使用網路保護來幫助防止與惡意或可疑網站的連線

想要體驗適用於端點的 Microsoft Defender 嗎？ 註冊免費試用。

網路保護概述

網路保護有助於保護裝置，防止與惡意或可疑網站的連線。 危險網域的例子包括承載釣魚詐騙、惡意下載、科技詐騙或其他惡意內容的網域。 網路保護將 Microsoft Defender SmartScreen 的範圍擴大，以封鎖所有嘗試連線至根據網域或主機名稱判定為信譽不佳之來源的對外 HTTP(S) 流量。

網路保護將 網頁保護 的防護延伸至作業系統層級，並且是 網頁內容篩選 (WCF) 的核心元件。 它為其他支援的瀏覽器及非瀏覽器應用程式提供 Microsoft Edge 中的網頁保護功能。 當與 端點偵測與回應 搭配使用時，網路保護也能提供對入侵指標 (IOC) 的可見性與封鎖功能。 例如，網路保護會搭配你的 自訂指示器 來封鎖特定網域或主機名稱。

觀看此影片，了解網路保護如何幫助減少裝置遭受釣魚詐騙、漏洞利用及其他惡意內容的攻擊面：

必要條件

支援的作業系統

• Windows
• macOS
• Linux

網路保護覆蓋範圍

下表總結了網路保護覆蓋區域：

要確保 Microsoft Edge 啟用 SmartScreen，請使用 Edge 政策：SmartScreen 啟用。

已知問題 & 限制

• 三種協定皆支援 IP 位址 (TCP、HTTP 和 HTTPS， (TLS) )
• 自訂指示器中僅支援單一 IP 位址，不支援 CIDR 區塊或 IP 範圍。
• 任何瀏覽器或處理程序都可封鎖 HTTP URL（包括完整的 URL 路徑）
• HTTPS 完整網域名稱 (FQDN) 可在非 Microsoft 瀏覽器中封鎖（指定完整 URL 路徑的指標只能在 Microsoft Edge 中封鎖）
• 在非 Microsoft 瀏覽器中封鎖 FQDN，必須在這些瀏覽器中停用 QUIC 和加密用戶端 Hello
• 透過 HTTP2 連線合併載入的 FQDN 只能在 Microsoft Edge 中被阻擋
• 網路保護會阻擋所有埠口的連線 (不只是 80 和 443) 。

從新增指示器/原則到封鎖相符的 URL/IP 之間，可能會有長達兩小時的延遲（通常更短）。

網路保護的需求

網路保護需要裝置運行以下其中一個作業系統：

• Windows 10 或 11 (Pro 或 Enterprise) (請參閱支援的 Windows 版本)
• Windows Server 2012 R2、Windows Server 2016 或 Windows Server 1803 或更新版本 (請參閱支援的 Windows 版本)
• macOS 版本 12 (Monterey) 或後續版本 (請參閱 Mac 版 適用於端點的 Microsoft Defender)
• 支援的 Linux 版本（請參閱 Linux 版 適用於端點的 Microsoft Defender）

網路防護還需要啟用即時防護的 Microsoft Defender 防毒軟體。

為什麼網路保護很重要

網路保護是 適用於端點的 Microsoft Defender 攻擊面縮小解決方案群組的一部分。 網路保護使網路層能阻擋與網域及 IP 位址的連線。 預設情況下，網路保護會透過 SmartScreen 串流保護你的電腦免受已知惡意網域的侵害，該串流會以類似 Microsoft Edge 瀏覽器 SmartScreen 的方式阻擋惡意網址。 網路保護功能可擴展至：

• 封鎖你自己的威脅情報 (指標 中的 IP/URL 位址)
• 從 Microsoft Defender for Cloud Apps 封鎖未經授權的服務
• 根據分類 (網頁 內容過濾) 封鎖瀏覽器對網站的存取

阻擋指揮與控制攻擊

指揮與控制 (C2) 伺服器用於向先前被惡意軟體入侵的系統發送指令。

C2 伺服器可用來啟動指令，這些指令可以：

• 竊取資料
• 控制殭屍網路中遭入侵的電腦
• 干擾合法申請
• 傳播惡意軟體，例如勒索軟體

Defender for Endpoint 的網路防護元件會利用機器學習、智慧入侵指標 (IoC) 識別等技術，識別並阻擋用於人工勒索軟體攻擊的 C2 伺服器連線。

