Konfigurieren von Sicherheitseinstellungen in Microsoft Defender for Endpoint auf Linux

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Microsoft Defender for Endpoint auf Linux umfasst Antiviren-, Antischadsoftware-, Endpunkterkennungs- und Reaktionsfunktionen. Dieser Artikel fasst wichtige Sicherheitseinstellungen für die Konfiguration zusammen und enthält Links zu anderen Ressourcen.

Einstellungen Beschreibung
1. Konfigurieren Sie die statische Proxyerkennung. Durch die Konfiguration eines statischen Proxys wird sichergestellt, dass Telemetriedaten übermittelt werden, und Netzwerktimeouts werden vermieden. Führen Sie diese Aufgabe während und nach Ihrer Installation von Defender for Endpoint aus.

Weitere Informationen finden Sie unter Konfigurieren Microsoft Defender for Endpoint auf Linux für die statische Proxyermittlung.
2. Konfigurieren Sie Ihre Antivirenscans. Sie können automatische Antivirenscans mithilfe der integrierten Einstellungen für die geplante Überprüfung oder mithilfe von Anacron oder Crontab planen.

Weitere Informationen finden Sie in den folgenden Artikeln:
3. Konfigurieren Sie Ihre Sicherheitseinstellungen und -richtlinien. Sie können das Microsoft Defender-Portal (Defender for Endpoint Security Settings Management) oder ein Konfigurationsprofil (.jsonDatei) verwenden, um Defender für Endpunkt auf Linux zu konfigurieren. Alternativ können Sie die Befehlszeile verwenden, um bestimmte Einstellungen zu konfigurieren.

Weitere Informationen finden Sie in den folgenden Artikeln:
4. Konfigurieren und Überprüfen von Ausschlüssen (nach Bedarf) Sie können bestimmte Dateien, Ordner, Prozesse und von Prozessen geöffnete Dateien aus Defender für Endpunkt auf Linux ausschließen. Globale Ausschlüsse gelten für Echtzeitschutz (Real-Time Protection, RTP), Verhaltensüberwachung (BEHAVIOR Monitoring, BM) und Endpunkterkennung und -reaktion (Endpoint Detection and Response, EDR), wodurch alle zugehörigen Antivirenerkennungen, EDR-Warnungen und Sichtbarkeit für das ausgeschlossene Element beendet werden.

Weitere Informationen finden Sie unter Konfigurieren und Überprüfen von Ausschlüssen für Microsoft Defender für Endpunkt unter Linux.
5. Konfigurieren Sie den eBPF-basierten Sensor. Der erweiterte Berkeley-Paketfilter (eBPF) für Microsoft Defender for Endpoint auf Linux ist für alle Kunden standardmäßig automatisch für Agent-Versionen 101.23082.0006 und höher aktiviert. Es stellt ergänzende Ereignisdaten für Linux Betriebssysteme bereit und hilft, die Wahrscheinlichkeit von Konflikten zwischen Anwendungen zu reduzieren.

Weitere Informationen finden Sie unter Verwenden des eBPF-basierten Sensors für Microsoft Defender for Endpoint auf Linux.
6. Konfigurieren des Offline-Security Intelligence-Updates (nach Bedarf) Mit dem Offlineupdate für Security Intelligence können Sie Security-Intelligence-Updates für Linux-Server mit eingeschränkter oder ohne Internetanbindung konfigurieren. Sie können einen lokalen Hostingserver ("Spiegel Server") einrichten, der eine Verbindung mit der Microsoft-Cloud herstellen kann, um die Signaturen herunterzuladen. Andere Linux-Endpunkte können die Updates in einem vordefinierten Intervall von Ihrem Spiegel Server abrufen.

Weitere Informationen finden Sie unter Konfigurieren des Offline-Security Intelligence-Updates für Microsoft Defender for Endpoint auf Linux.
7. Bereitstellen von Updates. Microsoft veröffentlicht regelmäßig Softwareupdates zur Verbesserung von Leistung und Sicherheit oder zur Bereitstellung neuer Features.

Weitere Informationen finden Sie unter Bereitstellen von Updates für Microsoft Defender for Endpoint auf Linux.
8. Konfigurieren des Netzwerkschutzes (Vorschau) Der Netzwerkschutz verhindert, dass Benutzer anwendungen verwenden, um auf gefährliche Domänen zuzugreifen, die Phishing-Betrugsversuche, Exploits und andere schädliche Inhalte im Internet hosten könnten.

Weitere Informationen finden Sie unter Netzwerkschutz für Linux.

Wichtig

Wenn Sie mehrere Sicherheitslösungen parallel ausführen möchten, lesen Sie Überlegungen zu Leistung, Konfiguration und Support.

Möglicherweise haben Sie bereits gegenseitige Sicherheitsausschlüsse für Geräte konfiguriert, die in Microsoft Defender for Endpoint integriert wurden. Wenn Sie weiterhin gegenseitige Ausnahmen festlegen müssen, um Konflikte zu vermeiden, lesen Sie Microsoft Defender for Endpoint zur Ausschlussliste Ihrer vorhandenen Lösung hinzufügen.

Optionen zum Konfigurieren von Sicherheitseinstellungen

Um Ihre Sicherheitseinstellungen in Defender für Endpunkt auf Linux zu konfigurieren, haben Sie zwei Hauptoptionen:

  • Verwenden des Microsoft Defender-Portals (Defender for Endpoint Security Settings Management)

    oder

  • Verwenden Sie ein Konfigurationsprofil

Sie können die Befehlszeile verwenden, um bestimmte Einstellungen zu konfigurieren, Diagnose zu sammeln, Überprüfungen auszuführen und vieles mehr. Weitere Informationen finden Sie unter Linux-Ressourcen: Konfigurieren über die Befehlszeile.

Konfigurieren von Einstellungen mit Defender für die Verwaltung von Endpunktsicherheitseinstellungen

Sie können Defender für Endpunkt unter Linux im Microsoft Defender-Portal unter (Microsoft Defender Portal) mit Defender für Endpoint Security Settings Management konfigurieren. Weitere Informationen, einschließlich des Erstellens, Bearbeitens und Überprüfens von Sicherheitsrichtlinien, finden Sie unter Verwenden Microsoft Defender for Endpoint Sicherheitseinstellungsverwaltung zum Verwalten von Microsoft Defender Antivirus.

Verwenden eines Konfigurationsprofils zum Verwalten von Sicherheitseinstellungen

Sie können Einstellungen in Defender für Endpunkt auf Linux über ein Konfigurationsprofil konfigurieren, das eine .json Datei verwendet. Nachdem Sie Ihr Profil eingerichtet haben, können Sie es mit dem Verwaltungstool Ihrer Wahl bereitstellen. Vom Unternehmen verwaltete Einstellungen haben Vorrang vor lokal auf dem Gerät festgelegten Einstellungen.

Anders ausgedrückt: Benutzer in Ihrem Unternehmen können keine Einstellungen ändern, die über dieses Konfigurationsprofil festgelegt werden. Wenn Ausschlüsse über das verwaltete Konfigurationsprofil hinzugefügt wurden, können sie nur über das verwaltete Konfigurationsprofil entfernt werden. Die Befehlszeile funktioniert für lokal hinzugefügte Ausschlüsse.

Die folgende Anleitung zum Konfigurationsprofil beschreibt die Struktur des Konfigurationsprofils für Defender for Endpoint unter Linux, enthält ein empfohlenes Einstiegsprofil und erläutert, wie es bereitgestellt wird.

Struktur des Konfigurationsprofils

Das Konfigurationsprofil ist eine .json Datei, die aus Einträgen besteht, die durch einen Schlüssel identifiziert werden (der den Namen der Einstellung angibt), gefolgt von einem Wert, der von der Art der Einstellung abhängt. Werte können einfach (z. B. ein numerischer Wert) oder komplex (z. B. eine geschachtelte Liste von Einstellungen) sein.

In der Regel verwenden Sie ein Konfigurationsverwaltungstool, um eine Datei mit dem Namen mdatp_managed.json an den Speicherort zu pushen /etc/opt/microsoft/mdatp/managed/.

Die oberste Ebene des Konfigurationsprofils umfasst produktweite Einstellungen und Einträge für Unterbereiche des Produkts, z. B. Antivirenmoduleinstellungen, in der Cloud bereitgestellte Schutzeinstellungen, erweiterte optionale Features und Netzwerkschutzkonfigurationen.

