Omówienie wykluczeń i wskaźników w Ochrona punktu końcowego w usłudze Microsoft Defender

Ochrona punktu końcowego w usłudze Microsoft Defender i Defender dla Firm obejmują szeroką gamę możliwości zapobiegania, wykrywania, badania i reagowania na zaawansowane cyberataki. Microsoft wstępnie konfiguruje produkt, aby działał prawidłowo w systemie operacyjnym, w którym jest zainstalowany. W większości przypadków nie są potrzebne żadne inne zmiany.

Pomimo wstępnie skonfigurowanych ustawień, czasami występuje nieoczekiwane zachowanie. Przykład:

• Wyniki fałszywie dodatnie: pliki, foldery lub procesy, które nie są zagrożeniami, są wykrywane jako złośliwe przez Defender dla punktu końcowego lub programu antywirusowego Microsoft Defender. Te jednostki są blokowane lub wysyłane do kwarantanny, mimo że nie są zagrożeniem.
• Problemy z wydajnością: Systemy napotykają nieoczekiwane problemy z wydajnością podczas uruchamiania z programem Defender dla punktu końcowego lub programu antywirusowego Microsoft Defender.
• Problemy ze zgodnością aplikacji: aplikacje napotykają nieoczekiwane zachowanie podczas uruchamiania z programem Defender dla punktu końcowego lub programu antywirusowego Microsoft Defender.

W poniższych sekcjach opisano typy wykluczeń dostępnych w Defender dla punktu końcowego i programu antywirusowego Microsoft Defender oraz informacje o tym, kiedy używać każdego z nich. Aby uzyskać podsumowanie narzędzi do zarządzania, których można użyć do konfigurowania każdego typu wykluczenia, zobacz Dokumentacja wykluczeń dla Ochrona punktu końcowego w usłudze Microsoft Defender.

Typy wykluczeń

Istnieje kilka typów wykluczeń, które należy wziąć pod uwagę. Niektóre typy wykluczeń mają wpływ na wiele możliwości w usłudze Defender for Endpoint, podczas gdy inne typy są specyficzne dla programu antywirusowego Microsoft Defender.

Aby uzyskać informacje o wskaźnikach, które są powiązanym, ale oddzielnym mechanizmem zezwalania lub blokowania określonych plików, adresów IP, adresów URL i certyfikatów, zobacz Omówienie wskaźników w Ochrona punktu końcowego w usłudze Microsoft Defender.

W poniższych tabelach podsumowano typy wykluczeń, które można zdefiniować, pogrupowane według tego, czy są dostępne na wszystkich platformach, czy tylko na Windows. Zanotuj zakres dla każdego typu wykluczenia.

• Wykluczenia międzyplatformowe: te wykluczenia są dostępne na urządzeniach z systemem Windows, macOS i Linux.

  Typ wykluczenia	Scope	Przypadki użycia
  Wykluczenia niestandardowe	Program antywirusowy Reguły zmniejszania obszaru podatnego na ataki Ochrona Sieci	Plik, folder lub proces jest identyfikowany jako złośliwy, mimo że nie stanowi zagrożenia. Aplikacja napotka nieoczekiwane problemy z wydajnością lub zgodnością aplikacji podczas uruchamiania z Defender dla punktu końcowego. W systemie Windows niektóre reguły ASR uwzględniają wykluczenia plików i folderów (ścieżek) w programie Microsoft Defender Antivirus.
  Wskaźniki zezwalania na pliki i certyfikaty	Program antywirusowy Reguły ASR Kontrolowany dostęp do folderów (CFA)	Plik lub proces podpisany przez certyfikat jest identyfikowany jako złośliwy, mimo że nie jest.
  Wskaźniki domeny/adresu URL i adresu IP	Ochrona Sieci SmartScreen Filtrowanie zawartości sieci Web	Filtr SmartScreen zgłasza wynik fałszywie dodatni. Chcesz zastąpić blok filtrowania zawartości sieci Web w określonej witrynie.