網路保護：C2偵測與修復

勒索軟體已演變成一種複雜的威脅，具備人力驅動、適應性強，並聚焦於大規模結果，例如扣押整個組織的資產或資料作為勒索。

對指揮與控制伺服器 (C2) 的支援是勒索軟體演進的重要部分，也是這些攻擊能適應目標環境的關鍵。 切斷與指揮控制基礎設施的連結，可以阻止攻擊進入下一階段。 欲了解更多關於 C2 偵測與修復的資訊，請參閱 Tech Community 部落格：偵測與修復網路層的指令與控制攻擊。

網路保護：新增快顯通知

關於網路保護判定的新通知

當終端使用者嘗試在啟用網路保護的環境中造訪網站時，可能有三種情境，詳見下表：

警告體驗

使用者造訪一個網站。 如果 URL 的信譽未知或不確定，快顯通知會向使用者提供下列選項：

• 確定：快顯通知已解除 (移除)，對網站的存取嘗試已結束。
• 解鎖：使用者可於 24 小時內存取網站;此時封鎖會重新啟用。 使用者可以繼續使用 解除封鎖 存取網站，直到管理員禁止 (封鎖) 網站，從而移除解除 封鎖的選項。
• 意見回饋：快顯通知會向使用者顯示提交工單的連結，讓使用者可藉此向管理員提供意見回饋，嘗試說明其存取該網站的正當理由。

使用 CSP 以啟用 Convert warn verdict to block

預設情況下，惡意網站的 SmartScreen 判定會顯示警告，使用者可覆蓋此警告。 可以將原則設定為把警告轉為封鎖，以防止此類覆寫行為。

若為非 Edge 瀏覽器，請參閱 Defender CSP: Configuration/EnableConvertWarnToBlock。

關於 Edge 瀏覽器，請參見 Edge 政策：防止 SmartScreen 提示覆寫。

使用群組原則啟用「將 warn 判定轉換為封鎖」

啟用此設定後，網路保護會阻擋網路流量，而非顯示警告。

1. 在集中式群組原則中，於您的群組原則管理電腦上開啟 群組原則管理主控台 (GPMC)。

2. 在 GPMC 主控台樹狀結構中，展開包含您要編輯的 GPO 之樹系及網域中的群組原則物件。

3. 以滑鼠右鍵按兩下 GPO，然後選取 [ 編輯]。

4. 在群組政策管理編輯器中，請前往電腦設定>管理範本>Windows 組件>Microsoft Defender 防毒>網路檢查系統。

5. 在 網路檢查系統的詳細面板中，開啟 「轉換警告判定」為封鎖 設定。 要開啟設定，請使用以下任一方法：

   • 按兩下該設定項目。
   • 右鍵點擊設定，然後選擇 編輯。
   • 選擇設定，然後選擇 動作>編輯。

6. 在開啟的設定視窗中，選擇 啟用，然後選擇 確定。

封鎖體驗

當使用者造訪 URL 信譽不良的網站時，快顯通知會顯示以下選項：

• 確定：快顯通知已解除 (移除)，對網站的存取嘗試已結束。
• 意見回饋：快顯通知會向使用者顯示提交工單的連結，讓使用者可藉此向管理員提供意見回饋，嘗試說明其存取該網站的正當理由。

您的安全性作業團隊可以自訂針對遭封鎖連線所顯示的通知，加入貴組織的詳細資料和聯絡資訊。

智慧螢幕解除封鎖

透過 Defender for Endpoint 中的指示器，管理員可以允許終端使用者繞過某些 URL 和 IP 產生的警告。 視 URL 遭封鎖的原因而定，當觸發 SmartScreen 封鎖時，系統可能會提供使用者將該網站解除封鎖最長 24 小時的選項。 此時會顯示 Windows 安全性吐司通知，允許使用者選擇解除封鎖。 在這種情況下，該 URL 或 IP 會在指定期間內解除封鎖。

適用於端點的 Microsoft Defender 系統管理員可以在 Microsoft Defender 入口網站 中，使用 IP、URL 與網域的允許指標來解除封鎖任何 URL。

請參見 「建立 IP 及 URL/網域指標」。

使用網路保護

網路保護是針對裝置啟用的，通常透過你的管理基礎設施來完成。 關於支援的方法，請參見 開啟網路保護。

你可以在 audit 模式或 block 模式中啟用網路保護。 如果你想在實際封鎖 IP 位址或 URL 之前評估啟用網路保護的影響，可以在 稽核模式下啟用網路保護。 稽核模式會在終端使用者連線到原本會遭到網路保護封鎖的位址或網站時加以記錄。 要強制封鎖自訂指標或網頁內容過濾類別，必須開啟 block 網路保護模式。

