Migracja do Microsoft Defender dla punktów końcowych — faza 2: konfiguracja

  • Dotyczy: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2
Diagram fazy migracji 1: przygotowanie środowiska do migracji do Defender dla punktu końcowego.
Faza 1. Przygotowanie środowiska		 Diagram fazy 2 migracji: konfigurowanie Defender dla środowiska punktu końcowego.
Faza 2. Konfiguracja		 Diagram fazy 3 migracji: dołączanie urządzeń do Ochrona punktu końcowego w usłudze Microsoft Defender.
Faza 3. Dołączanie urządzeń do Defender dla punktu końcowego
Jesteś tutaj!

Witamy w fazie konfiguracji migracji do usługi Defender for Endpoint. Ta faza obejmuje następujące kroki:

  1. Zainstaluj ponownie/włącz program antywirusowy Microsoft Defender w punktach końcowych.
  2. Dodaj usługę Defender for Endpoint do listy wykluczeń istniejącego rozwiązania.
  3. Skonfiguruj usługę Defender for Endpoint w planie 1 lub planie 2.
  4. Skonfiguruj grupy urządzeń, kolekcje urządzeń i jednostki organizacyjne.

Ważna

Jeśli chcesz uruchomić wiele rozwiązań zabezpieczeń obok siebie, zobacz Zagadnienia dotyczące wydajności, konfiguracji i obsługi.

Być może masz już skonfigurowane wzajemne wykluczenia w zabezpieczeniach dla urządzeń wdrożonych do Ochrona punktu końcowego w usłudze Microsoft Defender. Jeśli nadal musisz ustawić wzajemne wykluczenia, aby uniknąć konfliktów, zobacz temat Dodaj Ochrona punktu końcowego w usłudze Microsoft Defender do listy wykluczeń w istniejącym rozwiązaniu.

Krok 1. Ponowne instalowanie/włączanie programu antywirusowego Microsoft Defender w punktach końcowych

W niektórych wersjach systemu Windows program antywirusowy Microsoft Defender został prawdopodobnie odinstalowany lub wyłączony po zainstalowaniu używanego przez Ciebie rozwiązania antywirusowego/chroniącego przed złośliwym oprogramowaniem firmy innej niż Microsoft. Gdy punkty końcowe z systemem Windows są dołączane do usługi Defender for Endpoint, program antywirusowy Microsoft Defender może działać w trybie pasywnym wraz z rozwiązaniem antywirusowym innym niż Microsoft. Aby dowiedzieć się więcej, zobacz Ochrona antywirusowa za pomocą usługi Defender for Endpoint.

Podczas przełączania do usługi Defender for Endpoint może być konieczne podjęcie pewnych kroków w celu ponownej instalacji lub włączenia programu antywirusowego Microsoft Defender. W poniższej tabeli opisano, co należy zrobić na klientach i serwerach z systemem Windows.

Typ punktu końcowego Co robić
Klienci systemu Windows (na przykład punkty końcowe z uruchomionymi Windows 10 i Windows 11) Ogólnie rzecz biorąc, nie trzeba podejmować żadnych działań dla klientów systemu Windows, ponieważ nie można usunąć funkcji programu antywirusowego Microsoft Defender. Jeśli korzystasz z rozwiązania chroniącego przed złośliwym kodem firmy innej niż Microsoft, program antywirusowy Microsoft Defender jest najprawdopodobniej w stanie automatycznego wyłączenia w tym momencie procesu migracji.

Gdy punkty końcowe klienta są dołączane do usługi Defender for Endpoint, jeśli te punkty końcowe nadal korzystają z rozwiązania antywirusowego innej firmy niż Microsoft, program antywirusowy Microsoft Defender przechodzi w tryb pasywny zamiast stanu wyłączonego.

