Ative e use o modo de solução de problemas no Microsoft Defender para Ponto de Extremidade

  • Aplica-se a: Microsoft Defender for Endpoint, Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Em dispositivos Windows, o modo de solução de problemas no Microsoft Defender para Ponto de Extremidade permite alterar temporariamente certas configurações gerenciadas por políticas do Microsoft Defender Antivírus. Use o modo de solução de problemas para diagnosticar desempenho, compatibilidade de aplicativos, falsos positivos e outros problemas com antivírus, incluindo quando a proteção contra adulteração impede alterações nas configurações protegidas.

O modo de solução de problemas está disponível para dispositivos registrados no Defender for Endpoint que rodam Windows ou macOS. Atualmente, o modo de solução de problemas não está disponível para dispositivos Linux. No macOS, o modo de solução de problemas não permite desativar a proteção contra adulteração. Para requisitos e instruções do macOS, veja Modo de solução de problemas no Microsoft Defender para Ponto de Extremidade no macOS.

Enquanto o modo de solução de problemas está ativo, administradores locais podem alterar configurações em dispositivos individuais que geralmente são bloqueados por política. Administradores locais não podem desligar ou desinstalar o Microsoft Defender Antivirus, mas podem alterar outras configurações de segurança do Microsoft Defender Antivírus, como proteção contra nuvem e proteção contra adulterações.

O modo de solução de problemas pode levar até 15 minutos para iniciar e desliga automaticamente após quatro horas. É limitado a oito horas por dispositivo, e a cota é resetada 24 horas após o modo de solução de problemas ser ativado pela primeira vez. Quando o modo de solução de problemas expira, as configurações gerenciadas por políticas passam a ser somente leitura e retornam aos valores anteriores. O usuário do dispositivo recebe notificações quando o modo de solução de problemas começa, está prestes a terminar e termina.

Desabilitar temporariamente a proteção contra violação pode aumentar o risco de segurança. O dispositivo deve estar online quando você desativa temporariamente a proteção contra violação.

As alterações aplicadas por meio de políticas de gerenciamento enquanto o modo de solução de problemas está ativo não entram em vigor até que o modo de solução de problemas expire. As atualizações da plataforma Microsoft Defender Antivirus também não são aplicadas enquanto o modo de solução de problemas está ativo. As atualizações da plataforma são aplicadas após o término do modo de solução de problemas, quando o Windows Update é executado.

Pré-requisitos

Antes de ativar o modo de solução de problemas, verifique os seguintes requisitos:

  • O cargo de Administrador de Segurança da Microsoft Entra. Para acesso com menor privilégio, use uma função personalizada de controle de acesso unificado baseado em funções (RBAC) do Microsoft Defender com Autorização e configurações \ Configurações \ Configurações de segurança \ Configurações centrais de segurança (gerenciar) e Autorização e configurações \ Configurações de segurança \ Ajustes de detecção (gerenciar) permissões. Para obter mais informações, veja Microsoft Defender RBAC unificado.
  • Um dispositivo que está registrado e ativo no Defender para Endpoint.
  • Versão 4.18.2203 da plataforma antivírus Microsoft Defender (março de 2022) ou posterior, rodando ativamente no dispositivo.
  • Um dos seguintes sistemas operacionais e versões ou compilações mínimas:

Ative o modo de solução de problemas no portal do Microsoft Defender

Ative o modo de solução de problemas em um dispositivo antes de fazer alterações temporárias nas configurações do Microsoft Defender Antivírus:

  1. Na página de inventário de dispositivos no portal do Microsoft Defender, https://security.microsoft.com/machinesselecione qualquer lugar na linha do dispositivo, exceto na caixa de seleção.

  2. Na página de detalhes do dispositivo, selecione Mais opções (...), e então selecione Ativar o modo de solução de problemas.

    Captura de tela do menu de ações do dispositivo com a opção Ativar o modo de solução de problemas selecionada.

