Utvärdera Microsoft Defender Antivirus med hjälp av grupprincip

Den här artikeln beskriver hur du aktiverar och testar viktiga skyddsfunktioner i Microsoft Defender Antivirus och Microsoft Defender Exploit Guard i aktuella versioner av Microsoft Windows och Windows Server.

Förhandskrav

Operativsystem som stöds

• Windows 10 eller senare
• Windows Server 2016 eller senare

Använd Microsoft Defender Antivirus med hjälp av grupprincip för att aktivera funktionerna

I det här avsnittet beskrivs hur du använder en grupprincip Central Store för att konfigurera Microsoft Defender Antivirus för utvärdering.

1. Ladda ned de senaste administrativa mallfilerna från Länkar för att ladda ned filerna för administrativa mallar baserat på operativsystemversionen.

   Tips

   Kontrollera avsnittet Systemkrav på de enskilda nedladdningssidorna:

   • De flesta nedladdningar stöder Windows-klienter och Windows-servrar.
   • Hämta den senaste tillgängliga och tillämpliga nedladdningen.

2. Gör någon av följande procedurer för att skapa en central lagringsplats som värd för de senaste .admx- och .adml-mallarna:

   • Domäner:

     1. Skapa en ny organisationsenhet för att blockera arv av principer.
     2. Öppna konsolen Grupprinciphantering (gpmc.msc).
     3. Gå till grupprincip objekt och skapa en ny grupprincip.
     4. Högerklicka på den nya grupprincipen och välj sedan Redigera.
     5. Gå till Datorkonfigurationsprinciper>>Administrativa mallar>Windows-komponenter>Microsoft Defender Antivirus.

   • Arbetsgrupper:

     1. Öppna grupprincip Editor (gpedit.msc).
     2. Gå till Datorkonfiguration>Administrativa mallar>Windows-komponenter>Microsoft Defender Antivirus.

Mer information finns i Skapa och hantera Central Store – Windows-klient.

MDAV och potentiellt oönskade program (PUA)

Rot:

Realtidsskydd (alltid aktiverat skydd, genomsökning i realtid)

Realtidsskydd:

Molnskyddsfunktioner

Standarduppdateringar för säkerhetsinformation kan ta timmar att förbereda och leverera. vår molnlevererad skyddstjänst kan leverera det här skyddet på några sekunder.

Mer information finns i Använda nästa generations tekniker i Microsoft Defender Antivirus via molnlevererad skydd.

KARTOR:

MpEngine:

Skannar

Uppdateringar av säkerhetsinformation

Inaktivera av-inställningar för lokal administratör

Inaktivera lokala av-administratörsinställningar, till exempel undantag, och framtvinga principerna från Microsoft Defender för Endpoint Hantering av säkerhetsinställningar.

Rot:

Standardåtgärd för allvarlighetsgrad för hot

Hot:

Karantän:

Klientgränssnitt:

Nätverksskydd

Microsoft Defender Exploit Guard\Network Protection:

Om du vill aktivera nätverksskydd för Windows-servrar använder du PowerShell för tillfället:

Regler för minskning av attackytan

1. Gå till Datorkonfiguration>Administrativa mallar>Windows-komponenter>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Attack Surface Reduction.

2. Välj Nästa.

^*Om du använder Microsoft Configuration Manager (kallades tidigare Microsoft Endpoint Configuration Manager och Microsoft System Center Configuration Manager) eller andra hanteringsverktyg som använder WMI använder du värdet 2 (Granskning). Configuration Manager-klienten är starkt beroende av WMI.

Kontrollerad mappåtkomst

Gå till Datorkonfiguration>Administrativa mallar>Windows-komponenter>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Attack Surface Reduction.

Tilldela principerna till den organisationsenhet där testdatorerna finns.

Aktivera manipulationsskydd

I Microsoft Defender-portalen på https://security.microsoft.comgår du till Inställningar>Slutpunkter>Avancerade funktioner>Manipulationsskydd>på.

Mer information finns i Hur gör jag för att konfigurera eller hantera manipuleringsskydd?.

Kontrollera cloud protection-nätverksanslutningen

Det är viktigt att kontrollera att Cloud Protection-nätverksanslutningen fungerar under intrångstestningen.

Kör följande kommandon i en upphöjd kommandotolk (ett kommandotolksfönster som du öppnade genom att välja Kör som administratör):

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Mer information finns i Konfigurera och hantera Microsoft Defender Antivirus med kommandoradsverktyget MpCmdRun.

Kontrollera versionen av plattformsuppdateringen

Den senaste versionen av Produktionskanal för plattformsuppdatering (GA) finns här:

Microsoft Update Catalog

Om du vill se den installerade versionen av "Plattformsuppdatering" kör du följande kommando i en upphöjd PowerShell-session (ett PowerShell-fönster som du öppnade genom att välja Kör som administratör):

Get-MpComputerStatus | Format-Table AMProductVersion

Kontrollera säkerhetsinformationsuppdateringsversionen

Den senaste versionen av "Security Intelligence Update" finns här:

De senaste uppdateringarna av säkerhetsinformation för Microsoft Defender Antivirus och andra Microsoft-program mot skadlig kod – Microsoft Säkerhetsinsikter

Om du vill se den installerade versionen av "Security Intelligence Update" kör du följande kommando i en upphöjd PowerShell-session:

Get-MpComputerStatus | Format-Table AntivirusSignatureVersion

Kontrollera versionen av motoruppdateringen

Den senaste genomsökningsversionen av "motoruppdatering" finns här:

De senaste uppdateringarna av säkerhetsinformation för Microsoft Defender Antivirus och andra Microsoft-program mot skadlig kod – Microsoft Säkerhetsinsikter

Om du vill se den installerade versionen av "Engine Update" kör du följande kommando i en upphöjd PowerShell-session:

Get-MpComputerStatus | Format-Table AMEngineVersion

Om inställningarna inte börjar gälla kan det uppstå en konflikt. Information om hur du löser konflikter finns i Felsöka Microsoft Defender Antivirus-inställningar.

För inskickade falska negativa identifieringar (FN)

Om du har frågor om en identifiering som Microsoft Defender AV gör, eller om du upptäcker en missad identifiering, kan du skicka en fil till oss.

Om du har Microsoft XDR, Microsoft Defender för Endpoint P2/P1 eller Microsoft Defender för företag: se Skicka filer i Microsoft Defender för Endpoint.

Om du har Microsoft Defender Antivirus kan du läsa Skicka filer för analys.

Microsoft Defender AV anger en identifiering via vanliga Windows-meddelanden. Du kan också granska identifieringar i Microsoft Defender AV-appen.

Windows-händelseloggen registrerar även identifierings- och motorhändelser. I artikeln Microsoft Defender Antivirushändelser finns en lista över händelse-ID:t och deras motsvarande åtgärder.

Om inställningarna inte tillämpas korrekt tar du reda på om det finns motstridiga principer som är aktiverade i din miljö. Mer information finns i Felsöka Microsoft Defender Antivirusinställningar.

Om du behöver öppna ett Microsoft-supportärende: Kontakta Microsoft Defender för Endpoint support.