Die folgenden empfohlenen Konfigurationsprofilanleitungen umfassen zwei Konfigurationsprofilbeispiele:

  • Beispielprofil , das Ihnen bei den ersten Schritten mit empfohlenen Einstellungen hilft.
  • Vollständiges Konfigurationsprofilbeispiel für Organisationen, die eine präzisere Kontrolle über Sicherheitseinstellungen wünschen.

Für den Einstieg empfehlen wir die Verwendung des ersten Beispielprofils für Ihre organization. Für eine präzisere Steuerung können Sie stattdessen das vollständige Konfigurationsprofilbeispiel verwenden.

Beispielprofil

Mit dem folgenden Konfigurationsprofil können Sie wichtige Schutzfunktionen in Defender für Endpunkt auf Linux nutzen. Das Profil enthält die folgende Konfiguration:

  • Aktivieren Sie den Echtzeitschutz (Real-Time Protection, RTP).
  • Geben Sie an, wie die folgenden Bedrohungstypen behandelt werden:
    • Potenziell unerwünschte Anwendungen (PUA) werden blockiert.
    • Archivbomben (Dateien mit hoher Komprimierungsrate) werden in den Produktprotokollen protokolliert.
  • Aktivieren sie automatische Security Intelligence-Updates.
  • Aktivieren Sie den von der Cloud bereitgestellten Schutz.
  • Aktivieren Sie die automatische Übermittlung von Stichproben auf safe-Ebene.
{
   "antivirusEngine":{
      "enforcementLevel":"real_time",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ]
   },
   "cloudService":{
      "automaticDefinitionUpdateEnabled":true,
      "automaticSampleSubmissionConsent":"safe",
      "enabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/"
   }
}
Beispiel für ein vollständiges Konfigurationsprofil

Das folgende vollständige verwaltete Konfigurationsbeispiel enthält Einträge für alle in diesem Artikel beschriebenen Einstellungen, einschließlich Antivirusmodul, geplanter Überprüfung, Clouddienst, erweitertes Feature, Netzwerkschutz, EDR und Ausschlusseinstellungen. Sie können dieses Profil für erweiterte Szenarien verwenden, in denen Sie eine präzise Kontrolle über die einzelnen Einstellungen wünschen.

{
"antivirusEngine":{
      "enforcementLevel":"passive",
      "behaviorMonitoring": "disabled",
      "scanAfterDefinitionUpdate":true,
      "scanArchives":true,
      "scanHistoryMaximumItems": 10000,
      "scanResultsRetentionDays": 90,
      "maximumOnDemandScanThreads":2,
      "exclusionsMergePolicy":"merge",
      "allowedThreats":[
         "<EXAMPLE DO NOT USE>EICAR-Test-File (not a virus)"
      ],
      "disallowedThreatActions":[
         "allow",
         "restore"
      ],
      "nonExecMountPolicy":"unmute",
      "unmonitoredFilesystems": ["nfs,fuse"],
      "enableFileHashComputation": false,
      "threatTypeSettingsMergePolicy":"merge",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ],
      "scanFileModifyPermissions":true,
      "scanFileModifyOwnership":false,
      "scanNetworkSocketEvent":false,
      "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/<EXAMPLE DO NOT USE>",
      "offlineDefinitionUpdateFallbackToCloud":false,
      "offlineDefinitionUpdate":"disabled",
      "scheduledScan": "enabled"
   },
   "scheduledScan":{
      "weeklyConfiguration":{
         "dayOfWeek": 7,
         "scanType": "full",
         "timeOfDay": 180
      },
      "dailyConfiguration":{
         "timeOfDay": 180
      },
      "runScanWhenIdle": true,
      "lowPriorityScheduledScan": true,
      "checkForDefinitionsUpdate": true,
      "ignoreExclusions": false,
      "randomizeScanStartTime": 3
   },
   "cloudService":{
      "enabled":true,
      "diagnosticLevel":"optional",
      "automaticSampleSubmissionConsent":"safe",
      "automaticDefinitionUpdateEnabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/",
      "definitionUpdatesInterval":28800
   },
   "features":{
      "moduleLoad":"disabled",
      "supplementarySensorConfigurations":{
        "enableFilePermissionEvents":"disabled",
        "enableFileOwnershipEvents":"disabled",
        "enableRawSocketEvent":"disabled",
        "enableBootLoaderCalls":"disabled",
        "enableProcessCalls":"disabled",
        "enablePseudofsCalls":"disabled",
        "enableEbpfModuleLoadEvents":"disabled",
        "sendLowfiEvents":"disabled"
      },
      "ebpfSupplementaryEventProvider":"enabled",
      "offlineDefinitionUpdateVerifySig": "disabled"
   },
   "networkProtection":{
      "enforcementLevel":"disabled",
      "disableIcmpInspection":true
   },
   "edr":{
      "groupIds":"GroupIdExample",
      "tags": [
         {
         "key": "GROUP",
         "value": "Tag"
         }
       ]
   },
"exclusionSettings":{
  "exclusions":[
     {
        "$type":"excludedPath",
        "isDirectory":true,
        "path":"/home/*/git<EXAMPLE DO NOT USE>",
        "scopes": [
              "epp"
        ]
     },
     {
        "$type":"excludedPath",
        "isDirectory":true,
        "path":"/run<EXAMPLE DO NOT USE>",
        "scopes": [
              "global"
        ]
     },
     {
        "$type":"excludedPath",
        "isDirectory":false,
        "path":"/var/log/system.log<EXAMPLE DO NOT USE><EXCLUDED IN ALL SCENARIOS>",
        "scopes": [
              "epp", "global"
        ]
     },
     {
        "$type":"excludedFileExtension",
        "extension":".pdf<EXAMPLE DO NOT USE>",
        "scopes": [
              "epp"
        ]
     },
     {
        "$type":"excludedFileName",
        "name":"/bin/cat<EXAMPLE DO NOT USE><NO SCOPE PROVIDED - GLOBAL CONSIDERED>"
     }
  ],
  "mergePolicy":"admin_only"
}
}

Antiviren-, Antischadsoftware- und EDR-Einstellungen in Defender für Endpunkt auf Linux

Unabhängig davon, ob Sie ein Konfigurationsprofil (.json-Datei) oder das Microsoft Defender-Portal (Verwaltung von Sicherheitseinstellungen) verwenden, können Sie Ihre Antiviren-, Antischadsoftware- und EDR-Einstellungen in Defender für Endpunkt auf Linux konfigurieren. In den folgenden Abschnitten wird beschrieben, wo und wie Sie Ihre Einstellungen konfigurieren.

Einstellungen der Antiviren-Engine

Der Abschnitt antivirusEngine des Konfigurationsprofils verwaltet die Einstellungen der Antivirenkomponente des Produkts.

Beschreibung JSON-Wert Wert des Defender-Portals
Key antivirusEngine Antivirenmodul
Datentyp Wörterbuch (verschachtelte Präferenz) Eingeklappter Abschnitt

Beschreibungen der Inhalte des Wörterbuchs und der Richtlinieneigenschaften finden Sie unter Erzwingungsstufe für Microsoft Defender Antivirus, Scanausschlüsse, Einstellungen für Bedrohungstypen und Ausschlusszusammenführungsrichtlinie.

Erzwingungsstufe für Microsoft Defender Antivirus

Gibt die Präferenz für die Erzwingung des Antivirenmoduls an. Es gibt drei Werte zum Festlegen der Erzwingungsstufe:

Wichtig

Es kann jeweils nur eine Erzwingungsstufe konfiguriert werden. Sie können entweder den Modus passive oder real-time konfigurieren, aber nicht beide.

  • Echtzeitschutz (real_time): Der Echtzeitschutz (Dateien beim Ändern überprüfen) ist aktiviert.

  • On-Demand (on_demand): Files werden nur bei Bedarf gescannt:

    • Der Echtzeitschutz ist deaktiviert.
    • Definitionsupdates erfolgen nur, wenn eine Überprüfung gestartet wird, auch wenn automaticDefinitionUpdateEnabled im bedarfsgesteuerten Modus auf true festgelegt ist.