• wykluczenia tylko Windows: te wykluczenia są dostępne tylko na urządzeniach Windows.

  Typ wykluczenia	Scope	Przypadki użycia
  Wstępnie skonfigurowane wykluczenia antywirusowe	Program antywirusowy	program antywirusowy Microsoft Defender automatycznie wyklucza niektóre pliki systemu operacyjnego i Windows Server role, więc nie musisz samodzielnie definiować tych wykluczeń.
  Wykluczenia reguł ASR	Reguły ASR	Reguła ASR powoduje nieoczekiwane zachowanie.
  Wykluczenia folderów dla automatyzacji	Zautomatyzowane badanie i reagowanie	Zautomatyzowane badanie i korygowanie podejmuje działanie wobec pliku, rozszerzenia lub katalogu, które należy obsłużyć ręcznie.
  Wykluczenia CFA	CFA	CfA blokuje aplikacji dostęp do chronionego folderu.

Wstępnie skonfigurowane wykluczenia antywirusowe

Nie musisz definiować tych typów wykluczeń, ale warto wiedzieć, czym są i jak działają. program antywirusowy Microsoft Defender wstępnie konfiguruje następujące typy wykluczeń:

• Wbudowane wykluczenia programu antywirusowego Microsoft Defender:
  • program antywirusowy Microsoft Defender zawiera wbudowane wykluczenia dla plików systemu operacyjnego we wszystkich obsługiwanych wersjach klienta i serwera Windows. Lista jest aktualna w miarę zmian w krajobrazie zagrożeń. Aby uzyskać więcej informacji, zobacz Wbudowane wykluczenia.
  • W obsługiwanych wersjach systemu Windows Server obowiązuje więcej wbudowanych wykluczeń dla funkcji serwera, takich jak Usługa nazw internetowych systemu Windows (WINS) i Usługa replikacji plików (FRS). Aby uzyskać więcej informacji, zobacz Wbudowane wykluczenia dotyczące Windows Server.

• Automatyczne wykluczenia programu antywirusowego Microsoft Defender: automatyczne wykluczenia ról i funkcji serwera w Windows Server 2016 lub nowszym (na przykład usługa replikacji plików, Hyper-V, SYSVOL, Active Directory i serwer DNS). Podczas instalowania roli program Microsoft Defender Antivirus automatycznie uwzględnia wykluczenia dla roli serwera oraz wszelkich plików dodawanych podczas instalacji roli.

  Te wykluczenia nie są skanowane przez ochronę w czasie rzeczywistym , ale nadal podlegają szybkim, pełnym lub niestandardowym skanowaniom antywirusowym.

  Aby uzyskać więcej informacji, zobacz Automatyczne wykluczenia ról serwera.

  Automatyczne wykluczenia dotyczą tylko wbudowanych ról Windows Server. W przypadku uruchamiania innych obciążeń serwera, takich jak Exchange Server, SharePoint Server lub SQL Server, prawdopodobnie konieczne jest zdefiniowanie niestandardowych wykluczeń oprogramowania antywirusowego. Aby uzyskać więcej informacji, zapoznaj się z następującymi artykułami:

  • Uruchamianie oprogramowania antywirusowego Windows na platformie Exchange Server
  • Foldery, które należy wykluczyć ze skanowania antywirusowego na serwerze SharePoint Server
  • Konfigurowanie oprogramowania antywirusowego do pracy z programem SQL Server

  Możesz również zapoznać się z dokumentacją wydawcy oprogramowania.

Wykluczenia niestandardowe

Ochrona punktu końcowego w usłudze Microsoft Defender i Microsoft Defender Antivirus umożliwiają skonfigurowanie wykluczeń niestandardowych w celu zoptymalizowania wydajności i uniknięcia wyników fałszywie dodatnich. Wykluczenia niestandardowe, które można zdefiniować, różnią się w zależności od systemu operacyjnego.

