Оценка антивирусной программы Microsoft Defender с помощью групповая политика

Статья
02/13/2025

Область применения:

Антивирусная программа в Microsoft Defender
Microsoft Defender для конечной точки (план 1)
Microsoft Defender для конечной точки (план 2)

Платформы:

Windows

В Windows 10 или более новых версиях и Windows Server 2016 или более новых версиях можно использовать функции защиты нового поколения, предоставляемые антивирусной программой Microsoft Defender (MDAV) и Microsoft Defender Exploit Guard (Microsoft Defender EG).

В этой статье объясняется, как включить и проверить функции защиты ключей в Microsoft Defender AV и Microsoft Defender EG, а также приводятся рекомендации и ссылки на дополнительные сведения.

В этой статье описываются параметры конфигурации в Windows 10 или более поздней версии, а также Windows Server 2016 или более поздней версии.

Использование антивирусной программы Microsoft Defender с помощью групповая политика для включения функций

В этом руководстве приведена Microsoft Defender антивирусная групповая политика, которая настраивает функции, которые следует использовать для оценки нашей защиты.

Получите последнюю версию "Административные шаблоны Windows групповая политика".

Дополнительные сведения см. в статье Создание и управление центральным магазином — клиент Windows.
Совет
1. Windows one работает с серверами Windows.
2. Даже если вы используете Windows 10 или Windows Server 2016, получите последние административные шаблоны для Windows 11 или более поздних версий.
Создайте "Центральное хранилище" для размещения последних шаблонов ADMX и ADML.

Дополнительные сведения см. в статье Создание и управление центральным магазином — клиент Windows.

При присоединении к домену:
1. Создайте новое наследование политики блока подразделения.
2. Откройте консоль управления групповой политикой (GPMC.msc).
3. Перейдите к разделу объекты групповая политика и создайте новую групповая политика.
4. Щелкните правой кнопкой мыши созданную политику и выберите Изменить.
5. Перейдите в разделПолитики>конфигурации> компьютераАдминистративные шаблоны>Компоненты> Windows Microsoft Defender Антивирусная программа.
или

При присоединении к рабочей группе
1. Откройте групповая политика Редактор MMC (GPEdit.msc).
2. Перейдите в раздел Конфигурация> компьютераАдминистративные шаблоны>Компоненты> Windows Microsoft Defender Антивирусная программа.

MDAV и потенциально нежелательные приложения (PUA)

Корень:

Описание	Setting
Отключение антивирусной программы Microsoft Defender	Отключено
Настройка обнаружения для потенциально нежелательных приложений	Включено — блокировать

Защита в режиме реального времени (постоянная защита, сканирование в режиме реального времени)

\ Защита в режиме реального времени.

Описание	Setting
Отключение защиты в режиме реального времени	Отключено
Настройка мониторинга для входящих и исходящих файлов и действий программ	Включен, двунаправленный (полный доступ)
Включение мониторинга поведения	Включено
Мониторинг файлов и программ на компьютере	Включено

Функции облачной защиты

Standard на подготовку и доставку обновлений аналитики безопасности может потребоваться несколько часов. Наша облачная служба защиты может обеспечить эту защиту за считанные секунды.

Дополнительные сведения см. в статье Использование технологий следующего поколения в Microsoft Defender Антивирусная программа с помощью облачной защиты.

\ КАРТЫ:

Описание	Setting
Присоединение к Microsoft MAPS	Включено, Advanced MAPS
Настройка функции "Блокировать при первом взгляде"	Включено
Отправка примеров файлов при необходимости дальнейшего анализа	Включено, отправить все примеры

\ MpEngine:

Описание	Setting
Выбор уровня облачной защиты	Включено, высокий уровень блокировки
Настройка расширенных облачных проверка	Включено, 50

Сканирование

Описание	Setting
Включение эвристики	Включено
Включение проверки электронной почты	Включено
Сканирование всех скачанных файлов и вложений	Включено
Включение сканирования скриптов	Включено
Сканирование архивных файлов	Включено
Сканирование упакованных исполняемых файлов	Включено
Настройка сканирования сетевых файлов (сканирование сетевых файлов)	Включено
Проверка съемных дисков	Включено
Включение проверки точек повторного анализа	Включено

Обновления аналитики безопасности

Описание	Setting
Укажите интервал проверка для обновлений аналитики безопасности	Включено, 4
Определение порядка источников для скачивания обновлений аналитики безопасности	Включено в разделе "Определение порядка источников для скачивания обновлений аналитики безопасности" InternalDefinitionUpdateServer \| MicrosoftUpdateServer \| MMPC Заметка: Где InternalDefinitionUpdateServer — это WSUS с разрешенными обновлениями антивирусной программы Microsoft Defender. MicrosoftUpdateServer == Центр обновления Майкрософт (ранее клиентский компонент Центра обновления Windows). MMPC == https://www.microsoft.com/en-us/wdsi/definitions

Описание

Setting

Укажите интервал проверка для обновлений аналитики безопасности

Включено, 4

Определение порядка источников для скачивания обновлений аналитики безопасности

Включено в разделе "Определение порядка источников для скачивания обновлений аналитики безопасности"

InternalDefinitionUpdateServer | MicrosoftUpdateServer | MMPC

Заметка: Где InternalDefinitionUpdateServer — это WSUS с разрешенными обновлениями антивирусной программы Microsoft Defender.