  • Passiv (passive): Führt die Antiviren-Engine im passiven Modus aus:

    • Der Echtzeitschutz ist deaktiviert. Microsoft Defender Antivirus beseitigt keine Bedrohungen.
    • Die bedarfsgesteuerte Überprüfung ist aktiviert. Scanfunktionen sind weiterhin auf dem Gerät verfügbar.
    • Die automatische Bedrohungsbehebung ist deaktiviert. Es werden keine Dateien verschoben, und Ihr Sicherheitsadministrator muss die erforderlichen Maßnahmen ergreifen.
    • Sicherheitsintelligenz-Updates sind aktiviert. Warnungen sind in der Organisation des Sicherheitsadministrators verfügbar.
    • Definitionsupdates erfolgen nur, wenn eine Überprüfung gestartet wird, auch wenn automaticDefinitionUpdateEnabled auf truefestgelegt ist.
    • Endpunkterkennung und -antwort (EDR) ist aktiviert. Die Ausgabe des Befehls mdatp health auf dem Gerät zeigt engine not loaded für die Eigenschaft engine_load_version an. Die Engine bezieht sich auf Antivirensoftware, nicht auf EDR.

Führen Sie den folgenden Befehl aus, um zu überprüfen, ob der Echtzeitschutz nach dem Anwenden einer Erzwingungsebenenkonfiguration aktiv ist. Der Befehl gibt zurück true , ob der Echtzeitschutz aktiviert ist oder false deaktiviert ist:

mdatp health --field real_time_protection_enabled

Hinweis

  • Verfügbar in Defender for Endpoint Version 101.10.72 oder höheren Versionen.
  • In version 101.23062.0001 oder höher ist passiveder Standardwert . In früheren Versionen war real_timeder Standardwert .
  • Wir haben außerdem den Einsatz von geplanten Scans gemäß der Anforderung empfohlen.

Aktivieren oder Deaktivieren der Verhaltensüberwachung (wenn RTP aktiviert ist)

Wichtig

Dieses Feature funktioniert nur, wenn die Erzwingungsstufe ist real-time.

Gibt an, ob die Funktion zur Verhaltensüberwachung und -blockierung auf dem Gerät aktiviert oder deaktiviert ist.

Beschreibung JSON-Wert Wert des Defender-Portals
Key Verhaltensüberwachung Aktivieren der Verhaltensüberwachung
Datentyp String Dropdown
Mögliche Werte disabled (Standard)
enabled		 Nicht konfiguriert
Deaktiviert (Standard)
Aktiviert

Hinweis

Verfügbar in Defender for Endpoint Version 101.45.00 oder höheren Versionen.

Ausführen einer Überprüfung nach dem Aktualisieren von Definitionen

Wichtig

Dieses Feature funktioniert nur, wenn die Erzwingungsebene auf real-timefestgelegt ist.

Gibt an, ob eine Prozessüberprüfung gestartet werden soll, nachdem neue Security Intelligence-Updates auf das Gerät heruntergeladen wurden. Wenn Sie diese Einstellung aktivieren, wird eine Antivirenüberprüfung für die ausgeführten Prozesse des Geräts ausgelöst.

Beschreibung JSON-Wert Wert des Defender-Portals
Key scanAfterDefinitionUpdate Aktivieren der Überprüfung nach dem Definitionsupdate
Datentyp Boolean Dropdown
Mögliche Werte true (Standard)
false		 Not configured
Disabled
Enabled (Standard)

Hinweis

Verfügbar in Defender for Endpoint Version 101.45.00 oder höheren Versionen.

Scannen von Archiven (nur bedarfsgesteuerte Antivirenscans)

Gibt an, ob Archive bei bedarfsgesteuerten Antivirenscans überprüft werden sollen.

Beschreibung JSON-Wert Wert des Defender-Portals
Key scanArchives Scannen von Archiven aktivieren
Datentyp Boolean Dropdown
Mögliche Werte true (Standard)
false		 Nicht konfiguriert
Deaktiviert
Aktiviert (Standard)

Hinweis

  • Verfügbar in Microsoft Defender for Endpoint Version 101.45.00 oder höher.
  • Archiv Dateien werden während der RTP nie gescannt. Files im Archiv werden gescannt, nachdem Sie sie extrahiert haben. Die Option scanArchives erzwingt das Scannen von Archiven nur bei On-Demand-Scans.

Grad der Parallelität bei bedarfsgesteuerten Scans

Gibt den Grad der Parallelität für bedarfsgesteuerte Scans an. Diese Einstellung entspricht der Anzahl von Prozessorthreads, die vom Scan verwendet werden. Diese Einstellung wirkt sich auf die CPU-Auslastung und die Dauer von bedarfsgesteuerten Überprüfungen aus.

Beschreibung JSON-Wert Wert des Defender-Portals
Key maximumOnDemandScanThreads Maximale Anzahl von On-Demand-Scan-Threads
Datentyp Integer Umschalter & ganze Zahl
Mögliche Werte 2 (Standard). Zulässige Werte sind ganze Zahlen zwischen 1 und 64. Not Configured (Umschalter standardmäßig deaktiviert mit Wert 2)
Configured (eingeschaltet) und eine ganze Zahl zwischen 1 und 64.

Hinweis

Verfügbar in Microsoft Defender for Endpoint Version 101.45.00 oder höher.

Ausschluss- und Zusammenführungsrichtlinie

Hinweis

Wir empfehlen, Ausschlüsse und die Zusammenführungsrichtlinie in exclusionSettings zu konfigurieren. Mit diesem Ansatz können Sie epp- und global-Bereichsausschlüsse mit einem einzigen mergePolicy konfigurieren. Die Einstellungen in diesem Abschnitt gelten nur für eppAusschlüsse, es sei denn, die Zusammenführungsrichtlinie in exclusionSettings ist admin_only.

Gibt an, ob benutzerdefinierte Ausschlüsse auf dem Gerät verwendet werden sollen. Gültige Werte sind:

  • admin_only: Verwenden Sie nur vom Administrator definierte Ausschlüsse, die in der Defender for Endpoint-Richtlinie konfiguriert sind. Verwenden Sie diesen Wert, um zu verhindern, dass Benutzer ihre eigenen Ausschlüsse definieren.
  • merge: Verwenden Sie eine Kombination aus vom Administrator definierten und benutzerdefinierten Ausschlüssen.
Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key exclusionsMergePolicy Ausschlüsse zusammenführen
Datentyp String Dropdown
Mögliche Werte merge (Standard)
admin_only		 Not configured
merge (Standard)
admin_only

Hinweis

Verfügbar in Defender for Endpoint Version 100.83.73 oder höheren Versionen.

Konfigurieren von Scanausschlüssen

Von Überprüfungen ausgeschlossene Entitäten. Sie geben Ausschlüsse als Array von Elementen an. Administratoren können beliebig viele Elemente in beliebiger Reihenfolge angeben. Sie geben Ausschlüsse mithilfe vollständiger Pfade, Erweiterungen oder Dateinamen an.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key exclusions Scan-Ausschlüsse
Datentyp Wörterbuch (verschachtelte Präferenz) Liste dynamischer Eigenschaften

Eine Beschreibung des Inhalts des Wörterbuchs finden Sie unter Art des Ausschlusses, Pfad zu ausgeschlossenen Inhalten, Pfadtyp (Datei / Verzeichnis), Vom Scan ausgeschlossene Dateierweiterung und Vom Scan ausgeschlossener Prozess.

Art des Ausschlusses

Gibt den Typ des Inhalts an, der von Überprüfungen ausgeschlossen wird.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key $type Typ
Datentyp String Dropdown
Mögliche Werte excludedPath
excludedFileExtension
excludedFileName		 Pfad
Dateierweiterung
Prozessname

Pfad zu ausgeschlossenen Inhalten

Für das Ausschließen von Inhalten von der Überprüfung geben Sie den gesamten Dateipfad an.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key Pfad Pfad
Datentyp String String
Mögliche Werte Gültige Pfade Gültige Pfade
Kommentare Gilt nur, wenn $typeexcludedPath ist Zugriff im Popupfenster "Instance bearbeiten"

Pfadtyp (Datei/Verzeichnis)

Gibt an, ob die path-Eigenschaft auf eine Datei oder ein Verzeichnis verweist.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key isDirectory Ist ein Verzeichnis
Datentyp Boolean Dropdown
Mögliche Werte false (Standard)
true		 Enabled
Disabled
Kommentare Gilt nur, wenn $typeexcludedPath ist Zugriff im Popupfenster "Instance bearbeiten"

Dateierweiterung von der Überprüfung ausgeschlossen

Schließen Sie Inhalte anhand der Dateierweiterung vom Scan aus.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key Erweiterung Dateierweiterung
Datentyp String String
Mögliche Werte Gültige Dateierweiterungen Gültige Dateierweiterungen
Kommentare Gilt nur, wenn $typeexcludedFileExtension ist Zugriff im Popupfenster "Instance konfigurieren"