Jeśli rozwiązanie antywirusowe inne niż Microsoft zostanie odinstalowane, program antywirusowy Microsoft Defender automatycznie przejdzie w tryb aktywny.
Serwery z systemem Windows W Windows Server może być konieczne ponowne zainstalowanie funkcji programu antywirusowego Microsoft Defender i ręczne ustawienie jej w trybie pasywnym. Na serwerach z systemem Windows, po zainstalowaniu oprogramowania antywirusowego lub ochrony przed złośliwym kodem firmy innej niż Microsoft, program antywirusowy Microsoft Defender nie może działać razem z rozwiązaniem antywirusowym innym niż Microsoft. W takich przypadkach program antywirusowy Microsoft Defender jest wyłączony lub odinstalowany ręcznie.

Aby ponownie zainstalować lub włączyć program antywirusowy Microsoft Defender na Windows Server, wykonaj następujące zadania:
- Włącz ponownie program antywirusowy Defender w systemie Windows Server, jeśli został wyłączony
- Włącz ponownie program antywirusowy Microsoft Defender w systemie Windows Server, jeśli został odinstalowany
- Ustaw Microsoft Defender Program antywirusowy na tryb pasywny w Windows Server

Jeśli napotkasz problemy z ponowną instalacją lub ponownym włączeniem programu antywirusowego Microsoft Defender w Windows Server, zobacz Rozwiązywanie problemów: Microsoft Defender program antywirusowy jest odinstalowywany w Windows Server. Jeśli funkcje programu Microsoft Defender Antivirus i pliki instalacyjne tej funkcji zostały wcześniej usunięte z systemów operacyjnych Windows Server, postępuj zgodnie ze wskazówkami zawartymi w artykule Configure a Windows Repair Source, aby przywrócić pliki instalacyjne funkcji.

Wskazówka

Aby dowiedzieć się więcej o stanach programu Microsoft Defender Antivirus w przypadku ochrony antywirusowej innej niż firmy Microsoft, zobacz Zgodność programu Microsoft Defender Antivirus.

Ręczne ustawianie trybu pasywnego programu antywirusowego Microsoft Defender na Windows Server

Aby ustawić program antywirusowy Microsoft Defender na tryb pasywny w Windows Server, wykonaj następujące kroki.

Wskazówka

Teraz można uruchomić program antywirusowy Microsoft Defender w trybie pasywnym w Windows Server 2012 R2 i 2016. Aby uzyskać więcej informacji, zobacz Dołączanie systemów Windows Server 2012 R2 i Windows Server 2016 do Ochrona punktu końcowego w usłudze Microsoft Defender.

  1. Otwórz Edytor rejestru, a następnie przejdź do obszaru Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection.

  2. Edytuj (lub utwórz) wpis DWORD o nazwie ForceDefenderPassiveMode i określ następujące ustawienia:

    • Ustaw wartość DWORD na 1.

    • W obszarze Baza wybierz pozycję Szesnastkowa.

Uwaga

Aby sprawdzić, czy tryb pasywny został ustawiony zgodnie z oczekiwaniami, wyszukaj zdarzenie 5007 w dzienniku operacyjnym Microsoft-Windows-Windows Defender (znajdującym się pod C:\Windows\System32\winevt\Logsadresem ) i upewnij się, że klucze rejestru ForceDefenderPassiveMode lub PassiveMode zostały ustawione na 0x1.

Krok 2: Dodaj Microsoft Defender dla punktu końcowego do listy wykluczeń dla istniejącego rozwiązania

W kroku listy wykluczeń dodasz Defender dla punktu końcowego do listy wykluczeń dla istniejącego rozwiązania ochrony punktu końcowego i innych produktów zabezpieczeń używanych przez organizację. Upewnij się, że zapoznaj się z dokumentacją dostawcy rozwiązań, aby dodać wykluczenia.

Wybierz kartę, aby uzyskać informacje o wykluczeniach dla tego systemu operacyjnego.

