Vélhetően nemkívánatos alkalmazások észlelése és blokkolása

  • A következőre érvényes:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business, Microsoft Defender for Individuals, Microsoft Defender Antivirus

Megtudhatja, hogyan észlelheti és tilthatja le a potenciálisan nemkívánatos alkalmazásokat (PUA) Microsoft Defender víruskereső és Microsoft Edge használatával. Ez a cikk bemutatja, hogyan engedélyezheti a PUA-védelmet, konfigurálhatja a felügyeleti eszközök között, és áttekintheti a PUA-észlelési eseményeket.

Tudnivalók a potenciálisan nemkívánatos alkalmazásokról (PUA)

A potenciálisan nemkívánatos alkalmazások (PUA) olyan szoftverkategóriák, amelyek miatt a gép lassan fut, váratlan hirdetéseket jelenít meg, vagy legrosszabb esetben váratlan vagy nemkívánatos szoftvereket telepít. A PUA nem tekinthető vírusnak, kártevőnek vagy más típusú fenyegetésnek, de olyan végpontokon hajthat végre műveleteket, amelyek hátrányosan befolyásolják a végpont teljesítményét vagy használatát. A PUA kifejezés hivatkozhat olyan alkalmazásra is, amely Végponthoz készült Microsoft Defender szerint rossz hírnevű, bizonyos típusú nemkívánatos viselkedés miatt.

Néhány példa:

  • Reklámszoftver , amely hirdetéseket vagy promóciókat jelenít meg, beleértve azokat a szoftvereket is, amelyek hirdetéseket szúrnak be a weboldalakra.
  • Olyan szoftver csomagolása, amely olyan más szoftver telepítését ajánlja fel, amelyet nem ugyanaz a szervezet írt alá digitálisan. Emellett a PUA-nak minősülő egyéb szoftverek telepítését felajánló szoftverek.
  • Az észlelés elkerülésére szolgáló szoftver, amely aktívan megpróbálja elkerülni, hogy a biztonsági termékek észleljék, ideértve azokat a szoftvereket is, amelyek a biztonsági termékek jelenlétében eltérően viselkednek.

Tipp

További példákért és az alkalmazások biztonsági funkciókkal kapcsolatos különleges figyelmet igénylő címkézési feltételeinek megvitatásához lásd: Hogyan azonosítja a Microsoft a kártevőket és a potenciálisan nemkívánatos alkalmazásokat.

A potenciálisan nemkívánatos alkalmazások növelhetik a hálózat tényleges kártevőkkel való fertőzöttségének kockázatát, megnehezíthetik a kártevő-fertőzések azonosítását, vagy időt és erőfeszítést igényelhetnek az informatikai és biztonsági csapatok számára azok eltávolítására. Ha a szervezet előfizetése Végponthoz készült Microsoft Defender tartalmaz, akkor a Microsoft Defender víruskereső PUA-t is letilthatja, hogy letiltsa a Windows-eszközökön PUA-nak minősülő alkalmazásokat.

További információ a Windows Enterprise-előfizetésekről.

Tipp

A cikk kísérőjeként tekintse meg Végponthoz készült Microsoft Defender beállítási útmutatónkat az ajánlott eljárások áttekintéséhez és az olyan alapvető eszközök megismeréséhez, mint a támadási felület csökkentése és a következő generációs védelem. A környezeten alapuló testreszabott élmény érdekében a Végponthoz készült Defender automatikus beállítási útmutatóját a Microsoft 365 Felügyeleti központ érheti el.

Előfeltételek

Támogatott operációs rendszerek

Windows-kliens:

  • Windows 11
  • Windows 10
  • Windows 8.1

Windows Server:

  • Windows Server 2016 és újabb verziók
  • Windows Server, 1803-es vagy újabb verzió
  • Windows Server 2012 R2 (Végponthoz készült Microsoft Defender szükséges)

Más platformok:

PUA-védelem konfigurálása a Microsoft Edge

Az új, Chromium-alapú Microsoft Edge blokkolja a potenciálisan nemkívánatos alkalmazások letöltését és a társított erőforrás-URL-címeket. Ezt a funkciót a SmartScreen Microsoft Defender biztosítja.

PUA-védelem engedélyezése Chromium-alapú Microsoft Edge-ben

Bár a Microsoft Edge (Chromium-alapú, 80.0.361.50-es verzió) alkalmazásvédelme alapértelmezés szerint ki van kapcsolva, egyszerűen bekapcsolható a böngészőből.

