Avaliar Microsoft Defender Antivírus com o PowerShell

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender Antivirus

No Windows 10 ou posterior e Windows Server 2016 ou posterior, pode utilizar as funcionalidades de proteção de próxima geração no Antivírus do Microsoft Defender com proteção contra exploits.

As seções a seguir explicam como habilitar e testar os principais recursos de proteção no Microsoft Defender Antivírus com proteção de exploração.

Recomendamos que utilize o nosso script do PowerShell de avaliação para configurar estas funcionalidades, mas pode ativar individualmente cada funcionalidade, conforme descrito neste artigo.

Para obter mais informações sobre os nossos produtos e serviços do Endpoint Protection, veja os seguintes recursos:

Se você tiver alguma dúvida sobre uma detecção feita pelo Microsoft Defender Antivírus ou descobrir uma detecção que não foi identificada, poderá nos enviar o arquivo. Para saber mais, confira Enviar arquivos para análise.

Utilizar o PowerShell para ativar as funcionalidades

Este guia fornece os cmdlets do Antivírus Microsoft Defender que configuram as funcionalidades que deve utilizar para avaliar a nossa proteção.

Utilize estes cmdlets numa sessão elevada do PowerShell (uma janela do PowerShell que abriu ao selecionar Executar como administrador).

Antes de fazer alterações, deve ver e registar a status atual de todas as definições através de um ou ambos os métodos seguintes:

  • Utilize o cmdlet Get-MpPreference .
  • Instale o módulo DefenderEval a partir do Galeria do PowerShell e, em seguida, utilize o cmdlet Get-DefenderEvaluationReport.

Microsoft Defender Antivírus utiliza notificações padrão do Windows para deteções. Também pode rever as deteções na aplicação Antivírus Microsoft Defender.

O Registo de Eventos do Windows também regista eventos de deteção e de motor. Para obter mais informações, veja Rever registos de eventos e códigos de erro para resolver problemas com o Antivírus do Microsoft Defender.

Usar o PowerShell para configurar recursos de proteção de nuvem

As atualizações padrão de definições podem levar horas para serem preparadas e entregues. Nosso serviço de proteção entregue na nuvem pode fornecer proteção contra malware atualizada em segundos. Para obter mais informações, veja Proteção da cloud e Antivírus Microsoft Defender.

  • Ative o Microsoft Defender Cloud para proteção quase instantânea e maior proteção:

    Set-MpPreference -MAPSReporting Advanced

  • Submeta automaticamente exemplos para aumentar a proteção do grupo:

    Set-MpPreference -SubmitSamplesConsent Always

  • Utilize sempre a cloud para bloquear software maligno novo em segundos:

    Set-MpPreference -DisableBlockAtFirstSeen 0

  • Analise todos os ficheiros e anexos transferidos:

    Set-MpPreference -DisableIOAVProtection 0

  • Defina o nível de bloqueio da nuvem para Alto:

    Set-MpPreference -CloudBlockLevel High

  • Defina o tempo limite do bloco de cloud para 1 minuto:

    Set-MpPreference -CloudExtendedTimeout 50

Use o PowerShell para habilitar a proteção sempre ativa (verificação em tempo real)

Microsoft Defender o Antivírus analisa ficheiros à medida que o Windows os vê e monitoriza processos em execução de comportamento malicioso (conhecido ou suspeito). Se o motor antivírus detetar atividade maliciosa, o motor bloqueia imediatamente a execução do processo ou ficheiro. Para obter mais informações sobre opções de proteção comportamental, heurística e em tempo real, consulte Configurar proteção comportamental, heurística e em tempo real.

  • Monitorizar constantemente ficheiros e processos para atividades de software maligno conhecidas:

    Set-MpPreference -DisableRealtimeMonitoring 0

  • **Monitorize constantemente o comportamento de software maligno conhecido na execução de programas, mesmo em ficheiros que não são considerados uma ameaça:

    Set-MpPreference -DisableBehaviorMonitoring 0

  • Analise os scripts assim que forem vistos ou executados:

    Set-MpPreference -DisableScriptScanning 0

  • Verifique as unidades removíveis assim que forem inseridas ou montadas:

    Set-MpPreference -DisableRemovableDriveScanning 0

Usar o PowerShell para habilitar a proteção de aplicativo potencialmente indesejada

As aplicações potencialmente indesejadas são ficheiros e aplicações que não são tradicionalmente classificados como maliciosos. Estes tipos de aplicações incluem:

  • Instaladores que não são da Microsoft.
  • Aplicações que fazem injeção de anúncios.
  • Alguns tipos de barras de ferramentas do browser.

Impedir a instalação de grayware, adware e outras aplicações potencialmente indesejadas:

Set-MpPreference -PUAProtection Enabled

Usar o PowerShell para configurar a verificação de arquivos e emails

Você pode configurar o Microsoft Defender Antivirus para verificar automaticamente determinados tipos de arquivos de email e arquivos compactados (como arquivos .zip) quando o Windows os identificar. Para obter mais informações, veja Análises de e-mail geridas no Microsoft Defender.

