Skonfiguruj i zweryfikuj połączenia sieciowe programu antywirusowego Microsoft Defender
Dotyczy:
- Ochrona punktu końcowego w usłudze Microsoft Defender (plan 1)
- Ochrona punktu końcowego w usłudze Microsoft Defender (plan 2)
- Program antywirusowy Microsoft Defender
Platformy
- System Windows
Aby upewnić się, Microsoft Defender ochrona antywirusowa dostarczana w chmurze działa prawidłowo, zespół ds. zabezpieczeń musi skonfigurować sieć tak, aby zezwalała na połączenia między punktami końcowymi a niektórymi serwerami firmy Microsoft. W tym artykule wymieniono połączenia, które muszą być dozwolone w przypadku używania reguł zapory. Zawiera również instrukcje dotyczące weryfikowania połączenia. Prawidłowe skonfigurowanie ochrony gwarantuje, że otrzymasz najlepszą wartość z usług ochrony dostarczanych przez chmurę.
Ważna
Ten artykuł zawiera informacje dotyczące konfigurowania połączeń sieciowych tylko dla programu antywirusowego Microsoft Defender. Jeśli używasz Ochrona punktu końcowego w usłudze Microsoft Defender (w tym programu antywirusowego Microsoft Defender), zobacz Konfigurowanie ustawień serwera proxy urządzenia i łączności z Internetem dla usługi Defender for Endpoint.
Zezwalaj na połączenia z usługą w chmurze programu antywirusowego Microsoft Defender
Usługa w chmurze Microsoft Defender Antivirus zapewnia szybką i silną ochronę punktów końcowych. Włączenie usługi ochrony dostarczanej w chmurze jest opcjonalne. Microsoft Defender usługa antywirusowa w chmurze jest zalecana, ponieważ zapewnia ważną ochronę przed złośliwym oprogramowaniem w punktach końcowych i sieci. Aby uzyskać więcej informacji, zobacz Enable cloud-delivered protection for enableing service with Intune, Microsoft Endpoint Configuration Manager, zasady grupy, PowerShell cmdlets, or individual clients in the Zabezpieczenia Windows app (Włączanie ochrony dostarczanej w chmurze na potrzeby włączania usługi za pomocą Intune, Configuration Manager punktu końcowego firmy Microsoft, zasady grupy, poleceń cmdlet programu PowerShell lub poszczególnych klientów w aplikacji Zabezpieczenia Windows.
Po włączeniu usługi należy skonfigurować sieć lub zaporę, aby zezwalać na połączenia między siecią a punktami końcowymi. Ponieważ ochrona jest usługą w chmurze, komputery muszą mieć dostęp do Internetu i uzyskiwać dostęp do usług firmy Microsoft w chmurze. Nie wykluczaj adresu URL *.blob.core.windows.net z jakiejkolwiek inspekcji sieci.
Uwaga
Usługa w chmurze programu antywirusowego Microsoft Defender zapewnia zaktualizowaną ochronę sieci i punktów końcowych. Usługa w chmurze nie powinna być traktowana jako ochrona tylko plików przechowywanych w chmurze. Zamiast tego usługa w chmurze korzysta z zasobów rozproszonych i uczenia maszynowego, aby zapewnić ochronę punktów końcowych szybciej niż tradycyjne aktualizacje analizy zabezpieczeń.
Usługi i adresy URL
W tabeli w tej sekcji wymieniono usługi i skojarzone z nimi adresy witryny sieci Web (adresy URL).
Upewnij się, że nie ma reguł filtrowania zapory ani sieci, które odmawiają dostępu do tych adresów URL. W przeciwnym razie należy utworzyć regułę zezwalania specjalnie dla tych adresów URL (z wyłączeniem adresu URL *.blob.core.windows.net). Adresy URL w poniższej tabeli używają portu 443 do komunikacji. (Port 80 jest również wymagany dla niektórych adresów URL, jak wspomniano w poniższej tabeli).