Procesy opisane w tej sekcji dotyczą wyłącznie rozwiązania Microsoft Defender dla punktów końcowych na platformach Windows, w tym starszych wersji systemu operacyjnego. Ta lista nie uwzględnia żadnych innych wymagań dotyczących komunikacji z systemem Windows.

Określone wykluczenia do skonfigurowania zależą od wersji systemu Windows, w której działają punkty końcowe lub urządzenia, i są wymienione w poniższej tabeli.

System operacyjny Wykluczenia
Windows 11
Windows 10, wersja 1803 lub nowsza (zobacz informacje o wersji Windows 10)
Windows 10, wersja 1703 lub 1709 z zainstalowanym KB4493441
Windows Server 2025
Azure Stack HCI OS, wersja 23H2 i nowsze
Windows Server 2022
Windows Server 2019
Windows Server, wersja 1803
Windows Server 2016 uruchamianie nowoczesnego, ujednoliconego rozwiązania
Windows Server 2012 R2 z nowoczesnym ujednoliconym rozwiązaniem		 Wykluczenia EDR:
C:\Program Files\Windows Defender Advanced Threat Protection\MsSense.exe
C:\Program Files\Windows Defender Advanced Threat Protection\SenseCncProxy.exe
C:\Program Files\Windows Defender Advanced Threat Protection\SenseSampleUploader.exe
C:\Program Files\Windows Defender Advanced Threat Protection\SenseIR.exe
C:\Program Files\Windows Defender Advanced Threat Protection\SenseCM.exe
C:\Program Files\Windows Defender Advanced Threat Protection\SenseNdr.exe
C:\Program Files\Windows Defender Advanced Threat Protection\Classification\SenseCE.exe
C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\DataCollection
C:\Program Files\Windows Defender Advanced Threat Protection\SenseTVM.exe
C:\Program Files\Windows Defender Advanced Threat Protection\SenseTracer.exe
C:\Program Files\Windows Defender Advanced Threat Protection\SenseDlpProcessor.exe

Ścieżka rejestru:
HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection\*

Wykluczenia programu antywirusowego:
C:\Program Files\Windows Defender\MsMpEng.exe
C:\Program Files\Windows Defender\NisSrv.exe
C:\Program Files\Windows Defender\ConfigSecurityPolicy.exe
C:\Program Files\Windows Defender\MpCmdRun.exe
C:\Program Files\Windows Defender\MpDefenderCoreService.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.*\MsMpEng.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.*\NisSrv.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.*\ConfigSecurityPolicy.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.*\MpCopyAccelerator.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.*\MpCmdRun.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.*\MpDefenderCoreService.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.*\mpextms.exe

Wykluczenia funkcji ochrony przed utratą danych na punktach końcowych (Endpoint DLP):
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.*\MpDlpService.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.*\MpDlpCmd.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.*\MipDlp.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.*\DlpUserAgent.exe
Windows Server 2016 lub Windows Server 2012 R2 z nowoczesnym, ujednoliconym rozwiązaniem Po zaktualizowaniu składnika Sense EDR przy użyciu KB5005292 są wymagane następujące dodatkowewykluczenia:
C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Platform\*\MsSense.exe
C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Platform\*\SenseCnCProxy.exe
C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Platform\*\SenseIR.exe
C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Platform\*\SenseCE.exe
C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Platform\*\SenseSampleUploader.exe
C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Platform\*\SenseCM.exe
C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\DataCollection
C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Platform\*\SenseTVM.exe
Windows 8.1Windows 7 Windows Server 2008 R2 SP1 C:\Program Files\Microsoft Monitoring Agent\Agent\Health Service State\Monitoring Host Temporary Files 6\45\MsSenseS.exe
(Tymczasowe pliki hosta monitorującego 6\45 mogą znajdować się w podfolderach o różnych numerach.)
C:\Program Files\Microsoft Monitoring Agent\Agent\AgentControlPanel.exe
C:\Program Files\Microsoft Monitoring Agent\Agent\HealthService.exe
C:\Program Files\Microsoft Monitoring Agent\Agent\HSLockdown.exe
C:\Program Files\Microsoft Monitoring Agent\Agent\MOMPerfSnapshotHelper.exe
C:\Program Files\Microsoft Monitoring Agent\Agent\MonitoringHost.exe
C:\Program Files\Microsoft Monitoring Agent\Agent\TestCloudConnection.exe

Ważna

Najlepszym rozwiązaniem jest aktualizowanie urządzeń i punktów końcowych organizacji. Upewnij się, że masz najnowsze aktualizacje dla Ochrona punktu końcowego w usłudze Microsoft Defender i Microsoft Defender Antivirus, oraz utrzymuj systemy operacyjne i aplikacje zwiększające produktywność w organizacji w aktualnym stanie.

Krok 3. Konfigurowanie ustawień wdrażania i ochrony w usłudze Defender for Endpoint

Skonfiguruj funkcje usługi Microsoft Defender for Endpoint przed dołączeniem urządzeń.

Microsoft Intune jest zalecanym narzędziem do konfigurowania i wdrażania funkcji Defender for Endpoint na urządzeniach. Jednak usługa Intune jest oddzielnym produktem, który nie jest częścią Defender dla punktu końcowego i nie jest uwzględniony we wszystkich subskrypcjach. Aby korzystać z usługi Intune, potrzebujesz subskrypcji, która ją zawiera, lub możesz kupić ją oddzielnie jako autonomiczną subskrypcję lub dodatek. Jeśli nie masz usługi Intune, możesz użyć dowolnej z innych metod w tym artykule. Aby uzyskać więcej informacji, zobacz licencjonowanie Microsoft Intune.

  • Jeśli masz usługę Defender for Endpoint Plan 1, wykonaj kroki od 1 do 5 w poniższej procedurze.
  • Jeśli masz usługę Defender for Endpoint Plan 2, wykonaj kroki od 1 do 7 w poniższej procedurze.

  1. Upewnij się, że usługa Defender dla punktu końcowego jest aprowizowana. Jako administrator zabezpieczeń przejdź do portalu Microsoft Defender i zaloguj się. Następnie w okienku nawigacji wybierz pozycje Zasoby>Urządzenia.

    W poniższej tabeli przedstawiono, jak może wyglądać ekran i co to znaczy.

    Ekran Co to oznacza
    Zrzut ekranu przedstawiający komunikat informujący, aby zaczekać, ponieważ MDE nie zostało jeszcze aprowizowane. Aprowizowanie usługi Defender for Endpoint nie zostało jeszcze zakończone. Być może trzeba będzie trochę poczekać na zakończenie procesu.
    Zrzut ekranu przedstawiający stronę inwentaryzacji urządzeń, na której nie wdrożono jeszcze żadnego urządzenia. Usługa Defender for Endpoint jest aprowizowana. W tym przypadku przejdź do kroku 2. Włącz ochronę przed naruszeniami.

  2. Włącz ochronę przed naruszeniami. Zalecamy włączenie ochrony przed naruszeniami dla całej organizacji. To zadanie można wykonać w portalu Microsoft Defender.

    1. W portalu Microsoft Defender wybierz pozycję Ustawienia>Punkty końcowe.

    2. Przejdź do pozycji Ogólne>funkcje zaawansowane, a następnie ustaw przełącznik ochrony przed naruszeniami na wartość Włączone.

    3. Wybierz Zapisz.

    Aby uzyskać więcej informacji, zobacz Ochrona przed naruszeniami.