Vom Scan ausgeschlossener Prozess

Gibt einen Prozess an, für den alle Dateiaktivitäten von der Überprüfung ausgeschlossen werden. Sie können den Prozess anhand des Namens (z. B cat. ) oder des vollständigen Pfads (z. B /bin/cat. ) angeben.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key Name Dateiname
Datentyp String String
Mögliche Werte beliebige Zeichenfolge beliebige Zeichenfolge
Kommentare Gilt nur, wenn $typeexcludedFileName ist Zugriff im Popupfenster "Instance konfigurieren"

Stummschalten von nicht auszuführenden Einbindungen

Legt das Verhalten von RTP auf Bereitstellungspunkten fest, die mit noexec gekennzeichnet sind. Gültige Werte sind:

  • Nicht stummgeschaltet (unmute): Alle Einbindungspunkte werden im Rahmen von RTP überprüft. Dieser Wert ist die Standardeinstellung.
  • Stummgeschaltet (mute): Als noexec gekennzeichnete Einbindungspunkte werden im Rahmen von RTP nicht überprüft.
    • Datenbankserver können die Datenbankdatei beibehalten.
    • Dateiserver können Bereitstellungspunkte für Datendateien beibehalten.
    • Bei der Sicherung können Bereitstellungspunkte für Datendateien beibehalten werden.
Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key nonExecMountPolicy non execute mount mute
Datentyp String Dropdown
Mögliche Werte unmute (Standard)
mute		 Not configured
unmute (Standard)
mute

Hinweis

Verfügbar in Defender for Endpoint Version 101.85.27 oder höheren Versionen.

Aufheben der Überwachung von Dateisystemen

Gibt die Dateisysteme an, die nicht von RTP überwacht werden (werden von diesem ausgeschlossen). Die angegebenen Dateisysteme werden weiterhin durch schnelle, vollständige und benutzerdefinierte Überprüfungen in Microsoft Defender Antivirus überprüft.

Wenn Sie der nicht überwachten Liste ein Dateisystem hinzufügen oder daraus entfernen, überprüft Microsoft die Berechtigung des Dateisystems für die Überwachung durch RTP (aus der Liste entfernt) oder keine Überwachung durch RTP (der Liste hinzugefügt).

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key unmonitoredFilesystems Nicht überwachte Dateisysteme
Datentyp Array aus Zeichenfolgen Dynamische Liste von Zeichenfolgen

  • Standardmäßig werden die folgenden Dateisysteme von RTP überwacht:

    • btrfs
    • ecryptfs
    • ext2
    • ext3
    • ext4
    • fuseblk
    • jfs
    • overlay
    • ramfs
    • reiserfs
    • tmpfs
    • udf
    • vfat
    • xfs

  • Standardmäßig werden die folgenden Dateisysteme von RTP nicht überwacht:

    • cifs*
    • fuse
    • nfs
    • nfs4*
    • smb*

    Diese Dateisysteme werden auch von Schnell- und vollständigen Scans nicht gescannt, können aber mit benutzerdefinierten Scans gescannt werden.

    * Derzeit befindet sich die RTP-Überwachung dieses Dateisystems in der Vorschauphase.

Um die unmonitoredFilesystems Einstellung zu konfigurieren, fügen Sie sie dem antivirusEngine Abschnitt Ihrer verwalteten Konfigurationsdatei hinzu. In diesem Array enthaltene Dateisysteme werden von der RTP-Überwachung (Real-Time Protection) ausgeschlossen. Um beispielsweise nfs und nfs4 aus der Liste der nicht überwachten Elemente zu entfernen, damit RTP sie nach der Validierung überwacht, aktualisieren Sie die verwaltete Konfigurationsdatei mit dem folgenden Eintrag:

{
   "antivirusEngine":{
      "unmonitoredFilesystems": ["cifs","fuse","smb"]
  }
}

Um die Liste nicht überwachter Dateisysteme zu löschen, damit RTP alle unterstützten Dateisystemtypen überwacht, legen Sie diese auf ein leeres Array fest unmonitoredFilesystems . Diese Konfiguration stellt sicher, dass keine Dateisysteme von der Echtzeitschutzüberwachung ausgeschlossen werden:

{
   "antivirusEngine":{
      "unmonitoredFilesystems": []
  }
}

Konfigurieren der Dateihashberechnungsfunktion

Aktiviert oder deaktiviert die Dateihashberechnung für Dateien, die von Defender für Endpunkt gescannt wurden. Die Aktivierung dieses Features kann sich auf die Geräteleistung auswirken. Weitere Informationen finden Sie unter Erstellen von Indikatoren für Dateien.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enableFileHashComputation Aktivieren der Dateihashberechnung
Datentyp Boolean Dropdown
Mögliche Werte false (Standard)
true		 Not configured
Disabled (Standard)
Enabled

Hinweis

Verfügbar in Defender for Endpoint Version 101.85.27 oder höheren Versionen.

Konfigurieren zulässiger Bedrohungen

Gibt die Namen von Bedrohungen an, die nicht von Defender für Endpunkt blockiert werden. Stattdessen dürfen diese Bedrohungen ausgeführt werden.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key allowedThreats Zulässige Bedrohungen
Datentyp Array aus Zeichenfolgen Dynamische Liste von Zeichenfolgen

Konfigurieren nicht zulässiger Bedrohungsaktionen

Schränkt die zulässigen Aktionen des Gerätebenutzers ein, wenn Bedrohungen erkannt werden. Die in dieser Liste enthaltenen Aktionen werden nicht auf der Benutzeroberfläche angezeigt.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key disallowedThreatActions Unzulässige Bedrohungsaktionen
Datentyp Array aus Zeichenfolgen Dynamische Liste von Zeichenfolgen
Mögliche Werte allow (Verhindert, dass Benutzer Bedrohungen zulassen)
restore (Verhindert, dass Benutzer Bedrohungen aus der Quarantäne wiederherstellen)		 allow (Verhindert, dass Benutzer Bedrohungen zulassen)
restore (Verhindert, dass Benutzer Bedrohungen aus der Quarantäne wiederherstellen)

Hinweis

Verfügbar in Defender for Endpoint Version 100.83.73 oder höheren Versionen.

Einstellungen für Bedrohungstypen

Steuern Sie, wie bestimmte Bedrohungstypen behandelt werden.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key threatTypeSettings Einstellungen für Bedrohungstypen
Datentyp Wörterbuch (verschachtelte Präferenz) Liste dynamischer Eigenschaften

Eine Beschreibung des Wörterbuchinhalts finden Sie unter "Bedrohungstyp " und "Auszuführende Aktion".

Bedrohungstyp

Gibt den Bedrohungstyp an.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key Schlüssel Bedrohungstyp
Datentyp String Dropdown
Mögliche Werte potentially_unwanted_application
archive_bomb		 potenziell_unerwünschte_Anwendung
Archivbombe

Zu ergreifende Maßnahme

Gibt die Aktion an, wenn die zuvor angegebenen Bedrohungstypen erkannt werden. Gültige Werte sind:

  • Überwachung: Das Gerät ist nicht vor dieser Art von Bedrohung geschützt, aber ein Eintrag zur Bedrohung wird protokolliert. Dieser Wert ist der Standardwert.
  • Blockieren: Das Gerät ist vor dieser Art von Bedrohung geschützt, und Sie werden im Microsoft Defender-Portal benachrichtigt.
  • Aus: Das Gerät ist nicht vor dieser Art von Bedrohung geschützt, und es wird nichts protokolliert.
Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key Wert Zu ergreifende Maßnahme
Datentyp String Dropdown
Mögliche Werte audit (Standard)
block
off		 audit
block
Aus

Zusammenführungsrichtlinie für Bedrohungstypeinstellungen

Gibt an, ob einstellungen für benutzerdefinierte Bedrohungstypen auf dem Gerät verwendet werden sollen. Gültige Werte sind:

  • admin_only: Verwenden Sie nur vom Administrator definierte Einstellungen für Bedrohungstypen. Verwenden Sie diesen Wert, um zu verhindern, dass Benutzer ihre eigenen Einstellungen für den Bedrohungstyp definieren.
  • merge: Verwenden Sie eine Kombination aus vom Administrator definierten und benutzerdefinierten Bedrohungstypeinstellungen.
Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key threatTypeSettingsMergePolicy Zusammenführen von Bedrohungstypeinstellungen
Datentyp String Dropdown
Mögliche Werte merge (Standard)
admin_only		 Not configured
merge (Standard)
admin_only

Hinweis

Verfügbar in Defender for Endpoint Version 100.83.73 oder höheren Versionen.

