Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Gebruik endpoint-beveiligingsbeleid in het Microsoft Defender-portaal om Microsoft Defender Antivirus en Windows-beschermingsfuncties te configureren en te testen. De evaluatie omvat realtime bescherming, cloud-geleverde bescherming, netwerkbeveiliging, regels voor het verminderen van aanvalsoppervlakken (ASR) en manipulatiebeveiliging.
Prerequisites
Als u vragen hebt over een detectie die MDAV maakt of als u een gemiste detectie ontdekt, kunt u een bestand naar ons verzenden op onze helpsite voor voorbeeldinzending.
Voordat u begint, moet u ervoor zorgen dat u het volgende hebt:
- Windows 10 of later, of Windows Server 2016 of later.
- Apparaten die zijn opgenomen in Microsoft Defender voor Eindpunt en worden beheerd via beheer van beveiligingsinstellingen in Defender for Endpoint. De apparaten hoeven niet ingeschreven te zijn in Microsoft Intune.
- De licenties, permissies en setup beschreven in Vereisten voor het beheren van endpointbeveiligingsbeleid.
Configureer evaluatiebeleid
Maak aparte endpointbeveiligingsbeleid voor Microsoft Defender Antivirus-instellingen, ASR-regels en manipulatiebeveiliging. Voor de volledige stappen om beleidsregels aan te maken, toe te wijzen, op te slaan, te bewerken en te verifiëren, zie Create an endpoint security policy en Edit an endpoint security policy.
Microsoft Defender Antivirus geeft een detectie aan via standaard Windows-meldingen. Je kunt ook de scanresultaten van Microsoft Defender Antivirus bekijken.
In het Windows-gebeurtenislogboek worden ook detectie- en engine-gebeurtenissen vastgelegd. Zie Gebeurtenislogboeken en foutcodes controleren om problemen met Microsoft Defender Antivirus op te lossen voor een lijst met gebeurtenis-id's en de bijbehorende acties.
Configureer Microsoft Defender Antivirus-instellingen
Om de antivirus-evaluatie-instellingen te configureren, gebruik je een Microsoft Defender Antivirus-beleid.
Wanneer je het beleid aanmaakt op het tabblad Windows policies op de pagina Endpoint security policies in het Defender-portaal op https://security.microsoft.com/policy-inventory?osPlatform=Windows, gebruik dan deze specifieke instellingen:
- Platform selecteren: Selecteer Windows.
- Sjabloon selecteren: selecteer Microsoft Defender Antivirus.
Wanneer je het beleid aanmaakt of aanpast, configureer je de volgende evaluatie-instellingen op het tabblad Configuratie-instellingen :
Realtime-beveiliging:
Instelling Waarde Realtime-bewaking toestaan Toegestaan. Schakelt de realtime monitoringsdienst aan en start deze (standaard). Scanrichting in real-time Monitor alle bestanden (in beide richtingen) (standaard). Gedragscontrole toestaan Toegestaan. Schakelt realtime gedragsmonitoring in (standaard). Toegangsbeveiliging toestaan Toegestaan (standaard). PUA-beveiliging PUA-beveiliging ingeschakeld. Gedetecteerde items worden geblokkeerd. Ze komen samen met andere bedreigingen in de geschiedenis voor. Cloudbeveiligingsfuncties:
Instelling Waarde Cloudbeveiliging toestaan Toegestaan. Schakelt cloudbescherming aan (standaard). Blokniveau van cloud Hoog Cloud Verlengde Timeout Geconfigureerd, 50 Toestemming voor het verzenden van voorbeelden Alle voorbeelden automatisch verzenden Het kan uren duren voordat updates voor standaardbeveiligingsinformatie zijn voorbereid en geleverd. Microsoft cloud-bescherming kan binnen enkele seconden bijgewerkte bescherming bieden tegen opkomende bedreigingen. Zie Next-Gen-technologieën gebruiken in Microsoft Defender Antivirus via cloudbeveiliging voor meer informatie.
Scans:
Instelling Waarde Scannen van e-mail toestaan Toegestaan. Hiermee schakelt u het scannen van e-mail in. Scannen van alle gedownloade bestanden en bijlagen toestaan Toegestaan (standaard). Scannen van scripts toestaan Toegestaan (standaard). Archiefscanning toestaan Toegestaan. Scant archiefbestanden (standaard). Scannen van bestanden op het netwerk toestaan Toegestaan. Sceert netwerkbestanden (standaard). Volledige scan van verwisselbare schijven toestaan Toegestaan. Scant verwisselbare schijven. Netwerkbeveiliging:
Instelling Waarde Netwerkbeveiliging inschakelen Ingeschakeld (blokmodus) Netwerkbeveiliging op lager niveau toestaan Netwerkbeveiliging wordt downlevel ingeschakeld. Datagramverwerking toestaan op Win Server Datagramverwerking op Windows Server is uitgeschakeld (standaard). DNS via TCP-parsering uitschakelen DNS over TCP-parsing is ingeschakeld (standaard). HTTP-parsering uitschakelen HTTP-parsing is ingeschakeld (standaard). SSH-parsering uitschakelen SSH-parsing is ingeschakeld (standaard). TLS-parsering uitschakelen TLS-parsing is ingeschakeld (standaard). Note
Houd Datagramverwerking toestaan op Windows Server uitgeschakeld voor serverrollen met veel UDP-verkeer. Het inschakelen van deze instelling kan de netwerkprestaties en betrouwbaarheid beïnvloeden. Voor meer informatie, zie Netwerkbescherming configureren in Microsoft Defender Antivirus.