關於 Linux 和 macOS 網路保護的資訊，請參閱以下文章：

• Linux 網路保護
• macOS 的網路保護

進階搜尋

如果你用進階搜尋來識別稽核事件，控制台最多可以取得 30 天的歷史紀錄。 參見進階狩獵。

您可以在 Defender for Endpoint 入口網站的 Advanced Hunting (https://security.microsoft.com) 中找到稽核事件。

審計事件位於 DeviceEvents 中，ActionType 為 ExploitGuardNetworkProtectionAudited。 區塊會以 ActionType 為 ExploitGuardNetworkProtectionBlocked 的形式顯示。

以下是一個用於查看非 Microsoft 瀏覽器網路保護事件的範例查詢：

DeviceEvents
|where ActionType in ('ExploitGuardNetworkProtectionAudited','ExploitGuardNetworkProtectionBlocked')

這裡還有另一個例子：

DeviceEvents
|where ActionType contains "ExploitGuardNetworkProtection"
|extend ParsedFields=parse_json(AdditionalFields)
|project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, IsAudit=tostring(ParsedFields.IsAudit), ResponseCategory=tostring(ParsedFields.ResponseCategory), DisplayName=tostring(ParsedFields.DisplayName)
|sort by Timestamp desc

反應類別告訴你事件的成因，如同這個例子所示：

欲了解更多資訊，請參閱 故障排除端點區塊。

如果你使用 Microsoft Edge 瀏覽器，請使用以下查詢來查詢 Microsoft Defender SmartScreen 事件：

DeviceEvents
| where ActionType == "SmartScreenUrlWarning"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName 

你可以利用這些 URL 和 IP 清單來判斷，如果裝置的網路保護設定為封鎖模式，哪些會被封鎖。 你也可以看到哪些功能會阻擋 URL 和 IP。 檢視清單，找出對你的環境必要的 URL 或 IP。 接著你可以為這些 URL 或 IP 位址建立允許指示器。 允許指示器優先於任何區塊。 請參閱 網路保護區塊的優先順序。

建立允許指示器以解除封鎖網站後，您可以嘗試以下方式解決原始封鎖：

• SmartScreen：如適當，報告誤判為真
• 指示器：修改現有指示器
• MCA：檢閱未經授權的應用程式
• WCF：請求重新分類

關於如何在 SmartScreen 資料中報告誤報的資訊，請參見「報告誤報」。

關於如何建立自己的 Power BI 報表詳情，請參見 「使用 Power BI 建立自訂報表」。

網路保護配置

欲了解更多如何啟用網路保護的資訊，請參閱 啟用網路保護。 使用群組原則、PowerShell 或 MDM CSP 來啟用並管理網路保護。

啟用網路保護後，您可能需要設定網路或防火牆，允許終端裝置與網路服務之間的連線：

• .smartscreen.microsoft.com
• .smartscreen-prod.microsoft.com

所需瀏覽器設定

在非 Microsoft Edge 程序中，網路保護會透過檢查發生在 TCP/IP 交握之後的 TLS 交握內容，來判斷每個 HTTPS 連線的完整網域名稱。 這需要 HTTPS 連線使用 TCP/IP (而非 UDP/QUIC) ，且 ClientHello 訊息不得加密。 要在 Google Chrome 中停用 QUIC 和 Encrypted Client Hello，請參見 QuicAllowed 和 EncryptedClientHelloEnabled。 關於 Mozilla Firefox，請參見 Disable EncryptedClientHello 和 network.http.http3.enable。

檢視網路保護事件

網路保護在 適用於端點的 Microsoft Defender 上運作最佳，該系統在警報調查情境中提供詳細報告。

檢視 Microsoft Defender 入口網站中的網路保護事件

適用於端點的 Defender 警示調查情境中，提供事件和封鎖的詳細報告。 你可以在 Microsoft Defender 入口網站 (https://security.microsoft.com) 的 警示佇列中檢視這些詳細資料，或使用 進階搜捕。 如果你使用 審計模式，可以用進階搜尋來查看如果啟用網路保護設定會如何影響你的環境。

在 Windows 事件檢視器中檢閱網路保護事件

你可以查看 Windows 事件日誌，看看當網路防護阻擋 (或稽核) 惡意 IP 或網域存取時所產生的事件：

1. 建立一個 XML 查詢。

2. 選取 確定。

   此程序建立一個自訂檢視，篩選出僅顯示與網路保護相關的以下事件：

   事件識別碼	描述
   5007	變更設定時的事件
   1125	網路保護在稽核模式下觸發時會發生的事件
   1126	網路保護在封鎖模式下觸發時會發生的事件