Aufbewahrung des Verlaufs der Antivirenüberprüfung (in Tagen)

Geben Sie die Anzahl der Tage an, für die ergebnisse im Scanverlauf auf dem Gerät aufbewahrt werden. Alte Scanergebnisse werden aus dem Verlauf entfernt. Alte unter Quarantäne gestellte Dateien werden ebenfalls vom Datenträger entfernt.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key scanResultsRetentionDays Aufbewahrung von Scanergebnissen
Datentyp String Umschalter und ganze Zahl
Mögliche Werte 90 (Standard). Gültige Werte sind 1 bis 180 Tage. Not configured (umschalten; Standardeinstellung für 90 Tage)

Configured (Umschalter an) und zulässiger Wert 1 bis 180 Tage.

Hinweis

Verfügbar in Defender for Endpoint Version 101.04.76 oder höheren Versionen.

Maximale Anzahl von Elementen im Verlauf der Antivirenüberprüfung

Geben Sie die maximale Anzahl von Einträgen an, die im Scanverlauf beibehalten werden sollen. Die Einträge umfassen alle On-Demand-Scans sowie alle Virenerkennungen.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key scanHistoryMaximumItems Verlaufsgröße überprüfen
Datentyp String Schalter und Ganzzahl
Mögliche Werte 10000 (Standard). Zulässige Werte sind von 5000 Elementen zu 15000 Elementen. Nicht konfiguriert (Schalter aus – Standardwert: 10000)
Configured (Umschalter an) und zulässiger Wert von 5000 und 15.000 Elemente.

Hinweis

Verfügbar in Defender for Endpoint Version 101.04.76 oder höheren Versionen.

Präferenzen für Ausschlusseinstellungen

Hinweis

Globale Ausschlüsse sind in Defender for Endpoint Version 101.24092.0001 oder höher verfügbar.

Im exclusionSettings Abschnitt des Konfigurationsprofils werden verschiedene Ausschlüsse für Microsoft Defender for Endpoint für Linux konfiguriert.

Beschreibung JSON-Wert
Key exclusionSettings
Datentyp Wörterbuch (verschachtelte Präferenz)

Eine Beschreibung des Inhalts des Wörterbuchs finden Sie unter Zusammenführungsrichtlinie, Ausschluss-Zusammenführungsrichtlinie und Ausschlüsse.

Hinweis

  • Zuvor konfigurierte Antivirenausschlüsse im Abschnitt antivirusEngine in verwaltetem JSON funktionieren weiterhin.
  • Sie können Antivirenausschlüsse in diesem Abschnitt oder im antivirusEngineAbschnitt angeben. Sie sollten in diesem Abschnitt alle anderen Ausschlusstypen hinzufügen, da der exclusionSettings Abschnitt so konzipiert ist, dass alle Ausschlusstypen zentral gehostet werden.

Zusammenführungsrichtlinie für Ausschlusseinstellungen

Die folgende Einstellung steuert, wie vom Administrator definierte und benutzerdefinierte Ausschlüsse kombiniert werden.

Ausschluss- und Zusammenführungsrichtlinie

Gibt an, ob benutzerdefinierte Ausschlüsse auf dem Gerät verwendet werden sollen. Gültige Werte sind:

  • admin_only: Verwenden Sie nur vom Administrator definierte Ausschlüsse, die in der Defender for Endpoint-Richtlinie konfiguriert sind. Verwenden Sie diesen Wert, um zu verhindern, dass Benutzer ihre eigenen Ausschlüsse definieren.
  • merge: Verwenden Sie eine Kombination aus vom Administrator definierten und benutzerdefinierten Ausschlüssen.

Diese Einstellung gilt für Ausschlüsse aller Bereiche.

Beschreibung JSON-Wert
Key mergePolicy
Datentyp String
Mögliche Werte merge (Standard)
admin_only

Hinweis

Verfügbar ab Defender for Endpoint-Version September 2023 oder höheren Versionen.

Ausschlüsse

Von Überprüfungen ausgeschlossene Entitäten. Sie geben Ausschlüsse als Array von Elementen an. Administratoren können beliebig viele Elemente in beliebiger Reihenfolge angeben. Sie geben Ausschlüsse mithilfe vollständiger Pfade, Erweiterungen oder Dateinamen an. Für jeden Ausschluss können Sie einen Bereich angeben. Der Standardbereich ist global.

Beschreibung JSON-Wert
Key exclusions
Datentyp Wörterbuch (verschachtelte Präferenz)

Das Ausschlusswörterbuch enthält Einträge für den Typ des Ausschlusses, den Bereich des Ausschlusses, den Pfad zu ausgeschlossenen Inhalten, den Pfadtyp (Datei oder Verzeichnis), die Dateierweiterung und den Prozessnamen.

Art des Ausschlusses

Gibt den Typ des Inhalts an, der von Überprüfungen ausgeschlossen wird.

Beschreibung JSON-Wert
Key $type
Datentyp String
Mögliche Werte excludedPath
excludedFileExtension
excludedFileName

Ausschlussbereich (optional)

Gibt den Ausschlussbereich ausgeschlossener Inhalte an. Gültige Werte sind:

  • epp
  • global

Wenn Sie in der verwalteten Konfiguration keinen Ausschlussbereich angeben, wird der Wert global verwendet.

Hinweis

Zuvor konfigurierte Antivirenausschlüsse unter antivirusEngine in verwaltetem JSON funktionieren weiterhin mit dem Bereich epp , da sie sich im antivirusEngine Abschnitt befanden.

Beschreibung JSON-Wert
Key Geltungsbereiche
Datentyp Reihe von Zeichenfolgen
Mögliche Werte epp
global

Hinweis

Zuvor angewendete Ausschlüsse mit (mdatp_managed.json) oder über die CLI sind davon nicht betroffen. Der Geltungsbereich dieser Ausschlüsse ist epp, weil sie sich im Abschnitt antivirusEngine befanden.

Pfad zu ausgeschlossenen Inhalten

Für das Ausschließen von Inhalten von der Überprüfung geben Sie den gesamten Dateipfad an.

Beschreibung JSON-Wert
Key Pfad
Datentyp String
Mögliche Werte Gültige Pfade
Kommentare Gilt nur, wenn $typeexcludedPath ist.
Wildcards werden nicht unterstützt, wenn der Ausschluss global gilt.

Pfadtyp (Datei/Verzeichnis)

Gibt an, ob die path-Eigenschaft auf eine Datei oder ein Verzeichnis verweist.

Hinweis

Der Dateipfad muss bereits vorhanden sein, wenn Sie einen Dateiausschluss mit dem Bereich global hinzufügen.

Beschreibung JSON-Wert
Key isDirectory
Datentyp Boolean
Mögliche Werte false (Standard)
true
Kommentare Gilt nur, wenn $typeexcludedPath ist.
Wildcards werden nicht unterstützt, wenn der Ausschluss global gilt.

Dateierweiterung von der Überprüfung ausgeschlossen

Schließen Sie Inhalte über die Dateierweiterung von der Überprüfung aus.

Beschreibung JSON-Wert
Key Erweiterung
Datentyp String
Mögliche Werte Gültige Dateierweiterungen
Kommentare Gilt nur, wenn $typeexcludedFileExtension ist.
Wird nicht unterstützt, wenn der Ausschluss über einen globalen Bereich verfügt.

Vom Scan ausgeschlossener Prozess

Schließen Sie alle Dateiaktivitäten eines Prozesses von Überprüfungen aus. Gültige Werte sind:

  • Prozessname. Beispiel: cat.
  • Vollständiger Pfad. Beispiel: /bin/cat.
Beschreibung JSON-Wert
Key Name
Datentyp String
Mögliche Werte beliebige Zeichenfolge
Kommentare Gilt nur, wenn $typeexcludedFileName ist.
Platzhalter und Prozessnamen werden nicht unterstützt, wenn der Ausschluss einen globalen Bereich hat.
Sie müssen den vollständigen Pfad angeben.

Erweiterte Scanoptionen

Sie können die folgenden Einstellungen konfigurieren, um bestimmte erweiterte Scanfunktionen zu aktivieren.

