Konfigurációs védelem a Végponthoz készült Microsoft Defender-ben

  • A következőre érvényes:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender Antivirus

Important

A cikkben ismertetett funkciók jelenleg előzetes verzióban érhetők el, nem minden szervezetben érhetők el, és változhatnak.

A konfigurációs védelem egy konfigurációs végrehajtási modell, amely a felhő által kezelt szabályzatot teszi az Microsoft Defender Antivirus beállítások egyetlen igazságforrásává. Ha a konfigurációs védelem engedélyezett, az Intune és a Végponthoz készült Microsoft Defender irányelvek kerülnek előtérbe. Az eszköz figyelmen kívül hagyja a Csoportpolitika, szkriptek, Microsoft Configuration Manager és helyi adminisztrátor módosításainak beállításait.

A konfigurációs védelem megszünteti a konfigurációs drifteket és a szabályzati ütközéseket azáltal, hogy a manipuláció-védelmi jellegű végrehajtást az egész Defender Antivirus konfigurációs felületére kiterjeszti.

A manipulátor elleni védelem és a konfigurációs védelem kiegészítő képességek, de különálló képességek:

Funkció Illetéktelen módosítás elleni védelem Konfigurációs védelem
Scope Kis, fix biztonsági beállítások (~10-13 beállítás) Teljes Defender Antivírus konfigurációs felület
Konfigurációs forrás Csak Microsoft által definiált alapértelmezések Szervezet által definiált felhőpolitika (Intune/Defender for Endpoint)
Testreszabás Nincs testreszabás Teljes politikavezérelt irányítás
Végrehajtási Megakadályozza a kritikus védelem letiltását Minden nem felhőalapú konfigurációs csatornát felülír

A konfigurációvédelem a manipuláció elleni védelem kibővített változata, amely szabályzatalapú vezérlést biztosít a Microsoft Defender Antivirus teljes konfigurációja felett.

Note

Bár technikailag a manipulátor és a konfigurációs védelem egyszerre bekapcsolható, javasoljuk, hogy a szervezet válassza ki az egyiket.

Prerequisites

  • Az eszközöket be kell illeszteni a Végponthoz készült Microsoft Defender-re.
  • Az eszközöket a Microsoft Intune vagy a Defender for Endpoint biztonsági beállítások menedzsmentén kell kezelni.
  • Az eszközöknek Windows 10, Windows 11, Windows Server 2019, Windows Server 2022 vagy Windows Server 2025 futással kell működniük.
  • Az eszközöknek a Végponthoz készült Microsoft Defender EDR Sensor verziót kell futtatniuk a 10.8804 (2025 szeptemberé) után.
  • Az eszközöknek a Microsoft Defender Antivirus platform 4.18.26060.3004 vagy újabb verzióját kell futtatniuk (2026. június).

A konfigurációs védelem jelenleg nem támogatja a következőket:

  • Co-management (Konfigurációkezelő + Intune) környezetek.
  • GCC High környezetek.

Milyen konfigurációs védelem fedi

Jelenleg a konfigurációs védelem védelmet és végrehajtást nyújt a Microsoft Defender Antivirus beállításaira, többek között:

  • Antivírus konfiguráció (szkenneli beállítások, kizárások, frissítések)
  • Támadási felület csökkentési (ASR) politikák
  • Defender Konfigurációs Szolgáltató (CSP) és Policy CSP felület (széles körű antivírus-kapcsolódó vezérlők)
  • Helyi rendszergazda egyesítési viselkedés

Jelenleg a konfigurációs védelem nem fedi le:

  • Microsoft Defender Eszközvezérlés
  • Végpont detektálás és válasz (EDR) beállítások
  • Windows operációs rendszer beállítások (például tűzfal)

Hogyan működik konfigurációs védelem végrehajtása

A konfigurációs védelem három mechanizmuson keresztül érvényesíti a felhő által kezelt szabályzatokat:

  • Egyforrású végrehajtás: Amikor a konfigurációs védelem engedélyezett, a következő végrehajtási szabályok érvényesek:

    • Csak az Intune és a Defender for Endpoint szabályzatai érvényesek a Defender Antivirus beállításokban.
    • A Group Policy Object (GPO), szkriptek, Konfigurációkezelő és helyi adminisztrátor változtatások figyelmen kívül hagyva.
    • A Microsoft Defender Antivirus alapértelmezés szerint nem tartja tiszteletben a helyi kizárásokat. A szervezetek engedélyezhetik a helyi adminisztrátor által definiált vírusirtó kizárásokat azzal, hogy a helyi adminisztrátorok egyesítését engedélyezik a Defender vagy Intune szabályzaton keresztül. Ha a helyi adminisztrátor egyesítése engedélyezett, a helyileg definiált antivirus kizárások összevonhatók központilag kezelt kizárásokkal. A helyi definiált támadásfelület-csökkentés (ASR) kizárásait jelenleg nem tartják be, még akkor sem, ha a helyi adminisztrátor összevonása engedélyezve van.

