Avalie o Microsoft Defender Antivirus com políticas de segurança de endpoints

Use as políticas de segurança de endpoints no portal Microsoft Defender para configurar e testar os recursos de proteção do Microsoft Defender Antivirus e Windows. A avaliação inclui proteção em tempo real, proteção entregue na nuvem, proteção de rede, regras de redução de superfície de ataque (ASR) e proteção contra violações.

Pré-requisitos

Se você tiver alguma dúvida sobre uma detecção feita pelo MDAV ou identificar uma detecção não realizada, poderá nos enviar um arquivo em nosso site de ajuda para envio de amostras.

Antes de começar, verifique se você tem:

Configurar políticas de avaliação

Crie políticas de segurança de endpoints separadas para configurações do antivírus Microsoft Defender, regras ASR e proteção contra adulterações. Para os passos completos de criar, atribuir, salvar, editar e verificar políticas, veja Criar uma política de segurança de endpoint e Editar uma política de segurança de endpoint.

Microsoft Defender Antivírus indica uma deteção através de notificações padrão do Windows. Você também pode consultar os resultados da varredura do Microsoft Defender Antivírus.

O registo de eventos do Windows também regista eventos de deteção e de motor. Para obter uma lista de IDs de evento e suas ações correspondentes, consulte Registros de eventos e códigos de erro para solucionar problemas com o Antivírus do Microsoft Defender.

Configurar configurações do Microsoft Defender Antivirus

Para configurar as configurações de avaliação do antivírus, use uma política de antivírus do Microsoft Defender.

Ao criar a política na guia Políticas do Windows da página Políticas de segurança de endpoint no portal do Defender em https://security.microsoft.com/policy-inventory?osPlatform=Windows, use estas configurações específicas:

  • Selecionar plataforma: Selecione Windows.
  • Selecionar modelo: selecione Microsoft Defender Antivírus.

Ao criar ou modificar a política, configure as seguintes configurações de avaliação na aba Configurações de Configuração :

  • Proteção em tempo real:

    Configuração Valor
    Permitir Monitorização em Tempo Real Permitido. Liga e executa o serviço de monitoramento em tempo real (padrão).
    Direção da verificação em tempo real Monitore todos os arquivos (bidirecional) (padrão).
    Permitir Monitorização de Comportamento Permitido. Ativa o monitoramento de comportamento em tempo real (padrão).
    Permitir Proteção de Acesso Permitido (padrão).
    Proteção contra PUA Proteção contra PUA ativada. Os itens detetados estão bloqueados. Eles aparecem na história junto com outras ameaças.

  • Funcionalidades de proteção da cloud:

    Configuração Valor
    Permitir Proteção da Cloud Permitido. Ativa a proteção na nuvem (padrão).
    Nível de bloco de nuvem Alto
    Tempo limite estendido da nuvem Configurado, 50
    Consentimento para Envio de Amostras Enviar todos os exemplos automaticamente

    As atualizações padrão de inteligência de segurança podem levar horas para serem preparadas e entregues. A proteção entregue pela Microsoft na nuvem pode oferecer proteção atualizada contra ameaças emergentes em segundos. Para obter mais informações, veja Use next-gen technologies in Microsoft Defender Antivirus through cloud-delivered protection (Utilizar tecnologias de próxima geração no Antivírus do Microsoft Defender através da proteção fornecida pela cloud).

  • Análises:

    Configuração Valor
    Permitir Análise de Email Permitido. Ativa a análise de e-mail.
    Permitir a análise de todos os ficheiros e anexos transferidos Permitido (padrão).
    Permitir Análise de Scripts Permitido (padrão).
    Permitir Análise de Arquivo Permitido. Escaneia arquivos de arquivo (padrão).
    Permitir a Análise de Files de Rede Permitido. Escaneia arquivos de rede (padrão).
    Permitir verificação completa de unidades removíveis Permitido. Verifica unidades removíveis.

  • Proteção de Rede:

    Configuração Valor
    Ativar a Proteção de Rede Ativado (modo de bloco)
    Permitir Nível Inferior da Proteção de Rede A proteção de rede será ativada em um nível inferior.
    Permitir o Processamento de Datagramas no Servidor Win O processamento de datagramas no Windows Server está desativado (padrão).
    Desativar o DNS através da análise de TCP A análise de DNS sobre TCP está habilitada (padrão).
    Desativar a análise HTTP A análise HTTP está ativada (padrão).
    Desativar a análise SSH A análise sintática SSH está ativada (padrão).
    Desativar a análise do TLS A análise TLS está ativada (padrão).