Updates voor beveiligingsinformatie:
Instelling Waarde Interval voor bijwerken van handtekening Geconfigureerd, 4 Terugvalvolgorde voor handtekeningupdates - Selecteer Toevoegen voor zoveel terugvalbronnen als u wilt opgeven.
- Voer in elk vak een van de volgende waarden in de gewenste volgorde in:
-
InternalDefinitionUpdateServer: Uw eigen WSUS-server met Microsoft Defender Antivirus-updates toegestaan. -
MicrosoftUpdateServer: Microsoft Update. -
MMPC:https://www.microsoft.com/wdsi/definitions
-
Om een fallbackbron (ingevuld of leeg) te verwijderen, selecteer je het selectievakje naast het vakje en selecteer je vervolgens Verwijderen.Lokale beheerder AV:
Voorkom dat lokale beheerders Microsoft Defender Antivirus-instellingen zoals uitsluitingen veranderen. Beheer de instellingen via Defender for Endpoint beveiligingsinstellingenbeheer.
Instelling Waarde Samenvoeging van lokale beheerder uitschakelen Samenvoeging van lokale beheerder uitschakelen Standaardactie voor dreigingsniveau:
Instelling Waarde Herstelactie voor bedreigingen met hoge ernst Quarantaine. Bestanden verplaatsen naar quarantaine. Herstelactie voor ernstige bedreigingen Quarantaine. Bestanden verplaatsen naar quarantaine. Herstelactie voor bedreigingen met een lage ernst Quarantaine. Bestanden verplaatsen naar quarantaine. Herstelactie voor bedreigingen met gemiddelde ernst Quarantaine. Bestanden verplaatsen naar quarantaine. Quarantaine-opties:
Instelling Waarde Dagen om opgeschoonde malware te behouden Geconfigureerd, 60 Gebruikersinterfacetoegang toestaan Toegestaan. Hiermee kunnen gebruikers de gebruikersinterface (standaard) benaderen.
Regels voor het verminderen van kwetsbaarheid voor aanvallen configureren
Om de ASR-regelevaluatie-instellingen te configureren, gebruik je een Attack Surface Reduction Rules-beleid. Voor meer informatie over ASR-regels, zie ASR-regels.
Voor informatie over de beschikbare regelacties, zie Modes for ASR-regels.
Wanneer je het beleid aanmaakt op het tabblad Windows policies op de pagina Endpoint security policies in het Defender-portaal op https://security.microsoft.com/policy-inventory?osPlatform=Windows, gebruik dan deze specifieke instellingen:
- Platform selecteren: Selecteer Windows.
- Sjabloon selecteren: selecteer Regels voor het verminderen van kwetsbaarheid voor aanvallen.
Wanneer je het beleid aanmaakt of aanpast, configureer je de volgende evaluatie-instellingen op het tabblad Configuratie-instellingen :
| Instelling | Waarde |
|---|---|
| Uitvoerbare inhoud van e-mailclient en webmail blokkeren | Audit |
| Voorkomen dat Adobe Reader subprocessen kan aanmaken | Audit |
| Uitvoering van mogelijk verborgen scripts blokkeren | Audit |
| Misbruik van uitgebuite kwetsbare ondertekende stuurprogramma's blokkeren (apparaat) | Audit |
| Win32 API-aanroepen blokkeren vanuit Office-macro's | Audit |
| Uitvoerbare bestanden blokkeren, tenzij ze voldoen aan een criterium voor de prevalentie, leeftijd of vertrouwde lijst | Audit |
| Voorkomen dat de communicatietoepassing van Office onderliggende processen maakt | Audit |
| Blokkeren dat alle Office-toepassingen onderliggende processen maken | Audit |
| Het gebruik van gekopieerde of geïmiteerde systeemhulpprogramma's blokkeren | Audit |
| JavaScript of VBScript blokkeren voor het starten van gedownloade uitvoerbare inhoud | Audit |
| Het stelen van referentiegegevens uit het Windows-subsysteem voor de lokale beveiligingsautoriteit blokkeren | Audit |
| Het maken van webshells voor servers blokkeren | Audit |
| Office-toepassingen blokkeren voor het maken van uitvoerbare inhoud | Audit |
| Niet-vertrouwde en niet-ondertekende processen blokkeren die worden uitgevoerd vanaf USB | Audit |
| Voorkomen dat Office-toepassingen code in andere processen injecteren | Audit |
| Persistentie blokkeren via WMI-gebeurtenisabonnement | Audit |
| Geavanceerde beveiliging tegen ransomware gebruiken | Audit |
| Procescreaties blokkeren die afkomstig zijn van PSExec- en WMI-opdrachten | Audit |
| Het opnieuw opstarten van de computer in de veilige modus blokkeren | Audit |
| Gecontroleerde maptoegang inschakelen | Audit Modus |
Tip
Als auditgebeurtenissen aangeven dat bepaald gedrag is toegestaan in uw organisatie, voegt u een uitsluiting per regel toe voor Attack Surface Reduction Only Exclusions. Zie Uitsluitingen van bestanden en mappen voor ASR-regels voor meer informatie.
