Ativar e usar o modo de resolução de problemas no Microsoft Defender para Endpoint

  • Aplica-se a: Microsoft Defender for Endpoint, Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Em dispositivos Windows, o modo de resolução de problemas no Microsoft Defender para Endpoint permite-lhe alterar temporariamente certas definições do Microsoft Defender Antivirus geridas por políticas. Use o modo de resolução de problemas para diagnosticar desempenho, compatibilidade de aplicações, falsos positivos e outros problemas antivírus, incluindo quando a proteção contra adulteração impede alterações nas definições protegidas.

O modo de resolução de problemas está disponível para dispositivos inscritos no Defender for Endpoint que corram Windows ou macOS. Atualmente, o modo de resolução de problemas não está disponível para dispositivos Linux. No macOS, o modo de resolução de problemas não permite desativar a proteção contra violações. Para os requisitos e instruções do macOS, consulte o modo de resolução de problemas no Microsoft Defender para Endpoint no macOS.

Enquanto o modo de resolução de problemas está ativo, os administradores locais podem alterar definições em dispositivos individuais que normalmente estão bloqueados por políticas. Os administradores locais não podem desligar ou desinstalar o Microsoft Defender Antivirus, mas podem alterar outras definições de segurança do Microsoft Defender Antivirus, como proteção na cloud e proteção contra adulterações.

O modo de resolução de problemas pode demorar até 15 minutos a iniciar e desliga-se automaticamente após quatro horas. Está limitado a oito horas por dispositivo, e a quota reinicia-se 24 horas depois de o modo de resolução de problemas estar ativado pela primeira vez. Quando o modo de resolução de problemas termina, as definições geridas por política tornam-se só de leitura e regressam aos valores anteriores. O utilizador do dispositivo recebe notificações quando o modo de resolução de problemas começa, está prestes a terminar e termina.

Desativar temporariamente a proteção contra violações pode aumentar o risco de segurança. O dispositivo deve estar online ao desativar temporariamente a proteção contra violações.

As alterações entregues através das políticas de gestão enquanto o modo de resolução de problemas está ativo só entram em vigor até o modo de resolução de problemas expirar. As atualizações da plataforma Microsoft Defender Antivirus também não são aplicadas enquanto o modo de resolução de problemas está ativo. As atualizações da plataforma são aplicadas após o fim do modo de resolução de problemas, quando o Windows Update é executado.

Pré-requisitos

Antes de ativar o modo de resolução de problemas, verifique os seguintes requisitos:

  • A função Administrador de Segurança do Microsoft Entra. Para acesso com o menor privilégio, utilize uma função personalizada de controlo de acesso baseado em funções (RBAC) unificado do Microsoft Defender com as permissões Authorization and settings \ Security settings \ Core security settings (manage) e Authorization and settings \ Security settings \ Detection tuning (manage). Para obter mais informações, veja Microsoft Defender RBAC unificado.
  • Um dispositivo que está inscrito e ativo no Defender para Endpoint.
  • Versão 4.18.2203 da plataforma Microsoft Defender Antivirus (março de 2022) ou posterior, a correr ativamente no dispositivo.
  • Um dos seguintes sistemas operativos e versões ou compilações mínimas:

Ativar o modo de resolução de problemas no portal Microsoft Defender

Ative o modo de resolução de problemas num dispositivo antes de fazer alterações temporárias às definições do Microsoft Defender Antivírus:

  1. Na página de inventário de dispositivos no portal do Microsoft Defender em https://security.microsoft.com/machines, selecione qualquer lugar na linha do dispositivo, exceto na caixa de seleção.

  2. Na página de detalhes do dispositivo, selecione Mais opções (...), e depois selecione Ativar o modo de resolução de problemas.

    Captura do ecrã do menu de ações do dispositivo com Ativar o modo de resolução de problemas selecionado.

    Note

    A opção Ativar o modo de resolução de problemas aparece para todos os dispositivos, mesmo que um não cumpra os pré-requisitos.

  3. No painel de confirmação, selecione Enviar.

    Captura de ecrã do painel de confirmação para ativar o modo de resolução de problemas.

  4. Espere que a página de detalhes do dispositivo mostre que o modo de resolução de problemas está ativo. A ativação pode demorar até 15 minutos.

