Evalueer Microsoft Defender Antivirus met behulp van Microsoft Defender voor Eindpunt beveiligingsinstellingenbeheer

In dit artikel wordt uitgelegd hoe u Microsoft Defender voor Eindpunt Security Settings Management (Endpoint Security Policies) kunt gebruiken om belangrijke beveiligingsfuncties in Microsoft Defender Antivirus (MDAV) en Microsoft Defender Exploit Guard te configureren, activeren en testen ( Microsoft Defender EG). De behandelde functies omvatten realtime-beveiliging, cloudbeveiliging, netwerkbeveiliging, ASR-regels (Attack Surface Reduction) en manipulatiebeveiliging.

Voor deze procedures is Windows 10 of hoger of Windows Server 2016 of hoger vereist en moeten apparaten worden ge onboardd voor Microsoft Defender voor Eindpunt.

Als u vragen hebt over een detectie die MDAV maakt of als u een gemiste detectie ontdekt, kunt u een bestand naar ons verzenden op onze helpsite voor voorbeeldinzending.

Eindpuntbeveiligingsbeleid gebruiken om Microsoft Defender antivirusfuncties te evalueren

In de volgende richtlijnen worden de instellingen voor Microsoft Defender voor Eindpunt Beveiligingsinstellingenbeheer (eindpuntbeveiligingsbeleid) beschreven waarmee de Microsoft Defender antivirusbeveiligingsfuncties worden geconfigureerd die u tijdens uw evaluatie moet gebruiken.

MDAV geeft een detectie aan via standaard Windows-meldingen. U kunt ook detecties bekijken in de MDAV-app. Als u scanresultaten in de MDAV-app wilt bekijken, raadpleegt u Microsoft Defender Antivirus-scanresultaten.

In het Windows-gebeurtenislogboek worden ook detectie- en engine-gebeurtenissen vastgelegd. Zie Gebeurtenislogboeken en foutcodes controleren om problemen met Microsoft Defender Antivirus op te lossen voor een lijst met gebeurtenis-id's en de bijbehorende acties.

Voer de volgende stappen uit om de opties te configureren die u moet gebruiken om de beveiligingsfuncties te testen:

  1. Ga in de Microsoft Defender portal op https://security.microsoft.comnaar Eindpunten>Configuratiebeheer>Eindpuntbeveiligingsbeleid. Of ga, om rechtstreeks naar de pagina Beleid voor eindpuntbeveiliging te gaan, via https://security.microsoft.com/policy-inventory Windows-beleidsregels.

  2. Controleer op de pagina Eindpuntbeveiligingsbeleid of het tabblad Windows-beleid is geselecteerd en selecteer vervolgens Nieuw beleid maken

  3. Configureer de volgende instellingen in de flyout Nieuw beleid maken die wordt geopend:

    • Selecteer een platform: Selecteer Windows.
    • Sjabloon selecteren: selecteer Microsoft Defender Antivirus.

    Selecteer Beleid maken.

  4. De wizard 'Nieuw beleid maken' wordt geopend. Configureer op de pagina Basisbeginselen de volgende instellingen:

    • Naam: voer een unieke naam in voor het beleid.
    • Beschrijving: voer een optionele beschrijving in.

    Selecteer Volgende

  5. Configureer op de pagina Configuratie-instellingen de instellingen in de sectie Defender , zoals beschreven in de volgende tabellen:

    • Realtime-beveiliging:

      Instelling Waarde
      Realtime-bewaking toestaan Toegestaan. Hiermee wordt de realtime bewakingsservice ingeschakeld en uitgevoerd. (Standaard)
      Scanrichting in real-time Alle bestanden bewaken (in twee richtingen). (Standaard)
      Gedragscontrole toestaan Toegestaan. Schakelt real-time gedragsbewaking in (standaard).
      Toegangsbeveiliging toestaan Toegestaan. (Standaard)
      PUA-beveiliging PUA-beveiliging ingeschakeld. Gedetecteerde items worden geblokkeerd. Ze worden samen met andere bedreigingen in de geschiedenis weergegeven.

    • Cloudbeveiligingsfuncties:

      Instelling Waarde
      Cloudbeveiliging toestaan Toegestaan. Hiermee schakelt u Cloudbeveiliging in. (Standaard)
      Blokniveau van cloud Hoog
      Verlengde time-out voor de cloud Geconfigureerd, 50
      Toestemming voor het verzenden van voorbeelden Alle voorbeelden automatisch verzenden

      Het kan uren duren voordat updates voor standaardbeveiligingsinformatie zijn voorbereid en geleverd. Onze cloudbeveiligingsservice kan binnen enkele seconden bijgewerkte beveiliging bieden tegen opkomende bedreigingen. Zie Next-Gen-technologieën gebruiken in Microsoft Defender Antivirus via cloudbeveiliging voor meer informatie.