Bekijk de auditgebeurtenissen voordat je ASR-regels inschakelt of de toegang tot mappen beheerst in blokmodus. Raadpleeg De implementatie van uw ASR-regels testen voor meer informatie.
Manipulatiebeveiliging configureren
Om manipulatiebeveiliging te configureren, gebruik je een Windows-beveiliging Experience-beleid.
Wanneer je het beleid aanmaakt op het tabblad Windows policies op de pagina Endpoint security policies in het Defender-portaal op https://security.microsoft.com/policy-inventory?osPlatform=Windows, gebruik dan deze specifieke instellingen:
- Platform selecteren: Selecteer Windows.
- Selecteer sjabloon: Selecteer Windows-beveiliging Experience.
Wanneer je het beleid aanmaakt of aanpast, gebruik dan deze specifieke instelling op het tabblad Configuratie-instellingen :
| Instelling | Waarde |
|---|---|
| Tamperbescherming (apparaat) | Manipulatiebeveiliging (aan) |
Valideer de bescherming van Microsoft Defender Antivirus
Gebruik de volgende procedures om de cloudconnectiviteit te verifiëren en versies op de evaluatieapparaten bij te werken.
Controleer de netwerkconnectiviteit van cloudbescherming
Cloudbeveiliging maakt gebruik van cloudgebaseerde machine learning en analyse om snellere dreigingsdetectie te bieden. Het apparaat moet in staat zijn om Microsoft cloud-geleverde bescherming te bereiken om deze functie correct te laten werken.
De volgende procedure geldt voor Windows 10 of later en Windows Server 2019 of later.
Voer de volgende commando's uit in een verhoogde opdrachtprompt (een opdrachtpromptvenster dat je opende door Uitvoeren als beheerder te selecteren):
Tip
Met de eerste opdracht gaat u naar de map met de nieuwste versie van <het antimalwareplatform> in %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Als dat pad niet bestaat, gaat het naar %ProgramFiles%\Windows Defender.
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -ValidateMapsConnection
Zie Microsoft Defender Antivirus configureren en beheren met het opdrachtregelprogramma MpCmdRun voor meer informatie.
De updateversie van het platform controleren
Voer het volgende commando uit in een verhoogde PowerShell-sessie om de versie van het Microsoft Defender Antivirus-platform te tonen die op het apparaat is geïnstalleerd:
Get-MPComputerStatus | Format-Table AMProductVersion
Vergelijk de output met de nieuwste productiekanaalversie in de Microsoft Update Catalog.
Controleer de versie van de security intelligence-update
Voer het volgende commando uit in een verhoogde PowerShell-sessie om de security intelligence-versie te tonen die op het apparaat is geïnstalleerd:
Get-MPComputerStatus | Format-Table AntivirusSignatureVersion
Vergelijk de output met de Security Intelligence update-versie op de Microsoft Defender Antivirus beveiligingsintelligentie- en productupdatespagina.
Bekijk de motorupdate versie
Voer het volgende commando uit in een verhoogde PowerShell-sessie om de versie van de Microsoft Defender Antivirus-engine op het apparaat weer te geven:
Get-MPComputerStatus | Format-Table AMEngineVersion
Vergelijk de output met de Engine-versie op de Microsoft Defender Antivirus beveiligingsinformatiepagina en productupdates.
Als u merkt dat uw instellingen niet van kracht worden, is er mogelijk een conflict. Zie Problemen met Microsoft Defender antivirusinstellingen oplossen voor meer informatie over het oplossen van conflicten.
Meld gemiste detecties
Als Microsoft Defender Antivirus tijdens je evaluatie geen kwaadaardig bestand of activiteit detecteert, dien dan het niet-gedetecteerde bestand in bij Microsoft voor analyse:
- Bestanden indienen in Microsoft Defender voor Eindpunt als u Microsoft Defender, Microsoft Defender voor Eindpunt P2/P1 of Microsoft Defender voor Bedrijven gebruikt.
- Dien bestanden in voor analyse als u Microsoft Defender Antivirus hebt.