Desativar temporariamente a proteção contra adulteração

Depois de o modo de resolução de problemas estar ativo, use o PowerShell num dispositivo Windows suportado ou a aplicação Segurança do Windows num dispositivo cliente Windows suportado para desativar temporariamente a proteção contra violações.

Desative temporariamente a proteção contra violações usando o PowerShell

Para desativar temporariamente a proteção contra adulteração enquanto o dispositivo está em modo de resolução de problemas, execute o seguinte comando Set-MpPreference numa sessão PowerShell elevada (uma janela PowerShell que abriu ao selecionar Executar como administrador):

Set-MPPreference -DisableTamperProtection $true

Para verificar o estado da proteção contra adulteração no dispositivo, execute o seguinte comando:

Get-MpComputerStatus | Select-Object IsTamperProtected

O valor False confirma que a proteção contra violação está desligada.

Desative temporariamente a proteção contra violações usando a aplicação Segurança do Windows

Siga os passos em Configurar proteção contra adulterações usando a aplicação Segurança do Windows para desativar a proteção contra violações.

Note

Não precisa de ativar manualmente novamente a proteção contra adulteração. Quando o modo de resolução de problemas expira, a alteração temporária é descartada e a proteção contra adulteração regressa ao seu estado anterior gerido pela política. Se a proteção contra violações tivesse sido ativada anteriormente, volta a ser ativada. Se estava desligado anteriormente, mantém-se desligado.

Rever os resultados do modo de resolução de problemas

O Defender for Endpoint recolhe registos e dados de investigação ao longo do processo de resolução de problemas:

  • É criado um instantâneo de MpPreference antes do início do modo de resolução de problemas.
  • É criado um segundo instantâneo imediatamente antes de o modo de resolução de problemas expirar.
  • Os registos operacionais são recolhidos enquanto o modo de resolução de problemas está ativo.

Use os seguintes métodos para rever ou recolher informações sobre o modo de resolução de problemas:

  • Portal Microsoft Defender: Revise quando o modo de resolução de problemas começou e terminou na Linha do Tempo do Dispositivo na página do dispositivo.
  • Visualizador de Eventos: Expanda os Registos> de Aplicações e Serviços Microsoft>Windows>Windows Defender e depois selecione Operacional. Os eventos podem incluir os IDs de evento 5000, 5001, 5004 e 5007. Para obter mais informações, veja Rever registos de eventos e códigos de erro para resolver problemas com o Antivírus do Microsoft Defender.
  • Pacote de investigação: Utilize Recolher pacote de investigação na página do dispositivo para recolher os registos e as capturas instantâneas. Os dados permanecem no dispositivo até que um administrador os recolha.
  • Pesquisa avançada: utilize as consultas de pesquisa avançada para analisar os eventos do modo de resolução de problemas.

Consultas de pesquisa avançada

Use as seguintes consultas avançadas de caça para visualizar os eventos do modo de resolução de problemas no seu ambiente. Também pode usar as consultas para criar regras de deteção que geram alertas quando os dispositivos estão em modo de resolução de problemas.

Obter eventos de resolução de problemas para um dispositivo específico

Procure por deviceId ou deviceName comentando a linha que não quer usar.

//let deviceName = "<deviceName>";   // update with device name
let deviceId = "<deviceID>";   // update with device id
DeviceEvents
| where DeviceId == deviceId
//| where DeviceName  == deviceName
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| project Timestamp,DeviceId, DeviceName, _tsmodeproperties,
 _tsmodeproperties.TroubleshootingState, _tsmodeproperties.TroubleshootingPreviousState, _tsmodeproperties.TroubleshootingStartTime,
 _tsmodeproperties.TroubleshootingStateExpiry, _tsmodeproperties.TroubleshootingStateRemainingMinutes,
 _tsmodeproperties.TroubleshootingStateChangeReason, _tsmodeproperties.TroubleshootingStateChangeSource

Dispositivos atualmente no modo de resolução de problemas

DeviceEvents
| where Timestamp > ago(3h) // troubleshooting mode automatically disables after 4 hours
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
|summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| order by Timestamp desc

Contagem de instâncias do modo de resolução de problemas por dispositivo

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(30d)  // choose the date range you want
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| sort by count_

Contar as instâncias do modo de resolução de problemas num intervalo de tempo

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(2d) //beginning of time range
| where Timestamp < ago(1d) //end of time range
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count()
| where count_ > 5          // choose your max # of TS mode instances for your time range

Conteúdo relacionado

  • Última atualização a