    Note

    A opção Ativar o modo de solução de problemas aparece para todos os dispositivos, mesmo que um dispositivo não atenda aos pré-requisitos.

  3. No flyout de confirmação, selecione Enviar.

    Captura de tela do flyout de confirmação para ativar o modo de solução de problemas.

  4. Espere a página de detalhes do dispositivo mostrar que o modo de solução de problemas está ativo. A ativação pode levar até 15 minutos.

Desative temporariamente a proteção contra violação

Após o modo de solução de problemas ativar, use o PowerShell em um dispositivo Windows compatível ou o aplicativo Segurança do Windows em um dispositivo cliente Windows suportado para desativar temporariamente a proteção contra violação.

Desative temporariamente a proteção contra adulteração usando o PowerShell

Para desativar temporariamente a proteção contra adulteração enquanto o dispositivo está em modo de solução de problemas, execute o seguinte comando Set-MpPreference em uma sessão PowerShell elevada (uma janela PowerShell que você abriu selecionando Executar como administrador):

Set-MPPreference -DisableTamperProtection $true

Para verificar o status da proteção contra adulteração no dispositivo, execute o seguinte comando:

Get-MpComputerStatus | Select-Object IsTamperProtected

O valor False confirma que a proteção contra violação está desligada.

Desative temporariamente a proteção contra adulteração usando o aplicativo Segurança do Windows

Siga os passos em Configurar proteção contra adulteração usando o aplicativo Segurança do Windows para desativar a proteção contra violação.

Note

Você não precisa reativar a proteção contra violação manualmente. Quando o modo de solução de problemas expira, a alteração temporária é descartada e a proteção contra adulteração retorna ao estado anterior gerenciado pela política. Se a proteção contra violação já estava ativada, ela volta a ser ativada. Se estava desligado antes, permanece desligado.

Revise os resultados do modo de solução de problemas

Defender for Endpoint coleta logs e dados de investigação durante todo o processo de solução de problemas:

  • Um snapshot de MpPreference é capturado antes do início do modo de solução de problemas.
  • Uma segunda snapshot é realizada imediatamente antes de o modo de resolução de problemas expirar.
  • Os registros operacionais são coletados enquanto o modo de solução de problemas está ativo.

Use os seguintes métodos para revisar ou coletar informações do modo de solução de problemas:

Consultas de busca avançada

Use as seguintes consultas de busca avançada para visualizar os eventos do modo de solução de problemas no seu ambiente. Você também pode usar as consultas para criar regras de detecção que geram alertas quando os dispositivos estiverem em modo de solução de problemas.

Obter eventos de resolução de problemas para um dispositivo específico

Pesquise por deviceId ou deviceName comentando a linha que você não quer usar.

//let deviceName = "<deviceName>";   // update with device name
let deviceId = "<deviceID>";   // update with device id
DeviceEvents
| where DeviceId == deviceId
//| where DeviceName  == deviceName
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| project Timestamp,DeviceId, DeviceName, _tsmodeproperties,
 _tsmodeproperties.TroubleshootingState, _tsmodeproperties.TroubleshootingPreviousState, _tsmodeproperties.TroubleshootingStartTime,
 _tsmodeproperties.TroubleshootingStateExpiry, _tsmodeproperties.TroubleshootingStateRemainingMinutes,
 _tsmodeproperties.TroubleshootingStateChangeReason, _tsmodeproperties.TroubleshootingStateChangeSource

Dispositivos atualmente no modo de resolução de problemas

DeviceEvents
| where Timestamp > ago(3h) // troubleshooting mode automatically disables after 4 hours
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
|summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| order by Timestamp desc

Contagem de instâncias do modo de resolução de problemas por dispositivo

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(30d)  // choose the date range you want
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| sort by count_

Conte as instâncias do modo de solução de problemas em um intervalo de tempo

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(2d) //beginning of time range
| where Timestamp < ago(1d) //end of time range
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count()
| where count_ > 5          // choose your max # of TS mode instances for your time range

Conteúdo relacionado

  • Última atualização em