Catatan
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba masuk atau mengubah direktori.
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba mengubah direktori.
Important
Fitur-fitur yang dijelaskan dalam artikel ini saat ini masih dalam Preview, tidak tersedia di semua organisasi, dan dapat berubah.
Perlindungan konfigurasi adalah model penegakan konfigurasi yang menjadikan kebijakan yang dikelola cloud sebagai satu-satunya sumber kebenaran untuk pengaturan Microsoft Defender Antivirus. Ketika perlindungan konfigurasi diaktifkan, kebijakan Intune dan Microsoft Defender untuk Titik Akhir menjadi prioritas. Perangkat mengabaikan pengaturan dari Group Policy, skrip, Microsoft Configuration Manager, dan perubahan admin lokal.
Perlindungan konfigurasi menghilangkan penyimpangan konfigurasi dan konflik kebijakan dengan memperluas penegakan bergaya proteksi terhadap manipulasi ke seluruh cakupan konfigurasi Defender Antivirus.
Perlindungan terhadap manipulasi dan perlindungan konfigurasi adalah kemampuan yang saling melengkapi namun berbeda:
| Feature | Perlindungan pengubahan | Perlindungan konfigurasi |
|---|---|---|
| Cakupan | Set pengaturan keamanan tetap kecil (~10-13 pengaturan) | Seluruh permukaan konfigurasi Defender Antivirus |
| Sumber konfigurasi | Hanya default yang ditentukan Microsoft | Kebijakan cloud yang ditentukan oleh organisasi (Intune/Defender for Endpoint) |
| Kustomisasi | Tidak ada kustomisasi | Kontrol penuh berbasis kebijakan |
| Penegakan | Mencegah penonaktifan perlindungan kritis | Mengesampingkan semua saluran konfigurasi non-cloud |
Perlindungan konfigurasi mencakup lebih luas daripada tamper protection dan menyediakan kontrol berbasis kebijakan terhadap keseluruhan konfigurasi Microsoft Defender Antivirus.
Note
Meskipun perlindungan tamper dan perlindungan konfigurasi secara teknis dapat diaktifkan secara bersamaan, kami menyarankan agar organisasi Anda memilih salah satu.
Prerequisites
- Perangkat harus di-onboard ke Microsoft Defender untuk Titik Akhir.
- Perangkat harus dikelola melalui manajemen pengaturan keamanan Microsoft Intune atau Defender for Endpoint.
- Perangkat harus menjalankan Windows 10, Windows 11, Server Windows 2019, Windows Server 2022, atau Windows Server 2025.
- Perangkat harus menjalankan Microsoft Defender untuk Titik Akhir EDR Sensor versi yang lebih baru daripada 10.8804 (September 2025).
- Perangkat harus menjalankan platform Microsoft Defender Antivirus versi 4.18.26060.3004 atau lebih baru (Juni 2026).
Perlindungan konfigurasi saat ini tidak mendukung:
- Lingkungan manajemen bersama (Configuration Manager + Intune).
- Lingkungan GCC High.
Apa saja yang dicakup oleh perlindungan konfigurasi
Saat ini, perlindungan konfigurasi memberikan perlindungan dan penegakan untuk pengaturan Microsoft Defender Antivirus, termasuk:
- Konfigurasi antivirus (pengaturan pemindaian, pengecualian, pembaruan)
- Kebijakan pengurangan permukaan serangan (ASR)
- Permukaan Defender Configuration Service Provider (CSP) dan Policy CSP (set kontrol terkait antivirus yang luas)
- Perilaku penggabungan admin lokal
Saat ini, perlindungan konfigurasi belum mencakup:
- Microsoft Defender Kontrol Perangkat
- Pengaturan deteksi dan respons endpoint (EDR)
- Pengaturan sistem operasi Windows (seperti Firewall)
Cara kerja penegakan perlindungan konfigurasi
Perlindungan konfigurasi menegakkan kebijakan yang dikelola cloud melalui tiga mekanisme:
Penegakan satu sumber: Ketika perlindungan konfigurasi diaktifkan, aturan penegakan berikut berlaku:
- Hanya kebijakan Intune dan Defender for Endpoint yang diterapkan untuk pengaturan Defender Antivirus.
- Perubahan Group Policy Object (GPO), skrip, Configuration Manager, dan admin lokal diabaikan.
- Microsoft Defender Antivirus secara default tidak menghormati pengecualian lokal. Organisasi dapat mengizinkan pengecualian antivirus yang didefinisikan oleh administrator lokal dengan mengaktifkan penggabungan administrator lokal melalui kebijakan Defender atau Intune. Ketika penggabungan administrator lokal diaktifkan, pengecualian antivirus yang didefinisikan secara lokal dapat digabungkan dengan pengecualian yang dikelola secara terpusat. Pengecualian pengurangan permukaan serangan (ASR) yang didefinisikan secara lokal saat ini tidak dihormati, bahkan ketika penggabungan administrator lokal diaktifkan.