• macOS: można zdefiniować wykluczenia, które mają zastosowanie tylko do skanowania antywirusowego (skanowania na żądanie, ochrony w czasie rzeczywistym i monitorowania). Te wykluczenia nie mają zastosowania do wykrywania i reagowania na punkty końcowe (EDR), więc wykluczone pliki mogą nadal wyzwalać alerty EDR i inne wykrycia. Obsługiwane typy wykluczeń obejmują:

  • Wykluczenia rozszerzeń plików: wyklucz wszystkie pliki z określonym rozszerzeniem.
  • Wykluczenia plików: wyklucz określony plik zidentyfikowany przez pełną ścieżkę.
  • Wykluczenia folderów: wyklucz wszystkie pliki w określonym folderze rekursywnie.
  • Wykluczenia procesów: wyklucz określony proces i wszystkie otwarte przez niego pliki.

  Aby uzyskać więcej informacji, zobacz Konfigurowanie i sprawdzanie poprawności wykluczeń dla Microsoft Defender dla punktów końcowych w systemie macOS.

• Linux: wykluczenia można skonfigurować jako wykluczenia antywirusowe (stosowane do ochrony w czasie rzeczywistym, skanowania na żądanie i monitorowania zachowania, zachowując widoczność EDR) lub jako globalne wykluczenia (stosowane na poziomie czujnika, wyciszanie zarówno wykrywania antywirusowego, jak i alertów EDR). Obsługiwane typy wykluczeń obejmują:

  • Wykluczenia rozszerzeń plików: wyklucz wszystkie pliki z określonym rozszerzeniem (niedostępne dla wykluczeń globalnych).
  • Wykluczenia plików: wyklucz określony plik zidentyfikowany przez pełną ścieżkę.
  • Wykluczenia folderów: wyklucz wszystkie pliki w określonym folderze rekursywnie.
  • Wykluczenia procesów: wyklucz określony proces (według pełnej ścieżki lub nazwy pliku) i wszystkie pliki otwarte przez nią.

  Aby uzyskać więcej informacji, zobacz temat Konfigurowanie i weryfikowanie wykluczeń w programie Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux.

• Windows: Można skonfigurować program antywirusowy Microsoft Defender do wykluczania kombinacji procesów, plików, folderów (ścieżek) i rozszerzeń z zaplanowanych skanowań, skanowań na żądanie, ochrony w czasie rzeczywistym i wykrywania potencjalnie niechcianych aplikacji (PUA). Te wykluczenia dotyczą tylko skanowania antywirusowego. Nie mają one zastosowania do EDR, więc wykluczone pliki mogą nadal wyzwalać alerty EDR. Aby wykluczyć pliki ze wszystkich funkcji Defender for Endpoint, użyj wskaźników niestandardowych. Obsługiwane typy wykluczeń obejmują:

  • Wykluczenia plików i folderów: wyklucz określony plik lub wszystko w folderze. Znane również jako wykluczenia ścieżek.
  • Wykluczenia rozszerzeń plików: wyklucz dowolny plik, który ma określone rozszerzenie, niezależnie od lokalizacji.
  • Wykluczenia procesów: wyklucz wszystkie pliki otwierane przez określony proces.
  • Wykluczenia kontekstowe: zawęź wykluczenie ścieżki tak, aby było stosowane tylko w określonym kontekście, na przykład tylko wtedy, gdy określony proces otworzy plik.

  Aby uzyskać więcej informacji, zobacz Wykluczenia w programie antywirusowym Microsoft Defender.

Wykluczenia reguł zmniejszania obszaru podatnego na ataki

Reguły zmniejszania obszaru ataków (ASR) blokują ryzykowne zachowanie oprogramowania, ale niektóre uzasadnione aplikacje angażują się w to ryzykowne zachowanie (na przykład uruchamianie plików wykonywalnych, które pobierają i uruchamiają inne pliki). Niektóre reguły ASR uwzględniają wykluczenia programu antywirusowego Microsoft Defender. Reguły ASR obsługują również globalne wykluczenia reguł ASR oraz wykluczenia dla poszczególnych reguł ASR.

