Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Ważna
Funkcje opisane w tym artykule są obecnie w wersji zapoznawczej, nie są dostępne we wszystkich organizacjach i mogą ulec zmianie.
Ochrona konfiguracji to model egzekwowania konfiguracji, który sprawia, że polityka zarządzana w chmurze jest jedynym źródłem prawdy dla ustawień Microsoft Defender Antyvirus. Gdy ochrona konfiguracji jest włączona, priorytetem są polityki Intune i Ochrona punktu końcowego w usłudze Microsoft Defender. Urządzenie ignoruje ustawienia z Polityki grupowej, skrypty, Microsoft Configuration Manager oraz zmiany lokalnego administratora.
Ochrona konfiguracji eliminuje rozbieżności konfiguracji i konflikty zasad, rozszerzając mechanizmy wymuszania podobne do ochrony przed manipulacją na cały obszar konfiguracji programu Microsoft Defender Antivirus.
Ochrona przed manipulacją i ochrona konfiguracji to uzupełniające się, ale odrębne funkcje:
| Feature | Ochrona przed manipulacją | Ochrona konfiguracji |
|---|---|---|
| Scope | Mały, stały zestaw ustawień bezpieczeństwa (~10-13 ustawień) | Cała powierzchnia konfiguracji antywirusa Defender |
| Źródło konfiguracji | Tylko wartości domyślne zdefiniowane przez firmę Microsoft | Polityka chmurowa zdefiniowana przez organizację (Intune/Defender for Endpoint) |
| Dostosowywanie | Brak możliwości personalizacji | Pełna kontrola sterowana polityką |
| Egzekwowania | Zapobiega wyłączaniu krytycznych zabezpieczeń | Zastępuje wszystkie kanały konfiguracji inne niż chmurowe |
Ochrona konfiguracji to rozszerzenie ochrony przed manipulacją, które zapewnia kontrolę opartą na zasadach nad całą konfiguracją programu Microsoft Defender Antivirus.
Note
Chociaż ochronę przed manipulacją i ochronę konfiguracji można technicznie włączyć jednocześnie, zalecamy, aby Twoja organizacja wybrała jedną albo drugą.
Prerequisites
- Urządzenia muszą być włączone do Ochrona punktu końcowego w usłudze Microsoft Defender.
- Urządzenia muszą być zarządzane za pomocą zarządzania ustawieniami bezpieczeństwa w Microsoft Intune lub Defender for Endpoint.
- Urządzenia muszą działać na Windows 10, Windows 11, Windows Server 2019, Windows Server 2022 lub Windows Server 2025.
- Urządzenia muszą mieć zainstalowaną wersję Ochrona punktu końcowego w usłudze Microsoft Defender EDR Sensor nowszą niż 10.8804 (z września 2025 r.).
- Urządzenia muszą korzystać z platformy Microsoft Defender Antivirus w wersji 4.18.26060.3004 lub nowszej (czerwiec 2026).
Ochrona konfiguracji obecnie nie obsługuje:
- Środowiska współzarządzania (Configuration Manager + Intune).
- Środowiska GCC High.
Co obejmuje ochrona konfiguracji
Obecnie ochrona konfiguracji zapewnia ochronę i egzekwowanie ustawień antywirusa Microsoft Defender, w tym:
- Konfiguracja antywirusa (ustawienia skanowania, wyłączenia, aktualizacje)
- Polityki redukcji powierzchni ataku (ASR)
- Defender Configuration Service Provider (CSP) i obszar zasad Policy CSP (szeroki zestaw ustawień związanych z programem antywirusowym)
- Lokalne zachowanie łączenia administratorów
Obecnie ochrona konfiguracji nie obejmuje:
- Microsoft Defender Kontrola urządzeń
- Ustawienia wykrywania i reagowania na punkty końcowe (EDR)
- Ustawienia systemu operacyjnego Windows (np. zapora sieciowa)
Jak działa egzekwowanie ochrony konfiguracji
Ochrona konfiguracji egzekwuje politykę zarządzaną w chmurze za pomocą trzech mechanizmów:
Egzekwowanie na jednym źródle: Gdy włączona jest ochrona konfiguracji, obowiązują następujące reguły egzekwowania:
- Tylko zasady Intune i Defender for Endpoint są uwzględniane w ustawieniach programu Microsoft Defender Antivirus.