    • Scans:

      Instelling Waarde
      Scannen van e-mail toestaan Toegestaan. Hiermee schakelt u het scannen van e-mail in.
      Scannen van alle gedownloade bestanden en bijlagen toestaan Toegestaan. (Standaard)
      Scannen van scripts toestaan Toegestaan. (Standaard)
      Archiefscanning toestaan Toegestaan. Scant de archiefbestanden. (Standaard)
      Scannen van bestanden op het netwerk toestaan Toegestaan. Hiermee worden netwerkbestanden gescand. (Standaard)
      Volledige scan van verwisselbare schijven toestaan Toegestaan. Scant verwisselbare schijven.

    • Netwerkbeveiliging:

      Instelling Waarde
      Netwerkbeveiliging inschakelen Ingeschakeld (blokmodus)
      Netwerkbeveiliging op lager niveau toestaan Netwerkbeveiliging wordt downlevel ingeschakeld.
      Datagramverwerking toestaan op Win Server Gegevensverwerking op Windows Server is ingeschakeld.
      DNS via TCP-parsering uitschakelen DNS via TCP parseren is ingeschakeld (standaard)
      HTTP-parsering uitschakelen HTTP-parsering is ingeschakeld (standaard)
      SSH-parsering uitschakelen SSH-parsering is ingeschakeld (standaard)
      TLS-parsering uitschakelen Parseren is ingeschakeld (standaard)

    • Updates voor beveiligingsinformatie:

      Instelling Waarde
      Interval voor bijwerken van handtekening Geconfigureerd, 4
      Terugvalvolgorde voor handtekeningupdates
      1. Selecteer Toevoegen voor zoveel terugvalbronnen als u wilt opgeven.
      2. Voer in elk vak een van de volgende waarden in de gewenste volgorde in:
        • InternalDefinitionUpdateServer: Uw eigen WSUS-server met Microsoft Defender Antivirus-updates toegestaan.
        • MicrosoftUpdateServer: Microsoft Update.
        • MMPC: https://www.microsoft.com/wdsi/definitions

      Als u een terugvalbron (ingevuld of leeg) wilt verwijderen, schakelt u het selectievakje naast het vak in en selecteert u vervolgens Verwijderen.

    • Lokale beheerder AV:

      Schakel AV-instellingen voor lokale beheerders, zoals uitsluitingen, uit en stel het beleid in vanuit de Microsoft Defender voor Eindpunt Beheer van beveiligingsinstellingen, zoals beschreven in de volgende tabel:

      Instelling Waarde
      Samenvoeging van lokale beheerder uitschakelen Samenvoeging van lokale beheerder uitschakelen

    • Standaardactie voor dreigingsniveau:

      Instelling Waarde
      Herstelactie voor bedreigingen met hoge ernst Quarantaine. Bestanden verplaatsen naar quarantaine.
      Herstelactie voor ernstige bedreigingen Quarantaine. Bestanden verplaatsen naar quarantaine.
      Herstelactie voor bedreigingen met een lage ernst Quarantaine. Bestanden verplaatsen naar quarantaine.
      Herstelactie voor bedreigingen met gemiddelde ernst Quarantaine. Bestanden verplaatsen naar quarantaine.

    • Quarantaineopties

      Instelling Waarde
      Dagen om opgeschoonde malware te behouden Geconfigureerd, 60
      Gebruikersinterfacetoegang toestaan Toegestaan. Gebruikers toegang geven tot de gebruikersinterface. (Standaard)

    Wanneer u klaar bent op de pagina Configuratie-instellingen , selecteert u Volgende.

  6. Klik op de pagina Toewijzingen in het vak en selecteer een van de volgende waarden:

    • Alle gebruikers of Alle apparaten.
    • Wanneer u een of meer beschikbare groepen zoekt en selecteert, kunt u de waarde doeltype in de groepsvermelding gebruiken om de groepsleden op te nemen of uit te sluiten .

    Wanneer u klaar bent op de pagina Toewijzingen , selecteert u Volgende.

  7. Controleer uw instellingen op de pagina Beoordelen en maken . Selecteer Vorige of selecteer de paginanaam om wijzigingen aan te brengen.

    Wanneer u klaar bent op de pagina Beoordelen en maken , selecteert u Opslaan.

Wanneer het maken van het beleid is voltooid, gaat u naar de detailpagina van het nieuwe beleid.

Selecteer Eindpuntbeveiligingsbeleid bovenaan de pagina om terug te keren naar de pagina Eindpuntbeveiligingsbeleid waar het nieuwe beleid wordt weergegeven met de waarde beleidstypeMicrosoft Defender Antivirus.

