Utvärdera Microsoft Defender Antivirus med säkerhetsprinciper för slutpunkter

Använd endpoint-säkerhetspolicyer i Microsoft Defender-portalen för att konfigurera och testa Microsoft Defender Antivirus och Windows skyddsfunktioner. Utvärderingen inkluderar realtidsskydd, molnlevererat skydd, nätverksskydd, regler för minskning av attackytor (ASR) och manipulationsskydd.

Förutsättningar

Om du har frågor om en identifiering som MDAV gör, eller om du upptäcker en missad identifiering, kan du skicka en fil till oss på vår hjälpwebbplats för sändning av exempel.

Innan du kan börja bör du kontrollera att du har:

Konfigurera policyer för utvärdering

Skapa separata säkerhetspolicyer för slutpunkter för Microsoft Defender Antivirus-inställningar, ASR-regler och manipulationsskydd. För de fullständiga stegen för att skapa, tilldela, spara, redigera och verifiera policyer, se Skapa en endpoint security policy och Redigera en endpoint security policy.

Microsoft Defender Antivirus indikerar en upptäckt genom Windows standardaviseringar. Du kan också granska resultaten från Microsoft Defender Antivirus-skanning.

Windows-händelseloggen registrerar även identifierings- och motorhändelser. En lista över händelse-ID:n och deras motsvarande åtgärder finns i Granska händelseloggar och felkoder för att felsöka problem med Microsoft Defender Antivirus.

Konfigurera Microsoft Defender Antivirus-inställningar

För att konfigurera antivirusutvärderingsinställningarna, använd en Microsoft Defender Antivirus-policy.

När du skapar policyn under fliken Windows policys på sidan Endpoint Security Policies i Defender-portalen på https://security.microsoft.com/policy-inventory?osPlatform=Windows, använd dessa specifika inställningar:

  • Välj plattform: Välj Windows.
  • Välj mall: Välj Microsoft Defender Antivirus.

När du skapar eller ändrar policyn, konfigurera följande utvärderingsinställningar under fliken Konfigurationsinställningar :

  • Realtidsskydd:

    Inställning Värde
    Tillåt realtidsövervakning Tillåtet. Slår på och kör realtidsövervakningstjänsten (standard).
    Riktning för realtidsskanning Övervaka alla filer (tvåvägs) (standard).
    Tillåt beteendeövervakning Tillåtet. Slår på realtidsövervakning av beteende (standard).
    Tillåt åtkomstskydd Tillåtet (standard).
    PUA-skydd PUA-skydd på. Identifierade objekt blockeras. De förekommer i historien tillsammans med andra hot.

  • Molnskyddsfunktioner:

    Inställning Värde
    Tillåt molnskydd Tillåtet. Slår på molnskydd (standard).
    Molnblockeringsnivå Hög
    Utökad tidsgräns för Cloud Konfigurerad, 50
    Medgivande för att skicka exempel Skicka alla exempel automatiskt

    Standarduppdateringar för säkerhetsinformation kan ta timmar att förbereda och leverera. Microsoft molnlevererat skydd kan leverera uppdaterat skydd mot nya hot på några sekunder. Mer information finns i Använda nästa generations tekniker i Microsoft Defender Antivirus via molnlevererad skydd.

  • Skanningar:

    Inställning Värde
    Tillåt Email genomsökning Tillåtet. Aktiverar e-postgenomsökning.
    Tillåt genomsökning av alla nedladdade filer och bifogade filer Tillåtet (standard).
    Tillåt skriptgenomsökning Tillåtet (standard).
    Tillåt Arkiv genomsökning Tillåtet. Skannar arkivfiler (standard).
    Tillåt skanning av nätverksfiler Tillåtet. Skannar nätverksfiler (standard).
    Tillåt fullständig genomsökning av flyttbara enheter Tillåtet. Skannar flyttbara enheter.