- Obiekty polityki grupowej (GPO), skrypty, Configuration Manager oraz zmiany w lokalnym zarządzaniu są ignorowane.
- Microsoft Defender Antivirus domyślnie nie uwzględnia lokalnych wykluczeń. Organizacje mogą zezwalać na lokalne wykluczenia antywirusowe zdefiniowane przez administratora, włączając lokalne łączenie administratorów za pomocą polityki Defender lub Intune. Gdy lokalne połączenie administratorów jest włączone, lokalnie zdefiniowane wykluczenia antywirusowe mogą być połączone z centralnie zarządzanymi wykluczeniami. Lokalnie zdefiniowane wyłączenia redukcji powierzchni ataku (ASR) nie są obecnie respektowane, nawet gdy lokalne połączenie administratorów jest włączone.
Domyślne zabezpieczenia: Jeśli dane ustawienie nie jest wyraźnie skonfigurowane w polityce, ochrona konfiguracji stosuje domyślne ustawienia zdefiniowane przez Microsoft. Takie zachowanie zapewnia, że urządzenia utrzymują silny poziom bezpieczeństwa nawet wtedy, gdy administratorzy nie skonfigurowali wszystkich dostępnych ustawień.
Rozwiązywanie konfliktów: Ochrona konfiguracji używa modelu pierwszeństwa opartego na wartościach, a nie modelu, w którym decyduje ostatni zapis:
- On ma pierwszeństwo przed Off. Jeśli jedna polityka ustawi ochronę konfiguracji na Włączony, a inna na Wyłączony, funkcja pozostaje włączona na urządzeniu.
- Jeśli wiele polityk przypisuje różne wartości, zgłaszany jest konflikt, ale wartość On nadal jest egzekwowana.
- Jeśli wiele polityk przypisuje tę samą wartość, efekt jest sukcesem bez konfliktu.
Ważna
Nieskonfigurowane nie oznacza wyłączone. Aby wyłączyć tę funkcję, wyraźnie wdroż politykę, która ustawia ochronę konfiguracji na Wyłączone.
Włączenie ochrony konfiguracji
Możesz włączyć ochronę konfiguracji poprzez zarządzanie ustawieniami bezpieczeństwa w Microsoft Intune lub Ochrona punktu końcowego w usłudze Microsoft Defender.
Microsoft Intune jest zalecanym narzędziem do konfigurowania i wdrażania funkcji Defender for Endpoint na urządzeniach. Jednak usługa Intune jest oddzielnym produktem, który nie jest częścią Defender dla punktu końcowego i nie jest uwzględniony we wszystkich subskrypcjach. Aby korzystać z usługi Intune, potrzebujesz subskrypcji, która ją zawiera, lub możesz kupić ją oddzielnie jako autonomiczną subskrypcję lub dodatek. Jeśli nie masz usługi Intune, możesz użyć dowolnej z innych metod w tym artykule. Aby uzyskać więcej informacji, zobacz licencjonowanie Microsoft Intune.
Ochronę konfiguracji konfiguruje się w tym samym obszarze zasad co ochronę przed manipulacją. W profilu Zabezpieczenia systemu Windows Experience Intune zmienia nazwę ustawienia ochrony przed manipulacją na Configuration Protection (Device), gdy dostępna jest ochrona konfiguracji. Nie możesz włączyć ochrony konfiguracji przez katalog ustawień ani szablon Device Control v1 (DCv1).