Wichtig

Die Aktivierung dieser Features kann sich auf die Geräteleistung auswirken. Wir empfehlen die Standardwerte, sofern nicht von Microsoft-Support anders empfohlen.

Überprüfen von Dateien bei Ereignissen zur Änderung von Berechtigungen konfigurieren

Gibt an, ob Defender for Endpoint Dateien scannt, wenn ihre Berechtigungen so geändert werden, dass die Ausführungsbits gesetzt werden.

Hinweis

Diese Einstellung ist nur dann sinnvoll, wenn enableFilePermissionEvents aktiviert ist. Weitere Informationen finden Sie unter Konfigurieren der Überwachung von Ereignissen zu Dateiänderungsberechtigungen.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key scanFileModifyPermissions Nicht verfügbar
Datentyp Boolean n. z.
Mögliche Werte false (Standard)
true		 n. z.

Hinweis

Verfügbar in Defender for Endpoint Version 101.23062.0010 oder höheren Versionen.

Überprüfen von Dateien bei Ereignissen zur Änderung des Eigentums konfigurieren

Gibt an, ob Defender für Endpunkt Dateien mit geändertem Besitz überprüft.

Hinweis

Diese Einstellung ist nur dann sinnvoll, wenn enableFileOwnershipEvents aktiviert ist. Weitere Informationen finden Sie unter Überwachung von Ereignissen zur Änderung des Dateibesitzers konfigurieren.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key scanFileModifyOwnership Nicht verfügbar
Datentyp Boolean n. z.
Mögliche Werte false (Standard)
true		 n. z.

Hinweis

Verfügbar in Defender for Endpoint Version 101.23062.0010 oder höheren Versionen.

Scannen von rohen Socket-Ereignissen konfigurieren

Gibt an, ob Defender for Endpoint Netzwerk-Socketereignisse überwacht. Zum Beispiel:

  • Erstellen von Raw-Sockets/Paketsockets.
  • Festlegen von Socketoptionen.

Hinweis

  • Diese Einstellung ist nur dann sinnvoll, wenn die Verhaltensüberwachung aktiviert ist.
  • Diese Einstellung ist nur dann sinnvoll, wenn enableRawSocketEvent aktiviert ist. Weitere Informationen finden Sie unter Überwachung von Raw-Socket-Ereignissen konfigurieren.
Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key scanNetworkSocketEvent Nicht verfügbar
Datentyp Boolean n. z.
Mögliche Werte false (Standard)
true		 n. z.

Hinweis

Verfügbar in Defender for Endpoint Version 101.23062.0010 oder höheren Versionen.

Einstellungen für geplante Scans (Vorschau)

Im scheduledScan Abschnitt des Konfigurationsprofils werden integrierte geplante Antivirenscans konfiguriert. Um geplante Scans zu aktivieren, setzen Sie antivirusEngine.scheduledScan auf "enabled".

Hinweis

Verfügbar in Defender for Endpoint Version 101.26032.0000 oder höheren Versionen.

Beschreibung JSON-Wert
Key scheduledScan
Datentyp Wörterbuch (verschachtelte Präferenz)

Eine Beschreibung der geplanten Überprüfungswörterbuchinhalte finden Sie unter "Aktivieren geplanter Scans", "Wöchentliche Scankonfiguration", " Tägliche Scankonfiguration" und " Erweiterte geplante Überprüfungseinstellungen".

Ausführliche Informationen zur Konfiguration der geplanten Überprüfung, einschließlich der Verwendung von Richtlinien für die Verwaltung von Sicherheitseinstellungen und der Befehlszeile, finden Sie unter Planen von Antivirenscans auf Linux (Vorschau).

Aktivieren geplanter Überprüfungen

Gibt an, ob geplante Überprüfungen aktiviert sind.

Beschreibung JSON-Wert
Key antivirusEngine.scheduledScan
Datentyp String
Mögliche Werte disabled (Standard)
enabled

Konfiguration des wöchentlichen Scans

Konfiguriert eine wöchentliche Überprüfung mit einem bestimmten Tag, einer bestimmten Uhrzeit und einem bestimmten Überprüfungstyp.

Beschreibung JSON-Wert
Key weeklyConfiguration
Datentyp Wörterbuch (verschachtelte Präferenz)
Wochentag

Gibt den Tag an, an dem die wöchentliche Überprüfung ausgeführt wird.

Beschreibung JSON-Wert
Key dayOfWeek
Datentyp Integer
Mögliche Werte 0 (deaktiviert, Standard)
1–7 (Sonntag–Samstag)
8 (täglich)
Scan-Typ (wöchentlich)

Gibt den Scantyp für wöchentliche Überprüfungen an.

Beschreibung JSON-Wert
Key scanType
Datentyp String
Mögliche Werte quick (Standard)
full
Tageszeit (wöchentlich)

Gibt an, wann der wöchentliche Scan ausgeführt wird. Der Wert ist in Minuten ab Mitternacht (Ortszeit) angegeben.

Beschreibung JSON-Wert
Key timeOfDay
Datentyp Integer
Mögliche Werte 0–1440. Standard: 120 (02:00 Uhr)

Konfiguration des täglichen Scans

Konfiguriert täglich eine tägliche Schnellüberprüfung zu einer bestimmten Zeit.

Beschreibung JSON-Wert
Key dailyConfiguration
Datentyp Wörterbuch (verschachtelte Präferenz)
Tageszeit (täglich)

Gibt an, wann die tägliche Schnellüberprüfung ausgeführt wird. Der Wert ist in Minuten ab Mitternacht (Ortszeit) angegeben.

Beschreibung JSON-Wert
Key timeOfDay
Datentyp Integer
Mögliche Werte 0–1440. Standard: 0
Intervall

Führt alle N Stunden eine Schnellüberprüfung aus (intervallbasierte Planung).

Beschreibung JSON-Wert
Key interval
Datentyp Integer
Mögliche Werte Ganze Zahl (Stunden). 0 = deaktiviert (Standard)

Hinweis

interval und timeOfDay (täglich) sind unabhängige Einstellungen. Wenn beide konfiguriert sind, erstellen sie separate Zeitpläne für schnelle Überprüfungen und können zu mehreren Überprüfungen pro Tag führen.

Erweiterte Einstellungen für geplante Scans

Mit den folgenden Einstellungen können Sie die Ausführung geplanter Scans optimieren.

Überprüfung bei Inaktivität ausführen

Verzögert die Überprüfung, bis sich das System im Leerlauf befindet.

Beschreibung JSON-Wert
Key runScanWhenIdle
Datentyp Boolean
Mögliche Werte false (Standard)
true
Geplanter Scan mit niedriger Priorität

Führt Überprüfungen mit reduzierter CPU-Priorität aus.

Beschreibung JSON-Wert
Key lowPriorityScheduledScan
Datentyp Boolean
Mögliche Werte false (Standard)
true
Auf Aktualisierungen der Definitionen prüfen

Sucht vor dem Starten der Überprüfung nach den neuesten Security Intelligence-Updates.

Beschreibung JSON-Wert
Key checkForDefinitionsUpdate
Datentyp Boolean
Mögliche Werte false (Standard)
true
Ausschlüsse ignorieren

Führt Scans aus, ohne konfigurierte Ausschlüsse zu berücksichtigen.

Beschreibung JSON-Wert
Key ignoreExclusions
Datentyp Boolean
Mögliche Werte false (Standard)
true
Zufällige Scanstartzeit

Randomisiert die Startzeit der Überprüfung innerhalb eines definierten Fensters (in Stunden), um gleichzeitige Überprüfungen auf mehreren Geräten zu vermeiden.

Beschreibung JSON-Wert
Key randomizeScanStartTime
Datentyp Integer
Mögliche Werte 0–23. Standard: 0 (keine Randomisierung)

Konfigurieren von in der Cloud bereitgestellten Schutzeinstellungen

Mit dem Eintrag cloudService im Konfigurationsprofil wird das Feature für den cloudgesteuerten Schutz konfiguriert.

Hinweis

Der in der Cloud bereitgestellte Schutz gilt für alle Einstellungen der Erzwingungsebene (real_time, on_demandoder passive).

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key cloudService Von der Cloud bereitgestellte Schutzeinstellungen
Datentyp Wörterbuch (verschachtelte Präferenz) Eingeklappter Abschnitt

Eine Beschreibung des Wörterbuchinhalts und der Richtlinieneinstellungen finden Sie in den folgenden Unterabschnitten.

