Freigeben über

Erste Schritte mit dem Problembehandlungsmodus in Microsoft Defender for Endpoint

Gilt für:

Mit dem Problembehandlungsmodus in Microsoft Defender for Endpoint können Administratoren verschiedene Microsoft Defender Antivirus-Features behandeln, auch wenn Geräte von Organisationsrichtlinien verwaltet werden. Wenn beispielsweise der Manipulationsschutz aktiviert ist, können bestimmte Einstellungen nicht geändert oder deaktiviert werden. Sie können jedoch den Problembehandlungsmodus auf einem Gerät verwenden, um diese Einstellungen vorübergehend zu bearbeiten.

Der Problembehandlungsmodus ist standardmäßig deaktiviert und erfordert, dass Sie ihn für ein Gerät (und/oder eine Gruppe von Geräten) für einen begrenzten Zeitraum einschalten. Der Problembehandlungsmodus ist ausschließlich ein reines Unternehmensfeature und erfordert Microsoft Defender Portalzugriff.

In diesem Artikel wird der Problembehandlungsmodus für Windows-Geräte beschrieben. Informationen zum Problembehandlungsmodus unter Mac finden Sie unter Problembehandlungsmodus in Microsoft Defender for Endpoint unter macOS.

Tipp

Was sollten Sie wissen, bevor Sie beginnen?

Während des Problembehandlungsmodus können Sie den PowerShell-Befehl Set-MPPreference -DisableTamperProtection $true oder unter Clientbetriebssystemen die Security Center-App verwenden, um den Manipulationsschutz auf Ihrem Gerät vorübergehend zu deaktivieren und die erforderlichen Konfigurationsänderungen vorzunehmen.

Sie können den Problembehandlungsmodus verwenden, um probleme zu beheben oder die Anwendungskompatibilität mit Microsoft Defender Antivirus zu überprüfen, z. B. wenn falsch positive Ergebnisse mit Anwendungsblöcken auftreten.

Mit entsprechenden Berechtigungen können lokale Administratoren die Konfiguration auf einzelnen Geräten ändern, die in der Regel durch Eine Richtlinie gesperrt sind. Wenn sich ein Gerät im Problembehandlungsmodus befindet, kann es hilfreich sein, Microsoft Defender Antivirus-Leistungs- und Kompatibilitätsszenarien zu diagnostizieren. Lokale Administratoren können Microsoft Defender Antivirus nicht deaktivieren oder deinstallieren. Lokale Administratoren können alle anderen Sicherheitseinstellungen in der Microsoft Defender Antivirus-Suite konfigurieren (z. B. Cloudschutz, Manipulationsschutz).

Administratoren müssen über berechtigungen "Sicherheitseinstellungen verwalten" verfügen, um den Problembehandlungsmodus zu aktivieren.

Defender für Endpunkt sammelt Protokolle und Untersuchungsdaten während des gesamten Problembehandlungsprozesses.

  • Eine Momentaufnahme von wird erstellt, bevor der MpPreference Problembehandlungsmodus beginnt.
  • Eine zweite Momentaufnahme wird kurz vor Ablauf des Problembehandlungsmodus ausgeführt.
  • Betriebsprotokolle aus während des Problembehandlungsmodus werden ebenfalls gesammelt.
  • Protokolle und Momentaufnahmen werden gesammelt und stehen einem Administrator zur Verfügung, um sie mithilfe des Features Untersuchungspaket sammeln auf der Geräteseite zu erfassen. Microsoft entfernt diese Daten erst dann vom Gerät, wenn sie von einem Administrator gesammelt wurden.

Administratoren können auch die Änderungen an Einstellungen überprüfen, die während des Problembehandlungsmodus in Ereignisanzeige auf dem Gerät selbst vorgenommen werden.

Der Problembehandlungsmodus wird nach Erreichen seiner Ablaufzeit automatisch deaktiviert (er dauert 4 Stunden). Wenn der Problembehandlungsmodus abgelaufen ist, werden alle richtlinienverwalteten Konfigurationen wieder schreibgeschützt und rückgängig machen, wie das Gerät konfiguriert wurde, bevor der Problembehandlungsmodus aktiviert wird.

Es kann bis zu 15 Minuten dauern, von dem Zeitpunkt, zu dem der Befehl von Microsoft Defender XDR gesendet wird, bis er auf dem Gerät aktiv wird.

