Konfigurationsskydd i Microsoft Defender för Endpoint

Konfigurationsskydd är en modell för att upprätthålla konfigurationen som gör molnbaserad policy till den enda sanningskällan för Microsoft Defender Antivirus-inställningar. När konfigurationsskydd är aktiverat har policyer för Intune och Microsoft Defender för Endpoint företräde. Enheten ignorerar inställningar från grupppolicy, skript, Microsoft Configuration Manager och lokala administratörsändringar.

Konfigurationsskydd eliminerar konfigurationsdrift och policykonflikter genom att utvidga manipulationsskydd-liknande tillsyn till hela Defender Antivirus-konfigurationsytan.

Manipulationsskydd och konfigurationsskydd är kompletterande men distinkta funktioner:

Konfigurationsskydd är en överlagring av manipulationsskydd som ger policystyrd kontroll över hela Microsoft Defender Antivirus-konfigurationen.

Prerequisites

• Enheter måste vara onboardade till Microsoft Defender för Endpoint.
• Enheter måste hanteras via Microsoft Intune eller hantering av säkerhetsinställningar i Defender for Endpoint.
• Enheter måste köra Windows 10, Windows 11, Windows Server 2019, Windows Server 2022 eller Windows Server 2025.
• Enheter måste köra Microsoft Defender för Endpoint EDR Sensor-versionen senare än 10.8804 (september 2025).
• Enheter måste köra Microsoft Defender Antivirus plattform version 4.18.26060.3004 eller senare (juni 2026).

Konfigurationsskydd stöder för närvarande inte:

• Samhanteringsmiljöer (Configuration Manager + Intune).
• GCC High-miljöer.

Vad konfigurationsskydd täcker

För närvarande ger konfigurationsskydd skydd och tillsyn för Microsoft Defender Antivirus-inställningar, inklusive:

• Antiviruskonfiguration (skanningsinställningar, undantag, uppdateringar)
• Policyer för minskning av attackytor (ASR)
• Defender Configuration Service Provider (CSP) och Policy CSP-gränssnitt (omfattande uppsättning antivirusrelaterade kontroller)
• Sammanslagningsbeteende för lokala administratörer

För närvarande täcker inte konfigurationsskydd:

• Microsoft Defender enhetskontroll
• Inställningar för identifiering och respons för slutpunkter (EDR)
• Windows operativsysteminställningar (såsom brandvägg)

Hur tillämpning av konfigurationsskydd fungerar

Konfigurationsskydd upprätthåller molnhanterad policy genom tre mekanismer:

• Efterlevnad från en enda källa: När konfigurationsskydd är aktiverat gäller följande regler för efterlevnad:

  • Endast Intune- och Defender for Endpoint-policyer gäller för Defender Antivirus-inställningar.
  • Ändringar i Group Policy Object (GPO), skript, Configuration Manager och lokala administratörer ignoreras.
  • Microsoft Defender Antivirus godkänner inte lokala undantag som standard. Organisationer kan tillåta lokala administratörsdefinierade antivirusundantag genom att aktivera sammanslagning av lokala administratörer via Defender eller Intune-policy. När sammanslagning av lokala administratörer är aktiverad kan lokalt definierade antivirusexkluderingar slås ihop med centralt hanterade exkluderingar. Lokalt definierade undantag för minskning av attackytor (ASR) gäller för närvarande inte, även när lokal administratörssammanslagning är aktiverad.

• Säkra standardinställningar: Om en inställning inte är uttryckligen konfigurerad i en policy, applicerar konfigurationsskydd Microsoft-definierade standardinställningar. Detta beteende säkerställer att enheterna upprätthåller en stark säkerhetsnivå även när administratörer inte har konfigurerat alla tillgängliga inställningar.

• Konfliktlösning: Konfigurationsskydd använder en värdebaserad prioritetsmodell snarare än en modell där den senaste skrivningen gäller:

  • På har företräde framför Off. Om en policy sätter konfigurationsskyddet till På och en annan till Av, förblir funktionen aktiverad på enheten.
  • Om flera policys tilldelar olika värden rapporteras en konflikt, men On-värdet upprätthålls fortfarande.
  • Om flera policys tilldelar samma värde blir resultatet framgång utan konflikt.

  Important

  Inte konfigurerat betyder inte Av. För att inaktivera funktionen, implementera uttryckligen en policy som sätter konfigurationsskyddet till Av.

Aktivera konfigurationsskydd

Du kan aktivera konfigurationsskydd antingen via Microsoft Intune eller via Microsoft Defender för Endpoint-hantering av säkerhetsinställningar.

Microsoft Intune är det rekommenderade verktyget för att konfigurera och distribuera Defender för slutpunktsfunktioner till enheter. Intune är dock en separat produkt som inte ingår i Defender för Endpoint och som inte ingår i alla prenumerationer. Om du vill använda Intune behöver du en prenumeration som innehåller den, eller så kan du köpa den separat som en fristående prenumeration eller ett tillägg. Om du inte har Intune kan du använda någon av de andra metoderna i den här artikeln. Mer information finns i Microsoft Intune licensiering.

Konfigurationsskydd konfigureras genom samma policygränssnitt som manipulationsskydd. I Windows Zabezpečenie Experience-profilen byter Intune om manipulationsskyddsinställningen till Konfigurationsskydd (Enhet) när konfigurationsskydd finns tillgängligt. Du kan inte aktivera konfigurationsskydd via Settings Catalog eller Device Control v1 (DCv1)-mallen.

