Konfiguruj łączność proxy dla Ochrona punktu końcowego w usłudze Microsoft Defender na Windows

  • Dotyczy: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Ochrona punktu końcowego w usłudze Microsoft Defender na Windows używa oddzielnych ustawień proxy dla czujnika wykrywania i reagowania na punkty końcowe (EDR) oraz Microsoft Defender Antivirus. Gdy urządzenia muszą użyć proxy, aby dotrzeć do swoich usług chmurowych, wykorzystaj te wskazówki do skonfigurowania automatycznego wykrywania, specyficznych dla komponentów statycznych ustawień proxy lub systemowego proxy'a WinHTTP. Wytyczne obejmują również konfigurację proxy dla urządzeń korzystających z Microsoft Monitoring Agent (MMA).

Ważna

Defender for Endpoint wymaga łączności IPv4. W przypadku sieci wyłącznie IPv6 należy użyć mechanizmu przejściowego, takiego jak DNS64/NAT64, aby zapewnić łączność end-to-end IPv4. Aby uzyskać więcej informacji, zobacz Minimalne wymagania dotyczące rozwiązania Microsoft Defender dla Punktu Końcowego.

Konfiguruj osobne ustawienia proxy dla następujących komponentów:

Skorzystaj ze wskazówek dotyczących serwera proxy dla systemu operacyjnego, którym zarządzasz:

Wybierz metodę konfiguracji proxy w Windows

Czujnik Defender for Endpoint działa w LocalSystem kontekście i wykorzystuje usługi HTTP Windows (WinHTTP) do raportowania danych z czujników oraz komunikacji z Defender for Endpoint. Konfiguracja WinHTTP jest niezależna od ustawień proxy w Windows Internet (WinINet). Więcej informacji można znaleźć w WinINet kontra WinHTTP.

Wskazówka

Jeśli używasz serwerów proxy przekazujących jako bramy do Internetu, możesz użyć ochrony sieci, aby analizować zdarzenia połączeń występujące za serwerami proxy przekazującymi.

Użyj jednej z następujących metod konfiguracji proxy:

  • Automatyczne odkrywanie:

    • Przezroczysty serwer proxy.
    • Protokół automatycznego wykrywania proxy Web (WPAD).

    Jeśli Twoja sieć używa przezroczystego proxy lub WPAD, czujnik nie wymaga statycznego ustawienia proxy specyficznego dla komponentu.

  • Statyczny proxy czujnika EDR: Konfiguruj TelemetryProxyServer za pomocą polityki grupowej, gdy czujnik nie może korzystać z automatycznego wykrywania lub systemowego proxy'a WinHTTP.

  • Ogólnosystemowy serwer proxy WinHTTP: Skonfiguruj statyczny serwer proxy za pomocą netsh winhttp. To ustawienie dotyczy wszystkich aplikacji i usług korzystających z domyślnej konfiguracji proxy WinHTTP. Statyczny proxy systemowy najlepiej sprawdza się w urządzeniach w stabilnej topologii sieci.

Microsoft Defender Antivirus używa oddzielnych polityk proxy do ochrony dostarczanej w chmurze. Skonfiguruj te polityki w Skonfiguruj statyczny proxy dla Microsoft Defender Antivirus.

Konfiguruj statyczny proxy czujnika EDR za pomocą polityki grupowej

Skonfiguruj statyczny proxy oparty na rejestrze, gdy czujnik EDR nie może się bezpośrednio połączyć lub użyj wykrywania proxy. Wprowadź tylko hosta proxy i port w TelemetryProxyServer. Nie dołączaj spacji.

Uwaga

Zainstaluj najnowsze aktualizacje Defender for Endpoint przed skonfigurowaniem statycznego proxy.

Konfiguruj oba ustawienia w obiekcie Polityki Grupy (GPO), który dotyczy docelowych urządzeń.

  1. Na komputerze do zarządzania zasadami grupy otwórz Konsolę zarządzania zasadami grupy (GPMC).

  2. W drzewie konsoli GPMC rozwiń obiekty polityki grupowej w lesie i domenie zawierającej GPO, które chcesz edytować.

  3. Kliknij prawym przyciskiem myszy obiekt GPO, a następnie wybierz polecenie Edytuj.

  4. W Edytorze zarządzania zasadami grupy przejdź do Konfiguracja komputera>Zasady>Szablony administracyjne>Składniki systemu Windows>Zbieranie danych i kompilacje zapoznawcze.

  5. Otwórz Konfiguruj użycie uwierzytelnionego proxy dla usługi Connected User Experience and Telemetry, wybierz Włączone, a następnie wybierz Wyłącz korzystanie z uwierzytelnionego proxy.