Default aman: Jika suatu pengaturan tidak dikonfigurasi secara eksplisit dalam kebijakan, perlindungan konfigurasi akan menerapkan default yang ditentukan Microsoft. Perilaku ini memastikan perangkat mempertahankan postur keamanan yang kuat bahkan ketika administrator belum mengonfigurasi semua pengaturan yang tersedia.
Penyelesaian konflik: Perlindungan konfigurasi menggunakan model prioritas berbasis nilai, alih-alih model yang mengutamakan penulisan terakhir:
- On lebih diutamakan daripada Off. Jika satu kebijakan mengatur perlindungan konfigurasi ke Aktif dan kebijakan lain ke Off, fitur tersebut tetap aktif di perangkat.
- Jika beberapa kebijakan menetapkan nilai yang berbeda, konflik akan dilaporkan, tetapi nilai On tetap ditegakkan.
- Jika beberapa kebijakan memberikan nilai yang sama, hasilnya adalah keberhasilan tanpa konflik.
Important
Tidak dikonfigurasi bukan berarti Mati. Untuk menonaktifkan fitur ini, secara eksplisit terapkan kebijakan yang mengatur perlindungan konfigurasi ke Off.
Aktifkan perlindungan konfigurasi
Anda dapat mengaktifkan perlindungan konfigurasi melalui manajemen pengaturan keamanan Microsoft Intune atau Microsoft Defender untuk Titik Akhir.
Microsoft Intune adalah alat yang direkomendasikan untuk mengonfigurasi dan mendistribusikan Defender untuk fitur Titik Akhir ke perangkat. Namun, Intune adalah produk terpisah yang bukan bagian dari Defender untuk Titik Akhir, dan tidak termasuk dalam semua langganan. Untuk menggunakan Intune, Anda memerlukan langganan yang menyertakannya, atau Anda dapat membelinya secara terpisah sebagai langganan atau add-on mandiri. Jika Anda tidak memiliki Intune, Anda dapat menggunakan salah satu metode lain dalam artikel ini. Untuk informasi selengkapnya, lihat lisensi Microsoft Intune.
Perlindungan konfigurasi diatur melalui antarmuka kebijakan yang sama seperti perlindungan terhadap manipulasi. Dalam profil Keamanan Windows Experience, Intune mengganti nama pengaturan perlindungan manipulasi menjadi Perlindungan Konfigurasi (Perangkat) ketika perlindungan konfigurasi tersedia. Anda tidak dapat mengaktifkan perlindungan konfigurasi melalui Katalog Pengaturan atau template Device Control v1 (DCv1).
Karena perlindungan konfigurasi dan perlindungan gangguan menggunakan pengaturan kebijakan yang sama, pengaturan perlindungan Konfigurasi (Aktif) menggantikan nilai perlindungan gangguan pada perangkat tersebut. Anda tidak menerapkan kebijakan perlindungan terhadap manipulasi dan perlindungan konfigurasi secara terpisah untuk pengaturan yang sama. Untuk memigrasikan kebijakan perlindungan manipulasi (DCv1) yang sudah ada ke perlindungan konfigurasi, buat kebijakan Keamanan Windows Experience dengan perlindungan Konfigurasi (Aktif), lalu hapus pengaturan perlindungan gangguan dari kebijakan DCv1 Anda untuk menghindari konflik.
- Pada halaman Endpoint security di pusat admin Microsoft Intune pada https://intune.microsoft.com, buat profil Keamanan Windows Experience baru atau edit profil yang sudah ada.
- Temukan pengaturan Perlindungan Konfigurasi (Perangkat) (sebelumnya Perlindungan Tamper).
- Atur nilai ke Perlindungan Konfigurasi (Aktif) untuk mengaktifkan perlindungan konfigurasi.
- Tetapkan kebijakan ke grup perangkat yang sesuai.
Versi minimum klien dan pengembalian versi
Sebelum Anda menetapkan perlindungan Konfigurasi (Aktif), perbarui perangkat ke platform Microsoft Defender Antivirus versi 4.18.26060.3004 atau lebih baru, dan validasi penerapan dengan grup pilot.
Pada perangkat dengan versi platform sebelumnya, Intune mungkin mengirim Perlindungan Konfigurasi (Aktif) dan Perlindungan Manipulasi (Mati), tetapi perangkat mungkin hanya menerapkan pengaturan perlindungan manipulasi. Tindakan ini membiarkan perlindungan konfigurasi dan tamper protection keduanya dinonaktifkan.