  • Biztonságos alapértelmezések: Ha egy beállítás nincs kifejezetten konfigurálva egy szabályzatban, a konfigurációs védelem a Microsoft által definiált alapértelmezéseket alkalmazza. Ez a viselkedés biztosítja, hogy az eszközök erős biztonsági pozíciót tartanak fenn, még akkor is, ha az adminisztrátorok még nem konfigurálták az összes elérhető beállítást.

  • Konfliktusfeloldás: A konfiguráció védelme értékalapú elsőbbségi modellt használ, nem pedig az „utolsó írás nyer” elvet:

    • Be elsőbbséget élvez a Ki beállítással szemben. Ha az egyik szabályzat bekapcsolva állítja a konfigurációs védelmet, a másik pedig Kikapcsolva, akkor a funkció továbbra is engedélyezve marad az eszközön.
    • Ha több politika különböző értékeket rendel, ütközést jelentenek, de az On érték továbbra is érvényes.
    • Ha több politika ugyanazt az értéket rendeli, az eredmény a siker konfliktus nélkül.

    Important

    Ha nincs beállítva , az nem jelenti azt, hogy ki van kapcsolva. A funkció letiltásához kifejezetten telepítsünk egy olyan szabályzatot, amely a konfigurációs védelmet Kikapcsolva állítja be.

Konfigurációs védelem engedélyezése

A konfigurációs védelmet a Microsoft Intune vagy a Végponthoz készült Microsoft Defender biztonsági beállítások menedzsmentjével lehet engedélyezni.

Microsoft Intune az ajánlott eszköz a végpontfunkciókhoz tartozó Defender eszközökre való konfigurálásához és terjesztéséhez. Az Intune azonban egy különálló termék, amely nem része az Endpoint Defender-nak, és nem minden előfizetés része. Az Intune használatához olyan előfizetésre van szüksége, amely tartalmazza azt, vagy külön vásárolhatja meg különálló előfizetésként vagy bővítményként. Ha nem rendelkezik Intune-nal, használhatja az ebben a cikkben ismertetett többi módszer bármelyikét. További információ: Microsoft Intune licencelés.

A konfigurációvédelem ugyanazon a szabályzatfelületen állítható be, mint a manipuláció elleni védelem. A Windows Biztonság Experience profilban az Intune az illetéktelen módosítás elleni védelem beállítás nevét Konfigurációvédelem (Eszköz) névre módosítja, amikor a konfigurációvédelem elérhető. Nem lehet engedélyezni a konfigurációs védelmet a Beállítások katalógusán vagy az Eszközirányítás v1 (DCv1) sablonján keresztül.

Mivel a konfigurációs védelem és a manipuláció elleni védelem ugyanazt a szabályzati beállítást használja, a konfigurációs védelem (On) beállítása felülírja az adott eszköz manipulációs védelmi értékét. Nem helyez üzembe külön illetéktelen módosítás elleni és konfigurációvédelmi szabályzatokat ugyanahhoz a beállításhoz. Ha a meglévő tamper protection (DCv1) szabályzatokat konfigurációs védelemre szeretnél átvinni, hozz létre egy Windows Biztonság Experience szabályzatot Configuration protection (On) opcióval, majd távolítsa el a tamper protection beállítást a DCv1 szabályzataidból, hogy elkerüld az ütközéseket.

  1. A Microsoft Intune adminisztrátor https://intune.microsoft.com oldalán , hozz létre egy új Windows Biztonság Experience profilt vagy szerkessze egy létezőt.
  2. Keresd meg a Konfigurációs védelem (Eszköz) beállítást (korábban Tamper Protection).
  3. Állítsd be az értéket Konfigurációs védelem (On) módra, hogy engedélyezd a konfigurációs védelmet.
  4. Rendeld hozzá a szabályzatot a megfelelő eszközcsoportokhoz.

Minimális kliens verzió és visszalépés

Mielőtt a konfigurációs védelmet (On) rendelnéd, frissítsd az eszközöket a Microsoft Defender Antivirus platform 4.18.26060.3004 vagy újabb verziójára, és ellenőrizd a telepítést egy pilot csoporttal.

Korábbi platformverziójú eszközökön az Intune küldheti a konfigurációs védelmet (bekapcsolva) és a tamper védelmet (kikapcsolva), de az eszköz csak a manipuláció elleni beállítást alkalmazhatja. Ez a viselkedés mind a konfigurációs védelmet, mind a manipulációvédelmet kikapcsolja.