  3. Jeśli używasz Microsoft Intune lub Microsoft Configuration Manager do dołączania urządzeń i konfigurowania zasad urządzeń, skonfiguruj integrację z usługą Defender for Endpoint, wykonując następujące kroki:

    1. W centrum administracyjnym Microsoft Intune przejdź do obszaru Zabezpieczenia punktu końcowego.

    2. W obszarze Konfiguracja wybierz pozycję Ochrona punktu końcowego w usłudze Microsoft Defender.

    3. W sekcji Ustawienia profilu zabezpieczeń punktu końcowego ustaw przełącznik dla opcji Zezwalaj usłudze Ochrona punktu końcowego w usłudze Microsoft Defender na wymuszanie konfiguracji zabezpieczeń punktu końcowegona wartość Włączone.

    4. W górnej części ekranu wybierz pozycję Zapisz.

    5. W portalu Microsoft Defender wybierz pozycję Ustawienia>Punkty końcowe.

    6. Przewiń w dół do pozycji Zarządzanie konfiguracją i wybierz pozycję Zakres wymuszania.

    7. Ustaw przełącznik Użyj MDE do wymuszania ustawień konfiguracji zabezpieczeń z MEM na Włączone, a następnie wybierz opcje zarówno dla urządzeń klienckich z systemem Windows, jak i urządzeń z systemem Windows Server.

    8. Jeśli planujesz używać Configuration Manager, ustaw przełącznik dla opcji Zarządzanie ustawieniami zabezpieczeń przy użyciu Configuration Manager na wartość Włączone. (Jeśli potrzebujesz pomocy w tym kroku, zobacz Współistnienie z Microsoft Configuration Manager).

    9. Przewiń w dół i wybierz pozycję Zapisz.

  4. Skonfiguruj możliwości początkowego zmniejszania obszaru podatnego na ataki. Co najmniej włącz standardowe reguły zmniejszania obszaru ochrony przed atakami (ASR), które są od razu wymienione w poniższej tabeli:

    Standardowe reguły ochrony Metody konfiguracji
    Blokuj kradzież poświadczeń z podsystemu lokalnego urzędu zabezpieczeń systemu Windows

    Blokuj nadużycia związane z wykorzystaniem podatnych na ataki podpisanych sterowników (Urządzenie)

    Blokowanie mechanizmu utrwalania za pomocą subskrypcji zdarzeń WMI    		 Intune (profile konfiguracji urządzeń lub zasady zabezpieczeń punktu końcowego)

    Mobile Zarządzanie urządzeniami (MDM) (Użyj dostawcy usług konfiguracji (CSP) Defender/AttackSurfaceReductionRules policy CSP, aby osobno włączyć każdą regułę i ustawić jej tryb.)

    zasady grupy lub program PowerShell (tylko wtedy, gdy nie używasz Intune, Configuration Manager lub innej platformy zarządzania na poziomie przedsiębiorstwa)

    Aby uzyskać więcej informacji, zobacz Możliwości zmniejszania obszaru podatnego na ataki.

  5. Skonfiguruj możliwości ochrony nowej generacji.

    Możliwości Metody konfiguracji
    Intune 1. W centrum administracyjnym Intune wybierz pozycję Urządzenia>Profile konfiguracji, a następnie wybierz typ profilu, który chcesz skonfigurować. Jeśli nie utworzono jeszcze typu profilu Ograniczenia urządzenia lub chcesz utworzyć nowy, zobacz Konfigurowanie ustawień ograniczeń urządzenia w Microsoft Intune.

    2. Wybierz pozycję Właściwości, a następnie wybierz pozycję Ustawienia konfiguracji: Edytuj

    3. Rozwiń Microsoft Defender Antivirus.

    4. Włącz ochronę dostarczaną przez chmurę.

    5. Na liście rozwijanej Monituj użytkowników przed przesłaniem przykładu wybierz pozycję Wyślij wszystkie przykłady automatycznie.