  • Nätverksskydd:

    Inställning Värde
    Aktivera nätverksskydd Aktiverad (blockeringsläge)
    Tillåt nednivå för nätverksskydd Nätverksskyddet aktiveras på nednivå.
    Tillåt datagrambearbetning på Win Server Datagrambearbetning på Windows Server är inaktiverad (standard).
    Inaktivera DNS över TCP-parsning DNS över TCP-parsing är aktiverad (standard).
    Inaktivera HTTP-parsning HTTP-parsning är aktiverad (standard).
    Inaktivera SSH-parsning SSH-parsing är aktiverad (standard).
    Inaktivera TLS-parsning TLS-parsning är aktiverad (standard).

    Note

    Behåll tillåt datagrambearbetning på Win-server avstängt på serverroller med hög UDP-trafik. Att aktivera denna inställning kan påverka nätverksprestanda och tillförlitlighet. För mer information, se Konfigurera nätverksskydd i Microsoft Defender Antivirus.

  • Uppdateringar av säkerhetsinformation:

    Inställning Värde
    Intervall för signaturuppdatering Konfigurerad, 4
    Återställningsordning för signaturuppdatering
    1. Välj Lägg till för så många återställningskällor som du vill ange.
    2. Ange något av följande värden i varje ruta i önskad ordning:
      • InternalDefinitionUpdateServer: Din egen WSUS-server med Microsoft Defender Antivirus-uppdateringar tillåts.
      • MicrosoftUpdateServer: Microsoft Update.
      • MMPC: https://www.microsoft.com/wdsi/definitions

    För att ta bort en reservkälla (med eller utan innehåll) markerar du kryssrutan bredvid den och väljer sedan Ta bort.

  • Lokal administratör AV:

    Förhindra att lokala administratörer ändrar Microsoft Defender Antivirus-inställningar som undantag. Hantera inställningarna via Defender for Endpoint säkerhetsinställningshantering.

    Inställning Värde
    Inaktivera sammanfogning av lokala administratörer Inaktivera sammanfogning av lokala administratörer

  • Standardåtgärd för allvarlighetsgrad för hot:

    Inställning Värde
    Åtgärd för hot med hög allvarlighetsgrad Karantän. Flytta filer till karantän.
    Åtgärd vid allvarliga hot Karantän. Flytta filer till karantän.
    Åtgärd för hot med låg allvarlighetsgrad Karantän. Flytta filer till karantän.
    Åtgärd för hot med måttlig allvarlighetsgrad Karantän. Flytta filer till karantän.

  • Karantänalternativ:

    Inställning Värde
    Dagar för att behålla rensad skadlig kod Konfigurerad, 60
    Tillåt användargränssnittsåtkomst Tillåtet. Låter användare komma åt användargränssnittet (standard).

Konfigurera regler för minskning av attackytan

För att konfigurera ASR-regelutvärderingsinställningarna, använd en policy för Attack Surface Reduction Rules. För mer information om ASR-regler, se ASR-regler.

För information om tillgängliga regelåtgärder, se Modes for ASR-regler.

När du skapar policyn under fliken Windows policys på sidan Endpoint Security Policies i Defender-portalen på https://security.microsoft.com/policy-inventory?osPlatform=Windows, använd dessa specifika inställningar:

  • Välj plattform: Välj Windows.
  • Välj mall: Välj Regler för minskning av attackytan.

När du skapar eller ändrar policyn, konfigurera följande utvärderingsinställningar under fliken Konfigurationsinställningar :

Inställning Värde
Blockera körbart innehåll från e-postklienten och webbmeddelandet Audit
Blockera Adobe Reader från att skapa underordnade processer Audit
Blockera körning av potentiellt dolda skript Audit
Blockera missbruk av utnyttjade, sårbara signerade drivrutiner (Enhet) Audit
Blockera Win32 API-anrop från Office-makron Audit
Blockera körbara filer från att köras om de inte uppfyller ett kriterium för prevalens, ålder eller betrodd lista Audit
Blockera kommunikationsprogram i Office från att skapa underprocesser Audit
Blockera alla Office-program från att skapa underordnade processer Audit
Blockera användning av kopierade eller personifierade systemverktyg Audit
Blockera JavaScript eller VBScript från att starta nedladdat körbart innehåll Audit
Blockera stöld av autentiseringsuppgifter från undersystemet för den lokala säkerhetsmyndigheten i Windows Audit
Blockera skapande av WebShell för servrar Audit
Blockera Office-program från att skapa körbart innehåll Audit
Blockera obetrodda och osignerade processer som körs från USB Audit
Blockera Office-program från att mata in kod i andra processer Audit
Blockera persistens genom WMI-händelseprenumeration Audit
Använda avancerat skydd mot utpressningstrojaner Audit
Blockera processskapanden från PSExec- och WMI-kommandon Audit
Blockera omstart av datorn i felsäkert läge Audit
Aktivera kontrollerad mappåtkomst Granskningsläge