    Note

    Mantenha Permitir processamento de datagramas em Windows Server desabilitado em funções de servidor com alto tráfego UDP. Ativar essa configuração pode afetar o desempenho e a confiabilidade da rede. Para mais informações, veja Configurar proteção de rede no Microsoft Defender Antivirus.

  • Atualizações das Informações de Segurança:

    Configuração Valor
    Intervalo de Atualização da Assinatura Configurado, 4
    Ordem de fallback para atualização de assinatura
    1. Selecione Adicionar para o número de origens de contingência que pretende especificar.
    2. Introduza um dos seguintes valores em cada caixa pela ordem pretendida:
      • InternalDefinitionUpdateServer: Seu próprio servidor WSUS com atualizações do Microsoft Defender Antivirus permitidas.
      • MicrosoftUpdateServer: Microsoft Update.
      • MMPC: https://www.microsoft.com/wdsi/definitions

    Para remover uma fonte alternativa (preenchida ou vazia), selecione a caixa de seleção ao lado da caixa correspondente e, em seguida, selecione Remover.

  • AV do administrador local:

    Impeça administradores locais de alterar as configurações do Antivírus Microsoft Defender, como exclusões. Gerencie as configurações pelo Defender para gerenciamento de configurações de segurança de endpoints.

    Configuração Valor
    Desativar mesclagem de administrador local Desativar mesclagem de administrador local

  • Ação predefinida da gravidade da ameaça:

    Configuração Valor
    Ação de remediação para ameaças de gravidade elevada Quarentena. Mover arquivos para quarentena.
    Ação de remediação para ameaças graves Quarentena. Mover arquivos para quarentena.
    Ação de remediação para ameaças de baixa gravidade Quarentena. Mover arquivos para quarentena.
    Ação de remediação para ameaças de gravidade moderada Quarentena. Mover arquivos para quarentena.

  • Opções de quarentena:

    Configuração Valor
    Dias para manter malware removido Configurado, 60
    Permitir acesso à interface do usuário Permitido. Permite que os usuários acessem a interface (padrão).

Configurar regras de redução da superfície de ataque

Para configurar as definições de avaliação de regras de ASR, use uma política Regras de Redução da Superfície de Ataque. Para mais informações sobre as regras ASR, veja regras ASR.

Para obter informações sobre as ações de regra disponíveis, consulte Modos para regras ASR.

Ao criar a política na guia Políticas do Windows da página Políticas de segurança de endpoint no portal do Defender em https://security.microsoft.com/policy-inventory?osPlatform=Windows, use estas configurações específicas:

  • Selecionar plataforma: Selecione Windows.
  • Selecione modelo: selecione Regras de Redução da Superfície de Ataque.

Ao criar ou modificar a política, configure as seguintes configurações de avaliação na aba Configurações de Configuração :

Configuração Valor
Bloquear conteúdo executável do cliente de e-mail e do webmail Auditoria
Bloquear a criação de processos filhos pelo Adobe Reader Auditoria
Bloquear a execução de scripts potencialmente ocultados Auditoria
Bloquear o abuso de drivers assinados vulneráveis ​​explorados (Dispositivo) Auditoria
Bloquear chamadas à API Win32 a partir de macros do Office Auditoria
Bloquear a execução de ficheiros executáveis, a menos que cumpram um critério de prevalência, idade ou lista fidedigna Auditoria
Aplicação de comunicação do Block Office a partir da criação de processos secundários Auditoria
Bloquear a criação de processos filhos por todos os aplicativos do Office Auditoria
Bloquear o uso de ferramentas de sistema copiadas ou falsificadas Auditoria
Bloquear o JavaScript ou o VBScript de iniciar conteúdo executável transferido Auditoria
Bloquear o roubo de credenciais do subsistema da autoridade de segurança local do Windows Auditoria
Bloquear a criação de Webshell para Servidores Auditoria
Impedir que as aplicações do Office criem conteúdos executáveis Auditoria
Bloquear processos não fidedignos e não assinados executados a partir de USB Auditoria
Bloquear a injeção de código nas aplicações do Office noutros processos Auditoria
Bloquear a persistência através da subscrição de eventos WMI Auditoria
Utilizar proteção avançada contra ransomware Auditoria
Bloquear criações de processos com origem nos comandos PSExec e WMI Auditoria
Bloquear o reinício da máquina no Modo de Segurança Auditoria
Ativar o Acesso Controlado a Pastas Modo de Auditoria