  1. A Microsoft Edge böngészőben válassza a három pontot, majd a Beállítások lehetőséget.

  2. Válassza az Adatvédelem, keresés és szolgáltatások lehetőséget.

  3. A Biztonság szakaszban kapcsolja be a Vélhetően nemkívánatos alkalmazások letiltása beállítást.

Tipp

Ha (Chromium-alapú) Microsoft Edge-et futtat, biztonságosan felfedezheti a PUA-védelem URL-blokkoló funkcióját, ha teszteli azt az egyik Microsoft Defender SmartScreen bemutatóoldalunkon.

URL-címek letiltása a Microsoft Defender SmartScreen használatával

A Chromium-alapú Microsoft Edge-ben, amelyen a PUA-védelem be van kapcsolva, Microsoft Defender SmartScreen megvédi Önt a PUA-hoz társított URL-címektől.

A biztonsági rendszergazdák konfigurálhatnak Microsoft Edge annak szabályozására, hogy Microsoft Edge és Microsoft Defender SmartScreen hogyan működnek együtt a felhasználók csoportjainak a PUA-hoz társított URL-címektől való védelme érdekében. Számos Microsoft Defender SmartScreen csoportházirend-beállítás érhető el, köztük a SmartScreenPuaEnabled szabályzat. Emellett a rendszergazdák a Microsoft Defender SmartScreen egészét is konfigurálhatják, csoportházirend-beállításokkal be- vagy kikapcsolhatják Microsoft Defender SmartScreent.

Bár Végponthoz készült Microsoft Defender a Microsoft által kezelt adatkészleten alapuló saját tiltólistával rendelkezik, a listát a saját fenyegetésfelderítése alapján testre szabhatja. Ha mutatókat hoz létre és kezel a Végponthoz készült Microsoft Defender portálon, Microsoft Defender SmartScreen tiszteletben tartja az új beállításokat.

Microsoft Defender víruskereső és PUA-védelem

A Microsoft Defender Víruskereső vélhetően nemkívánatos alkalmazásvédelmi (PUA) védelmi funkciója képes észlelni és letiltani a PUA-t a hálózat végpontjaiban.

Microsoft Defender víruskereső letiltja az észlelt PUA-fájlokat, valamint a letöltési, áthelyezési, futtatási vagy telepítési kísérleteket. A letiltott PUA-fájlok ezután karanténba kerülnek. Ha a rendszer PUA-fájlt észlel egy végponton, Microsoft Defender víruskereső értesítést küld a felhasználónak (kivéve, ha az értesítések le vannak tiltva) a többi fenyegetésészleléssel megegyező formátumban. Az értesítést a PUA: előzi meg, hogy jelezze a tartalmát.

Az értesítés a szokásos karanténlistában jelenik meg az Windows biztonság alkalmazásban.

PUA-védelem konfigurálása Microsoft Defender víruskeresőben

A PUA-védelmet engedélyezheti a Végponthoz készült Microsoft Defender biztonsági beállításkezelésével, a Microsoft Intune, a Microsoft Configuration Manager, a Csoportházirend vagy a Microsoft Defender Antivirus PowerShell-parancsmagjai használatával.

Először próbálja meg a PUA-védelmet naplózási módban használni. Észleli a potenciálisan nemkívánatos alkalmazásokat anélkül, hogy ténylegesen blokkolná őket. Az észleléseket a Windows eseménynaplója rögzíti. A PUA-védelem naplózási módban akkor hasznos, ha a cége belső szoftverbiztonsági megfelelőségi ellenőrzést végez, és fontos elkerülni a hamis pozitív találatokat.

A PUA-védelem forgatókönyvei és alapértelmezett beállításai attól függenek, hogy az eszközök be vannak-e vezetve a Defender for Endpointba vagy a Microsoft Defender Vállalati verzióbe.