A visszalépéshez változtasd a Windows Biztonság Experience szabályzatot Konfigurációs védelemről (On)Tamper Protection (On) állapotra, telepítsd újra a szabályzatot, szinkronizáld az érintett eszközöket, és ellenőrizd, hogy a manipulációs védelem engedélyezett-e. A szabályzat kézbesítésére a szokásos késleltetés érvényes.

Jelentés és monitorozás

A konfigurációs védelem státusza látható mind az Intune adminisztrátorban, mind a Microsoft Defender portálban, attól függően, hogyan kezelik az eszközöket.

  • Intune: Azoknál az eszközökön, amelyek közvetlenül az Intune-on keresztül a Mobile Eszközkezelés (MDM) használatával vannak bejegyezve, megtekinthetők:

    • Politikai státusz (Siker, Konfliktus vagy Hiba)
    • Eszközszintű konfigurációs védelem státusza

  • Microsoft Defender portál: A Defender for Endpoint biztonsági beállítások menedzsmenten keresztüli eszközökön keresztül nézd meg a Microsoft Defender portált a hatékony konfigurációs állapotért.

    Note

    Ezek az eszközök nem láthatók az Intune jelentéseiben. Használja a Microsoft Defender portált az effektív konfigurációs védelem állapotának ellenőrzéséhez.

Ellenőrizd a konfigurációs védelmet egy eszközön

A konfigurációs védelem állapotának közvetlen megerősítéséhez egy eszközön futtassuk le a következő PowerShell cmdlet-et:

Get-MpComputerStatus

Tekintse át a kimenetben az alábbi tulajdonságokat:

  • ControlledConfigurationState: Az eszköz aktuális konfigurációs védelem végrehajtási állapota.
  • IsTamperProtected: Jelzi, hogy a manipulátor védelem (a konfigurációs védelem alapja) aktív-e.
  • TamperProtectionSource: Az a forrás, amely érvényesíti a jelenlegi állapotot.

Azt is ellenőrizhetedGet-MpComputerStatus, hogy a Microsoft Defender Antivirus platform verziója megfelel-e az előfeltételeknek, és ellenőrizd a konfigurációs állapotot egy szabályzatváltás vagy konfigurációs védelem visszaállítása után.

Életciklus viselkedések

A konfigurációs védelem viselkedése az eszköz életciklusának változásától függően változik:

  • Szabályzat kioldása: A konfigurációs védelem eltávolításra kerül az eszközről, hacsak nem érvényben van egy másik konfigurációs védelmi politika.
  • Defender for Endpoint regisztrációjának megszüntetése: A konfigurációvédelem továbbra is Be van kapcsolva (nem törlődik automatikusan).
  • Eszköz kivezetése: A konfigurációvédelem eltávolításra kerül, és visszaáll Ki értékre.

Konfigurációs védelem visszaállítása egy eszközön

A konfigurációs védelem állapotának törléséhez az eszközön a következő parancsokat futtasd be egy emelt parancssorban (egy parancssor-ablakban, amelyet a Futtatás rendszergazdáként választással nyitott meg):

Tip

Az eszköznek be kell kapcsolnia a manipulálás elleni védelem, és hibakeresési módban kell lennie.

Az első parancs a kártevőirtó platform legújabb verziójára <> módosítja a könyvtárat a rendszerben%ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Ha ez az elérési út nem létezik, akkor ide lép: %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Config -ResetControlledConfiguration

További információkért lásd: A hibaelhárítási mód engedélyezése és használata a Végponthoz készült Microsoft Defenderban.

Ismert korlátozások

Jelenleg a konfigurációs védelemre vonatkozó korlátozások érvényesek:

  • Előfordulhat, hogy hamis konfliktusokat látsz az Intune-ban, amikor mind a manipulációvédelem, mind a konfigurációs védelmi szabályzatok ugyanazt az eszközt célozzák meg.
  • Előfordulhat, hogy jelentési inkonzisztenciákat tapasztal az Intune felügyeleti központ és a Microsoft Defender portál között.
  • A lefedettség a Microsoft Defender Antivirus beállításaira korlátozódik (az eszközvezérlés, az EDR és a tűzfal még nem van lefedve).
  • Amikor a konfigurációs védelmet a Végponthoz készült Microsoft Defender biztonsági beállítások menedzsmentjén vagy az Intune-on keresztül kapcsolod be, a manipulálás elleni védelem ki van kapcsolva, hacsak egy másik manipulációs védelmi szabályzat kifejezetten bekapcsolja a manipulálási védelmet. Ha a konfigurációvédelem be van kapcsolva, az illetéktelen módosítás elleni védelem pedig ki van kapcsolva, akkor az illetéktelen módosítás elleni védelem biztonsági pontszáma alacsonyabb. Dolgozunk azon, hogy ezt a hiányosságot kezeljük.

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: