Festlegen von Gegenmaßnahmen für Microsoft Defender Antivirus-Erkennungen

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender Antivirus

Wenn Microsoft Defender Antivirus eine Überprüfung ausführt, wird versucht, erkannte Bedrohungen zu beheben oder zu entfernen. Korrekturaktionen können das Entfernen einer Datei, das Senden der Datei unter Quarantäne oder das Zulassen des Verbleibs umfassen. Dieser Artikel enthält Informationen und Links zu Ressourcen, um anzugeben, welche Aktionen ausgeführt werden sollen, wenn Bedrohungen auf Geräten erkannt werden. Sie können aus mehreren Methoden wählen, z. B.:

Wichtig

Microsoft Defender Antivirus erkennt und korrigiert Dateien basierend auf vielen Faktoren. Manchmal erfordert das Abschließen einer Korrektur einen Neustart. Selbst wenn die Erkennung später als falsch positiv ermittelt wird, muss der Neustart abgeschlossen werden, um sicherzustellen, dass alle zusätzlichen Korrekturschritte abgeschlossen wurden.

Wenn Sie sicher sind, Microsoft Defender Antivirus eine Datei basierend auf einem falsch positiven Ergebnis unter Quarantäne stellt, können Sie die Datei nach dem Neustart des Geräts aus der Quarantäne wiederherstellen. Weitere Informationen finden Sie unter Wiederherstellen unter Quarantäne befindliche Dateien in Microsoft Defender Antivirus. Um dieses Problem in Zukunft zu vermeiden, können Sie Dateien von den Überprüfungen ausschließen. Weitere Informationen finden Sie unter Konfigurieren und Überprüfen von Ausschlüssen für Microsoft Defender Antivirusscans.

Weitere wartungsbezogene Einstellungen finden Sie auch unter Informationen zu regelmäßigen Schnell- und Vollständigen Überprüfungen mit Microsoft Defender Antivirus.

Voraussetzungen

Unterstützte Betriebssysteme

  • Windows

Konfigurieren von Korrekturoptionen mithilfe von Intune

Informationen zum Konfigurieren von Wartungsaktionen mithilfe einer Microsoft Intune Richtlinie für Endpunktsicherheit findenSie unter Erstellen einer Endpunktsicherheitsrichtlinie (wird in der Intune-Dokumentation auf einer neuen Registerkarte geöffnet). Verwenden Sie beim Erstellen der Richtlinie die folgenden Einstellungen:

  • Richtlinientyp: Verringerung der Angriffsfläche

  • Plattform: Windows

  • Profil: Microsoft Defender Antivirus

  • Konfigurationseinstellungen: Konfigurieren Sie im Abschnitt Standardaktion Bedrohungssicherheit die verfügbaren Einstellungen:

    • Korrekturaktion für Bedrohungen mit hohem Schweregrad
    • Abhilfemaßnahmen für schwerwiegende Bedrohungen
    • Korrekturaktion für Bedrohungen mit niedrigem Schweregrad
    • Korrekturaktion für Bedrohungen mit mittlerem Schweregrad

    mit einem verfügbaren Aktionswert:

    • Nicht konfiguriert (Standard)
    • Clean
    • Quarantäne
    • Remove
    • Zulassen
    • Benutzerdefiniert
    • Blockieren

    Warnung

    Zulassen beseitigt keine erkannten Bedrohungen und unterdrückt laufende Erkennungsereignisse. Konfigurieren Sie diese Aktion nicht, wenn der Manipulationsschutz aktiviert ist. Verwenden Sie Nur in spezialisierten Umgebungen zulassen (z. B. industrielle Steuerungssysteme oder kritische Infrastruktur), wenn:

    • Automatische Korrekturen sind für Vorgänge nicht praktikabel.
    • Es gibt andere Verfahren, um auf erkannte Bedrohungen zu reagieren.
    • Kompensierende Sicherheitskontrollen werden bereitgestellt.

    Verwenden Sie Standardwartungsaktionen (Bereinigen, Quarantäne, Entfernen oder Blockieren) in allen anderen Umgebungen.

Weitere Informationen zu Antivirenrichtlinien in Intune finden Sie unter Antivirusrichtlinie für Endpunktsicherheit in Intune.

Konfigurieren von Korrekturoptionen mithilfe von Konfigurations-Manager

Wenn Sie Konfigurations-Manager verwenden, lesen Sie die folgenden Artikel:

Konfigurieren von Korrekturoptionen mithilfe von Gruppenrichtlinie

  1. Öffnen Sie auf Ihrem Gruppenrichtlinie Verwaltungscomputer die Gruppenrichtlinie Management Console, und bearbeiten Sie das Gruppenrichtlinie Objekt, das Sie konfigurieren möchten.

  2. Wechseln Sie im Gruppenrichtlinie-Verwaltungs-Editor zu Computerkonfiguration, und wählen Sie dann Administrative Vorlagen aus.

  3. Erweitern Sie die Struktur zu Windows-Komponenten>Microsoft Defender Antivirus.

  4. Bearbeiten Sie die Richtlinie anhand der folgenden Tabelle nach Bedarf.

    Einstellung Beschreibung Standardeinstellung (falls nicht konfiguriert)
    Überprüfung
    Erstellen Sie einen Systemwiederherstellungspunkt.    		 Ein Systemwiederherstellungspunkt wird jeden Tag erstellt, bevor eine Bereinigung oder Überprüfung versucht wird. Deaktiviert
    Überprüfung
    Aktivieren Sie das Entfernen von Elementen aus dem Scanverlaufsordner.    		 Geben Sie an, wie viele Tage Elemente im Scanverlauf beibehalten werden sollen. 30 Tage
    Stamm
    Deaktivieren Sie die Routinewartung.    		 Geben Sie an, ob Microsoft Defender Antivirus Bedrohungen automatisch beseitigt oder ob der Benutzer aufgefordert werden soll. Deaktiviert. Bedrohungen werden automatisch behoben.
    Quarantäne
    Konfigurieren Sie das Entfernen von Elementen aus dem Quarantäneordner.    		 Geben Sie an, wie viele Tage Elemente in Quarantäne bleiben sollen, bevor sie entfernt werden. 90 Tage
    Bedrohungen Geben Sie Bedrohungen > an, für die bei Erkennung keine Standardaktion ausgeführt werden soll. Geben Sie an, wie bestimmte Bedrohungen (mithilfe ihrer Bedrohungs-ID) behoben werden sollen. Sie können angeben, ob die spezifische Bedrohung unter Quarantäne gesetzt, entfernt oder ignoriert werden soll. Nicht zutreffend
    Bedrohungen > Geben Sie Bedrohungswarnungsstufen an, bei denen bei Erkennung keine Standardaktion ausgeführt werden soll. Jeder Bedrohung, die von Microsoft Defender Antivirus erkannt wird, wird eine Bedrohungsstufe zugewiesen:
    • 1:Niedrig
    • 2:Mittel
    • 4:Hoch
    • 5:Schwere
    Verwenden Sie diese Einstellung, um anzugeben, wie Bedrohungen für die einzelnen Ebenen behoben werden. Gültige Werte sind:
    • 2:Quarantäne
    • 3:Entfernen
    • 6:Ignorieren
    • 11: None
    Warnung: Die Aktionen Ignorieren (6) und Keine (11) beheben keine erkannten Bedrohungen. Ignorieren (6) unterdrückt laufende Erkennungsereignisse, während None (11) weiterhin Warnungen und Schutzverlaufseinträge generiert. Konfigurieren Sie keine der beiden Aktionen, wenn der Manipulationsschutz aktiviert ist. Verwenden Sie diese Aktionen nur in spezialisierten Umgebungen (z. B. industrielle Steuerungssysteme oder kritische Infrastrukturen), in denen die automatische Wartung für Vorgänge nicht praktikabel ist, andere Verfahren vorhanden sind, um auf erkannte Bedrohungen zu reagieren, oder kompensierende Sicherheitskontrollen bereitgestellt werden. Verwenden Sie Standardwartungsaktionen (Quarantäne (2) oder Entfernen (3)) in allen anderen Umgebungen.    		 Nicht zutreffend

  5. Wählen Sie OK aus.

Konfigurieren von Korrekturoptionen mithilfe von PowerShell oder WMI

Sie können diese Einstellungen auch mit dem Set-MpPreference PowerShell-Cmdlet oder MSFT_MpPreference der WMI-Klasse konfigurieren.

Siehe auch

  • Last updated on