Aby uzyskać więcej informacji, zobacz File and folder exclusions for ASR rules (Wykluczenia plików i folderów dla reguł usługi ASR).

Wykluczenia folderów Automation

Wykluczenia folderów automatyzacji mają zastosowanie do zautomatyzowanego badania i korygowania w planie 2 usługi Ochrona punktu końcowego w usłudze Microsoft Defender, które analizuje alerty i podejmuje natychmiastowe działania w celu usunięcia wykrytych naruszeń. Gdy alert wyzwoli automatyczne badanie, dochodzenie osiągnie werdykt (złośliwe, podejrzane lub nie znaleziono zagrożeń) dla każdego elementu dowodu. W zależności od poziomu automatyzacji i innych ustawień zabezpieczeń akcje korygowania są wykonywane automatycznie lub po ich zatwierdzeniu przez zespół ds. operacji zabezpieczeń.

Aby uzyskać więcej informacji, zobacz Zarządzanie wykluczeniami folderów automatyzacji.

Wykluczenia dostępu do folderów kontrolowanych

Kontrolowany dostęp do folderów chroni dane przez blokowanie niezaufanych aplikacji przed zmianą plików w folderach chronionych na urządzeniach Windows. Domyślnie cfA chroni typowe foldery systemowe i można dodać inne foldery. Jeśli dyrektor finansowy blokuje zaufaną aplikację, możesz zdefiniować wykluczenie, aby umożliwić aplikacji modyfikowanie plików w folderach chronionych.

Aby uzyskać więcej informacji, zobacz Konfigurowanie kontrolowanego dostępu do folderów.

Niestandardowe akcje korygowania

Gdy program antywirusowy Microsoft Defender wykryje potencjalne zagrożenie podczas skanowania, podejmie próbę skorygowania lub usunięcia wykrytego zagrożenia. Można zdefiniować niestandardowe akcje korygowania, aby skonfigurować sposób, w jaki program antywirusowy Microsoft Defender powinien rozwiązywać problemy z pewnymi zagrożeniami, czy należy utworzyć punkt przywracania przed korygowaniem i kiedy należy usunąć zagrożenia.

Aby uzyskać więcej informacji, zobacz Konfigurowanie akcji korygowania zagrożeń dla wykryć programu Microsoft Defender Antivirus.

Sposób oceniania wykluczeń i wskaźników

Większość organizacji ma kilka typów wykluczeń i wskaźników, aby określić, czy użytkownicy powinni mieć dostęp do pliku lub procesu i korzystać z niego. Na urządzeniach z systemem Windows te wykluczenia i wskaźniki są przetwarzane w określonej kolejności, tak aby konflikty zasad były rozwiązywane w uporządkowany sposób.

Oto jak to działa. Ocena kończy się na pierwszym warunku, który ma zastosowanie:

1. Jeśli plik nie jest dozwolony przez zasady kontroli aplikacji Windows Defender i trybu wymuszania funkcji AppLocker, jest zablokowany.
2. W przeciwnym razie jeśli plik jest objęty wykluczeniem w programie Microsoft Defender Antivirus, jest dozwolony.
3. W przeciwnym razie, jeśli plik ma wskaźnik blokady lub ostrzegania pliku, jest zablokowany lub ostrzegany.
4. W przeciwnym razie, jeśli plik zostanie zablokowany przez filtr SmartScreen, zostanie zablokowany.
5. W przeciwnym razie, jeśli plik jest dozwolony przez wskaźnik pliku dozwolonego, jest dozwolony.
6. W przeciwnym razie, jeśli plik jest blokowany przez reguły zmniejszania obszaru podatnego na ataki, kontrolowany dostęp do folderów lub ochronę przed oprogramowaniem antywirusowym, jest zablokowany.
7. W przeciwnym razie plik jest dozwolony.

Jak są obsługiwane konflikty zasad

W przypadkach, gdy wskaźniki usługi Defender for Endpoint powodują konflikt, oto czego można się spodziewać:

• Jeśli występują sprzeczne wskaźniki plików, zostanie zastosowany wskaźnik, który używa najbezpieczniejszego skrótu. Na przykład sha256 ma pierwszeństwo przed SHA-1, który ma pierwszeństwo przed MD5.

