Utvärdera Microsoft Defender Antivirus med hjälp av grupprincip

Den här guiden hjälper dig att aktivera och testa viktiga skyddsfunktioner i Microsoft Defender Antivirus och Microsoft Defender Exploit Guard. Dessa funktioner omfattar realtidsskydd, molnbaserat skydd, genomsökningsinställningar, nätverksskydd, regler för minskning av attackytan och kontrollerad mappåtkomst. Den här guiden gäller för aktuella versioner av Windows och Windows Server. Använd grupprincipinställningarna i den här guiden för att konfigurera dessa funktioner för utvärdering i domänanslutna miljöer eller arbetsgruppsmiljöer.

Förhandskrav

Operativsystem som stöds

Följande operativsystem stöds för den här utvärderingen:

• Windows 10 eller senare
• Windows Server 2016 eller senare

Använd grupprincip för att aktivera Microsoft Defender Antivirus-funktioner

Ett centrallager för grupprinciper är en delad mapp på en domänstyrenhet som innehåller administrativa mallfiler (.admx och .adml). Det gör att alla grupprincipadministratörer kan använda samma principdefinitioner. För domänmiljöer konfigurerar du en Central Store innan du börjar. För arbetsgrupper lagras mallarna lokalt och ingen Central Store behövs.

Använd följande steg för att konfigurera Microsoft Defender Antivirus för utvärdering.

1. Ladda ned de senaste administrativa mallfilerna. Nedladdningslänkar finns i Administrativa mallfiler efter operativsystemversion.

   Tips

   Kontrollera avsnittet Systemkrav på de enskilda nedladdningssidorna:

   • De flesta nedladdningar stöder Windows-klienter och Windows-servrar.
   • Hämta den senaste tillgängliga och tillämpliga nedladdningen.

2. Gör någon av följande procedurer för att skapa en central lagringsplats som värd för de senaste .admx- och .adml-mallarna:

   • Domäner:

     1. Skapa en ny organisationsenhet för att blockera arv av principer.
     2. Öppna konsolen för Gruppprinciphantering (gpmc.msc).
     3. Gå till Grupprincipobjekt och skapa en ny grupprincip.
     4. Högerklicka på den nya grupprincipen och välj sedan Redigera.
     5. Gå till Datorkonfigurationsprinciper>>Administrativa mallar>Windows-komponenter>Microsoft Defender Antivirus.

   • Arbetsgrupper:

     1. Öppna Redigeraren för grupprinciper (gpedit.msc).
     2. Gå till Datorkonfiguration>Administrativa mallar>Windows-komponenter>Microsoft Defender Antivirus.

Mer information om att skapa och hantera ett centrallager för grupprinciper finns i Skapa och hantera ett centrallager för grupprinciper - Windows Client.

Utvärdera potentiellt oönskat programskydd i Microsoft Defender Antivirus

Root:

Realtidsskydd (alltid aktiverat skydd, genomsökning i realtid)

Realtidsskydd:

Molnskyddsfunktioner

Standarduppdateringar för säkerhetsinformation kan ta timmar att förbereda och leverera. Molnbaserat skydd kan ge samma täckning på några sekunder.

Mer information finns i Använda nästa generations tekniker i Microsoft Defender Antivirus via molnlevererad skydd.

Konfigurera följande inställningar under MAPS (Microsoft Active Protection Service), som är den molnbaserade tjänst som skickar hotdata till Microsoft och tar emot snabba skyddsuppdateringar:

MpEngine:

Konfigurera och utvärdera genomsökningsinställningar

Dessa genomsökningsinställningar styr hur filer och skript kontrolleras. Aktivera varje inställning i gruppolicy:

Uppdateringar av säkerhetsinformation

Använd de här inställningarna för att styra hur enheten laddar ned och tillämpar säkerhetsuppdateringar:

Inaktivera den lokala administratörens AV-inställningar

Använd de här inställningarna för att blockera lokala administratörsändringar som undantag. Policyerna tillämpas genom Microsoft Defender för Endpoint Security Settings Management.

Root:

Konfigurera standardåtgärder för allvarlighetsgrad för hot

De här inställningarna styr vad som händer när Microsoft Defender Antivirus hittar ett hot. De ersätter standardåtgärden på varje hotnivå och placerar alla hot i karantän.

Hot:

Karantän:

Klientgränssnitt:

Konfigurera nätverksskydd

Nätverksskyddet blockerar anslutningar till farliga webbplatser och IP-adresser. Det hjälper till att förhindra nätfiskeattacker och nedladdning av skadlig kod. Konfigurera följande inställningar under Microsoft Defender Exploit Guard\Network Protection i grupprincip:

På Windows Server använder du PowerShell för att aktivera nätverksskydd:

Konfigurera regler för minskning av attackytan

Regler för minskning av attackytan (ASR) blockerar specifika beteenden som skadlig kod ofta använder, till exempel att köra skript eller starta körbart innehåll från e-post. Använd följande steg för att aktivera ASR-regler i grupprincip:

1. I Gruppolicyredigeraren går du till Datorkonfiguration>Administrativa mallar>Windows-komponenter>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Attack Surface Reduction.

2. Dubbelklicka på Konfigurera regler för minskning av attackytan, välj Aktiverat och välj därefter Visa för att konfigurera varje regel med värdena i följande tabell.