MicrosoftUpdateServer == Центр обновления Майкрософт (ранее клиентский компонент Центра обновления Windows).

MMPC == https://www.microsoft.com/en-us/wdsi/definitions

Отключение параметров антивирусной программы локального администратора

Отключите параметры антивирусной программы локального администратора, такие как исключения, и примените политики из Microsoft Defender для конечной точки Управление параметрами безопасности.

Корень:

Описание	Setting
Настройка поведения слияния локального администратора для списков	Отключено
Управление тем, видны ли исключения локальным администраторам	Включено

Действие по умолчанию для серьезности угроз

\ Угроз

Описание	Setting	Уровень оповещений	Действие
Указание уровней оповещений об угрозах, на которых не следует выполнять действия по умолчанию при обнаружении	Включено
		5 (серьезный)	2 (карантин)
		4 (высокий)	2 (карантин)
		2 (средний)	2 (карантин)
		1 (низкий)	2 (карантин)

\ Карантин

Описание	Setting
Настройка удаления элементов из папки карантина	Включено, 60

\ Интерфейс клиента

Описание	Setting
Включение режима безголового пользовательского интерфейса	Отключено

Защита сети

\ Microsoft Defender Exploit Guard\Network Protection:

Описание	Setting
Запрет доступа пользователей и приложений к опасным веб-сайтам	Включено, блокировать
Этот параметр определяет, можно ли настроить защиту сети в режиме блокировки или аудита на Windows Server	Включено

Чтобы включить защиту сети для серверов Windows, на данный момент используйте PowerShell:

ОС	Командлет PowerShell
Windows Server 2012 R2 и более поздних версий	`set-MpPreference -AllowNetworkProtectionOnWinServer $true`
единый клиент MDE Windows Server 2016 и Windows Server 2012 R2	`set-MpPreference -AllowNetworkProtectionOnWinServer $true` `set-MpPreference -AllowNetworkProtectionDownLevel $ true`

Правила уменьшения поверхности атаки

Перейдите к разделу Конфигурация> компьютераАдминистративные шаблоны>Компоненты> Windows Microsoft Defender Антивирусная программа> Microsoft DefenderСокращение направлений атакExploit Guard>.
Нажмите кнопку Далее.

Описание	Setting
be9ba2d9-53ea-4cdc-84e5-9b1eeee46550 Примечание. (Блокировать исполняемое содержимое из почтового клиента и веб-почты)	1 (блок)
7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c Примечание. (запретить Adobe Reader создавать дочерние процессы)	1 (блок)
5beb7efe-fd9a-4556-801d-275e5ffc04cc Примечание. (Блокировать выполнение потенциально скрытых скриптов)	1 (блок)
56a863a9-875e-4185-98a7-b882c64b5ce5 Примечание. (Блокировать злоупотребление эксплуатируемыми уязвимыми подписанными драйверами)	1 (блок)
92e97fa1-2edf-4476-bdd6-9d0b4dddc7b Примечание. (Блокировать вызовы API Win32 из макросов Office)	1 (блок)
01443614-cd74-433a-b99e-2ecdc07bfc25 Примечание. (Блокировать выполнение исполняемых файлов, если они не соответствуют критериям распространенности, возраста или списка доверия)	1 (блок)
26190899-1602-49e8-8b27-eb1d0a1ce869 Примечание. (Запретить приложению office для связи создавать дочерние процессы)	1 (блок)
d4f940ab-401b-4efc-aadc-ad5f3c50688a Примечание. (Запретить всем приложениям Office создавать дочерние процессы)	1 (блок)
c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb Примечание. ([ПРЕДВАРИТЕЛЬНАЯ ВЕРСИЯ] Запретить использование скопированных или олицетворенных системных средств)	1 (блок)
d3e037e1-3eb8-44c8-a917-57927947596d Примечание. (Блокировать запуск скачаемого исполняемого содержимого в JavaScript или VBScript)	1 (блок)
9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2 Примечание. (Блокировка кражи учетных данных из подсистемы локального центра безопасности Windows)	1 (блок)
a8f5898e-1dc8-49a9-9878-85004b8a61e6 Примечание. (Создание веб-оболочки блокировать для серверов)	1 (блок)
3b576869-a4ec-4529-8536-b80a7769e899 Примечание. (Запрет приложений Office создавать исполняемое содержимое)	1 (блок)
b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4 Примечание. (Блокировать недоверенные и неподписанные процессы, выполняемые с USB)	1 (блок)
75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84 Примечание. (Запрет приложений Office внедрять код в другие процессы)	1 (блок)
e6db77e5-3df2-4cf1-b95a-636979351e5b Примечание. (Блокировка сохраняемости через подписку на события WMI)	1 (блок)
c1db55ab-c21a-4637-bb3f-a12568109d35 Примечание. (Используйте расширенную защиту от программ-шантажистов)	1 (блок)
d1e49aac-8f56-4280-b9ba-993a6d77406c Примечание. (Блокировать создание процессов, исходящих из команд PSExec и WMI)	1 (блок) Заметка: Если у вас есть Configuration Manager (ранее SCCM) или другие средства управления, использующие WMI, может потребоваться задать значение 2 (аудит) вместо 1 ('block').
33ddedf1-c6e0-47cb-833e-de6133960387 Примечание. ([ПРЕДВАРИТЕЛЬНАЯ ВЕРСИЯ] Блокировка перезагрузки компьютера в безопасном режиме)	1 (блок)