    6. Na liście rozwijanej Wykrywanie potencjalnie niechcianych aplikacji wybierz pozycję Włącz lub Przeprowadź inspekcję.

    7. Wybierz pozycję Przejrzyj i zapisz, a następnie wybierz pozycję Zapisz.

    PORADA: Aby uzyskać więcej informacji na temat profilów urządzeń w usłudze Intune, w tym informacje o sposobie tworzenia tych profilów i konfigurowania ich ustawień, zobacz Czym są profile urządzeń w usłudze Microsoft Intune?.
    Menedżer konfiguracji Zobacz Tworzenie i wdrażanie zasad ochrony przed złośliwym kodem dla programu Endpoint Protection w Configuration Manager.

    Podczas tworzenia i konfigurowania zasad ochrony przed złośliwym kodem należy zapoznać się z ustawieniami ochrony w czasie rzeczywistym i włączyć blok od pierwszego wejrzenia.
    Zaawansowane zarządzanie zasadami grup
    lub
    Konsola zarządzania zasadami grupy    		 1. Przejdź do pozycji Konfiguracja> komputeraSzablony> administracyjneSkładniki> systemu Windows Microsoft Defender Program antywirusowy.

    2. Poszukaj zasad o nazwie Wyłącz program antywirusowy Microsoft Defender.

    3. Wybierz pozycję Edytuj ustawienie zasad i upewnij się, że zasady są wyłączone. Wyłączenie tych zasad umożliwia Microsoft Defender Antivirus. (W niektórych wersjach systemu Windows możesz zobaczyć Program antywirusowy Windows Defender zamiast Program antywirusowy Microsoft Defender.)
    Panel sterowania w systemie Windows Postępuj zgodnie ze wskazówkami tutaj: Wymagania dotyczące ustawień urządzeń w Portalu firmy dla systemu Windows. (W niektórych wersjach systemu Windows możesz zobaczyć Program antywirusowy Windows Defender zamiast Program antywirusowy Microsoft Defender.)

    Jeśli masz plan Defender for Endpoint Plan 1, wstępna konfiguracja jest zakończona. Jeśli masz usługę Defender for Endpoint Plan 2, przejdź przez kroki 6–7.

  6. Skonfiguruj zasady wykrywania i reagowania na punkty końcowe (EDR) w centrum administracyjnym usługi Intune. Aby uzyskać pomoc dotyczącą tego zadania, zobacz Tworzenie zasad EDR.

  7. Skonfiguruj możliwości zautomatyzowanego badania i korygowania w portalu Microsoft Defender. Aby uzyskać pomoc dotyczącą tego zadania, zobacz artykuł Konfigurowanie funkcji automatycznego badania i reagowania w Microsoft Defender dla Punktu Końcowego.

    W tym momencie została ukończona początkowa konfiguracja i konfiguracja usługi Defender for Endpoint Plan 2.

Krok 4. Dodawanie istniejącego rozwiązania do listy wykluczeń dla programu antywirusowego Microsoft Defender

Podczas konfigurowania wykluczeń programu antywirusowego Microsoft Defender należy dodać istniejące rozwiązanie do listy wykluczeń programu antywirusowego Microsoft Defender. Możesz wybrać jedną z kilku metod dodawania wykluczeń do programu antywirusowego Microsoft Defender, jak wymieniono w poniższej tabeli:

Metoda Co robić
Intune 1. Przejdź do centrum administracyjnego Microsoft Intune i zaloguj się.

2. Wybierz pozycję Urządzenia>Profile konfiguracji, a następnie wybierz profil, który chcesz skonfigurować.

3. W obszarze Zarządzanie wybierz pozycję Właściwości.

4. Wybierz pozycję Ustawienia konfiguracji: Edytuj.

5. Rozwiń Microsoft Defender Antivirus, a następnie rozwiń Wykluczenia programu antywirusowego Microsoft Defender.

6. Określ pliki, foldery i procesy do wykluczenia z Microsoft Defender skanowania antywirusowego. Aby uzyskać więcej informacji, zobacz wykluczenia programu antywirusowego Microsoft Defender.

