Włącz i użyj trybu rozwiązywania problemów w Ochrona punktu końcowego w usłudze Microsoft Defender

  • Dotyczy: Microsoft Defender for Endpoint, Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Na urządzeniach z Windows tryb rozwiązywania problemów w Ochrona punktu końcowego w usłudze Microsoft Defender pozwala tymczasowo zmienić niektóre ustawienia Microsoft Defender Antivirus zarządzane politykami. Użyj trybu rozwiązywania problemów, aby zdiagnozować wydajność, kompatybilność aplikacji, fałszywe alarmy i inne problemy antywirusowe, w tym gdy ochrona przed manipulacją uniemożliwia zmiany chronionych ustawień.

Tryb rozwiązywania problemów jest dostępny dla urządzeń zarejestrowanych w Defender for Endpoint, które działają na Windows lub macOS. Obecnie tryb rozwiązywania problemów nie jest dostępny dla urządzeń z Linuksem. Na macOS tryb rozwiązywania problemów nie pozwala wyłączyć ochrony przed manipulacją. Wymagania i instrukcje macOS znajdziesz w trybie rozwiązywania problemów w Ochrona punktu końcowego w usłudze Microsoft Defender na macOS.

Podczas gdy tryb rozwiązywania problemów jest aktywny, lokalni administratorzy mogą zmieniać ustawienia na poszczególnych urządzeniach, które zwykle są zablokowane przez politykę. Lokalni administratorzy nie mogą wyłączyć ani odinstalować Microsoft Defender Antivirus, ale mogą zmieniać inne ustawienia bezpieczeństwa Microsoft Defender Antivirus, takie jak ochrona chmurowa i ochrona przed manipulacją.

Tryb rozwiązywania problemów może zająć do 15 minut na uruchomienie i automatycznie wyłącza się po czterech godzinach. Jest ograniczony do ośmiu godzin na urządzenie, a limit resetuje się 24 godziny po pierwszym włączeniu trybu rozwiązywania problemów. Po wygaśnięciu trybu rozwiązywania problemów, ustawienia zarządzane polityką stają się tylko do odczytu i wracają do poprzednich wartości. Użytkownik urządzenia otrzymuje powiadomienia, gdy uruchamia się tryb rozwiązywania problemów, który ma się zakończyć i kończy.

Tymczasowe wyłączenie ochrony przed manipulacją może zwiększyć ryzyko naruszenia bezpieczeństwa. Urządzenie musi być online, gdy tymczasowo wyłączasz ochronę przed manipulacją.

Zmiany wprowadzane przez polityki zarządzania, gdy tryb rozwiązywania problemów jest aktywny, nie wchodzą w życie, dopóki tryb rozwiązywania problemów nie wygasnie. Aktualizacje platformy antywirusowej Microsoft Defender również nie są stosowane, gdy tryb rozwiązywania problemów jest aktywny. Aktualizacje platformy są stosowane po zakończeniu trybu rozwiązywania problemów, gdy uruchamia się Windows Update.

Wymagania wstępne

Zanim włączysz tryb rozwiązywania problemów, sprawdź następujące wymagania:

  • Rola administratora bezpieczeństwa Microsoft Entra. Dla dostępu z najmniejszymi uprawnieniami użyj niestandardowej roli Microsoft Defender z ujednoliconą kontrolą dostępu opartą na rolach (RBAC) z uprawnieniami autoryzacji i ustawień \ Ustawieniami bezpieczeństwa \ Podstawowymi ustawieniami bezpieczeństwa (zarządzaj) oraz autoryzacją i ustawieniami \ Ustawieniami bezpieczeństwa \ Uprawnieniami do dostrajania wykrywania (zarządzania). Aby uzyskać więcej informacji, zobacz ujednolicona kontrola dostępu oparta na rolach w Microsoft Defender.
  • Urządzenie zarejestrowane i aktywne w Defender for Endpoint.
  • Wersja 4.18.2203 platformy Microsoft Defender Antivirus (marzec 2022) lub nowsza, aktywnie działająca na urządzeniu.
  • Jeden z poniższych systemów operacyjnych oraz minimalne wersje lub kompilacje:

Włącz tryb rozwiązywania problemów w portalu Microsoft Defender

Włącz tryb rozwiązywania problemów na urządzeniu przed tymczasowymi zmianami w ustawieniach Microsoft Defender Antivirus:

  1. Na stronie Inventarz urządzeń w portalu Microsoft Defender w miejscu https://security.microsoft.com/machines, wybierz dowolne miejsce w wierszu urządzeń, tylko nie w polu zaznaczenia.

  2. Na stronie szczegółów urządzenia wybierz Więcej opcji (...), a następnie Włącz tryb rozwiązywania problemów.

    Zrzut ekranu menu akcji urządzenia z wybranym trybem

    Uwaga / Notatka

    Opcja Włącz tryb rozwiązywania problemów pojawia się na wszystkich urządzeniach, nawet jeśli urządzenie nie spełnia wymagań.