Совет

Некоторые правила могут блокировать поведение, допустимое в вашей организации. В таких случаях измените правило с "Включено" на "Аудит", чтобы предотвратить нежелательные блокировки.

Управляемый доступ к папкам

Перейдите к разделу Конфигурация> компьютераАдминистративные шаблоны>Компоненты> Windows Microsoft Defender Антивирусная программа> Microsoft DefenderСокращение направлений атакExploit Guard>.

Описание	Setting
Настройка управляемого доступа к папкам	Включено, блокировать

Назначьте политики подразделению, в котором находятся тестовые компьютеры.

Включение защиты от незаконного изменения

На портале Microsoft XDR (security.microsoft.com) перейдите в раздел Параметры>Конечные> точкиДополнительные функции>Защита от незаконного изменения>вкл.

Дополнительные сведения см. в статье Разделы справки настройка или управление защитой от незаконного изменения?.

Проверка сетевого подключения к Cloud Protection

Важно проверка, что сетевое подключение Cloud Protection работает во время тестирования пера.

CMD (запуск от имени администратора)

cd "C:\Program Files\Windows Defender"
MpCmdRun.exe -ValidateMapsConnection

Дополнительные сведения см. в статье Проверка облачной защиты с помощью средства cmdline.

Проверка версии обновления платформы

Последняя версия "Обновление платформы" Рабочий канал (GA) доступна здесь:

Каталог обновлений Майкрософт

Чтобы проверка установленной версии "Обновление платформы", используйте следующую команду PowerShell (Запуск от имени администратора):

get-mpComputerStatus | ft AMProductVersion

Проверка версии обновления аналитики безопасности

Последняя версия "Обновление аналитики безопасности" доступна здесь:

Последние обновления аналитики безопасности для антивирусной программы Microsoft Defender и других вредоносных программ Майкрософт — портал для обнаружения угроз (Microsoft)

Чтобы проверка установленной версии "Обновление аналитики безопасности", используйте следующую команду PowerShell (Запуск от имени администратора):

get-mpComputerStatus | ft AntivirusSignatureVersion

Проверка версии обновления ядра

Последняя версия обновления ядра сканирования доступна здесь:

Чтобы проверка какой версии установлено обновление ядра, используйте следующую команду PowerShell (Запуск от имени администратора):

get-mpComputerStatus | ft AMEngineVersion

Если вы обнаружили, что параметры не вдействуют, может возникнуть конфликт. Чтобы устранить конфликты, см. раздел Устранение неполадок Microsoft Defender параметров антивирусной программы.

Для отправки ложноотрицательных данных (FN)

Если у вас есть вопросы об обнаружении, которое Microsoft Defender av делает, или вы обнаружите пропущенное обнаружение, вы можете отправить нам файл.

Если у вас есть Microsoft XDR, Microsoft Defender для конечной точки P2/P1 или Microsoft Defender для бизнеса, см. раздел Отправка файлов в Microsoft Defender для конечной точки.

Если у вас Microsoft Defender антивирусная программа, см. следующие сведения:https://www.microsoft.com/security/portal/mmpc/help/submission-help.aspx

Microsoft Defender AV указывает на обнаружение с помощью стандартных уведомлений Windows. Вы также можете просмотреть обнаружения в приложении Microsoft Defender AV.

Журнал событий Windows также записывает события обнаружения и обработчика. Список идентификаторов событий и соответствующих действий см. в статье о событиях антивирусной программы Microsoft Defender.

Если параметры применяются неправильно, узнайте, есть ли конфликтующие политики, которые включены в вашей среде. Дополнительные сведения см. в статье Устранение неполадок Microsoft Defender параметров антивирусной программы.

Если вам нужно обратиться в службу поддержки Майкрософт, обратитесь в службу поддержки Microsoft Defender для конечной точки.

Поделиться через