適用於端點的 Microsoft Defender 中的網頁保護

本文說明 適用於端點的 Microsoft Defender 中的網頁保護如何幫助保護你的裝置免受網路威脅並規範不想要的內容。 它涵蓋核心功能——網路威脅防護、網頁內容過濾與自訂指標，並包含瀏覽器支援、政策優先規則、故障排除及進階狩獵查詢。 本資訊供管理 Defender for Endpoint 的安全管理員及 IT 專業人員參考。

Overview

適用於端點的 Microsoft Defender 中的網路防護功能，包含網路威脅防護、網頁內容過濾及自訂指標。 網路保護能讓你的裝置免受網路威脅，並協助你規範不受歡迎的內容。 你可以在 Microsoft Defender 入口網站的「網路防護報告>」中找到網路防護報告。

網頁威脅防護

構成網路威脅防護的卡片包括隨 時間的網路威脅偵測 與 網路威脅摘要。

網路威脅防護包括：

• 全面掌握影響您組織的網路威脅。
• 透過警示與 URL 的全方位設定檔及存取這些 URL 的裝置，調查 Web 相關威脅活動的功能。
• 完整的安全功能，追蹤惡意及不受歡迎網站的一般存取趨勢。

在非 Microsoft Edge 程序中，網路保護會透過檢查 TCP/IP 交握後發生的 TLS 交握內容，判斷每個 HTTPS 連線的完整網域名稱。 這需要 HTTPS 連線使用 TCP/IP (而非 UDP/QUIC) ，且 ClientHello 訊息不得加密。 要在 Google Chrome 中停用 QUIC 和 Encrypted Client Hello，請參見 QuicAllowed 和 EncryptedClientHelloEnabled。 關於 Mozilla Firefox，請參見 Disable EncryptedClientHello 和 network.http.http3.enable。

從新增指標到該指標在用戶端開始強制執行之間，可能會有最長兩小時的延遲（通常更短）。 欲了解更多資訊，請參閱 網路威脅防護。

自訂指示器

自訂指標偵測會在網路威脅報告中彙整，分類為「 網路威脅偵測隨時間 」及「 網路威脅摘要」。

自訂指示器提供：

• 能夠建立基於 IP 和 URL 的入侵指標，以保護你的組織免受威脅。
• 能夠指定允許、封鎖或警告行為。
• 透過與您自訂的 IP/URL 指標及存取這些 URL 的裝置相關之活動的功能。

欲了解更多資訊，請參閱 「建立 IP 及 URL/網域指標」

Web 內容篩選

網頁內容過濾區塊會依類別整理為 網頁活動、 網頁內容過濾摘要及 網頁活動摘要。

網頁內容過濾提供：

• 能夠阻擋用戶存取被封鎖類別的網站，無論是在本地瀏覽還是離線瀏覽。
• 支援將不同原則套用至適用於端點的 Microsoft Defender 角色型存取控制設定中定義的不同裝置群組。

  注意事項

  Defender for Endpoint Plan 1 和 Plan 2 支援建立裝置群組。

• 網頁報告集中在同一個中心地點，並能看到區塊和網路使用情況。

欲了解更多資訊，請參閱網頁內容過濾。

優先順序

當多個網路保護政策可能適用於同一個 URL 或 IP 請求時，優先順序決定哪個政策勝出。 網路防護由以下幾個組成部分組成，依優先順序排列。 這些元件由 Microsoft Edge 的 SmartScreen 用戶端以及其他瀏覽器和程序中的 Network Protection 用戶端強制執行。

• 自訂指標 (IP/URL，Microsoft Defender for Cloud Apps政策)

  • 允許
  • 警告
  • 封鎖

• 網頁威脅（惡意軟體、網路釣魚）

  • 智慧螢幕英特爾

• WCF (網頁內容過濾)

優先順序描述了網路防護元件（自訂指標、網路威脅防護及網頁內容過濾）評估 URL 或 IP 的順序。 例如，如果你有網頁內容過濾政策，可以透過自訂的 IP/URL 指示器來建立排除項目。 自訂妥協指標（IoC）的優先順序高於 WCF 區塊。

同樣地，當指示器之間發生衝突時，允許一律優先於封鎖 (覆寫邏輯)。 這表示允許指示器優先於任何存在的區塊指示器。

下表總結了一些常見的配置，這些配置可能會在網路保護堆疊中產生衝突。 它也會根據網路防護元件的 優先順序 ，識別所產生的判斷結果。

自訂指示器不支援內部 IP 位址。 對於可由終端使用者略過的警告原則，在預設情況下，該網站會對該使用者解除封鎖 24 小時。 這個時間範圍可由管理員修改，並由 SmartScreen 雲端服務傳遞。 在 Microsoft Edge 中，也可以針對網路威脅封鎖（惡意軟體/網路釣魚）使用 CSP 來停用略過警告的功能。 欲了解更多資訊，請參閱 Microsoft Edge 智慧螢幕設定。