Benachrichtigungen werden an den Benutzer gesendet, wenn der Problembehandlungsmodus beginnt und der Problembehandlungsmodus endet. Außerdem wird eine Warnung gesendet, um anzugeben, dass der Problembehandlungsmodus bald beendet wird. Der Anfang und das Ende des Problembehandlungsmodus werden auch im Microsoft Defender-Portal auf der Gerätezeitachse auf der Geräteseite angegeben.

Sie können alle Ereignisse im Problembehandlungsmodus in der erweiterten Suche abfragen.

Hinweis

Richtlinienverwaltungsänderungen werden auf das Gerät angewendet, wenn es sich aktiv im Problembehandlungsmodus befindet. Die Änderungen werden jedoch erst wirksam, wenn der Problembehandlungsmodus abläuft. Darüber hinaus werden Microsoft Defender Antivirus Platform-Updates während des Problembehandlungsmodus nicht angewendet. Plattformupdates werden angewendet, wenn der Problembehandlungsmodus mit einem Windows-Update endet.

Voraussetzungen

Aktivieren des Problembehandlungsmodus

  1. Wechseln Sie zum Microsoft Defender-Portal, und melden Sie sich an.

  2. Navigieren Sie zur Geräteseite/Computerseite für das Gerät, das Sie den Problembehandlungsmodus aktivieren möchten. Wählen Sie Problembehandlungsmodus aktivieren aus. Sie müssen über berechtigungen "Verwalten von Sicherheitseinstellungen in Security Center" für Microsoft Defender for Endpoint verfügen.

    Aktivieren des Problembehandlungsmodus

    Hinweis

    Die Option Problembehandlungsmodus aktivieren ist auf allen Geräten verfügbar, auch wenn das Gerät die Voraussetzungen für den Problembehandlungsmodus nicht erfüllt.

  3. Vergewissern Sie sich, dass Sie den Problembehandlungsmodus für das Gerät aktivieren möchten.

    Das Konfigurations-Flyout

  4. Auf der Seite "Gerät" wird angezeigt, dass sich das Gerät jetzt im Problembehandlungsmodus befindet.

    Das Gerät befindet sich jetzt im Problembehandlungsmodus.

Abfragen für die erweiterte Suche

Im Folgenden finden Sie einige vordefinierte erweiterte Huntingabfragen, mit denen Sie Einblick in die Problembehandlungsereignisse erhalten, die in Ihrer Umgebung auftreten. Sie können diese Abfragen auch verwenden, um Erkennungsregeln zu erstellen , um Warnungen zu generieren, wenn sich Geräte im Problembehandlungsmodus befinden.

Abrufen von Problembehandlungsereignissen für ein bestimmtes Gerät

Suchen Sie nach deviceId oder deviceName, indem Sie die entsprechenden Zeilen auskommentieren.

//let deviceName = "<deviceName>";   // update with device name
let deviceId = "<deviceID>";   // update with device id
DeviceEvents
| where DeviceId == deviceId
//| where DeviceName  == deviceName
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| project Timestamp,DeviceId, DeviceName, _tsmodeproperties,
 _tsmodeproperties.TroubleshootingState, _tsmodeproperties.TroubleshootingPreviousState, _tsmodeproperties.TroubleshootingStartTime,
 _tsmodeproperties.TroubleshootingStateExpiry, _tsmodeproperties.TroubleshootingStateRemainingMinutes,
 _tsmodeproperties.TroubleshootingStateChangeReason, _tsmodeproperties.TroubleshootingStateChangeSource

Geräte, die sich derzeit im Problembehandlungsmodus befinden

DeviceEvents
| where Timestamp > ago(3h) // troubleshooting mode automatically disables after 4 hours 
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
|summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| order by Timestamp desc

Anzahl der Instanzen des Problembehandlungsmodus nach Gerät

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(30d)  // choose the date range you want
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| sort by count_

Gesamtanzahl

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(2d) //beginning of time range
| where Timestamp < ago(1d) //end of time range
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count()
| where count_ > 5          // choose your max # of TS mode instances for your time range

Tipp

Möchten Sie mehr erfahren? Engage mit der Microsoft-Sicherheitscommunity in unserer Tech Community: Microsoft Defender for Endpoint Tech Community.