Dica

Se os eventos de auditoria identificarem um comportamento aceitável em sua organização, adicione uma exclusão por regra de Exclusões somente para Redução da Superfície de Ataque. Para obter mais informações, veja Exclusões de ficheiros e pastas para regras ASR.

Revise os eventos de auditoria antes de ativar as regras ASR ou controlar o acesso a pastas no modo bloco. Para obter mais informações, veja Testar a implantação de regras de ASR.

Configurar proteção contra adulteração

Para configurar proteção contra adulteração, use uma política do Segurança do Windows Experience.

Ao criar a política na guia Políticas do Windows da página Políticas de segurança de endpoint no portal do Defender em https://security.microsoft.com/policy-inventory?osPlatform=Windows, use estas configurações específicas:

  • Selecionar plataforma: Selecione Windows.
  • Selecione o modelo: Selecione Segurança do Windows Experience.

Ao criar ou modificar a política, use esta configuração específica na guia Configurações de configuração:

Configuração Valor
Proteção contra adulteração (Dispositivo) Proteção contra adulteração (Ativada)

Valide a proteção antivírus Microsoft Defender

Use os procedimentos a seguir para verificar a conectividade na nuvem e atualizar as versões dos dispositivos de avaliação.

Verifique a conectividade da rede de proteção em nuvem

A proteção em nuvem utiliza aprendizado de máquina e análise baseados na nuvem para fornecer detecção de ameaças mais rápida. O dispositivo deve ser capaz de acessar a proteção entregue pela Microsoft na nuvem para que esse recurso funcione corretamente.

O procedimento a seguir se aplica ao Windows 10 ou versões posteriores e ao Windows Server 2019 ou versões posteriores.

Execute os seguintes comandos em um Prompt de Comando elevado (uma janela do Prompt de Comando que você abriu selecionando Executar como administrador):

Dica

O primeiro comando altera o diretório para a versão mais recente da versão< da >plataforma antimalware no %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Se esse caminho não existir, vai para %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Para obter mais informações, veja Configurar e gerir Microsoft Defender Antivírus com a ferramenta de linha de comandos MpCmdRun.

Verificar a versão de atualização da plataforma

Execute o seguinte comando em uma sessão PowerShell elevada para exibir a versão da plataforma Microsoft Defender Antivirus instalada no dispositivo:

Get-MPComputerStatus | Format-Table AMProductVersion

Compare a saída com a versão mais recente do canal de produção no Catálogo de Atualizações da Microsoft.

Verifique a versão da atualização de inteligência de segurança

Execute o seguinte comando em uma sessão PowerShell elevada para exibir a versão de inteligência de segurança instalada no dispositivo:

Get-MPComputerStatus | Format-Table AntivirusSignatureVersion

Compare o resultado com a versão de atualização de inteligência de segurança na página de inteligência de segurança e atualizações do produto do Microsoft Defender Antivírus.

Verifique a versão de atualização do motor

Execute o seguinte comando em uma sessão PowerShell elevada para exibir a versão do motor Microsoft Defender Antivirus instalada no dispositivo:

Get-MPComputerStatus | Format-Table AMEngineVersion

Compare a saída com a Versão do mecanismo na página Atualizações de produto e inteligência de segurança e atualizações do Microsoft Defender Antivírus.

Se descobrir que as suas definições não estão a entrar em vigor, poderá ter um conflito. Para obter informações sobre como resolve conflitos, veja Resolver problemas das definições do Antivírus do Microsoft Defender.

Envie detecções perdidas

Se o Microsoft Defender Antivirus não detectar um arquivo ou atividade maliciosa durante sua avaliação, envie o arquivo não detectado para a Microsoft para análise:

  • Última atualização em