Rozwiązywanie problemów z ochroną sieci

  • Dotyczy: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business

Ten artykuł zawiera informacje dotyczące rozwiązywania problemów z ochroną sieci, na przykład:

  • Ochrona sieci blokuje bezpieczną witrynę internetową (fałszywie dodatnią)
  • Ochrona sieci nie blokuje podejrzanej lub znanej złośliwej witryny internetowej (fałszywie negatywnej)

Rozwiązywanie problemów z wynikami fałszywie dodatnimi i fałszywie ujemnymi w funkcji ochrony sieci obejmuje cztery kroki:

  1. Potwierdzanie wymagań wstępnych
  2. Testowanie reguły przy użyciu trybu inspekcji
  3. Dodawanie wykluczeń dla określonej reguły (dla wyników fałszywie dodatnich)
  4. Przesyłanie dzienników pomocy technicznej

Potwierdzanie wymagań wstępnych

Ochrona sieci działa na urządzeniach z następującymi warunkami:

Korzystanie z trybu inspekcji

Możesz włączyć ochronę sieci w trybie inspekcji, a następnie odwiedzić demonstracyjną lokację ochrony sieci , aby przetestować tę funkcję. Wszystkie połączenia witryny sieci Web są dozwolone przez ochronę sieci, ale zdarzenie jest rejestrowane, aby wskazać jakiekolwiek połączenie, które zostałoby zablokowane, gdyby włączono ochronę sieci.

  1. Ustaw ochronę sieci na tryb inspekcji. Tryb inspekcji zezwala na wszystkie połączenia, ale rejestruje wszystkie połączenia, które zostaną zablokowane, aby sprawdzić, czy blokowanie powoduje problem.

    Set-MpPreference -EnableNetworkProtection AuditMode

  2. Wykonaj czynność związaną z połączeniem, która powoduje problem (na przykład spróbuj wejść na stronę lub połączyć się z adresem IP, który chcesz lub nie chcesz zablokować).

  3. Przejrzyj dzienniki zdarzeń ochrony sieci, aby sprawdzić, czy funkcja zablokuje połączenie, jeśli zostanie ustawione na wartość Włączone.

    Jeśli Ochrona sieci nie blokuje połączenia, które według oczekiwań powinno być blokowane, uruchom następujące polecenie, aby ponownie włączyć Ochronę sieci w trybie blokowania i przywrócić wymuszanie:

    Set-MpPreference -EnableNetworkProtection Enabled

Zgłoś wynik fałszywie dodatni lub fałszywie ujemny

Jeśli funkcja została przetestowana za pomocą witryny demonstracyjnej i trybu inspekcji, ochrona sieci może działać w scenariuszach wstępnych, ale nie dla określonego połączenia. Aby zgłosić ten problem, użyj internetowego formularza zgłoszeniowego usługi Windows Defender Security Intelligence, aby zgłosić wynik fałszywie ujemny lub fałszywie dodatni. Za pomocą subskrypcji E5 możesz również połączyć się z dowolnym powiązanym alertem z kolejki Alerty.

Zobacz Eliminowanie wyników fałszywie dodatnich/ujemnych w Microsoft Defender dla punktu końcowego.

Dodawanie wykluczeń

Bieżące opcje wykluczeń to:

  1. Konfigurowanie niestandardowego wskaźnika zezwalania.

  2. Korzystanie z wykluczeń adresów IP: Add-MpPreference -ExclusionIpAddress 192.168.1.1.

  3. Z wyłączeniem całego procesu. Aby uzyskać więcej informacji, zobacz wykluczenia programu Microsoft Defender Antivirus.

Rozwiązywanie problemów z wydajnością sieci

Składnik ochrony sieci może spowalniać połączenia z kontrolerami domeny lub serwerami Exchange. Mogą również zostać wyświetlone błędy NETLOGON o identyfikatorze 5783. Te błędy oznaczają, że urządzenie nie może nawiązać połączenia z kontrolerem domeny.

Aby rozwiązać problem z wolnymi połączeniami sieciowymi lub błędami NETLOGON o identyfikatorze zdarzenia 5783, przełącz Ochronę sieci z „trybu blokowania” na „tryb inspekcji” lub „wyłączone”. Jeśli to rozwiąże ten problem, wyłącz składniki ochrony sieci pojedynczo, aby wyizolować, który składnik powoduje problem.

Wyłącz następujące składniki pojedynczo i przetestuj szybkość sieci po każdej zmianie:

  1. Wyłączanie przetwarzania datagramów w Windows Server
  2. Wyłącz telemetrię wydajności ochrony sieci
  3. Wyłącz parsowanie FTP
  4. Wyłącz parsowanie SSH
  5. Wyłączanie analizowania protokołu RDP
  6. Wyłącz parsowanie HTTP
  7. Wyłącz analizę SMTP
  8. Wyłącz parsowanie DNS przez TCP
  9. Wyłącz parsowanie DNS
  10. Wyłącz filtrowanie połączeń przychodzących
  11. Wyłączanie analizowania protokołu TLS

Jeśli problemy z wydajnością sieci będą nadal występować po wyłączeniu każdego składnika ochrony sieci wymienionego wcześniej, problemy prawdopodobnie nie są związane z ochroną sieci. Poszukaj innych przyczyn problemów z wydajnością sieci.

Zbieranie danych diagnostycznych na potrzeby przesyłania plików

Po zgłoszeniu problemu z ochroną sieci zostanie wyświetlony monit o zebranie i przesłanie danych diagnostycznych dla zespołów pomocy technicznej i inżynierów firmy Microsoft w celu ułatwienia rozwiązywania problemów. Zbierasz i przesyłasz dane diagnostyczne, uruchamiając polecenie MpCmdrun.exe -GetFiles, które zapisuje dane na stronie C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab.

Aby uzyskać szczegółowe instrukcje, zobacz Zbieranie danych diagnostycznych programu antywirusowego Microsoft Defender.

Rozwiązywanie problemów z łącznością z ochroną sieci (dla klientów E5)

Ponieważ ochrona sieci nie widzi ustawień serwera proxy systemu operacyjnego, klienci ochrony sieci mogą nie być w stanie nawiązać połączenia z usługą w chmurze w niektórych środowiskach. Aby rozwiązać te problemy z łącznością, skonfiguruj jeden z następujących kluczy rejestru, aby ochrona sieci stała się świadoma konfiguracji serwera proxy. Klucz rejestru można skonfigurować za pomocą programu PowerShell, Microsoft Configuration Manager lub Zasad grupy.

Jeśli środowisko używa stałego punktu końcowego serwera proxy, skonfiguruj Microsoft Defender do kierowania ruchu przez ten serwer proxy, ustawiając adres i port:

Set-MpPreference -ProxyServer <proxy IP address: Port>

---LUB---

Jeśli sieć kieruje ruch dynamicznie za pośrednictwem pliku PAC zamiast statycznego serwera proxy, użyj następującego polecenia, aby skonfigurować Microsoft Defender do używania tego adresu URL PAC:

Set-MpPreference -ProxyPacUrl <Proxy PAC url>

Klucz rejestru można skonfigurować za pomocą programu PowerShell, Microsoft Configuration Manager lub Zasad grupy. Oto kilka zasobów, które pomogą:

Zobacz też

  • Ostatnia aktualizacja o