Microsoft Defender Víruskereső Defender for Endpointba bevezetett eszközök nélkül

Az alábbi táblázat a Defender for Endpointba nem regisztrált eszközök alapértelmezett PUA-védelmi beállításait mutatja:

Forgatókönyvek Biztonságiintelligencia-frissítés verziója PUA-védelem alapértelmezett beállítása
Windows 10 vagy újabb
Windows Server 2016 vagy újabb verzió		 1.329.495.0-nál régebbi Letiltva (0)
Windows 10 vagy újabb
Windows Server 2016 vagy újabb verzió		 1.329.495.0 vagy újabb Naplózási mód (2)

Microsoft Defender Víruskereső olyan eszközökkel, amelyek csatlakoztatva vannak a Defender for Endpoint Plan 1/Plan 2-höz vagy a Defender Vállalati verzióhez

Az alábbi táblázat a Defender for Endpoint Plan 1, Plan 2 vagy Defender Vállalati verzió rendszerbe regisztrált eszközök alapértelmezett PUA-védelmi beállításait mutatja be:

Forgatókönyvek Biztonságiintelligencia-frissítés verziója Intelligensalkalmazás-vezérlő PUA-védelem alapértelmezett beállítása
Windows 10, 2004-es vagy újabb verzió
Windows Server 2012 R2 és Windows Server 2016 a Windows Server 2016 és a 2012 R2 modern egységes megoldásával
2019-Windows Server vagy újabb		 1.329.495.0-nál régebbi A szolgáltatás nem érhető el Naplózási mód (2)
Windows 11, 22H2-es vagy újabb verzió 1.329.495.0 vagy újabb Elérhető Naplózási mód (2)
Windows 10, 2004-es vagy újabb verzió
Windows Server 2012 R2 és Windows Server 2016 a Windows Server 2016 és a 2012 R2 modern egységes megoldásával
2019-Windows Server vagy újabb		 1.329.495.0 vagy újabb A szolgáltatás nem érhető el Blokk mód (1)

Tipp

A PUA-védelem letiltott módban való kényszerítéséhez használja az alábbi felügyeleti módszerek bármelyikét:

  • Végponthoz készült Defender biztonsági beállításainak kezelése
  • Intune
  • Konfigurációkezelő
  • Csoportházirend
  • PowerShell

A PUA-védelem konfigurálásához használja a Végponthoz készült Microsoft Defender Biztonsági beállítások kezelése funkcióját

A PUA-védelemnek a Defender for Endpoint Security Settings Management használatával történő konfigurálásával kapcsolatos további információkért lásd: A Végponthoz készült Microsoft Defender Security Settings Management használata a Microsoft Defender víruskereső kezeléséhez

A PUA-védelem konfigurálása Intune használatával

Microsoft Intune az ajánlott eszköz a végpontfunkciókhoz tartozó Defender eszközökre való konfigurálásához és terjesztéséhez. Az Intune azonban egy különálló termék, amely nem része az Endpoint Defender-nak, és nem minden előfizetés része. Az Intune használatához olyan előfizetésre van szüksége, amely tartalmazza azt, vagy külön vásárolhatja meg különálló előfizetésként vagy bővítményként. Ha nem rendelkezik Intune-nal, használhatja az ebben a cikkben ismertetett többi módszer bármelyikét. További információ: Microsoft Intune licencelés.

A PUA-védelem intune-beli eszközkorlátozási beállításokon keresztüli konfigurálásával kapcsolatos információkért tekintse meg az alábbi cikkeket:

A PUA-védelem konfigurálása Konfigurációkezelő használatával

A PUA-védelem alapértelmezés szerint engedélyezve van a Microsoft Configuration Manager (Aktuális ág).

A Microsoft Configuration Manager (aktuális ág) konfigurálásával kapcsolatos részletekért lásd: Kártevőirtó házirendek létrehozása és telepítése: Ütemezett vizsgálatok beállításai.

A System Center 2012 Konfigurációkezelő esetében lásd: Nemkívánatos alkalmazások elleni védelmi szabályzat telepítése az Endpoint Protectionhöz a Konfigurációkezelőben.

Megjegyzés:

A Microsoft Defender Víruskereső által blokkolt PUA-eseményeket a Windows eseménymegtekintő jelenti, nem pedig a Microsoft Configuration Manager.

A PUA-védelem konfigurálása Csoportházirend használatával

Hajtsa végre a következő lépéseket a PUA-védelem csoportházirenddel történő konfigurálásához:

Megjegyzés:

Ha a GPMC-ben nincs elérhető a Konfigurálás azonosítása potenciálisan nem kívánt alkalmazások esetén, frissítsd a Központi Áruházban az Adminisztratív Sablonok fájlokat. Ez a beállítás megtalálható a Windows 10, 1809-es verzió Adminisztratív Sablonokban és az újabb verziókban. A letöltési hivatkozásokkal és az útmutatással kapcsolatban lásd a következőt: A Csoportházirend felügyeleti sablonjaihoz tartozó központi tároló létrehozása és kezelése a Windows rendszerben.

