Avalie o Microsoft Defender Antivirus com políticas de segurança para endpoints

Use as políticas de segurança dos endpoints no portal Microsoft Defender para configurar e testar as funcionalidades de proteção do Microsoft Defender Antivirus e do Windows. A avaliação inclui proteção em tempo real, proteção fornecida na cloud, proteção de rede, regras de redução de superfície de ataque (ASR) e proteção contra violações.

Pré-requisitos

Se tiver dúvidas sobre uma deteção que o MDAV efetua ou detetar uma deteção perdida, pode submeter-nos um ficheiro no nosso site de ajuda de submissão de exemplo.

Antes de começar, certifique-se de que tem:

Configurar políticas de avaliação

Crie políticas separadas de segurança de ponto final para as definições do Microsoft Defender Antivirus, as regras ASR e a proteção contra adulteração. Para os passos completos de criar, atribuir, guardar, editar e verificar políticas, consulte Criar uma política de segurança de endpoint e Editar uma política de segurança de endpoint.

Microsoft Defender Antivírus indica uma deteção através de notificações padrão do Windows. Também pode consultar os resultados da análise do Microsoft Defender Antivírus.

O registo de eventos do Windows também regista eventos de deteção e de motor. Para uma lista de IDs de eventos e as respetivas ações, consulte Revisar registos de eventos e códigos de erro para resolver problemas com o Microsoft Defender Antivirus.

Configurar as definições do Microsoft Defender Antivirus

Para configurar as definições de avaliação do antivírus, utilize uma política antivírus do Microsoft Defender.

Quando criar a política no separador de políticas do Windows da página de políticas de segurança Endpoint no portal Defender em https://security.microsoft.com/policy-inventory?osPlatform=Windows, use estas definições específicas:

  • Selecione plataforma: selecione Windows.
  • Selecionar modelo: selecione Microsoft Defender Antivírus.

Quando criar ou modificar a política, configure as seguintes definições de avaliação no separador de Definições de Configuração :

  • Proteção em tempo real:

    Configuração Valor
    Permitir Monitorização em Tempo Real Permitido. Ativa e executa o serviço de monitorização em tempo real (por defeito).
    Direção do varrimento em tempo real Monitorizar todos os ficheiros (bidirecional) (por defeito).
    Permitir Monitorização de Comportamento Permitido. Ativa a monitorização de comportamento em tempo real (por defeito).
    Permitir Proteção de Acesso Permitido (por defeito).
    Proteção contra aplicações potencialmente indesejadas (PUA) Proteção contra PUA ativada. Os itens detetados estão bloqueados. Aparecem na história juntamente com outras ameaças.

  • Funcionalidades de proteção da cloud:

    Configuração Valor
    Permitir Proteção da Cloud Permitido. Ativa a proteção na nuvem (por defeito).
    Nível de bloco na nuvem Alto
    Tempo de Espera Estendido na Nuvem Configurado, 50
    Submeter Consentimento para Amostras Enviar todos os exemplos automaticamente

    As atualizações de informações de segurança padrão podem demorar horas a preparar e entregar. A proteção fornecida pela Microsoft na cloud pode fornecer uma proteção atualizada contra ameaças emergentes em segundos. Para obter mais informações, veja Use next-gen technologies in Microsoft Defender Antivirus through cloud-delivered protection (Utilizar tecnologias de próxima geração no Antivírus do Microsoft Defender através da proteção fornecida pela cloud).

  • Análises:

    Configuração Valor
    Permitir Análise de Email Permitido. Ativa a análise de e-mail.
    Permitir a análise de todos os ficheiros e anexos transferidos Permitido (por defeito).
    Permitir Análise de Scripts Permitido (por defeito).
    Permitir Análise de Arquivo Permitido. Analisa ficheiros de arquivo (predefinição).
    Permitir a Análise de Files de Rede Permitido. Analisa ficheiros na rede (por defeito).
    Permitir a análise completa de unidades amovíveis Permitido. Analisa unidades amovíveis.