Regels voor aanvalsoppervlakvermindering

Voer de volgende stappen uit om ASR-regels (Attack Surface Reduction) in te schakelen met behulp van het eindpuntbeveiligingsbeleid:

  1. Ga in de Microsoft Defender portal op https://security.microsoft.comnaar Eindpunten>Configuratiebeheer>Eindpuntbeveiligingsbeleid. Of ga, om rechtstreeks naar de pagina Beleid voor eindpuntbeveiliging te gaan, via https://security.microsoft.com/policy-inventory Windows-beleidsregels.

  2. Controleer op de pagina Eindpuntbeveiligingsbeleid of het tabblad Windows-beleid is geselecteerd en selecteer vervolgens Nieuw beleid maken

  3. Configureer de volgende instellingen in de flyout Nieuw beleid maken die wordt geopend:

    • Selecteer een platform: Selecteer Windows.
    • Sjabloon selecteren: selecteer Regels voor het verminderen van kwetsbaarheid voor aanvallen.

    Selecteer Beleid maken.

  4. De wizard 'Nieuw beleid maken' wordt geopend. Configureer op de pagina Basisbeginselen de volgende instellingen:

    • Naam: voer een unieke naam in voor het beleid.
    • Beschrijving: voer een optionele beschrijving in.

    Selecteer Volgende

  5. Configureer de instellingen op de pagina Configuratie-instellingen op basis van de volgende aanbevelingen:

    Instelling Waarde
    Uitvoerbare inhoud van e-mailclient en webmail blokkeren Blokkeren
    Voorkomen dat Adobe Reader subprocessen kan aanmaken Blokkeren
    Uitvoering van mogelijk verborgen scripts blokkeren Blokkeren
    Misbruik van uitgebuite kwetsbare ondertekende stuurprogramma's blokkeren (apparaat) Blokkeren
    Win32 API-aanroepen blokkeren vanuit Office-macro's Blokkeren
    Uitvoerbare bestanden blokkeren, tenzij ze voldoen aan een criterium voor de prevalentie, leeftijd of vertrouwde lijst Blokkeren
    Voorkomen dat de communicatietoepassing van Office onderliggende processen maakt Blokkeren
    Blokkeren dat alle Office-toepassingen onderliggende processen maken Blokkeren
    Het gebruik van gekopieerde of geïmiteerde systeemhulpprogramma's blokkeren Blokkeren
    JavaScript of VBScript blokkeren voor het starten van gedownloade uitvoerbare inhoud Blokkeren
    Het stelen van referentiegegevens uit het Windows-subsysteem voor de lokale beveiligingsautoriteit blokkeren Blokkeren
    Het maken van webshells voor servers blokkeren Blokkeren
    Office-toepassingen blokkeren voor het maken van uitvoerbare inhoud Blokkeren
    Niet-vertrouwde en niet-ondertekende processen blokkeren die worden uitgevoerd vanaf USB Blokkeren
    Voorkomen dat Office-toepassingen code in andere processen injecteren Blokkeren
    Persistentie blokkeren via WMI-gebeurtenisabonnement Blokkeren
    Geavanceerde beveiliging tegen ransomware gebruiken Blokkeren
    Procescreaties blokkeren die afkomstig zijn van PSExec- en WMI-opdrachten Blokkeren (als u Configuration Manager (voorheen SCCM) of andere beheerhulpprogramma's hebt die gebruikmaken van WMI, moet u dit mogelijk instellen op Controleren in plaats van Blokkeren)
    Het opnieuw opstarten van de computer in de veilige modus blokkeren Blokkeren
    Gecontroleerde maptoegang inschakelen Ingeschakeld

Tip

Als een regel gedrag blokkeert dat is toegestaan in uw organisatie, voeg dan de uitsluitingen per regel toe met de naam 'Alleen uitsluitingen voor aanvalsoppervlakvermindering'. Wijzig de regel bovendien van Ingeschakeld in Audit om ongewenste blokkeringen te voorkomen.

  1. Klik op de pagina Toewijzingen in het vak en selecteer een van de volgende waarden:

    • Alle gebruikers of Alle apparaten.
    • Wanneer u een of meer beschikbare groepen zoekt en selecteert, kunt u de waarde doeltype in de groepsvermelding gebruiken om de groepsleden op te nemen of uit te sluiten .

    Wanneer u klaar bent op de pagina Toewijzingen , selecteert u Volgende.

  2. Controleer uw instellingen op de pagina Beoordelen en maken . Selecteer Vorige of selecteer de paginanaam om wijzigingen aan te brengen.

    Wanneer u klaar bent op de pagina Beoordelen en maken , selecteert u Opslaan.

Wanneer het maken van het beleid is voltooid, gaat u naar de detailpagina van het nieuwe beleid.