  1. A központosított csoportházirendben nyissa meg a Csoportházirend-kezelő konzolt (GPMC) a Csoportházirend-kezelő számítógépén.

  2. A GPMC konzolfájában bontsa ki a Csoportházirend-objektumok csomópontot abban az erdőben és tartományban, amely a szerkeszteni kívánt GPO-t tartalmazza.

  3. Kattintson a jobb gombbal a csoportházirend-objektumra, majd válassza a Szerkesztés parancsot.

  4. A Csoportházirend-kezelő szerkesztőben lépjen a Számítógép konfigurációja> > Felügyeleti sablonok> > Windows-összetevők> > Microsoft Defender víruskereső pontra.

    Megjegyzés:

    A Windows 10 2004-es verziója (2020. május) előtti csoportházirend elérési útjai a Windows Defender Antivirus nevet használhatják a Microsoft Defender Antivirus helyett. Mindkét név ugyanarra a házirend helyére mutat.

  5. A Microsoft Defender Antivirus részletes paneljében nyisd meg a Konfigurálás beállítást potenciálisan nem kívánt alkalmazások észlelésére. A beállítás megnyitásához használja az alábbi módszerek bármelyikét:

    • Kattintson duplán a beállításra.
    • Kattintson a jobb gombbal a beállításra, majd válassza a Szerkesztés parancsot.
    • Válassza ki a beállítást, majd válassza a Művelet>szerkesztése lehetőséget.

  6. A megnyíló beállítási ablakban konfigurálja a következő beállításokat:

    1. Válassza az Engedélyezve lehetőséget.
    2. Opciók szekció: Válassz az alábbi értékek egyikét:
      • Blokkol: Blokkolj potenciálisan nem kívánt alkalmazásokat.
      • Audit mód: Teszteld, hogyan működik a beállítás a környezetedben.

    Ha végzett, kattintson az OK gombra.

Tipp

A Csoportházirendet helyileg is konfigurálhatja az egyes eszközökön a Helyi csoportházirend-szerkesztő (gpedit.msc) használatával. Ugyanarra az útvonalra navigálj: Számítógép konfiguráció>Adrektor sablonok>Windows components>Microsoft Defender Antivirus.

A PUA-védelem konfigurálása PowerShell-parancsmagokkal

A következő PowerShell-parancsmagokkal engedélyezheti, naplózhatja, letilthatja vagy lekérdezheti a PUA-védelmet Microsoft Defender víruskeresőben.

PUA-védelem engedélyezése

Engedélyezze a PUA-védelmet Microsoft Defender víruskeresőben a potenciálisan nemkívánatos alkalmazások letiltásához az eszközön:

Set-MpPreference -PUAProtection Enabled

Ha ennek a parancsmagnak az értékét Enabled értékre állítja, az bekapcsolja a PUA-védelmet a Microsoft Defender Víruskeresőben, ha az ki van kapcsolva.

A PUA-védelem beállítása naplózási módra

A naplózási mód használatával az alkalmazások blokkolása nélkül naplózhatja a PUA-észleléseket, így a kényszerítés előtt kiértékelheti a hatást:

Set-MpPreference -PUAProtection AuditMode

A(z) AuditMode beállítás észleli a PUA-kat azok blokkolása nélkül.

A PUA-védelem letiltása

Javasoljuk, hogy a PUA-védelem be legyen kapcsolva. Az alábbi parancsmaggal azonban letilthatja a PUA-védelmet Microsoft Defender víruskeresőben hibaelhárítás vagy szabályzat-visszaállítás céljából:

Set-MpPreference -PUAProtection Disabled

Ha a Microsoft Defender Víruskeresőben engedélyezve van a PUA-védelem, ennek a parancsmagnak az értékét Disabled értékre állítva kikapcsolhatja azt.