| Usługa i opis | URL |
|---|---|
| Microsoft Defender usługa ochrony antywirusowej dostarczana w chmurze jest określana jako usługa Microsoft Active Protection (MAPS). Microsoft Defender Program antywirusowy korzysta z usługi MAPS w celu zapewnienia ochrony dostarczanej w chmurze. |
*.wdcp.microsoft.com *.wdcpalt.microsoft.com*.wd.microsoft.com |
| Microsoft Update Service (MU) i Windows Update Service (WU) Te usługi umożliwiają analizę zabezpieczeń i aktualizacje produktów. |
*.update.microsoft.com*.delivery.mp.microsoft.com*.windowsupdate.com ctldl.windowsupdate.comAby uzyskać więcej informacji, zobacz Punkty końcowe połączenia dla Windows Update. |
| Aktualizacje analizy zabezpieczeń Alternatywna lokalizacja pobierania (ADL) Jest to alternatywna lokalizacja dla Microsoft Defender aktualizacji analizy zabezpieczeń antywirusowych, jeśli zainstalowana analiza zabezpieczeń jest nieaktualna (co najmniej siedem dni). |
*.download.microsoft.com*.download.windowsupdate.com (Port 80 jest wymagany)go.microsoft.com (Port 80 jest wymagany)https://www.microsoft.com/security/encyclopedia/adlpackages.aspx https://definitionupdates.microsoft.com/download/DefinitionUpdates/https://fe3cr.delivery.mp.microsoft.com/ClientWebService/client.asmx |
| Magazyn przesyłania złośliwego oprogramowania Jest to lokalizacja przekazywania plików przesłanych do firmy Microsoft za pośrednictwem formularza przesyłania lub automatycznego przesyłania przykładów. |
ussus1eastprod.blob.core.windows.netussus2eastprod.blob.core.windows.netussus3eastprod.blob.core.windows.netussus4eastprod.blob.core.windows.netwsus1eastprod.blob.core.windows.netwsus2eastprod.blob.core.windows.netussus1westprod.blob.core.windows.netussus2westprod.blob.core.windows.netussus3westprod.blob.core.windows.netussus4westprod.blob.core.windows.netwsus1westprod.blob.core.windows.netwsus2westprod.blob.core.windows.netusseu1northprod.blob.core.windows.netwseu1northprod.blob.core.windows.netusseu1westprod.blob.core.windows.netwseu1westprod.blob.core.windows.netussuk1southprod.blob.core.windows.netwsuk1southprod.blob.core.windows.netussuk1westprod.blob.core.windows.netwsuk1westprod.blob.core.windows.net |
| Lista odwołania certyfikatów (CRL) System Windows używa tej listy podczas tworzenia połączenia SSL z usługą MAPS w celu zaktualizowania listy CRL. |
http://www.microsoft.com/pkiops/crl/http://www.microsoft.com/pkiops/certshttp://crl.microsoft.com/pki/crl/productshttp://www.microsoft.com/pki/certs |
| Uniwersalny klient RODO System Windows używa tego klienta do wysyłania danych diagnostycznych klienta. Microsoft Defender Program antywirusowy używa ogólnego rozporządzenia o ochronie danych do celów związanych z jakością produktów i monitorowaniem. |
Aktualizacja używa protokołu SSL (port TCP 443) do pobierania manifestów i przekazywania danych diagnostycznych do firmy Microsoft używających następujących punktów końcowych DNS:vortex-win.data.microsoft.comsettings-win.data.microsoft.com |
Weryfikowanie połączeń między siecią a chmurą
Po dopuszczeniu wymienionych adresów URL sprawdź, czy masz połączenie z usługą w chmurze programu antywirusowego Microsoft Defender. Sprawdź, czy adresy URL prawidłowo zgłaszają i odbierają informacje, aby upewnić się, że jesteś w pełni chroniony.
Weryfikowanie ochrony dostarczanej w chmurze przy użyciu narzędzia cmdline
Użyj następującego argumentu z narzędziem wiersza polecenia programu antywirusowego Microsoft Defender (mpcmdrun.exe), aby sprawdzić, czy sieć może komunikować się z usługą w chmurze programu antywirusowego Microsoft Defender:
"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -ValidateMapsConnection
Uwaga
Otwórz wiersz polecenia jako administrator. Kliknij prawym przyciskiem myszy element w menu Start , kliknij przycisk Uruchom jako administrator i kliknij przycisk Tak w wierszu polecenia uprawnień. To polecenie będzie działać tylko w Windows 10, wersji 1703 lub nowszej lub Windows 11.
Aby uzyskać więcej informacji, zobacz Manage Microsoft Defender Antivirus with the mpcmdrun.exe commandline tool (Zarządzanie programem antywirusowym Microsoft Defender przy użyciu narzędzia wiersza polecenia mpcmdrun.exe).
Komunikaty o błędach
Oto kilka komunikatów o błędach, które mogą zostać wyświetlone:
Start Time: <Day_of_the_week> MM DD YYYY HH:MM:SS
MpEnsureProcessMitigationPolicy: hr = 0x1
ValidateMapsConnection
ValidateMapsConnection failed to establish a connection to MAPS (hr=0x80070006 httpcore=451)
MpCmdRun.exe: hr = 0x80070006
ValidateMapsConnection failed to establish a connection to MAPS (hr=0x80072F8F httpcore=451)
MpCmdRun.exe: hr = 0x80072F8F
ValidateMapsConnection failed to establish a connection to MAPS (hr=0x80072EFE httpcore=451)
MpCmdRun.exe: hr = 0x80072EFE
Przyczyn
Główną przyczyną tych komunikatów o błędach jest to, że urządzenie nie ma skonfigurowanego serwera proxy w całym WinHttp systemie. Jeśli nie ustawisz tego serwera proxy, system operacyjny nie jest świadomy serwera proxy i nie może pobrać listy CRL (system operacyjny to robi, a nie defender dla punktu końcowego), co oznacza, że połączenia TLS z adresami URL, takie jak http://cp.wd.microsoft.com/ nie powiodły się. Zobaczysz pomyślne połączenia (odpowiedź 200) z punktami końcowymi, ale połączenia MAPS nadal kończą się niepowodzeniem.