Tips

Om granskningshändelser identifierar beteende som är acceptabelt i din organisation lägger du till ett undantag per regel för Attack Surface Reduction Only Exclusions. Mer information finns i Fil- och mappundantag för ASR-regler.

Gå igenom revisionshändelserna innan du aktiverar ASR-regler eller kontrollerad mappåtkomst i blockläge. Mer information finns i Testa distributionen av dina ASR-regler.

Konfigurera manipulationsskydd

För att konfigurera manipulationsskydd, använd en Windows Zabezpečenie Experience-policy.

När du skapar policyn under fliken Windows policys på sidan Endpoint Security Policies i Defender-portalen på https://security.microsoft.com/policy-inventory?osPlatform=Windows, använd dessa specifika inställningar:

  • Välj plattform: Välj Windows.
  • Välj mall: Välj Windows Zabezpečenie Experience.

När du skapar eller ändrar policyn, använd denna specifika inställning under fliken Konfigurationsinställningar :

Inställning Värde
Tamperskydd (enhet) Tamperskydd (på)

Validera Microsoft Defender antivirusskydd

Använd följande procedurer för att verifiera molnanslutning och uppdatera versioner på utvärderingsenheterna.

Kontrollera nätverksanslutningen till molnskydd

Molnskydd använder molnbaserad maskininlärning och analys för att ge snabbare hotdetektering. Enheten måste kunna nå Microsoft molnskyddande skydd för att denna funktion ska fungera korrekt.

Den här proceduren gäller för Windows 10 eller senare samt Windows Server 2019 eller senare.

Kör följande kommandon i en upphöjd kommandoprompt (ett kommandopromptfönster du öppnade genom att välja Kör som administratör):

Tips

Det första kommandot ändrar katalogen till den senaste versionen av <plattformen> för program mot skadlig kod i %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Om den sökvägen inte finns går den till %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Mer information finns i Konfigurera och hantera Microsoft Defender Antivirus med kommandoradsverktyget MpCmdRun.

Kontrollera versionen av plattformsuppdateringen

Kör följande kommando i en upphöjd PowerShell-session för att visa Microsoft Defender Antivirus-plattformen som är installerad på enheten:

Get-MPComputerStatus | Format-Table AMProductVersion

Jämför utdata med den senaste produktionskanalversionen i Microsoft Update Catalog.

Kontrollera versionen av säkerhetsintelligensuppdateringen

Kör följande kommando i en höjd PowerShell-session för att visa säkerhetsintelligensversionen som är installerad på enheten:

Get-MPComputerStatus | Format-Table AntivirusSignatureVersion

Jämför resultatet med versionen för säkerhetsintelligensuppdateringar på Microsoft Defender Antivirus-sidan för säkerhetsintelligens och produktuppdateringar.

Kolla motoruppdateringsversionen

Kör följande kommando i en upphöjd PowerShell-session för att visa Microsoft Defender Antivirus-motorversionen som är installerad på enheten:

Get-MPComputerStatus | Format-Table AMEngineVersion

Jämför resultatet med Engine-versionen på sidan för säkerhetsintelligens och produktuppdateringar i Microsoft Defender Antivirus.

Om du upptäcker att inställningarna inte börjar gälla kan det uppstå en konflikt. Information om hur du löser konflikter finns i Felsöka Microsoft Defender Antivirus-inställningar.

Skicka in missade upptäckter

Om Microsoft Defender Antivirus inte upptäcker en skadlig fil eller aktivitet under din utvärdering, skicka in den oupptäckta filen till Microsoft för analys:

  • Uppdaterades senast