Aktivieren oder Deaktivieren des von der Cloud bereitgestellten Schutzes

Geben Sie an, ob der von der Cloud bereitgestellte Schutz auf dem Gerät aktiviert ist. Um die Sicherheit zu verbessern, empfehlen wir, dieses Feature aktiviert zu halten.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enabled Aktivieren des von der Cloud bereitgestellten Schutzes
Datentyp Boolean Dropdown
Mögliche Werte true (Standard)
false		 Nicht konfiguriert
Deaktiviert
Aktiviert (Standard)

Sammlungsebene von Diagnosedaten

Geben Sie die Ebene der an Microsoft gesendeten Diagnoseinformationen an. Weitere Informationen finden Sie unter Datenschutz für Microsoft Defender for Endpoint auf Linux.

Diagnosedaten werden verwendet, um Defender für Endpunkt sicher und auf dem neuesten Stand zu halten, Probleme zu erkennen, zu diagnostizieren und zu beheben sowie Produktverbesserungen vorzunehmen.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key diagnosticLevel Erfassungsebene für Diagnosedaten
Datentyp String Dropdown
Mögliche Werte optional
required (Standard)		 Not configured
optional (Standard)
required

Cloud-Blockebene konfigurieren

Geben Sie die Aggressivität von Defender für Endpunkt beim Blockieren und Scannen verdächtiger Dateien an. Gültige Werte sind:

  • Normal (normal): Der Wert ist der Standardwert.
  • Moderate (moderate): Geben Sie Urteile nur für Erkennungen mit hoher Zuverlässigkeit ab.
  • Hoch (high): Blockieren Sie unbekannte Dateien aggressiv, während Sie die Leistung optimieren. Dieser Wert führt mit höherer Wahrscheinlichkeit dazu, dass unbedenkliche Dateien blockiert werden.
  • High Plus (high_plus): Blockieren Sie unbekannte Dateien aggressiv und wenden Sie zusätzliche Schutzmaßnahmen an. Dieser Wert kann sich auf die Leistung des Clientgeräts auswirken.
  • Zero Tolerance (zero_tolerance): Alle unbekannten Programme blockieren.

Wenn diese Einstellung aktiviert ist, ist Defender für Endpunkt aggressiver, wenn verdächtige Dateien identifiziert werden, die blockiert und überprüft werden sollen. Andernfalls ist es weniger aggressiv und blockiert und scannt daher mit weniger Häufigkeit.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key cloudBlockLevel Cloud-Blockebene konfigurieren
Datentyp String Dropdown
Mögliche Werte normal (Standard)
moderate
high
high_plus
zero_tolerance		 Not configured
Normal (Standard)
Moderate
High
High_Plus
Zero_Tolerance

Hinweis

Verfügbar in Defender for Endpoint Version 101.56.62 oder höheren Versionen.

Aktivieren oder Deaktivieren von automatischen Beispielübermittlungen

Gibt an, ob verdächtige Stichproben (wahrscheinlich Bedrohungen enthalten) an Microsoft gesendet werden. Gültige Werte sind:

  • Keine: Es werden keine verdächtigen Stichproben an Microsoft übermittelt.
  • Sicher: Nur verdächtige Stichproben, die keine persönlichen Informationen enthalten, werden automatisch übermittelt. Dieser Wert ist die Standardeinstellung.
  • Alle: Alle verdächtigen Stichproben werden an Microsoft übermittelt.
Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key automaticSampleSubmissionConsent Aktivieren automatischer Beispielübermittlungen
Datentyp String Dropdown
Mögliche Werte none
safe (Standard)
all		 Not configured
None
Safe (Standard)
All

Aktivieren oder Deaktivieren automatischer Security Intelligence-Updates

Gibt an, ob Security Intelligence-Updates automatisch installiert werden.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key automaticDefinitionUpdateEnabled Automatische Security Intelligence-Updates
Datentyp Boolean Dropdown
Mögliche Werte true (Standard)
false		 Not configured
Disabled
Enabled (Standard)

Je nach Erzwingungsstufe werden die automatischen Security Intelligence-Updates unterschiedlich installiert. Im RTP-Modus werden Updates in regelmäßigen Abständen installiert. Im passiven oder on-demand-Modus werden Updates vor jeder Überprüfung installiert.

Konfigurieren erweiterter optionaler Features

Verwenden Sie die folgenden Einstellungen, um bestimmte erweiterte optionale Features zu aktivieren.

Wichtig

Die Aktivierung dieser Features kann sich auf die Geräteleistung auswirken. Wir empfehlen die Standardwerte, sofern nicht von Microsoft-Support anders empfohlen.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key Funktionen Nicht verfügbar
Datentyp Wörterbuch (verschachtelte Präferenz) n/a

Eine Beschreibung des Inhalts des Wörterbuchs finden Sie unter Funktion zum Laden von Modulen, Funktion zum Bereinigen infizierter Dateien und Ergänzende Sensorkonfigurationen.

Modulladefunktion

Gibt an, ob Modulladeereignisse (Ereignisse zum Öffnen von Dateien in freigegebenen Bibliotheken) überwacht werden.

Hinweis

Diese Einstellung ist nur dann sinnvoll, wenn die Verhaltensüberwachung aktiviert ist.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key moduleLoad Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.68.80 oder höheren Versionen.

Feature "Infizierte Datei beheben"

Gibt an, ob infizierte Prozesse, die infizierte Dateien öffnen oder laden, im RTP-Modus behoben werden.

Hinweis

Diese Prozesse werden nicht in der Bedrohungsliste angezeigt, da sie nicht böswillig sind. Die Prozesse werden nur beendet, weil sie die Bedrohungsdatei in den Arbeitsspeicher geladen haben.

Beschreibung JSON-Wert Wert des Defender-Portals
Key Infizierte Datei bereinigen Nicht verfügbar
Datentyp String n/a
Mögliche Werte deaktiviert (Standard)
aktiviert		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.24122.0001 oder höheren Versionen.

Konfigurieren zusätzlicher Sensoreinstellungen

Verwenden Sie die folgenden Einstellungen, um bestimmte erweiterte zusätzliche Sensorfunktionen zu konfigurieren.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key supplementarySensorConfigurations Nicht verfügbar
Datentyp Wörterbuch (verschachtelte Präferenz) n/a

Eine Beschreibung des Inhalts des Wörterbuchs finden Sie unter Konfigurieren der Überwachung von Ereignissen zu Dateiänderungsberechtigungen, Konfigurieren der Überwachung von Ereignissen zu Besitzänderungen von Dateien, Konfigurieren der Überwachung von Raw-Socket-Ereignissen und Verdächtige Antivirenereignisse an EDR melden.

Konfigurieren der Überwachung von Dateiänderberechtigungsereignissen

Gibt an, ob Dateiänderberechtigungsereignisse (chmod) überwacht werden.

Hinweis

Wenn dieses Feature aktiviert ist, überwacht Defender für Endpunkt Änderungen an den ausgeführten Dateien, überprüft diese Ereignisse jedoch nicht. Weitere Informationen finden Sie im Abschnitt Erweiterte Scanfunktionen .

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enableFilePermissionEvents Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.23062.0010 oder höheren Versionen.

Überwachen von Dateien bei Ereignissen zur Änderung des Eigentums konfigurieren

Gibt an, ob Ereignisse zur Änderung des Dateibesitzes (chown) überwacht werden.

Hinweis

Wenn diese Funktion aktiviert ist, überwacht Defender for Endpoint Änderungen an den Besitzverhältnissen von Dateien, scannt diese Ereignisse jedoch nicht. Weitere Informationen finden Sie unter Erweiterte Scanfunktionen.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enableFileOwnershipEvents Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.23062.0010 oder höheren Versionen.

Konfigurieren Sie die Überwachung von Raw-Socket-Ereignissen

Gibt an, ob Netzwerksocketereignisse, die die Erstellung von unformatierten Sockets/Paketsockets oder das Festlegen der Socketoption umfassen, überwacht werden.

Hinweis

  • Dieses Feature gilt nur, wenn die Verhaltensüberwachung aktiviert ist.
  • Wenn diese Funktion aktiviert ist, überwacht Defender for Endpoint diese Socketereignisse im Netzwerk, scannt diese Ereignisse aber nicht. Weitere Informationen finden Sie im Abschnitt Erweiterte Scanfunktionen .
Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enableRawSocketEvent Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar ab Defender for Endpoint-Version 101.23062.0010 oder höher.

Überwachung von Bootloaderereignissen konfigurieren

Gibt an, ob Bootloader-Ereignisse überwacht und gescannt werden.