^*Om du använder Microsoft Configuration Manager (kallades tidigare Microsoft Endpoint Configuration Manager och Microsoft System Center Configuration Manager) eller andra hanteringsverktyg som använder WMI använder du värdet 2 (Granskning). Configuration Manager-klienten är starkt beroende av WMI.

Konfigurera kontrollerad mappåtkomst

Kontrollerad mappåtkomst skyddar dina data från skadliga appar och utpressningstrojaner. Om du vill aktivera den går du till Datorkonfiguration>Administrativa mallar>Windows Komponenter>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Attack Surface Reduce.

Tilldela principerna till den organisationsenhet där testdatorerna finns.

Aktivera manipulationsskydd

I Microsoft Defender-portalen går du till Inställningar>Slutpunkter>Avancerade funktioner>Manipulationsskydd>på.

Mer information finns i Hur gör jag för att konfigurera eller hantera manipuleringsskydd?.

Kontrollera cloud protection-nätverksanslutningen

Kontrollera att Microsoft Defender Antivirus cloud protection-nätverksanslutningen fungerar innan du testar identifieringar eller skydd.

Om du vill testa anslutningen till Microsoft Defender molnskyddstjänster kör du följande kommandon i en upphöjd kommandotolk (högerklicka på Kommandotolken och välj Kör som administratör). Det första kommandot ändras till den senaste Defender-plattformsmappen och det andra kommandot verifierar MAPS-molnanslutningen. Ett lyckat resultat visar ValidateMapsConnection successfully established a connection to MAPS:

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Det första kommandot hittar den nyaste plattformsmappen för skydd mot skadlig kod under %ProgramData%\Microsoft\Windows Defender\Platform\ och byter till den katalogen. Om den sökvägen inte finns återgår den till %ProgramFiles%\Windows Defender. Det andra kommandot validerar molnskyddsanslutningen.

Mer information om MpCmdRun.exe och -ValidateMapsConnection alternativet finns i Konfigurera och hantera Microsoft Defender Antivirus med kommandoradsverktyget MpCmdRun.

Kontrollera versionen av plattformsuppdateringen

Kontrollera den senaste versionen av "Plattformsuppdatering" för produktionskanalen (GA) i Microsoft Update Catalog och jämför den sedan med versionen på enheten:

Microsoft Uppdateringskatalog

Om du vill kontrollera plattformsversionen på enheten kör du det här kommandot i en upphöjd PowerShell-session (öppna PowerShell genom att välja Kör som administratör). Värdet AMProductVersion i utdata är den installerade plattformsversionen:

Get-MpComputerStatus | Format-Table AMProductVersion

Kontrollera säkerhetsinformationsuppdateringsversionen

Kontrollera den senaste versionen av "Security Intelligence Update" på sidan Microsoft Security Intelligence-uppdateringar och jämför den sedan med versionen på enheten:

De senaste uppdateringarna av säkerhetsinformation för Microsoft Defender Antivirus och andra Microsoft-program mot skadlig kod – Microsoft Säkerhetsinsikter

Om du vill verifiera den installerade säkerhetsinformationsversionen kör du det här kommandot i en upphöjd PowerShell-session. AntivirusSignatureVersion Jämför värdet i utdata med den senaste versionen på sidan ovan:

Get-MpComputerStatus | Format-Table AntivirusSignatureVersion

Kontrollera versionen av motoruppdateringen

Kontrollera versionen för den senaste sökmotoruppdateringen på sidan för Microsoft Security Intelligence-uppdateringar och jämför sedan med versionen på din enhet:

De senaste uppdateringarna av säkerhetsinformation för Microsoft Defender Antivirus och andra Microsoft-program mot skadlig kod – Microsoft Säkerhetsinsikter

Genomsökningsmotorn uppdateras separat från plattformen. Om du vill kontrollera den installerade motorversionen kör du det här kommandot i en upphöjd PowerShell-session:

Get-MpComputerStatus | Format-Table AMEngineVersion

Om inställningarna inte börjar gälla kan det uppstå en konflikt. Information om hur du löser konflikter finns i Felsöka Microsoft Defender Antivirus-inställningar.

Skicka filer för falsk negativ analys

Om du har frågor om en identifiering som Microsoft Defender AV gör, eller om du upptäcker en missad identifiering, kan du skicka en fil till oss.

Om du har Microsoft Defender, Microsoft Defender för Endpoint P2/P1 eller Microsoft Defender för företag: se Skicka filer i Microsoft Defender för Endpoint.

Om du har Microsoft Defender Antivirus kan du läsa Skicka filer för analys.

Microsoft Defender AV indikerar en identifiering genom Windows-standardaviseringar. Du kan också granska identifieringar i Microsoft Defender AV-appen.

Windows-händelseloggen registrerar även identifierings- och motorhändelser. I artikeln Microsoft Defender Antivirushändelser finns en lista över händelse-ID:t och deras motsvarande åtgärder.

Om inställningarna inte tillämpas korrekt tar du reda på om det finns motstridiga principer som är aktiverade i din miljö. Mer information finns i Felsöka Microsoft Defender Antivirusinställningar.

Om du behöver öppna ett Microsoft-supportärende: Kontakta Microsoft Defender för Endpoint support.