網路保護與 TCP 三方握手

在網路保護下，決定是否允許或阻擋對網站的存取，是在 透過 TCP/IP 完成三方握手後進行的。 因此，當網路保護封鎖某個網站時，即使該網站已遭封鎖，你仍可能會在 Microsoft Defender 入口網站的 DeviceNetworkEvents 下看到動作類型顯示為 ConnectionSuccess。 DeviceNetworkEvents 這些數據來自 TCP 層，而非來自網路保護。 在 TCP/IP 交握及任何 TLS 交握完成後，網路保護會允許或封鎖對網站的存取。

這裡有一個運作的範例：

1. 假設使用者嘗試存取一個網站。 該網站恰巧托管在一個危險的網域上，應該透過網路保護來封鎖。

2. 透過 TCP/IP 進行三方握手。 在完成之前，系統會記錄一項 DeviceNetworkEvents 動作，其 ActionType 會列為 ConnectionSuccess。 然而，一旦三方握手程序完成，網路保護就會封鎖對該站點的存取。 這一切都發生得很快。

3. 在 Microsoft Defender 入口網站中，某個警示會列於 警示佇列 中。 該警報的詳細資訊包括 DeviceNetworkEvents 和 AlertEvidence。 您可以看到網站已遭封鎖，即使您也有一個 ActionType 為 ConnectionSuccess 的 DeviceNetworkEvents 項目。

執行 Windows 10 企業版多工作階段的 Windows 虛擬桌面考量

由於 Windows 10 企業版具備多使用者特性，請留意以下幾點：

• 網路保護是裝置範圍的功能，無法針對特定使用者會話進行。
• 如果你需要區分使用者群組，可以考慮建立獨立的 Windows Virtual Desktop 主機池和指派。
• 在部署前，請以稽核模式測試網路保護，以評估其行為。
• 如果您有大量使用者或大量多使用者工作階段，請考慮調整部署規模。

網路保護的替代選項

對於使用 新式整合式解決方案 的 Windows Server 2012 R2 和 Windows Server 2016、Windows Server 版本 1803 或更新版本，以及 Azure 上 Windows 虛擬桌面中使用的 Windows 10 Enterprise Multi-Session 1909 和更新版本，可使用下列方法啟用網路保護：

1. 按一下 「開啟網路保護」，然後依照指示套用您的原則。

2. 執行以下 PowerShell 指令：

   Set-MpPreference -EnableNetworkProtection Enabled
   
   Set-MpPreference -AllowNetworkProtectionOnWinServer 1
   
   Set-MpPreference -AllowNetworkProtectionDownLevel 1
   
   Set-MpPreference -AllowDatagramProcessingOnWinServer 1
   

   注意事項

   根據你的基礎設施、流量量及其他條件， Set-MpPreference -AllowDatagramProcessingOnWinServer 1 都會影響網路效能。

Windows 伺服器的網路保護

以下資訊僅限於 Windows 伺服器。

確認網路保護是否已啟用

使用登錄檔編輯器確認本地裝置是否啟用了網路保護。

1. 在工作列中選擇 開始 按鈕，輸入 regedit 以開啟登錄檔編輯器。

2. 從側邊選單選擇 HKEY_LOCAL_MACHINE 。

3. 透過巢狀選單依序前往 SOFTWARE>政策>>Microsoft>>Windows Defender>>Windows Defender Exploit Guard>>網路保護。

   如果沒有金鑰，請前往 軟體>Microsoft>Windows Defender>Windows Defender Exploit Guard>網路保護。

4. 選擇 EnableNetworkProtection 以查看裝置目前的網路保護狀態：

   • 0 = 關掉
   • 1 = 啟用 ()
   • 2 = 審計模式

欲了解更多資訊，請參閱 開啟網路保護。

網路保護登錄金鑰

對於使用 現代統一解決方案 的 Windows Server 2012 R2 和 Windows Server 2016、Windows Server 版本 1803 或更新版本，以及 Windows 10 Enterprise Multi-Session 1909 和更新版本（用於 Azure 上的 Windows Virtual Desktop），請啟用其他登錄機碼，如下：

1. 前往 HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows Defender>Windows Defender Exploit Guard>Network Protection。