  • Proteção de Rede:

    Configuração Valor
    Ativar a Proteção de Rede Ativado (modo de bloco)
    Permitir Nível Inferior da Proteção de Rede A proteção de rede será ativada de nível inferior.
    Permitir o Processamento de Datagramas no Servidor Win O processamento de datagramas no Windows Server está desativado (por defeito).
    Desativar o DNS através da análise de TCP O processamento de DNS sobre TCP está ativado (por defeito).
    Desativar a análise HTTP A análise HTTP está ativada (por defeito).
    Desativar a análise SSH A análise sintáctica SSH está ativada (por defeito).
    Desativar a análise do TLS A análise TLS está ativada (por defeito).

    Note

    Mantenha Permitir Processamento de Datagramas no Win Server desativada em funções de servidor com tráfego UDP elevado. Ativar esta configuração pode afetar o desempenho e a fiabilidade da rede. Para mais informações, consulte Configurar proteção de rede no Microsoft Defender Antivirus.

  • Atualizações das Informações de Segurança:

    Configuração Valor
    Intervalo de Atualização da Assinatura Configurado, 4
    Ordem de Contingência da Atualização de Assinatura
    1. Selecione Adicionar para o número de origens de contingência que pretende especificar.
    2. Introduza um dos seguintes valores em cada caixa pela ordem pretendida:
      • InternalDefinitionUpdateServer: O seu próprio servidor WSUS com atualizações do Microsoft Defender Antivirus permitidas.
      • MicrosoftUpdateServer: Microsoft Update.
      • MMPC: https://www.microsoft.com/wdsi/definitions

    Para remover uma fonte de recurso (preenchida ou vazia), selecione a caixa de seleção ao lado da caixa e depois selecione Remover.

  • AV do administrador local:

    Evitar que administradores locais alterem as definições do Microsoft Defender Antivírus, como exclusões. Gerir as definições através da gestão das definições de segurança do Defender para Endpoint.

    Configuração Valor
    Desativar Fusão do Administrador Local Desativar Fusão do Administrador Local

  • Ação predefinida da gravidade da ameaça:

    Configuração Valor
    Ação de remediação para ameaças de gravidade elevada Quarentena. Mover ficheiros para quarentena.
    Ação de remediação para ameaças graves Quarentena. Mover ficheiros para quarentena.
    Ação de remediação para ameaças de baixa gravidade Quarentena. Mover ficheiros para quarentena.
    Ação de remediação para ameaças de gravidade moderada Quarentena. Mover ficheiros para quarentena.

  • Opções de quarentena:

    Configuração Valor
    Dias para Manter Malware Removido Configurado, 60
    Permitir ao utilizador aceder à interface Permitido. Permite aos utilizadores aceder à interface (por defeito).

Configurar regras de redução da superfície de ataque

Para configurar as definições de avaliação das regras ASR, utilize uma política de Regras de Redução da Superfície de Ataque. Para mais informações sobre as regras ASR, consulte as regras ASR.

Para informações sobre as ações de regra disponíveis, consulte Modos para regras ASR.

Quando criar a política no separador de políticas do Windows da página de políticas de segurança Endpoint no portal Defender em https://security.microsoft.com/policy-inventory?osPlatform=Windows, use estas definições específicas:

  • Selecione plataforma: selecione Windows.
  • Selecione modelo: selecione Regras de Redução da Superfície de Ataque.

Quando criar ou modificar a política, configure as seguintes definições de avaliação no separador de Definições de Configuração :

Configuração Valor
Bloquear conteúdo executável do cliente de e-mail e do webmail Audit
Impedir o Adobe Reader de criar processos subordinados Audit
Bloquear a execução de scripts potencialmente ocultados Audit
Bloquear a utilização abusiva de controladores vulneráveis com assinatura digital explorados (Dispositivo) Audit
Bloquear chamadas à API Win32 a partir de macros do Office Audit
Bloquear a execução de ficheiros executáveis, a menos que cumpram um critério de prevalência, idade ou lista fidedigna Audit
Impedir que a aplicação de comunicação do Office crie processos subordinados Audit
Impedir que todas as aplicações do Office criem processos subordinados Audit
Bloquear a utilização de ferramentas de sistema copiadas ou imitadas Audit
Bloquear o JavaScript ou o VBScript de iniciar conteúdo executável transferido Audit
Bloquear o roubo de credenciais do subsistema da autoridade de segurança local do Windows Audit
Bloquear a criação de Webshell para Servidores Audit
Impedir que as aplicações do Office criem conteúdos executáveis Audit
Bloquear processos não fidedignos e não assinados executados a partir de USB Audit
Bloquear a injeção de código nas aplicações do Office noutros processos Audit
Bloquear a persistência através da subscrição de eventos WMI Audit
Utilizar proteção avançada contra ransomware Audit
Bloquear criações de processos com origem nos comandos PSExec e WMI Audit
Bloquear o reinício da máquina no Modo de Segurança Audit
Ativar o Acesso Controlado a Pastas Modo de auditoria