7. Wybierz pozycję Przejrzyj i zapisz, a następnie wybierz pozycję Zapisz.
Microsoft Configuration Manager 1. Korzystając z konsoli Configuration Manager, przejdź do obszaru Zasoby i zgodność>Ochrona punktu końcowego>Zasady ochrony przed złośliwym oprogramowaniem, a następnie wybierz politykę, którą chcesz zmodyfikować.

2. Określ ustawienia wykluczeń dla plików, folderów i procesów, które mają zostać wykluczone ze skanowania programu antywirusowego Microsoft Defender.
Obiekt zasad grupy 1. Na komputerze do zarządzania zasadami grupy otwórz Konsolę zarządzania zasadami grupy (GPMC). Kliknij prawym przyciskiem myszy obiekt zasady grupy, który chcesz skonfigurować, a następnie wybierz pozycję Edytuj.

2. W Edytorze zarządzania zasadami grupy przejdź do pozycji Konfiguracja komputera i wybierz pozycję Szablony administracyjne.

3. Rozwiń drzewo do pozycji Składniki systemu Windows > Microsoft Defender Antivirus > Wykluczenia. (W niektórych wersjach systemu Windows możesz zobaczyć Program antywirusowy Windows Defender zamiast Program antywirusowy Microsoft Defender.)

4. Kliknij dwukrotnie ustawienie Wykluczenia ścieżki i dodaj wykluczenia.

5. Ustaw opcję Włączone.

6. W sekcji Opcje wybierz pozycję Pokaż....

7. Określ każdy folder we własnym wierszu w kolumnie Nazwa wartości . Jeśli określisz plik, wprowadź w pełni kwalifikowaną ścieżkę do pliku, w tym literę dysku, ścieżkę folderu, nazwę pliku i rozszerzenie. Wprowadź 0 w kolumnie Wartość.

8. Wybierz przycisk OK.

9. Kliknij dwukrotnie ustawienie Wykluczenia rozszerzeń i dodaj wykluczenia.

10. Ustaw opcję Włączone.

11. W sekcji Opcje wybierz pozycję Pokaż....

12. Wprowadź każde rozszerzenie pliku we własnym wierszu w kolumnie Nazwa wartości . Wprowadź 0 w kolumnie Wartość.

13. Wybierz przycisk OK.
Obiekt lokalnych zasad grupy 1. Na urządzeniu końcowym lub urządzeniu otwórz Edytor lokalnych zasad grupy.

2. Przejdź do pozycji Konfiguracja> komputeraSzablony> administracyjneSkładniki> systemu Windows Microsoft Defender Wykluczenia antywirusowe>. (W niektórych wersjach systemu Windows możesz zobaczyć Program antywirusowy Windows Defender zamiast Program antywirusowy Microsoft Defender.)

3. Określ wykluczenia ścieżek i procesów.
Klucz rejestru 1. Wyeksportuj następujący klucz rejestru: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\exclusions.

2. Zaimportuj klucz rejestru. Oto dwa przykłady:
- Ścieżka lokalna: regedit.exe /s c:\temp\MDAV_Exclusion.reg
- Udział sieciowy: regedit.exe /s \\FileServer\ShareName\MDAV_Exclusion.reg

Dowiedz się więcej o wykluczeniach dla Ochrona punktu końcowego w usłudze Microsoft Defender i Microsoft Defender Antivirus.

Ważne zagadnienia dotyczące wykluczeń programu antywirusowego Microsoft Defender

Gdy dodajesz wykluczenia do skanowań programu Microsoft Defender Antivirus, należy dodać wykluczenia ścieżek i procesów.