Selecteer Eindpuntbeveiligingsbeleid boven aan de pagina om terug te keren naar de pagina Eindpuntbeveiligingsbeleid , waar het nieuwe beleid wordt weergegeven met de waarde BeleidstypeKwetsbaarheidsbeperkingsregels.

Manipulatiebeveiliging inschakelen

Voer de volgende stappen uit om Manipulatiebeveiliging in te schakelen met behulp van eindpuntbeveiligingsbeleid:

  1. Meld u aan bij Microsoft Defender XDR.

  2. Ga naar Eindpunten > Configuratiebeheer > Eindpuntbeveiligingsbeleid > Windows-beleid > Nieuw beleid maken.

  3. Selecteer Windows 10, Windows 11 en Windows Server in de vervolgkeuzelijst Platform selecteren.

  4. Selecteer Beveiligingservaring in de vervolgkeuzelijst Sjabloon selecteren .

  5. Selecteer Beleid maken. De pagina Een nieuw beleid maken wordt weergegeven.

  6. Voer op de pagina Basisbeginselen een naam en beschrijving in voor het profiel in respectievelijk de velden Naam en Beschrijving .

  7. Selecteer Volgende.

  8. Vouw op de pagina Configuratie-instellingen de groepen instellingen uit en selecteer vervolgens de instellingen die u met dit profiel wilt beheren.

  9. Stel het beleid voor de gekozen groepen instellingen in door ze te configureren zoals beschreven in de volgende tabel:

    Beschrijving Instelling
    Manipulatiebeveiliging (apparaat) Aan

De cloudbeveiligingsnetwerkverbinding controleren

CloudBeveiliging (ook wel bekend als de Microsoft Active Protection Service of MAPS) is een functie van Microsoft Defender Antivirus die gebruikmaakt van machine learning in de cloud en analyse om snellere detectie van bedreigingen te bieden. Het apparaat moet de cloudbeveiligingsservice via het netwerk kunnen bereiken, zodat deze functie correct werkt.

Controleer of cloudbeveiligingsnetwerkconnectiviteit werkt tijdens uw penetratietests.

Voorwaarde: Open de opdrachtprompt als beheerder (selecteer Als administrator uitvoeren) voordat u de volgende opdrachten uitvoert.

Tip

Met de eerste opdracht gaat u naar de map met de nieuwste versie van <het antimalwareplatform> in %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Als dat pad niet bestaat, gaat het naar %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Zie Microsoft Defender Antivirus configureren en beheren met het opdrachtregelprogramma MpCmdRun voor meer informatie.

De updateversie van het platform controleren

Het meest recente Productiekanaal (GA) van de platformupdate is beschikbaar in de Microsoft Update-catalogus.

Als u wilt controleren welke versie van Platform Update u hebt geïnstalleerd, voert u de volgende opdracht uit in PowerShell met de bevoegdheden van een beheerder:

Get-MPComputerStatus | Format-Table AMProductVersion

De versie van de Security Intelligence Update controleren

De nieuwste versie van security intelligence update is beschikbaar in De nieuwste updates voor beveiligingsinformatie voor Microsoft Defender Antivirus en andere Antimalware van Microsoft - Microsoft-beveiligingsinformatie.

Als u wilt controleren welke versie van Security Intelligence Update u hebt geïnstalleerd, voert u de volgende opdracht uit in PowerShell met de bevoegdheden van een beheerder:

Get-MPComputerStatus | Format-Table AntivirusSignatureVersion

De versie van de Engine Update controleren

De meest recente versie van de scan 'engine-update' is beschikbaar in Meest recente updates voor beveiligingsinformatie voor Microsoft Defender Antivirus en andere Microsoft-antimalware - Microsoft-beveiligingsinformatie.

Als u wilt controleren welke versie van engine-update u hebt geïnstalleerd, voert u de volgende opdracht uit in PowerShell met de bevoegdheden van een beheerder:

Get-MPComputerStatus | Format-Table AMEngineVersion

Als u merkt dat uw instellingen niet van kracht worden, is er mogelijk een conflict. Zie Problemen met Microsoft Defender antivirusinstellingen oplossen voor meer informatie over het oplossen van conflicten.

Voor inzendingen van vals-negatieven (FNs)

Van een vals negatief (FN) is sprake wanneer Microsoft Defender Antivirus een bestand of activiteit die daadwerkelijk kwaadaardig is, niet detecteert. Als u tijdens uw evaluatie een gemiste detectie tegenkomt, dient u het niet-gedetecteerde bestand in bij Microsoft voor analyse, zodat de beveiliging kan worden bijgewerkt.

Zie voor meer informatie over het maken van FN-inzendingen:

  • Last updated on