Rozwiązania
W poniższej tabeli wymieniono rozwiązania:
| Rozwiązanie | Opis |
|---|---|
| Rozwiązanie (preferowane) | Skonfiguruj serwer proxy WinHttp dla całego systemu, który umożliwia sprawdzanie listy CRL. |
| Rozwiązanie (preferowane 2) | 1. Przejdź do pozycjiKonfiguracja komputera Ustawienia>systemu Windows Ustawienia zabezpieczeń Ustawienia> zabezpieczeń Ustawienia weryfikacji ścieżki>certyfikatu zasad >klucza publicznego. 2. Wybierz kartę Pobieranie sieci , a następnie wybierz pozycję Zdefiniuj te ustawienia zasad. 3. Wyczyść pole wyboru Automatycznie aktualizuj certyfikaty w programie Microsoft Root Certificate Program (zalecane ). Oto kilka przydatnych zasobów: - Konfigurowanie zaufanych katalogów głównych i niedozwolonych certyfikatów - Skracanie czasu uruchamiania aplikacji: ustawienie GeneratePublisherEvidence w Machine.config |
| Rozwiązanie obejścia (alternatywa) Nie jest to najlepsze rozwiązanie, ponieważ nie sprawdzasz już odwołanych certyfikatów ani przypinania certyfikatów. |
Wyłącz sprawdzanie listy CRL tylko dla programu SPYNET. Skonfigurowanie tego rejestru SSLOption wyłącza sprawdzanie listy CRL tylko dla raportowania SPYNET. Nie będzie to miało wpływu na inne usługi. Przejdź do pozycji HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet, a następnie ustaw wartość SSLOptions (dword)2 (szesnastkowa). Poniżej przedstawiono możliwe wartości dword: - 0 – disable pinning and revocation checks - 1 – disable pinning - 2 – disable revocation checks only - 3 – enable revocation checks and pinning (default) |
Próba pobrania fałszywego pliku złośliwego oprogramowania od firmy Microsoft
Możesz pobrać przykładowy plik, który Microsoft Defender program antywirusowy wykryje i zablokuje połączenie z chmurą.
Uwaga
Pobrany plik nie jest dokładnie złośliwym oprogramowaniem. Jest to fałszywy plik przeznaczony do testowania, czy masz prawidłowe połączenie z chmurą.
Jeśli masz prawidłowe połączenie, zostanie wyświetlone ostrzeżenie Microsoft Defender powiadomienia antywirusowego.
Jeśli używasz przeglądarki Microsoft Edge, zostanie również wyświetlony komunikat z powiadomieniem:
Podobny komunikat występuje, jeśli używasz programu Internet Explorer:
Wyświetlanie wykrywania fałszywego złośliwego oprogramowania w aplikacji Zabezpieczenia Windows
Na pasku zadań wybierz ikonę Tarcza, otwórz aplikację Zabezpieczenia Windows. Możesz też wyszukać pozycję Rozpocznij pod kątem zabezpieczeń.
Wybierz pozycję Ochrona przed zagrożeniami & wirusami, a następnie wybierz pozycję Historia ochrony.
W sekcji Zagrożenia poddane kwarantannie wybierz pozycję Zobacz pełną historię , aby zobaczyć wykryte fałszywe złośliwe oprogramowanie.
Uwaga
Wersje Windows 10 przed wersją 1703 mają inny interfejs użytkownika. Zobacz Microsoft Defender Antivirus w aplikacji Zabezpieczenia Windows.
W dzienniku zdarzeń systemu Windows zostanie również wyświetlony identyfikator zdarzenia klienta Windows Defender 1116.
Porada
Jeśli szukasz informacji dotyczących programu antywirusowego dla innych platform, zobacz:
- Ochrona punktu końcowego w usłudze Microsoft Defender na komputerze Mac
- Ochrona punktu końcowego w usłudze Microsoft Defender na Linuxie
- Konfiguruj ochronę punktu końcowego w usłudze Microsoft Defender w opcjach systemu Android
- Konfiguruj ochronę punktu końcowego w usłudze Microsoft Defender w opcjach systemu iOS
Zobacz też
- Konfigurowanie ustawień serwera proxy urządzenia i łączności z Internetem dla Ochrona punktu końcowego w usłudze Microsoft Defender
- Konfigurowanie programu antywirusowego Microsoft Defender i zarządzanie nimi za pomocą ustawień zasady grupy
- Ważne zmiany w punkcie końcowym usług Microsoft Active Protection Services
Porada
Chcesz dowiedzieć się więcej? Engage ze społecznością microsoft security w naszej społeczności technicznej: Ochrona punktu końcowego w usłudze Microsoft Defender Tech Community.
Opinia
Dostępne już wkrótce: W 2024 r. będziemy stopniowo wycofywać zgłoszenia z serwisu GitHub jako mechanizm przesyłania opinii na temat zawartości i zastępować go nowym systemem opinii. Aby uzyskać więcej informacji, sprawdź: https://aka.ms/ContentUserFeedback.
Prześlij i wyświetl opinię dla