  • Wykluczenia ścieżek wykluczają określone pliki oraz wszystko, do czego te pliki uzyskują dostęp.
  • Wykluczenia procesów wykluczają wszystkie elementy procesu, ale nie wykluczają samego procesu.
  • Wyświetl listę wykluczeń procesu przy użyciu pełnej ścieżki, a nie tylko ich nazwy. (Metoda oparta wyłącznie na nazwie jest mniej bezpieczna).
  • Jeśli uwzględnisz każdy plik wykonywalny (.exe) zarówno jako wykluczenie ścieżki, jak i wykluczenie procesu, wykluczony będzie proces oraz wszystko, z czym wchodzi on w interakcję.

Krok 5. Konfigurowanie grup urządzeń, kolekcji urządzeń i jednostek organizacyjnych

Grupy urządzeń, kolekcje urządzeń i jednostki organizacyjne umożliwiają zespołowi ds. zabezpieczeń wydajne i efektywne zarządzanie zasadami zabezpieczeń i przypisywanie ich. W poniższej tabeli opisano każdą z tych grup i sposób ich konfigurowania. Twoja organizacja może nie używać wszystkich trzech typów kolekcji.

Uwaga

Tworzenie grupy urządzeń jest obsługiwane w usłudze Defender for Endpoint Plan 1 i Plan 2.

Typ kolekcji Co robić
Grupy urządzeń (wcześniej nazywane grupami maszyn) umożliwiają zespołowi ds. operacji zabezpieczeń konfigurowanie możliwości zabezpieczeń, takich jak zautomatyzowane badanie i korygowanie.

Grupy urządzeń są również przydatne do przypisywania dostępu do tych urządzeń, dzięki czemu zespół ds. operacji zabezpieczeń może w razie potrzeby podjąć akcje korygowania.

Grupy urządzeń są tworzone w czasie, gdy atak został wykryty i powstrzymany, a alerty, takie jak „alert początkowego dostępu”, zostały wygenerowane i pojawiły się w portalu Microsoft Defender.		 1. Przejdź do portalu Microsoft Defender.

2. W okienku nawigacyjnym po lewej stronie wybierz pozycję Ustawienia>Punkty końcowe>Uprawnienia>Grupy urządzeń.

3. Wybierz pozycję + Dodaj grupę urządzeń.

4. Określ nazwę i opis grupy urządzeń.

5. Na liście Poziom automatyzacji wybierz opcję. (Zalecamy ustawienie Pełne — automatyczne korygowanie zagrożeń). Aby dowiedzieć się więcej na temat różnych poziomów automatyzacji, zobacz Jak są korygowane zagrożenia.

6. Określ warunki pasującej reguły, aby określić, które urządzenia należą do grupy urządzeń. Możesz na przykład wybrać domenę, wersje systemu operacyjnego, a nawet użyć tagów urządzeń.

7. Na karcie Dostęp użytkownika określ role, które powinny mieć dostęp do urządzeń uwzględnionych w grupie urządzeń.

8. Wybierz pozycję Gotowe.
Kolekcje urządzeń umożliwiają zespołowi ds. operacji zabezpieczeń zarządzanie aplikacjami, wdrażanie ustawień zgodności lub instalowanie aktualizacji oprogramowania na urządzeniach w organizacji.

Kolekcje urządzeń są tworzone przy użyciu Configuration Manager.		 Wykonaj kroki opisane w temacie Tworzenie kolekcji.
Jednostki organizacyjne umożliwiają logiczne grupowanie obiektów, takich jak konta użytkowników, konta usług lub konta komputerów.

Następnie można przypisać administratorów do określonych jednostek organizacyjnych i zastosować zasady grupy w celu wymuszenia docelowych ustawień konfiguracji.

Jednostki organizacyjne są definiowane w Microsoft Entra Domain Services.		 Wykonaj kroki opisane w temacie Tworzenie jednostki organizacyjnej w domenie zarządzanej Microsoft Entra Domain Services.

Następne kroki

Gratulacje! Masz już za sobą fazę konfiguracji migracji do usługi Defender for Endpoint!

  • Ostatnia aktualizacja o