• Jeśli występują sprzeczne wskaźniki adresu URL, używany jest bardziej szczegółowy wskaźnik.

  • W przypadku filtru SmartScreen w Microsoft Defender stosowany jest wskaźnik wykorzystujący najdłuższą ścieżkę URL. Na przykład www.contoso.com/admin/ ma pierwszeństwo przed www.contoso.com.
  • Ochrona sieci jest wymuszana przede wszystkim na poziomie domeny, chociaż może blokować określone ścieżki adresów URL w niektórych scenariuszach.

• Jeśli istnieją podobne wskaźniki dla pliku lub procesu, które mają różne akcje, wskaźnik ograniczony do określonej grupy urządzeń ma pierwszeństwo przed wskaźnikiem przeznaczonym dla wszystkich urządzeń.

Jak działa zautomatyzowane badanie i korygowanie

Funkcje zautomatyzowanego badania i korygowania w usłudze Defender for Endpoint najpierw określają werdykt dla każdego dowodu, a następnie podejmują działania w zależności od wskaźników usługi Defender for Endpoint. W rezultacie plik lub proces może uzyskać werdykt „dobry” (co oznacza, że nie znaleziono żadnych zagrożeń), a mimo to zostać zablokowany, jeśli istnieje wskaźnik z ustawioną taką akcją. Podobnie encja może otrzymać werdykt „bad” (co oznacza, że została uznana za złośliwą), a mimo to nadal być dozwolona, jeśli istnieje wskaźnik z taką akcją.

Aby uzyskać więcej informacji, zobacz Zautomatyzowane badanie i aparat korygowania.

Alternatywy i kroki, które należy wziąć pod uwagę przed utworzeniem wykluczenia

Utworzenie wykluczeń lub wskaźnika zezwalania powoduje utworzenie luki w ochronie. Użyj tych technik dopiero po określeniu głównej przyczyny problemu. Do tego czasu należy rozważyć alternatywy, takie jak przesłanie pliku do Microsoft na potrzeby analizy lub pomijanie alertu.

Poniższa lista zawiera opis typowych scenariuszy i kroków, które należy wziąć pod uwagę przed utworzeniem wykluczenia lub wskaźnika zezwolenia.

• Wynik fałszywie dodatni: jednostka, taka jak plik lub proces, została wykryta i zidentyfikowana jako złośliwa, mimo że jednostka nie jest zagrożeniem. Kroki, które należy wziąć pod uwagę:

  1. Przejrzyj i klasyfikuj alerty wygenerowane w wyniku wykrytej jednostki.
  2. Pomijanie alertu dla znanej jednostki.
  3. Przejrzyj akcje korygowania , które zostały podjęte dla wykrytej jednostki.
  4. Prześlij wynik fałszywie dodatni do Microsoft na potrzeby analizy.
  5. Zdefiniuj wskaźnik lub wykluczenie dla jednostki (tylko w razie potrzeby).

• Problemy z wydajnością. Przykład:

  • System ma wysokie użycie procesora CPU lub inne problemy z wydajnością.
  • System ma problemy z przeciekiem pamięci.
  • Aplikacja jest wolno ładowana na urządzeniach.
  • Aplikacja powoli otwiera plik na urządzeniach.

  Kroki, które należy wziąć pod uwagę:

  1. Zbieranie danych diagnostycznych programu antywirusowego Microsoft Defender.
  2. Jeśli używasz rozwiązania antywirusowego innego niż firmy Microsoft, skontaktuj się z dostawcą w sprawie znanych problemów z produktami antywirusowymi.
  3. Przejrzyj dzienniki wydajności (zobacz Rozwiązywanie problemów z wydajnością programu antywirusowego Microsoft Defender WPRUI), aby określić szacowany wpływ na wydajność. W przypadku problemów związanych z wydajnością związanych z programem antywirusowym Microsoft Defender użyj analizatora wydajności dla programu antywirusowego Microsoft Defender.
  4. Zdefiniuj wykluczenie programu antywirusowego Microsoft Defender (w razie potrzeby).
  5. Utwórz wskaźnik dla Defender for Endpoint (tylko w razie potrzeby).