Hinweis

Diese Einstellung ist nur dann sinnvoll, wenn die Verhaltensüberwachung aktiviert ist.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enableBootLoaderCalls Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.68.80 oder höheren Versionen.

Konfigurieren der Überwachung von Ptrace-Ereignissen

Gibt an, ob ptrace-Ereignisse überwacht und überprüft werden.

Hinweis

Dieses Feature gilt nur, wenn die Verhaltensüberwachung aktiviert ist.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enableProcessCalls Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.68.80 oder höheren Versionen.

Konfigurieren Sie die Überwachung von Pseudofs-Ereignissen

Gibt an, ob pseudofs-Ereignisse überwacht und gescannt werden.

Hinweis

Dieses Feature gilt nur, wenn die Verhaltensüberwachung aktiviert ist.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enablePseudofsCalls Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.68.80 oder höheren Versionen.

Konfigurieren der Überwachung von Modulladeereignissen mithilfe von eBPF

Gibt an, ob Modulladeereignisse von eBPF überwacht und gescannt werden.

Hinweis

Dieses Feature gilt nur, wenn die Verhaltensüberwachung aktiviert ist.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enableEbpfModuleLoadEvents Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.68.80 oder höheren Versionen.

Konfigurieren der Überwachung von offenen Ereignissen aus bestimmten Dateisystemen mithilfe von eBPF

Gibt an, ob offene Ereignisse aus procfs von eBPF überwacht werden.

Hinweis

Dieses Feature gilt nur, wenn die Verhaltensüberwachung aktiviert ist.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enableOtherFsOpenEvents Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.24072.0001 oder höheren Versionen.

Konfigurieren der Quellanreicherung von Ereignissen mithilfe von eBPF

Gibt an, ob Ereignisse mit Metadaten an der Quelle in eBPF angereichert werden.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enableEbpfSourceEnrichment Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.24072.0001 oder höheren Versionen.

Aktivieren des Caches der Antiviren-Engine

Gibt an, ob Metadaten von Ereignissen, die von der Antiviren-Engine gescannt wurden, zwischengespeichert werden.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enableAntivirusEngineCache Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.24072.0001 oder höheren Versionen.

Melden verdächtiger Antivirenereignisse an EDR

Gibt an, ob verdächtige Ereignisse von Antivirus an EDR gemeldet werden.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key sendLowfiEvents Nicht verfügbar
Datentyp String n/a
Mögliche Werte disabled (Standard)
enabled		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.23062.0010 oder höheren Versionen.

Konfigurieren von Netzwerkschutzeinstellungen

Hinweis

  • Derzeit befindet sich dieses Feature in der Vorschauphase.
  • Diese Einstellungen sind nur dann sinnvoll, wenn der Netzwerkschutz aktiviert ist. Weitere Informationen finden Sie unter Aktivieren des Netzwerkschutzes für Linux.

Verwenden Sie die folgenden Einstellungen, um erweiterte Netzwerkschutz-Inspektionsfeatures zu konfigurieren, die den vom Netzwerkschutz überprüften Datenverkehr steuern.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key networkProtection Netzwerkschutz
Datentyp Wörterbuch (verschachtelte Präferenz) Eingeklappter Abschnitt

Eine Beschreibung des Wörterbuchinhalts finden Sie unter Erzwingungsstufe und Konfigurieren der ICMP-Inspektion.

Erzwingungsstufe

Verwenden Sie diese Einstellung, um zu steuern, wie der Netzwerkschutz auf dem Gerät erzwungen wird.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key enforcementLevel Erzwingungsstufe
Datentyp String Dropdown
Mögliche Werte disabled (Standard)
audit
block		 Not configured
disabled (Standard)
audit
block

Konfigurieren der ICMP-Inspektion

Gibt an, ob ICMP-Ereignisse überwacht und überprüft werden.

Hinweis

Dieses Feature gilt nur, wenn die Verhaltensüberwachung aktiviert ist.

Beschreibung JSON-Wert Wert im Microsoft Defender-Portal
Key disableIcmpInspection Nicht verfügbar
Datentyp Boolean n/a
Mögliche Werte true (Standard)
false		 n/a

Hinweis

Verfügbar in Defender for Endpoint Version 101.23062.0010 oder höheren Versionen.

Hinzufügen einer Tag- oder Gruppen-ID zum Konfigurationsprofil

Wenn Sie den mdatp health Befehl zum ersten Mal ausführen, sind die Werte für Tag und Gruppen-ID leer. Führen Sie die folgenden Schritte aus, um der mdatp_managed.json Datei eine Tag- oder Gruppen-ID hinzuzufügen:

Vorsicht

Stellen Sie vor dem Bearbeiten der Datei sicher, dass Sie nach der schließenden geschweiften Klammer am Ende des cloudService Blocks ein Komma hinzufügen und die beiden schließenden geschweiften Klammern beibehalten, die im Beispiel gezeigt werden. Der einzige unterstützte Schlüsselname für Tags ist GROUP. Ungültige JSON-Formatierung bricht die Konfiguration auf.

  1. Öffnen Sie das Konfigurationsprofil über den Pfad /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.

  2. Fügen Sie im cloudService Block unten in der Datei die erforderliche Tag- oder Gruppen-ID am Ende der schließenden geschweiften Klammer für den cloudService Block hinzu, wie im folgenden Beispiel gezeigt.

    },
"cloudService": {
 "enabled": true,
 "diagnosticLevel": "optional",
 "automaticSampleSubmissionConsent": "safe",
 "automaticDefinitionUpdateEnabled": true,
 "proxy": "http://proxy.server:port/"
},
"edr": {
"groupIds":"GroupIdExample",
"tags": [
         {
         "key": "GROUP",
         "value": "Tag"
         }
       ]
   }
}

    Hinweis

    • Fügen Sie nach der schließenden geschweiften Klammer am Ende des cloudService Blocks ein Komma hinzu.
    • Vergewissern Sie sich, dass nach dem Hinzufügen von tags- oder groupIds-Blöcken, wie im Beispiel gezeigt, zwei schließende geschweifte Klammern vorhanden sind.
    • Derzeit ist GROUPder einzige unterstützte Schlüsselname für Tags .

Überprüfung des Konfigurationsprofils

Bevor Sie das Konfigurationsprofil bereitstellen, überprüfen Sie, ob die verwaltete JSON-Datei ordnungsgemäß formatiert ist, und bestätigen Sie, dass Defender für Endpunkt die Einstellungen erwartungsgemäß anwendet.

Überprüfen der verwalteten JSON-Datei

Das Konfigurationsprofil muss eine gültige JSON-formatierte Datei sein. Stellen Sie vor der Bereitstellung des Profils sicher, dass die JSON-Syntax korrekt ist und die Datei ohne Fehler analysiert werden kann. Für diese Überprüfung stehen viele Tools zur Verfügung. Der folgende Befehl verwendet z. B. das Modul Python json.tool, um die Datei auf gültige JSON-Syntax zu überprüfen und deren Inhalt für eine Überprüfung übersichtlich zu formatieren. Führen Sie diesen Befehl aus, wenn python auf Ihrem Gerät installiert ist:

python -m json.tool mdatp_managed.json

Wenn die Datei ordnungsgemäß formatiert ist, gibt der Befehl den Exitcode 0zurück. Andernfalls werden Fehler angezeigt, und der Befehl gibt den Exitcode 1zurück.

Überprüfen, ob die mdatp_managed.json-Datei wie erwartet funktioniert

Um zu überprüfen, ob Ihre /etc/opt/microsoft/mdatp/managed/mdatp_managed.json ordnungsgemäß funktioniert, sollten Sie [managed] neben diesen Einstellungen sehen:

  • cloud_enabled
  • cloud_automatic_sample_submission_consent
  • passive_mode_enabled
  • real_time_protection_enabled
  • automatic_definition_update_enabled

Tipp

Für die meisten Konfigurationen in mdatp_managed.jsonmüssen Sie den mdatp-Daemon nicht neu starten. Die folgenden Konfigurationen erfordern einen Neustart des Daemons, damit sie wirksam werden:

  • cloud-diagnostic
  • log-rotation-parameters

Bereitstellung von Konfigurationsprofilen

Nachdem Sie das Konfigurationsprofil für Ihre organization erstellt haben, können Sie es mit Ihren aktuellen Verwaltungstools bereitstellen. Defender for Endpoint unter Linux liest die verwaltete Konfiguration aus /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.

  • Last updated on