Analisar ficheiros e arquivos de e-mail:

Set-MpPreference -DisableArchiveScanning 0 -DisableEmailScanning 0

Gerir atualizações de produtos e proteção

Normalmente, você recebe atualizações do Microsoft Defender Antivirus pelo Windows Update uma vez por dia. Pode aumentar a frequência de atualização ao definir as seguintes opções e garantir que Microsoft Configuration Manager, Política de Grupo ou Microsoft Intune gere as suas atualizações.

  • Atualizar assinaturas todos os dias (predefinição):

    Set-MpPreference -SignatureUpdateInterval

  • Atualize as assinaturas antes de executar uma análise agendada:

    Set-MpPreference -CheckForSignaturesBeforeRunningScan 1

Usar o PowerShell para configurar recursos avançados de mitigação de ameaças

A proteção contra exploits fornece funcionalidades que ajudam a proteger os dispositivos contra comportamentos maliciosos conhecidos e ataques a tecnologias vulneráveis. O CFA (acesso controlado a pastas) protege dados confidenciais em pastas específicas, impedindo que aplicativos não confiáveis gravem nesses locais.

  • Impedir que aplicativos mal-intencionados e suspeitos (como ransomware) façam alterações em pastas protegidas com acesso controlado a pastas (CFA):

    Set-MpPreference -EnableControlledFolderAccess Enabled

  • Bloqueie conexões com endereços IP mal-intencionados conhecidos e outras conexões de rede com proteção de rede:

    Set-MpPreference -EnableNetworkProtection Enabled

  • Aplique um conjunto padrão de mitigações com Proteção contra exploração:

    Invoke-WebRequest https://demo.wd.microsoft.com/Content/ProcessMitigation.xml -OutFile ProcessMitigation.xml

Set-ProcessMitigation -PolicyFilePath ProcessMitigation.xml

  • Bloquear vetores de ataque malicioso conhecidos com regras de redução da superfície de ataque (ASR):

    Importante

    Normalmente, pode ativar as regras de proteção padrão no modo Bloquear ou Avisar sem testar. Você deve testar outras regras do ASR no modo Auditoria antes de as alternar para o modo Bloquear ou Avisar. Para obter mais informações, veja o Guia de implementação de regras do ASR.

    Add-MpPreference -AttackSurfaceReductionRules_Ids 56a863a9-875e-4185-98a7-b882c64b5ce5,9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2,e6db77e5-3df2-4cf1-b95a-636979351e5b -AttackSurfaceReductionRules_Actions Enabled,Enabled,Enabled

Add-MpPreference -AttackSurfaceReductionRules_Ids 01443614-cd74-433a-b99e-2ecdc07bfc25,26190899-1602-49e8-8b27-eb1d0a1ce869 ,33ddedf1-c6e0-47cb-833e-de6133960387,3b576869-a4ec-4529-8536-b80a7769e899,5beb7efe-fd9a-4556-801d-275e5ffc04cc,75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84,7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c,92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b,b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4,be9ba2d9-53ea-4cdc-84e5-9b1eeee46550,c1db55ab-c21a-4637-bb3f-a12568109d35,d1e49aac-8f56-4280-b9ba-993a6d77406c,d3e037e1-3eb8-44c8-a917-57927947596d,d4f940ab-401b-4efc-aadc-ad5f3c50688a,a8f5898e-1dc8-49a9-9878-85004b8a61e6,c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb -AttackSurfaceReductionRules_Actions AuditMode,AuditMode,AuditMode,AuditMode,AuditMode,AuditMode,AuditMode,AuditMode,AuditMode,AuditMode,AuditMode,AuditMode,AuditMode,AuditMode,AuditMode,AuditMode

Ativar a proteção contra adulteração

A proteção contra violação impede alterações não autorizadas nas configurações de segurança. Para obter mais informações sobre como configurar a proteção contra adulterações, consulte Como configurar ou gerenciar a proteção contra adulterações.

Verificar a conectividade de rede do Cloud Protection

O Cloud Protection é o serviço de proteção entregue na nuvem no Microsoft Defender Antivírus. É importante verificar se a conectividade de rede do Cloud Protection está a funcionar durante os testes de penetração ao efetuar os seguintes passos:

Numa Linha de Comandos elevada (uma janela da Linha de Comandos que abriu ao selecionar Executar como administrador), execute os seguintes comandos:

Dica

O primeiro comando altera o diretório para a versão mais recente da versão< da >plataforma antimalware no %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Se esse caminho não existir, vai para %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Para obter mais informações, veja Configurar e gerir Microsoft Defender Antivírus com a ferramenta de linha de comandos MpCmdRun.

Verificação do Microsoft Defender Offline com uma seleção

A Verificação Offline do Microsoft Defender é uma ferramenta especializada que permite iniciar um computador em um ambiente dedicado fora do sistema operacional normal. É especialmente útil para malware potente, como rootkits.

Para obter mais informações, consulte Microsoft Defender Offline.

Certifique-se de que as notificações lhe permitem iniciar o dispositivo num ambiente especializado de remoção de software maligno:

Set-MpPreference -UILockdown 0

Conteúdo relacionado

  • Last updated on