Untuk melakukan rollback, ubah kebijakan Keamanan Windows Experience dari Perlindungan Konfigurasi (Aktif) ke Perlindungan Tamper (Aktif), sebarkan ulang kebijakan, sinkronkan perangkat yang terdampak, dan pastikan perlindungan gangguan diaktifkan. Waktu tunda normal untuk penerapan kebijakan berlaku.
Pelaporan dan Pemantauan
Status perlindungan konfigurasi terlihat baik di pusat admin Intune maupun portal Microsoft Defender, tergantung pada bagaimana perangkat dikelola.
Intune: Untuk perangkat yang terdaftar langsung melalui Intune menggunakan Mobile Manajemen Perangkat (MDM), Anda dapat melihat:
- Status kebijakan (Berhasil, Konflik, atau Kesalahan)
- Status perlindungan konfigurasi tingkat perangkat
Portal Microsoft Defender: Untuk perangkat yang dikelola melalui manajemen pengaturan keamanan Defender for Endpoint, periksa portal Microsoft Defender untuk status konfigurasi yang efektif.
Note
Perangkat ini tidak terlihat dalam laporan Intune. Gunakan portal Microsoft Defender untuk memverifikasi status perlindungan konfigurasi yang efektif.
Verifikasi perlindungan konfigurasi pada perangkat
Untuk mengonfirmasi status perlindungan konfigurasi langsung pada perangkat, jalankan cmdlet PowerShell berikut:
Get-MpComputerStatus
Tinjau properti berikut dalam output:
- ControlledConfigurationState: Status penegakan perlindungan konfigurasi saat ini pada perangkat.
- IsTamperProtected: Menunjukkan apakah perlindungan dari manipulasi (dasar dari perlindungan konfigurasi) sedang aktif.
- TamperProtectionSource: Sumber yang menentukan status saat ini.
Anda juga dapat menggunakannya Get-MpComputerStatus untuk memastikan bahwa versi platform Microsoft Defender Antivirus memenuhi prasyarat, serta memvalidasi status konfigurasi setelah perubahan kebijakan atau reset perlindungan konfigurasi.
Perilaku siklus hidup
Perilaku perlindungan konfigurasi bervariasi tergantung pada perubahan siklus hidup perangkat:
- Pembatalan kebijakan: Perlindungan konfigurasi dihapus dari perangkat kecuali kebijakan perlindungan konfigurasi lain masih berlaku.
- Pembatalan pendaftaran Defender for Endpoint: Perlindungan konfigurasi tetap Aktif (tidak dibersihkan secara otomatis).
- Penghapusan perangkat: Perlindungan konfigurasi dihapus dan diatur ulang ke Off.
Reset perlindungan konfigurasi pada perangkat
Untuk menghapus status perlindungan konfigurasi pada perangkat, jalankan perintah berikut di Command Prompt yang ditinggikan (jendela Command Prompt yang Anda buka dengan memilih Jalankan sebagai administrator):
Tip
Perangkat harus mengaktifkan perlindungan terhadap gangguan dan berada dalam mode pemecahan masalah.
Perintah pertama mengubah direktori ke versi <terbaru versi> platform antimalware di %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Jika jalur itu tidak ada, jalur tersebut akan masuk ke %ProgramFiles%\Windows Defender.
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -Config -ResetControlledConfiguration
Untuk informasi lebih lanjut, lihat Aktifkan dan gunakan mode pemecahan masalah di Microsoft Defender untuk Titik Akhir.
Batasan yang diketahui
Saat ini, batasan berikut berlaku untuk perlindungan konfigurasi:
- Anda mungkin melihat konflik palsu di Intune ketika kebijakan perlindungan tamper dan perlindungan konfigurasi menargetkan perangkat yang sama.
- Anda mungkin melihat ketidakkonsistenan pelaporan antara pusat admin Intune dan portal Microsoft Defender.
- Cakupan terbatas pada pengaturan Microsoft Defender Antivirus (kontrol perangkat, EDR, dan firewall belum tercakup).
- Saat Anda mengaktifkan perlindungan konfigurasi melalui manajemen pengaturan keamanan Microsoft Defender untuk Titik Akhir atau Intune, perlindungan dari gangguan akan dinonaktifkan, kecuali kebijakan perlindungan dari gangguan lain secara eksplisit menetapkannya ke aktif. Saat perlindungan konfigurasi aktif dan perlindungan dari gangguan dinonaktifkan, skor keamanan untuk perlindungan dari gangguan menjadi lebih rendah. Kami sedang berusaha mengatasi kesenjangan ini.