• Problemy ze zgodnością produktów antywirusowych innych niż Microsoft. Na przykład usługa Defender for Endpoint korzysta z aktualizacji analizy zagrożeń dla urządzeń, niezależnie od tego, czy używają one programu Microsoft Defender Antivirus, czy rozwiązania antywirusowego innego niż firmy Microsoft. Kroki, które należy wziąć pod uwagę:

  1. Jeśli używasz produktu antywirusowego innego niż Microsoft jako podstawowego rozwiązania antywirusowego/chroniącego przed złośliwym kodem, ustaw program antywirusowy Microsoft Defender na tryb pasywny.
  2. Jeśli przechodzisz z rozwiązania antywirusowego/chroniącego przed złośliwym oprogramowaniem innego niż firmy Microsoft na Microsoft Defender for Endpoint, zobacz Jak przejść na Microsoft Defender for Endpoint. Te wskazówki obejmują wykluczenia, które może być konieczne skonfigurować w programie Microsoft Defender Antivirus oraz informacje dotyczące rozwiązywania problemów (na wypadek, gdyby coś poszło nie tak podczas migracji).

• Zgodność z aplikacjami. Na przykład aplikacje ulegają awarii lub występują nieoczekiwane zachowania po dołączeniu urządzenia do Ochrona punktu końcowego w usłudze Microsoft Defender. Zobacz Eliminowanie niepożądanych zachowań w usłudze Microsoft Defender dla punktu końcowego przy użyciu wykluczeń, wskaźników i innych technik.

Przesyłanie plików do analizy

Jeśli masz plik, który uważasz za niesłusznie wykryty jako złośliwe oprogramowanie (fałszywie dodatni) lub plik, który podejrzewasz, że może być złośliwym oprogramowaniem, mimo że nie został wykryty (fałszywie ujemny), możesz przesłać plik do firmy Microsoft w celu analizy. Przesyłanie jest skanowane natychmiast, a następnie przeglądane przez analityków zabezpieczeń Microsoft. Stan przesyłania można sprawdzić na stronie historii przesyłania.

Przesyłanie plików do analizy pomaga zmniejszyć liczbę wyników fałszywie dodatnich i fałszywie ujemnych dla wszystkich klientów. Aby uzyskać więcej informacji, zapoznaj się z następującymi artykułami:

• Przesyłanie plików do analizy
• Prześlij pliki w portalu Microsoft Defender (tylko Defender for Endpoint Plan 2 lub Microsoft Defender XDR)

Wyłączanie alertów

Jeśli w portalu Microsoft Defender są wyświetlane alerty dotyczące narzędzi lub procesów, o których wiesz, że w rzeczywistości nie są zagrożeniem, możesz pominąć te alerty.

Aby pominąć alert, należy utworzyć regułę pomijania i określić, jakie akcje należy wykonać dla tego alertu w przypadku innych identycznych alertów. Możesz utworzyć reguły pomijania dla określonego alertu na jednym urządzeniu lub dla wszystkich alertów, które mają ten sam tytuł w organizacji.

Aby uzyskać więcej informacji, zapoznaj się z następującymi artykułami:

• Pomijanie alertów
• Blog społeczności technicznej: przedstawiamy nowy sposób wyciszania alertów (dla usługi Defender for Endpoint)

Zobacz także

• Rozwiązywanie typowych scenariuszy fałszywie dodatnich z wykluczeniami
• Konfigurowanie wykluczeń dla programu antywirusowego Microsoft Defender
• Wykluczenia, których należy unikać w programie antywirusowym Microsoft Defender i Defender dla punktu końcowego
• Omówienie wskaźników w Microsoft Defender dla punktu końcowego