A PUA állapotának lekérdezése

Az eszköz aktuális PUA-védelmi beállításának megerősítéséhez kérdezze le a Microsoft Defender víruskereső beállításait:

Get-MpPreference | Format-Table PUAProtection
Érték Leírás
0 A PUA-védelem ki van kapcsolva (alapértelmezett). Microsoft Defender víruskereső nem nyújt védelmet a potenciálisan nemkívánatos alkalmazások ellen.
1 PUA-védelem bekapcsolva. Az észlelt elemek le vannak tiltva. A többi fenyegetéssel együtt megjelennek a történelemben.
2 Auditálási mód. Microsoft Defender víruskereső észleli a potenciálisan nemkívánatos alkalmazásokat, de nem hajt végre műveleteket. A eseménymegtekintő Microsoft Defender Víruskereső által létrehozott események keresésével áttekintheti azokat az alkalmazásokat, amelyeken Microsoft Defender víruskereső műveletet végzett volna, de nem az Microsoft Defender portálon.

A Microsoft Defender víruskereső PowerShell-lel való kezeléséről további információt a Microsoft Defender Víruskereső és Defender víruskereső parancsmagokkonfigurálása és futtatása PowerShell-parancsmagok használatával című témakörben talál.

Tesztelje és ellenőrizze, hogy működik-e a PUA-blokkolás

Miután letiltott módban engedélyezte a PUA-t, tesztelheti, hogy megfelelően működik-e. További információ: Vélhetően nemkívánatos alkalmazások (PUA) bemutatója.

PUA-események megtekintése a PowerShell használatával

A PUA-eseményeket a Windows eseménymegtekintő jelenti, de Microsoft Configuration Manager vagy Intune nem. A parancsmaggal megtekintheti azokat a Get-MpThreat fenyegetéseket is, amelyeket Microsoft Defender víruskereső kezelt. Az alábbi mintakimenet az észlelt PUA-elemhez visszaadott adatokat jeleníti meg, beleértve annak végrehajtási állapotát, súlyosságát és fenyegetésnevét:

CategoryID       : 27
DidThreatExecute : False
IsActive         : False
Resources        : {webfile:_q:\Builds\Dalton_Download_Manager_3223905758.exe|http://d18yzm5yb8map8.cloudfront.net/
                    fo4yue@kxqdw/Dalton_Download_Manager.exe|pid:14196,ProcessStart:132378130057195714}
RollupStatus     : 33
SchemaVersion    : 1.0.0.0
SeverityID       : 1
ThreatID         : 213927
ThreatName       : PUA:Win32/InstallCore
TypeID           : 0
PSComputerName   :

A PUA-észlelésekkel kapcsolatos e-mail-értesítések lekérése

Bekapcsolhatja az e-mail-értesítéseket a PUA-észlelésekkel kapcsolatos e-mailek fogadásához. A Microsoft Defender víruskereső eseményekkel kapcsolatos további információkért lásd: Eseményazonosítók hibaelhárítása. A PUA-események az 1160-os eseményazonosító alatt vannak rögzítve.

PUA-események megtekintése speciális kereséssel

Ha a Végponthoz készült Microsoft Defender szolgáltatást használja, egy speciális veszélyforrás-keresési lekérdezés használatával megtekintheti a PUA-eseményeket. Az alábbi lekérdezés megkeresi a táblában DeviceEvents a AntivirusDetection műveleteket, és szűri az eredményeket a PUA-hoz kapcsolódó észlelésekre, és olyan részleteket jelenít meg, mint az eszköz neve, a fájl elérési útja és a szervizelési állapot:

DeviceEvents
| where ActionType == "AntivirusDetection"
| extend x = parse_json(AdditionalFields)
| project Timestamp, DeviceName, FolderPath, FileName, SHA256, ThreatName = tostring(x.ThreatName), WasExecutingWhileDetected = tostring(x.WasExecutingWhileDetected), WasRemediated = tostring(x.WasRemediated)
| where ThreatName startswith_cs 'PUA:'

A speciális kereséssel kapcsolatos további információkért lásd a következőt: Fenyegetések proaktív felderítése speciális kereséssel.

Fájlok kizárása a PUA-védelemből

Előfordulhat, hogy a PUA-védelem tévesen blokkol egy fájlt, vagy a puA egy funkciójára van szükség a feladat elvégzéséhez. Ezekben az esetekben egy fájl hozzáadható egy kizárási listához.

További információ: Kizárások konfigurálása és érvényesítése fájlkiterjesztés és mappahely alapján.

Lásd még

  • Utolsó frissítés időpontja: