La valutazione include protezione in tempo reale, protezione fornita dal cloud, protezione di rete, regole di riduzione della superficie d'attacco (ASR) e protezione contro manomissioni.

Prerequisiti

Se hai domande su un rilevamento effettuato da MDAV o scopri un mancato rilevamento, puoi inviarci un file tramite il nostro sito della guida per l'invio di campioni.

Prima di iniziare, assicurarsi di avere:

• Windows 10 o versioni successive, o Windows Server 2016 o versioni successive.
• Dispositivi integrati su Microsoft Defender per endpoint e gestiti tramite Defender per la gestione delle impostazioni di sicurezza degli endpoint. I dispositivi non devono essere registrati in Microsoft Intune.
• Le licenze, i permessi e la configurazione descritti nei Prerequisiti per la gestione delle politiche di sicurezza degli endpoint.

Configurare le politiche di valutazione

Crea politiche di sicurezza degli endpoint separate per le impostazioni antivirus di Microsoft Defender, le regole ASR e la protezione contro manomissioni. Per i passaggi completi per creare, assegnare, salvare, modificare e verificare le policy, vedi Crea una policy di sicurezza per gli endpoint e Modifica una policy di sicurezza per gli endpoint.

Microsoft Defender Antivirus indica un rilevamento tramite le notifiche standard di Windows. Puoi anche consultare i risultati della scansione di Microsoft Defender Antivirus.

Il registro eventi di Windows registra anche il rilevamento e gli eventi del motore. Per un elenco degli ID evento e delle relative azioni corrispondenti, vedere Esaminare i registri eventi e i codici di errore per risolvere i problemi relativi a Microsoft Defender Antivirus.

Configura le impostazioni antivirus di Microsoft Defender

Per configurare le impostazioni di valutazione antivirus, usa una policy antivirus di Microsoft Defender.

Quando crei la policy nella scheda policy di Windows della pagina delle policy di sicurezza Endpoint nel portale Defender a https://security.microsoft.com/policy-inventory?osPlatform=Windows, usa queste impostazioni specifiche:

• Selezionare piattaforma: selezionare Windows.
• Selezionare modello: selezionare Microsoft Defender Antivirus.

Quando crei o modifichi la policy, configura le seguenti impostazioni di valutazione nella scheda Impostazioni di configurazione:

• Protezione in tempo reale:

  Impostazione	Valore
  Consenti monitoraggio in tempo reale	Consentito. Si attiva ed esegue il servizio di monitoraggio in tempo reale (predefinito).
  Direzione della scansione in tempo reale	Monitora tutti i file (bidirezionale) (predefinita).
  Consenti monitoraggio del comportamento	Consentito. Attiva il monitoraggio del comportamento in tempo reale (di default).
  Consenti la protezione dall'accesso	Consentito (predefinito).
  Protezione da PUA	Protezione PUA attivata. Gli elementi rilevati sono bloccati. Appaiono nella storia insieme ad altre minacce.

• Funzionalità di protezione del cloud:

  Impostazione	Valore
  Attiva protezione cloud	Consentito. Attiva la protezione cloud (di default).
  Livello di blocco cloud	Alto
  Timeout esteso per il cloud	Configurato, 50
  Inviare consenso per i campioni	Inviare tutti gli esempi automaticamente

  Gli aggiornamenti standard delle informazioni di sicurezza possono richiedere ore per essere preparati e distribuiti. La protezione cloud fornita da Microsoft può fornire una protezione aggiornata contro minacce emergenti in pochi secondi. Per altre informazioni, vedere Usare tecnologie di nuova generazione in Microsoft Defender Antivirus tramite la protezione fornita dal cloud.

• Scansioni:

  Impostazione	Valore
  Consenti la scansione delle email	Consentito. Attiva l'analisi della posta elettronica.
  Consenti l'analisi di tutti i file e gli allegati scaricati	Consentito (predefinito).
  Consenti la scansione degli script	Consentito (predefinito).
  Consenti scansione dell'archivio	Consentito. Scansiona i file di archivio (predefinito).
  Consenti la scansione dei file di rete	Consentito. Scansiona i file di rete (predefinito).
  Consentire l'analisi completa delle unità rimovibili	Consentito. Analizza le unità rimovibili.

• Protezione di rete:

  Impostazione	Valore
  Abilitare la protezione di rete	Abilitato (modalità di blocco)
  Consentire la protezione della rete di livello inferiore	La protezione di rete verrà abilitata a livello inferiore.
  Consenti elaborazione datagramma in Win Server	L'elaborazione dei datagrammi su Windows Server è disabilitata (predefinita).
  Disabilita l'analisi di DNS over TCP	Il DNS tramite parsing TCP è abilitato (di default).
  Disabilitare l'analisi HTTP	L'analisi HTTP è abilitata (di default).
  Disabilitare l'analisi SSH	L'analisi SSH è abilitata (impostazione predefinita).
  Disabilitare l'analisi TLS	L'analisi TLS è abilitata (di default).

  Note

  Mantieni Consenti l'elaborazione dei datagrammi in Windows Server disabilitato sui ruoli del server con traffico UDP elevato. Abilitare questa impostazione può influire sulle prestazioni e sull'affidabilità della rete. Per maggiori informazioni, consulta Configura la protezione della rete in Microsoft Defender Antivirus.