    Zrzut ekranu ustawienia Polityki Grupowej, które wyłącza uwierzytelnione korzystanie proxy do telemetrii.

  6. Otwórz Configure connected user experiences and telemetry, wpisz proxy jako <server-name-or-ip>:<port>, a następnie wybierz OK.

    Zrzut ekranu ustawienia Polityki Grupy dla adresu i portu serwera proxy telemetrycznego.

Polityki konfigurują następujące wartości rejestru:

Zasady grupy Ścieżka rejestru Wartość rejestru Dane wartości
Konfiguruj uwierzytelnione wykorzystanie proxy dla usługi Connected User Experience and Telemetry HKLM\Software\Policies\Microsoft\Windows\DataCollection DisableEnterpriseAuthProxy 1 (REG_DWORD)
Konfigurowanie połączonych środowisk użytkownika i telemetrii HKLM\Software\Policies\Microsoft\Windows\DataCollection TelemetryProxyServer <server-name-or-ip>:<port> (),REG_SZ na przykład, 10.0.0.6:8080

Uwaga

Nie wdrażaj TelemetryProxyServer za pomocą zarządzania urządzeniami mobilnymi (MDM). Czujnik EDR odczytuje TelemetryProxyServer z lokalizacji w rejestrze polityki grupowej.

Na urządzeniach, które nie mogą korzystać z domyślnego serwera proxy WinHTTP dla list odwołanych certyfikatów lub usługi Windows Update, ustaw PreferStaticProxyForHttpRequest na 1, aby zgodny czujnik EDR preferował TelemetryProxyServer. Utwórz wartość pod HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection.

Poniższe polecenie tworzy wartość rejestru:

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection" /v PreferStaticProxyForHttpRequest /t REG_DWORD /d 1 /f

PreferStaticProxyForHttpRequest dotyczy obsługiwanych gałęzi sensorów zaczynając od MsSense.exe wersji 10.8210.* lub 10.8049.*. Nie dotyczy to poprzedniego rozwiązania opartego na MMA.

Konfiguruj ustawienia proxy antywirusowego Microsoft Defender

Microsoft Defender Ochrona antywirusowa dostarczana w chmurze zapewnia niemal natychmiastową, zautomatyzowaną ochronę przed nowymi i pojawiającym się zagrożeniami. Połączenie z chmurą jest wymagane dla niestandardowych wskaźników, jeśli Microsoft Defender Antivirus jest aktywnym rozwiązaniem chroniącym przed złośliwym oprogramowaniem. Jest to również wymagane na potrzeby wykrywania i reagowania na punktach końcowych (EDR) w trybie blokowania, które stanowi mechanizm awaryjny, gdy rozwiązanie inne niż firmy Microsoft nie zablokuje zagrożenia.

Uwaga

Wolę systemowy proxy WinHTTP, który pozwala Windows pobierać listy unieważnień certyfikatów. Jeśli taka konfiguracja nie jest możliwa, ustawienie SSLOptions na 2 w obszarze HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet wyłącza sprawdzanie odwołań certyfikatów dla ochrony w chmurze programu Microsoft Defender Antivirus. Wyłączenie sprawdzania unieważnienia zmniejsza ochronę zapewnianą przez walidację certyfikatów i nie jest zalecaną praktyką. Dostępne wartości i ryzyka można znaleźć w artykule Konfiguruj i zweryfikowaj połączenia sieciowe Microsoft Defender Antivirus.

Microsoft Defender Antivirus buforuje ostatni znany działający proxy. Nie używaj inspekcji TLS dla połączeń Defender w chmurze, ponieważ inspekcja łamie bezpieczne połączenie.

Microsoft Defender Program antywirusowy nie używa statycznego serwera proxy do nawiązywania połączenia z Windows Update ani z usługą Microsoft Update w celu pobierania aktualizacji. Zamiast tego używa systemowego proxy, gdy jest skonfigurowany do korzystania z Windows Update, lub korzysta z skonfigurowanego wewnętrznego źródła aktualizacji zgodnie z kolejnością awaryjną aktualizacji ochrony antywirusa Microsoft Defender.

Konfiguruj ustawienia proxy za pomocą polityki grupowej

Użyj procedury Konfigurowanie programu Microsoft Defender Antivirus przy użyciu zasad grupy, aby otworzyć i edytować obiekt zasad grupy (GPO), który ma zastosowanie do urządzeń docelowych. Następnie skonfiguruj politykę specyficzną dla proxy:

  1. W Edytorze zarządzania zasadami grupy przejdź do Konfiguracja komputera>Zasady>Szablony administracyjne>Składniki systemu Windows>Program antywirusowy Microsoft Defender.