  3. W wyjściu z potwierdzeniem wybierz Wyślij.

    Zrzut ekranu z potwierdzeniem włączenia trybu rozwiązywania problemów.

  4. Poczekaj, aż strona z szczegółami urządzenia pokaże, że tryb rozwiązywania problemów jest aktywny. Aktywacja może trwać do 15 minut.

Tymczasowo wyłącz ochronę przed manipulacją

Po aktywnym trybie rozwiązywania problemów użyj PowerShell na obsługiwanym urządzeniu Windows lub aplikacji Zabezpieczenia systemu Windows na obsługiwanym urządzeniu klienta Windows, aby tymczasowo wyłączyć ochronę przed manipulacją.

Tymczasowo wyłącz ochronę przed manipulacją przy użyciu programu PowerShell

Aby tymczasowo wyłączyć ochronę przed manipulacją podczas trybu rozwiązywania problemów, uruchom następujące polecenie Set-MpPreference w podwyższonej sesji PowerShell (okno PowerShell, które otworzyłeś wybierając Uruchom jako administrator):

Set-MPPreference -DisableTamperProtection $true

Aby zweryfikować status ochrony przed manipulacją na urządzeniu, wykonaj następujące polecenie:

Get-MpComputerStatus | Select-Object IsTamperProtected

Wartość False potwierdza, że ochrona przed manipulacją jest wyłączona.

Tymczasowo wyłącz ochronę przed manipulacją za pomocą aplikacji Zabezpieczenia systemu Windows

Postępuj zgodnie z instrukcjami w sekcji Konfiguruj ochronę przed manipulacją w aplikacji Zabezpieczenia systemu Windows, aby wyłączyć ochronę przed manipulacją.

Uwaga / Notatka

Nie musisz ręcznie włączać ochrony przed manipulacją. Gdy tryb rozwiązywania problemów wygaśnie, tymczasowa zmiana jest odrzucana, a ochrona przed manipulacją przywraca się do poprzedniego stanu zarządzanego polityką. Jeśli wcześniej była włączona ochrona przed manipulacją, urządzenie się ponownie włącza. Jeśli wcześniej był wyłączony, to nadal jest wyłączony.

Przeglądaj wyniki trybu rozwiązywania problemów

Defender for Endpoint zbiera logi i dane dotyczące dochodzeń podczas procesu rozwiązywania problemów:

  • Migawka MpPreference zostaje wykonana przed rozpoczęciem trybu rozwiązywania problemów.
  • Druga migawka jest wykonywana tuż przed wygaśnięciem trybu rozwiązywania problemów.
  • Dzienniki operacyjne są zbierane podczas aktywnego trybu rozwiązywania problemów.

Użyj następujących metod do przeglądania lub zbierania informacji o trybie rozwiązywania problemów:

Zaawansowane zapytania dotyczące wyszukiwania zagrożeń

Użyj poniższych zaawansowanych zapytań polowania, aby zobaczyć zdarzenia w trybie rozwiązywania problemów w swoim środowisku. Możesz także użyć zapytań do tworzenia reguł wykrywania , które generują alerty, gdy urządzenia są w trybie rozwiązywania problemów.

Pobierz zdarzenia związane z rozwiązywaniem problemów dla danego urządzenia

Wyszukuj za pomocą deviceId lub deviceName, komentując linię, której nie chcesz używać.

//let deviceName = "<deviceName>";   // update with device name
let deviceId = "<deviceID>";   // update with device id
DeviceEvents
| where DeviceId == deviceId
//| where DeviceName  == deviceName
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| project Timestamp,DeviceId, DeviceName, _tsmodeproperties,
 _tsmodeproperties.TroubleshootingState, _tsmodeproperties.TroubleshootingPreviousState, _tsmodeproperties.TroubleshootingStartTime,
 _tsmodeproperties.TroubleshootingStateExpiry, _tsmodeproperties.TroubleshootingStateRemainingMinutes,
 _tsmodeproperties.TroubleshootingStateChangeReason, _tsmodeproperties.TroubleshootingStateChangeSource

Urządzenia aktualnie w trybie rozwiązywania problemów

DeviceEvents
| where Timestamp > ago(3h) // troubleshooting mode automatically disables after 4 hours
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
|summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| order by Timestamp desc

Liczba wystąpień trybu rozwiązywania problemów według urządzenia

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(30d)  // choose the date range you want
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| sort by count_

Liczenie instancji trybu rozwiązywania problemów w określonym przedziale czasowym

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(2d) //beginning of time range
| where Timestamp < ago(1d) //end of time range
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count()
| where count_ > 5          // choose your max # of TS mode instances for your time range

Treści powiązane

  • Ostatnia aktualizacja o