2. 請設定以下金鑰：

   • AllowNetworkProtectionOnWinServer (DWORD) 設定為 1 (十六進位)
   • EnableNetworkProtection (DWORD) 設定為 1 (十六進位)
   • （僅適用於 Windows Server 2012 R2 和 Windows Server 2016）AllowNetworkProtectionDownLevel（DWORD）設為 1（十六進位）

   注意事項

   根據您的基礎結構、流量規模及其他條件，HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows Defender>NIS>Consumers>IPS - AllowDatagramProcessingOnWinServer (dword) 1 (hex) 可能會影響網路效能。

   欲了解更多資訊，請參閱 開啟網路保護。

Windows 伺服器與 Windows 多重工作階段設定需要 PowerShell

對於 Windows Server 和 Windows 多工作階段，您還必須使用 PowerShell Cmdlet 啟用其他項目。 針對使用 現代統一解決方案 的 Windows Server 2012 R2 和 Windows Server 2016、Windows Server 版本 1803 或更新版本，以及用於 Azure 上 Windows Virtual Desktop 的 Windows 10 企業版多重工作階段 1909 版及更新版本，請執行下列 PowerShell 命令：

Set-MpPreference -EnableNetworkProtection Enabled

Set-MpPreference -AllowNetworkProtectionOnWinServer 1

Set-MpPreference -AllowNetworkProtectionDownLevel 1

Set-MpPreference -AllowDatagramProcessingOnWinServer 1

網路保護故障排除

由於網路保護所運作的環境，此功能可能無法偵測作業系統代理設定。 在某些情況下，網路保護用戶端無法連接雲端服務。 要解決連線問題，請為 Microsoft Defender 防毒軟體設定一個靜態代理。

要在所有用戶端停用 QUIC，可以透過 Windows 防火牆阻擋 QUIC 流量。

在 Windows 防火牆中停用 QUIC

此方法影響所有應用程式，包括瀏覽器及用戶端應用程式 (如 Microsoft Office) 。 在 PowerShell 中執行 New-NetFirewallRule cmdlet，新增一條防火牆規則，透過阻擋所有 UDP 流量到 443 埠來停用 QUIC：

Copy
$ruleParams = @{
    DisplayName = "Block QUIC"
    Direction = "Outbound"
    Action = "Block"
    RemoteAddress = "0.0.0.0/0"
    Protocol = "UDP"
    RemotePort = 443
}
New-NetFirewallRule @ruleParams

優化網路保護效能

網路保護包含一項效能最佳化功能，可讓 block 模式以非同步方式檢查長時間存續的連線，這可能帶來效能提升。 這種優化也能幫助解決應用程式相容性問題。 此功能預設開啟。

使用 CSP 啟用 AllowSwitchToAsyncInspection

Defender CSP：設定/允許切換至非同步檢查

使用群組原則來啟用「開啟非同步檢查」

此程序使網路保護能透過從即時檢查轉換為非同步檢查來提升效能。

1. 在集中式群組原則中，於您的群組原則管理電腦上開啟 群組原則管理主控台 (GPMC)。

2. 在 GPMC 主控台樹狀結構中，展開包含您要編輯的 GPO 之樹系及網域中的群組原則物件。

3. 以滑鼠右鍵按兩下 GPO，然後選取 [ 編輯]。

4. 在群組政策管理編輯器中，請前往電腦設定>管理範本>Windows 組件>Microsoft Defender 防毒>網路檢查系統。

5. 在 網路檢查系統的詳細視窗中，開啟 「開啟非同步檢查 」設定。 要開啟設定，請使用以下任一方法：

   • 按兩下該設定項目。
   • 右鍵點擊設定，然後選擇 編輯。
   • 選擇設定，然後選擇 動作>編輯。

1. 在開啟的設定視窗中，選擇 啟用，然後選擇 確定。

使用 Microsoft Defender 防毒軟體 Powershell 來啟用非同步檢查

您可以使用以下 PowerShell 指令開啟此功能：

Set-MpPreference -AllowSwitchToAsyncInspection $true

另請參閱

• 評估網路保護 |請進行一個快速情境，示範該功能如何運作，以及通常會產生哪些事件。
• 啟用網路保護 |使用群組原則、PowerShell 或 MDM CSP 來啟用並管理網路保護。
• 在 Microsoft Intune 中配置攻擊面減少功能
• Linux 網路保護 |學習如何使用 Microsoft 網路保護來支援 Linux 裝置。
• macOS 網路保護 |想了解更多關於 Microsoft 網路保護的 macOS 資訊