保護瀏覽器

在所有網頁保護情境中，SmartScreen 與網路保護可同時使用，以確保 Microsoft 及非 Microsoft 瀏覽器與程序間的保護。 SmartScreen 直接內建於 Microsoft Edge，而網路保護則監控非 Microsoft 瀏覽器與程序的流量。 下圖說明 SmartScreen 與網路保護如何在 Microsoft 及非 Microsoft 瀏覽器及流程間協同運作。 這張圖表顯示兩個用戶端協同運作，提供多種瀏覽器／應用程式涵蓋範圍，且對於 Web Protection 的所有功能（指標、網路威脅、內容過濾）皆準確適用。

針對端點封鎖進行疑難排解

SmartScreen 雲端的回應是標準化的。 像 Telerik Fiddler 這類工具可以用來檢查雲端服務的回應，幫助判斷區塊的來源。

當 SmartScreen 雲端服務回應允許、封鎖或警告時，回應類別與伺服器上下文會被中繼回傳給用戶端。 在 Microsoft Edge 中，系統會使用回應類別來判斷應顯示的適當封鎖頁面（惡意網站、網路釣魚或組織原則）。

下表顯示回應及其相關特徵。

Web 保護的進階搜捕

進階搜尋中的 Kusto 查詢可用於總結您組織內長達 30 天的網路防護封鎖。 這些查詢會利用 故障排除端點區塊 表中的回應類別，區分各種區塊來源，並以使用者友善的方式進行摘要。 例如，要在 Microsoft Edge 中尋找 SmartScreen 偵測到的網頁內容過濾（WCF）區塊，請執行以下查詢。 此查詢會篩選 DeviceEvents SmartScreen URL 警告動作，並擷取裝置名稱、時間戳、URL 及體驗類別等關鍵欄位，以識別網頁內容過濾區塊。

DeviceEvents
| where ActionType == "SmartScreenUrlWarning"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, Experience=tostring(ParsedFields.Experience)
| where Experience == "CustomPolicy"

要辨識非 Microsoft 瀏覽器中由網路保護強制執行的 WCF 封鎖，請使用以下查詢。 在此查詢中，是ActionTypeExploitGuardNetworkProtectionBlocked，而濾波器欄位則是 ResponseCategory ，而非 Experience。

DeviceEvents
| where ActionType == "ExploitGuardNetworkProtectionBlocked"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, ResponseCategory=tostring(ParsedFields.ResponseCategory)
| where ResponseCategory == "CustomPolicy"

若要列出因其他功能（如自訂指標）而產生的區塊，請參考 ResponseCategory 表格。 ResponseCategory 表格概述了每個特徵及其對應的回應類別。 這些查詢可以被修改，以搜尋與組織中特定機器相關的遙測數據。 每個查詢中顯示的 ActionType 只顯示被 Web Protection 功能阻擋的連線，而非所有網路流量。

當網路保護封鎖內容時，使用者所看到的內容

如果使用者造訪一個存在惡意軟體、釣魚或其他網路威脅風險的網頁，Microsoft Edge 會顯示一個類似以下圖片的封鎖頁面：

從 Microsoft Edge 124 開始，針對所有「網頁內容篩選」類別封鎖，都會顯示以下封鎖頁面。

無論如何，在非 Microsoft 瀏覽器中不會顯示封鎖頁面，使用者反而會看到「安全連線失敗」頁面以及 Windows 快顯通知。 視導致封鎖的政策而定，使用者會在快顯通知中看到不同的訊息。 例如，網頁內容過濾會顯示「此內容已被封鎖」的訊息。

報告誤判為真

若要對 SmartScreen 判定為危險的網站報告誤報，請使用出現在 Microsoft Edge 封鎖頁面上的連結。

針對 Web 內容過濾 (WCF)，您可以使用允許指標覆寫封鎖設定，也可以選擇對網域的分類提出異議。 請前往 WCF 報告的 「網域」 分頁。 你會看到每個領域旁邊都有省略號。 將滑鼠移至此省略號上，選擇 爭議類別。 彈出式視窗隨即開啟。 設定事件的優先順序，並提供其他細節，例如建議的類別。 欲了解更多如何開啟 WCF 及如何爭議分類的資訊，請參閱網頁內容過濾。

如需有關如何提交假陽性/假陰性的詳細資訊，請參閱「處理 適用於端點的 Microsoft Defender 中的假陽性/假陰性」。

相關文章