  2. Otwórz Zdefiniuj serwer proxy do łączenia się z siecią, wybierz Włączone i zdefiniuj serwer proxy. Uwzględnij http:// lub https://. Utrzymuj aktualność platformy Defender Antivirus zgodnie z opisem w Manage Microsoft Defender Antivirus updates.

    Zrzut ekranu polityki antywirusowej Microsoft Defender dotyczącej definiowania serwera proxy.

Polityka tworzy wartość ciągu znaków ProxyServer w obszarze HKLM\Software\Policies\Microsoft\Windows Defender. Użyj następującego formatu:

<protocol>://<server-name-or-ip>:<port>

Na przykład http://10.0.0.6:8080.

Aby użyć pliku automatycznej konfiguracji serwera proxy (PAC), skonfiguruj Definiowanie automatycznej konfiguracji serwera proxy (.pac) na potrzeby łączenia z siecią. Aby obejść proxy dla konkretnych miejsc docelowych, skonfiguruj Define addresss, aby omijać serwer proxy.

Konfiguruj ustawienia proxy za pomocą PowerShell

Użyj Microsoft Defender Antivirus cmdlets w podwyższonej sesji PowerShell na lokalnym urządzeniu (okno PowerShell, które otworzyłeś wybierając Uruchom jako administrator).

  • Konfiguruj statyczny serwer proxy lub plik PAC:

    • Konfiguruj statyczny serwer proxy: Użyj następującej składni:

      Set-MpPreference -ProxyServer "<protocol>://<server-name-or-ip>:<port>"

      Przykład:

      Set-MpPreference -ProxyServer "http://10.0.0.6:8080"

    • Konfiguruj plik PAC: Użyj następującej składni**:

      Set-MpPreference -ProxyPacUrl "<pac-file-url>"

      Przykład:

      Set-MpPreference -ProxyPacUrl "https://proxy.contoso.com/proxy.pac"

  • Omiń proxy dla konkretnych miejsc docelowych: Użyj następującej składni:

    Set-MpPreference -ProxyBypass "<address-1>","<address-2>"

    Przykład:

    Set-MpPreference -ProxyBypass "intranet.contoso.com","updates.fabrikam.com"

  • Sprawdzanie konfiguracji:

    Get-MpPreference | Select-Object ProxyServer, ProxyPacUrl, ProxyBypass

Więcej informacji można znaleźć w artykule Użyj cmdlets PowerShell do konfiguracji i uruchomienia Microsoft Defender Antivirus oraz Set-MpPreference.

Konfiguruj systemowy statyczny proxy, używając netsh

Na urządzeniach w sieci o stabilnej topologii otwórz Wiersz polecenia, wybierając Uruchom jako administrator, i użyj netsh winhttp, aby skonfigurować statyczny serwer proxy dla całego systemu.

Uwaga

Konfiguracja dotyczy wszystkich aplikacji i usług Windows, które korzystają z domyślnej konfiguracji proxy WinHTTP.

Użyj następującej składni:

netsh winhttp set proxy <proxy>:<port>

Poniższy przykład konfiguruje serwer proxy at 10.0.0.6 do użycia portu 8080:

netsh winhttp set proxy 10.0.0.6:8080

Aby usunąć obecną konfigurację proxy WinHTTP i przywrócić bezpośrednią łączność, wykonaj następujące polecenie:

netsh winhttp reset proxy

Aby wyświetlić aktualną konfigurację, skonfigurować adresy omijania lub użyć zaawansowanych ustawień proxy WinHTTP, zobacz netsh winhttp. Ogólne netsh konwencje można znaleźć w składni, kontekstach i formatowaniu poleceń Netsh.

Konfiguruj ustawienia proxy dla urządzeń korzystających z MMA

Urządzenia z Windows 8.1 pozostają zależne od MMA for Defender for Endpoint. Urządzenia z Windows 7 SP1, Windows Server 2008 R2 SP1, Windows Server 2012 R2 oraz Windows Server 2016 powinny korzystać z nowszego agenta Defender for Endpoint. Wskazówki dotyczące migracji znajdziesz w artykule Aktualizuj MMA na urządzeniach Windows.

W przypadku systemu Windows 8.1 i wszelkich innych urządzeń, które tymczasowo nadal korzystają z MMA, skonfiguruj serwer proxy dla całego systemu albo skonfiguruj MMA do łączenia się przez serwer proxy lub bramę Log Analytics:

Aby uzyskać wskazówki dotyczące wdrażania, zobacz Wdrażanie wcześniejszych wersji systemu Windows.

Treści powiązane

Poniższe artykuły zawierają więcej informacji na temat konfiguracji proxy, łączności, onboardingu i rozwiązywania problemów z Defender for Endpoint:

  • Ostatnia aktualizacja o