• Aggiornamenti di Security Intelligence:

  Impostazione	Valore
  Intervallo di aggiornamento della firma	Configurato, 4
  Ordine di fallback dell'aggiornamento della firma	Selezionare Aggiungi per ogni fonte di fallback che si desidera specificare. Immettere uno dei valori seguenti in ogni casella nell'ordine desiderato: InternalDefinitionUpdateServer: Il proprio server WSUS con gli aggiornamenti di Microsoft Defender Antivirus consentiti. MicrosoftUpdateServer: Microsoft Update. MMPC: https://www.microsoft.com/wdsi/definitions Per rimuovere un'origine di fallback (compilata o vuota), seleziona la casella di controllo accanto alla casella, quindi seleziona Rimuovi.

• AV dell'amministratore locale:

  Impedire agli amministratori locali di modificare le impostazioni di Microsoft Defender Antivirus, come le esclusioni. Gestisci le impostazioni tramite Defender per la gestione delle impostazioni di sicurezza degli endpoint.

  Impostazione	Valore
  Disabilitare l'unione amministratore locale	Disabilitare l'unione amministratore locale

• Azione predefinita per la gravità della minaccia:

  Impostazione	Valore
  Azione di correzione per le minacce con gravità elevata	Quarantena. Spostare i file in quarantena.
  Azione di correzione per minacce gravi	Quarantena. Spostare i file in quarantena.
  Azione di correzione per le minacce con gravità bassa	Quarantena. Spostare i file in quarantena.
  Azione di correzione per le minacce di gravità moderata	Quarantena. Spostare i file in quarantena.

• Opzioni di quarantena:

  Impostazione	Valore
  Giorni per conservare il malware pulito	Configurato, 60
  Consenti accesso all'interfaccia utente	Consentito. Permette agli utenti di accedere all'interfaccia utente (predefinita).

Configurare le regole per la riduzione della superficie di attacco

Per configurare le impostazioni di valutazione delle regole ASR, utilizzare una policy Attack Surface Reduction Rules. Per maggiori informazioni sulle regole ASR, vedi regole ASR.

Per informazioni sulle azioni di regola disponibili, vedi Modalità per le regole ASR.

Quando crei la policy nella scheda policy di Windows della pagina delle policy di sicurezza Endpoint nel portale Defender a https://security.microsoft.com/policy-inventory?osPlatform=Windows, usa queste impostazioni specifiche:

• Selezionare piattaforma: selezionare Windows.
• Selezionare modello: selezionare Regole di riduzione della superficie di attacco.

Quando crei o modifichi la policy, configura le seguenti impostazioni di valutazione nella scheda Impostazioni di configurazione:

Configura la protezione antimanomissione

Per configurare la protezione contro le manomissioni, utilizza una policy di protezione di Windows Experience.

Quando crei la policy nella scheda policy di Windows della pagina delle policy di sicurezza Endpoint nel portale Defender a https://security.microsoft.com/policy-inventory?osPlatform=Windows, usa queste impostazioni specifiche:

• Selezionare piattaforma: selezionare Windows.
• Seleziona il modello: Seleziona protezione di Windows Experience.

Quando crei o modifichi la policy, usa questa impostazione specifica nella scheda Impostazioni di configurazione :

Valida la protezione antivirus Microsoft Defender

Utilizzare le seguenti procedure per verificare la connettività cloud e aggiornare le versioni sui dispositivi di valutazione.

Controlla la connettività di rete della protezione cloud

La protezione cloud utilizza apprendimento automatico e analisi basati sul cloud per fornire un rilevamento delle minacce più rapido. Il dispositivo deve essere in grado di accedere alla protezione cloud fornita da Microsoft affinché questa funzione funzioni correttamente.

La seguente procedura si applica a Windows 10 o versioni successive e a Windows Server 2019 o versioni successive.

Esegui i seguenti comandi in un prompt dei comandi elevato (una finestra del prompt che hai aperto selezionando Esegui come amministratore):

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Per altre informazioni, vedere Configurare e gestire Microsoft Defender Antivirus con lo strumento da riga di comando MpCmdRun.

Controllare la versione dell'aggiornamento della piattaforma

Esegui il seguente comando in una sessione PowerShell elevata per visualizzare la versione della piattaforma Microsoft Defender Antivirus installata sul dispositivo:

Get-MPComputerStatus | Format-Table AMProductVersion

Confronta l'output con l'ultima versione del canale di produzione nel catalogo Microsoft Update.

Controllare la versione dell'aggiornamento di intelligence di sicurezza

Esegui il seguente comando in una sessione PowerShell elevata per visualizzare la versione di security intelligence installata sul dispositivo:

Get-MPComputerStatus | Format-Table AntivirusSignatureVersion

Confronta l'output con la versione Aggiornamento dell'intelligence di sicurezza nella pagina Aggiornamenti dell'intelligence di sicurezza e del prodotto di Microsoft Defender Antivirus.

Controlla la versione aggiornata del motore

Esegui il seguente comando in una sessione PowerShell elevata per visualizzare la versione del motore antivirus Microsoft Defender installata sul dispositivo:

Get-MPComputerStatus | Format-Table AMEngineVersion

Confronta l'output con la versione Engine nella pagina Microsoft Defender Antivirus, intelligence di sicurezza e aggiornamenti del prodotto.

Se si scopre che le impostazioni non hanno effetto, è possibile che si verifichi un conflitto. Per informazioni su come risolvere i conflitti, vedere Risolvere i problemi relativi alle impostazioni di antivirus Microsoft Defender.

Invia rilevazioni mancate

Se Microsoft Defender Antivirus non rileva un file o un'attività dannosa durante la tua valutazione, invia il file non rilevato a Microsoft per l'analisi:

• Inviare file in Microsoft Defender per endpoint se sono presenti Microsoft Defender, Microsoft Defender per endpoint P2/P1 o Microsoft Defender for Business.
• Inviare i file per l'analisi se si dispone di Microsoft Defender Antivirus.