Eftersom konfigurationsskydd och manipulationsskydd använder samma policyinställning, ersätter inställningen Konfigurationsskydd (på) manipulationsskyddet på den enheten. Du implementerar inte separata manipulations- och konfigurationsskyddspolicyer för samma miljö. För att migrera befintliga manipulationsskydd (DCv1) till konfigurationsskydd, skapa en Windows Zabezpečenie Experience-policy med Konfigurationsskydd (på) och ta sedan bort manipulationsskyddsinställningen från dina DCv1-policyer för att undvika konflikter.

1. På sidan Endpoint Security i Microsoft Intune admincenter på https://intune.microsoft.com, skapa en ny Windows Zabezpečenie Experience-profil eller redigera en befintlig.
2. Hitta inställningen Konfigurationsskydd (Enhet) (tidigare Tamper Protection).
3. Sätt värdet till Konfigurationsskydd (På) för att aktivera konfigurationsskydd.
4. Tilldela policyn till lämpliga enhetsgrupper.

Minsta klientversion och återställning

Innan du tilldelar Configuration Protection (On), uppdatera enheter till Microsoft Defender Antivirus-plattformen version 4.18.26060.3004 eller senare, och validera distributionen med en pilotgrupp.

På enheter med tidigare plattformsversioner kan Intune skicka Konfigurationsskydd (På) och Tamperskydd (Av), men enheten kan endast tillämpa Manipulationsskyddet. Detta beteende gör att både konfigurationsskydd och manipulationsskydd är avstängda.

För att rulla tillbaka, ändra Windows Zabezpečenie Experience-policyn från Konfigurationsskydd (på) till Manipulationsskydd (på), distribuera policyn igen, synka de berörda enheterna och kontrollera att manipulationsskydd är aktiverat. Normal fördröjning för leverans av policyer gäller.

Rapportering och övervakning

Konfigurationsskyddsstatus är synlig både i Intunes admincenter och i Microsoft Defender-portalen, beroende på hur enheterna hanteras.

• Intune: För enheter som är inskrivna direkt via Intune via Mobile Správa zariadení (MDM) kan du se:

  • Policystatus (Framgång, Konflikt eller Fel)
  • Konfigurationsskyddsstatus på enhetsnivå

• Microsoft Defender-portalen: För enheter som hanteras via Defender for Endpoint säkerhetsinställningar, kontrollera Microsoft Defender-portalen för effektivt konfigurationstillstånd.

  Note

  Dessa enheter syns inte i Intune-rapporter. Använd Microsoft Defender-portalen för att verifiera det effektiva konfigurationsskyddet.

Verifiera konfigurationsskyddet på en enhet

För att bekräfta konfigurationsskyddstillståndet direkt på en enhet, kör följande PowerShell-cmdlet:

Get-MpComputerStatus

Gå igenom följande egenskaper i utdatan:

• ControlledConfigurationState: Det aktuella tillståndet för tillsyn av konfigurationsskydd på enheten.
• IsTamperProtected: Indikerar om manipulationsskydd (grunden för konfigurationsskydd) är aktivt.
• TamperProtectionSource: Källan som upprätthåller det nuvarande tillståndet.

Du kan också använda Get-MpComputerStatus det för att bekräfta att versionen av Microsoft Defender Antivirus-plattformen uppfyller förutsättningarna, samt för att validera konfigurationstillståndet efter en policyändring eller en återställning av konfigurationsskyddet.

Livscykelbeteenden

Beteendet för konfigurationsskydd varierar beroende på förändringar i enhetens livscykel:

• Borttagning av principtilldelning: Konfigurationsskydd tas bort från enheten, såvida inte en annan princip för konfigurationsskydd fortfarande gäller.
• Avregistrering från Defender for Endpoint: Konfigurationsskydd förblir På (rensas inte automatiskt).
• Avregistrering av enhet: Konfigurationsskyddet tas bort och återställs till Av.

Återställ konfigurationsskydd på en enhet

För att rensa konfigurationsskyddstillståndet på en enhet, kör följande kommandon i en upphöjd kommandoprompt (ett kommandopromptfönster du öppnade genom att välja Kör som administratör):

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Config -ResetControlledConfiguration

För mer information, se Aktivera och använd felsökningsläge i Microsoft Defender för Endpoint.

Kända begränsningar

För närvarande gäller följande begränsningar för konfigurationsskydd:

• Du kan se falska konflikter i Intune när både manipulationsskydd och konfigurationsskydd riktar sig mot samma enhet.
• Du kan se rapporteringsinkonsekvenser mellan Intunes admincenter och Microsoft Defender-portalen.
• Täckningen är begränsad till Microsoft Defender Antivirus-inställningar (enhetskontroll, EDR och brandvägg täcks ännu inte).
• När du aktiverar konfigurationsskydd via säkerhetsinställningshanteringen i Microsoft Defender för Endpoint eller Intune stängs manipuleringsskydd av, såvida inte en annan princip för manipuleringsskydd uttryckligen anger att manipuleringsskydd ska vara aktiverat. När konfigurationsskyddet är på och tamper-skyddet är avstängt är manipulationsskyddets säkra poäng lägre. Vi arbetar för att täppa till detta gap.

Relaterat innehåll

• Översikt över manipulationsskydd
• Konfigurera manipulationsskydd i Microsoft Intune
• Microsoft Defender Core-tjänstekonfigurationer och experimenterande