Viselkedésfigyelés Microsoft Defender víruskeresőben

Érintett szolgáltatás:

• Végponthoz készült Microsoft Defender 1. csomag
• Végponthoz készült Microsoft Defender 2. csomag
• Microsoft Defender Vállalati verzió
• Microsoft Defender egyéni felhasználók számára
• Microsoft Defender víruskereső

A viselkedésfigyelés a Microsoft Defender víruskereső kritikus észlelési és védelmi funkciója.

Figyeli a folyamat viselkedését, hogy észlelje és elemezze a potenciális fenyegetéseket az alkalmazások, szolgáltatások és fájlok viselkedése alapján. Ahelyett, hogy kizárólag aláírásalapú észlelésre támaszkodunk (amely azonosítja az ismert kártevőmintákat), a viselkedésfigyelés a szoftver valós idejű viselkedésének megfigyelésére összpontosít. Ez a következőkkel jár:

1. Real-Time fenyegetésészlelés:

   • Folyamatok, fájlrendszerbeli tevékenységek és interakciók folyamatos megfigyelése a rendszeren belül.
   • Defender víruskereső azonosíthatja a kártevőkkel vagy más fenyegetésekkel kapcsolatos mintákat. Megkeresi például a meglévő fájlok szokatlan módosításait, az automatikus indítási beállításjegyzék (ASEP) kulcsainak módosítását vagy létrehozását, valamint a fájlrendszer vagy a struktúra egyéb módosításait.

2. Dinamikus megközelítés:

• A statikus, aláírásalapú észleléstől eltérően a viselkedésfigyelés alkalmazkodik az új és változó fenyegetésekhez.

• Microsoft Defender víruskereső előre meghatározott mintákat használ, és megfigyeli, hogyan viselkedik a szoftver a végrehajtás során. Az előre definiált mintához nem illő kártevők esetén Microsoft Defender víruskereső anomáliadetektált állapotot használ.

• Ha egy program gyanús viselkedést mutat (például megkísérli módosítani a kritikus rendszerfájlokat), Microsoft Defender víruskereső lépéseket tehet a további károk elkerülése érdekében, és visszaállíthat néhány korábbi kártevő-műveletet.

A viselkedésfigyelés javítja Defender víruskereső képességét a felmerülő fenyegetések proaktív észlelésére azáltal, hogy a valós idejű műveletekre és viselkedésekre összpontosít, és nem kizárólag az ismert aláírásokra támaszkodik.

Az alábbi funkciók a viselkedésfigyeléstől függenek.

Kártevőirtó:

• Jelzők, fájlkivonat, engedélyezés/blokk

Hálózatvédelem:

• Jelzők, IP-cím/URL-cím, engedélyezés/blokk
• Webes tartalomszűrés, engedélyezés/letiltás

A viselkedésfigyelés ideiglenes letiltásához először engedélyeznie kell a hibaelhárítási módot, le kell tiltania az Illetéktelen módosítás elleni védelmet, majd le kell tiltania a viselkedésfigyelést.

A viselkedésfigyelési szabályzat módosítása

Az alábbi táblázat a viselkedésfigyelés konfigurálásának különböző módjait mutatja be.

Ha Microsoft Defender Vállalati verzió használ, olvassa el A következő generációs védelmi szabályzatok áttekintése vagy szerkesztése Microsoft Defender Vállalati verzió című témakört.

A viselkedésfigyelési beállítások módosítása a PowerShell használatával

A viselkedésfigyelési beállítások módosításához használja a következő parancsot:

Set-MpPreference -DisableBehaviorMonitoring <true | false>

• True letiltja a viselkedésfigyelést.
• False engedélyezi a viselkedésfigyelést.

További információ: Set-MpPreference.

A viselkedésfigyelési állapot lekérdezése a PowerShellből

Get-MpComputerStatus | Format-Table BehaviorMonitorEnabled

Ha a visszaadott érték , truea viselkedésfigyelés engedélyezve van.

A viselkedésfigyelési állapot lekérdezése speciális veszélyforrás-kereséssel

Az Advanced Hunting (AH) használatával lekérdezheti a viselkedésfigyelés állapotát.

Microsoft Defender XDR, Végponthoz készült Microsoft Defender 2. csomag vagy Microsoft Defender Vállalati verzió szükséges.

let EvalTable = DeviceTvmSecureConfigurationAssessment
| where ConfigurationId in ("scid-91")
| summarize arg_max(Timestamp,IsCompliant, IsApplicable) by DeviceId, ConfigurationId,tostring(Context)
| extend Test = case(
ConfigurationId == "scid-91" , "BehaviorMonitoring",
"N/A"),
Result = case(IsApplicable == 0,"N/A",IsCompliant == 1 , "Enabled", "Disabled")
| extend packed = pack(Test,Result)
| summarize Tests = make_bag(packed) by DeviceId
| evaluate bag_unpack(Tests);
let DefUpdate = DeviceTvmSecureConfigurationAssessment
| where ConfigurationId == "scid-2011"
// | where isnotnull(Context)
| extend Definition = parse_json(Context[0][0])
| extend LastUpdated = parse_json(Context[0][2])
| project DeviceId,Definition,LastUpdated;
let DeviceInformation = DeviceInfo
| where isnotempty(OSPlatform)
| summarize arg_max(Timestamp,*) by DeviceId, DeviceName
| project DeviceId, DeviceName, MachineGroup;
let withNames = EvalTable
| join kind = inner DeviceInformation on DeviceId
| project-away DeviceId1
| project-reorder DeviceName, MachineGroup;
withNames | join kind = fullouter DefUpdate on DeviceId
| project-away DeviceId1
| sort by BehaviorMonitoring asc

Magas processzorhasználattal kapcsolatos hibák elhárítása

A viselkedésmonitorozással kapcsolatos észlelések a "Behavior" (Viselkedés) kezdetűek.

A magas processzorhasználat MsMpEng.exevizsgálatakor ideiglenesen letilthatja a viselkedésfigyelést, így ellenőrizheti, hogy a problémák továbbra is fennállnak-e.

A Microsoft Defender Víruskereső teljesítményelemzője segítségével megkeresheti azokat a \path\process, process és/vagy fájlbővítményeket, amelyek hozzájárulnak a magas processzorkihasználtsághoz. Ezután hozzáadhatja ezeket az elemeket a környezetfüggő kizáráshoz.

További információ: A Microsoft Defender víruskereső teljesítményelemzője.

Ha a viselkedésfigyelés magas processzorhasználatot tapasztal, folytassa a probléma elhárítását az alábbi elemek sorrendjének visszaállításával. Engedélyezze újra a viselkedésfigyelést az egyes elemek visszaállítása után, hogy megállapítsa, hol lehet a probléma.

1. platformfrissítés
2. motorfrissítés
3. biztonságiintelligencia-frissítés.

Ha továbbra is magas processzorhasználati problémákat tapasztal, forduljon a Microsoft ügyfélszolgálatához, és készítse fel az ügyfélelemző adatait.

Ha a viselkedésmonitorozás nem okozza a problémát, a Microsoft Defender Víruskereső teljesítményelemzője segítségével gyűjtsön naplóadatokat. Gyűjtsön két különböző naplót a és a -aa használatávala -c. Ha kapcsolatba lép a Microsoft ügyfélszolgálatával, készítse fel ezeket az információkat.

További információ: Adatgyűjtés a windowsos speciális hibaelhárításhoz.