Sugestão

Se os eventos de auditoria identificarem comportamentos aceitáveis na sua organização, adicione uma exclusão por regra de Apenas Exclusões da Redução da Superfície de Ataque. Para obter mais informações, veja Exclusões de ficheiros e pastas para regras ASR.

Revise os eventos de auditoria antes de ativar regras ASR ou controlar o acesso a pastas em modo bloco. Para mais informações, consulte Teste a implementação das regras de ASR.

Configurar proteção contra adulteração

Para configurar a proteção contra violações, utilize uma política Segurança do Windows Experience.

Quando criar a política no separador de políticas do Windows da página de políticas de segurança Endpoint no portal Defender em https://security.microsoft.com/policy-inventory?osPlatform=Windows, use estas definições específicas:

  • Selecione plataforma: selecione Windows.
  • Selecionar modelo: Selecionar Segurança do Windows Experience.

Ao criar ou modificar a política, use esta definição específica no separador de definições de configuração :

Configuração Valor
Proteção contra Manipulação (Dispositivo) Proteção contra Manipulação (Ativada)

Validar a proteção antivírus Microsoft Defender

Utilize os seguintes procedimentos para verificar a conectividade na cloud e atualizar as versões dos dispositivos de avaliação.

Verifique a conectividade da rede de proteção cloud

A proteção na nuvem utiliza aprendizagem automática e análise baseadas na cloud para proporcionar uma deteção de ameaças mais rápida. O dispositivo deve ser capaz de aceder à proteção na cloud da Microsoft para que esta funcionalidade funcione corretamente.

O procedimento seguinte aplica-se ao Windows 10 ou posterior e ao Windows Server 2019 ou posterior.

Execute os seguintes comandos num Prompt de Comando elevado (uma janela do Prompt de Comando que abriu ao selecionar Executar como administrador):

Sugestão

O primeiro comando altera o diretório para a versão mais recente da versão< da >plataforma antimalware no %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Se esse caminho não existir, vai para %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Para obter mais informações, veja Configurar e gerir Microsoft Defender Antivírus com a ferramenta de linha de comandos MpCmdRun.

Verificar a versão de atualização da plataforma

Execute o seguinte comando numa sessão PowerShell elevada para mostrar a versão da plataforma Microsoft Defender Antivirus instalada no dispositivo:

Get-MPComputerStatus | Format-Table AMProductVersion

Compare a saída com a versão mais recente do canal de produção no Catálogo Microsoft Update.

Verifique a versão da atualização de inteligência de segurança

Execute o seguinte comando numa sessão PowerShell elevada para mostrar a versão de inteligência de segurança instalada no dispositivo:

Get-MPComputerStatus | Format-Table AntivirusSignatureVersion

Compare o resultado com a versão de atualização de inteligência de segurança na página de inteligência de segurança e atualizações de produtos do Microsoft Defender Antivirus.

Verifica a versão de atualização do motor

Execute o seguinte comando numa sessão PowerShell elevada para mostrar a versão do motor Microsoft Defender Antivirus instalada no dispositivo:

Get-MPComputerStatus | Format-Table AMEngineVersion

Compare o resultado com a versão do motor na página Inteligência de segurança e atualizações de produtos do Microsoft Defender Antivirus.

Se descobrir que as suas definições não estão a entrar em vigor, poderá ter um conflito. Para obter informações sobre como resolver conflitos, consulte Resolver problemas das definições do Microsoft Defender Antivírus.

Submeter deteções falhadas

Se o Microsoft Defender Antivirus não detetar um ficheiro ou atividade maliciosa durante a sua avaliação, submeta o ficheiro não detetado à Microsoft para análise:

  • Última atualização a