Ponieważ ochrona konfiguracji i ochrona manipulacji używają tego samego ustawienia polityki, ustawienie Ochrony Konfiguracji (Włączone) zastępuje wartość ochrony przed manipulacją na tym urządzeniu. Nie wdrażasz oddzielnych polityk ochrony przed manipulacją i ochrony konfiguracji dla tego samego ustawienia. Aby przenieść istniejące polityki ochrony manipulacji (DCv1) do ochrony konfiguracji, stwórz politykę Zabezpieczenia systemu Windows Experience z ochroną konfiguracji (włączoną), a następnie usuń ustawienie ochrony przed manipulacją z polityk DCv1, aby uniknąć konfliktów.
- Na stronie bezpieczeństwa urządzeń końcowych w centrum administracyjnym Microsoft Intune w , https://intune.microsoft.comutworz nowy profil Zabezpieczenia systemu Windows Experience lub edytuj istniejący.
- Znajdź ustawienie Configuration Protection (Device) (dawniej Tamper Protection).
- Ustaw wartość na Configuration protection (On), aby włączyć ochronę konfiguracji.
- Przypisz politykę do odpowiednich grup urządzeń.
Minimalna wersja klienta i cofnięcie
Zanim przypiszesz ochronę konfiguracji (włączoną), zaktualizuj urządzenia do platformy Microsoft Defender Antivirus w wersji 4.18.26060.3004 lub nowszej i zweryfikowaj wdrożenie z grupą pilotażową.
Na urządzeniach z wcześniejszymi wersjami platformy Intune może wysyłać Ochronę konfiguracji (Włączony) i Ochronę przed manipulacją (wyłączony), ale urządzenie może stosować tylko ustawienie ochrony przed manipulacją. To zachowanie powoduje wyłączenie zarówno ochrony konfiguracyjnej, jak i ochrony przed manipulacją.
Aby cofnąć się do poprzednich czasów, zmień politykę Zabezpieczenia systemu Windows Experience z Ochrony konfiguracji (Włączony) na Ochronę przed manipulacją (Włączony), ponownie wdroż politykę, zsynchronizuj dotknięte urządzenia i sprawdź, czy ochrona przed manipulacją jest włączona. Obowiązuje normalne opóźnienie dostarczania polityki.
Raportowanie i monitorowanie
Status ochrony konfiguracji jest widoczny zarówno w centrum administracyjnym Intune, jak i w portalu Microsoft Defender, w zależności od sposobu zarządzania urządzeniami.
Intune: Dla urządzeń zarejestrowanych bezpośrednio przez Intune za pomocą Mobile Zarządzanie urządzeniami (MDM) możesz zobaczyć:
- Status polityki (Sukces, Konflikt lub Błąd)
- Status ochrony konfiguracji na poziomie urządzenia
Portal Microsoft Defender: Dla urządzeń zarządzanych przez zarządzanie ustawieniami bezpieczeństwa w Defender for Endpoint, sprawdź portal Microsoft Defender, aby zobaczyć skuteczny stan konfiguracji.
Note
Te urządzenia nie są widoczne w raportach Intune. Użyj portalu Microsoft Defender, aby zweryfikować skuteczny stan ochrony konfiguracji.
Weryfikacja ochrony konfiguracji na urządzeniu
Aby potwierdzić stan ochrony konfiguracji bezpośrednio na urządzeniu, uruchom następujący cmdlet PowerShell:
Get-MpComputerStatus
Sprawdź następujące właściwości w danych wyjściowych:
- ControlledConfigurationState: Aktualny stan egzekwowania ochrony konfiguracji na urządzeniu.
- IsTamperProtected: Wskazuje, czy ochrona przed manipulacją (podstawa ochrony konfiguracyjnej) jest aktywna.
- TamperProtectionSource: Źródło, które egzekwuje obecny stan.
Możesz także potwierdzićGet-MpComputerStatus, czy wersja platformy antywirusowej Microsoft Defender spełnia wymagania wstępne oraz zweryfikować stan konfiguracji po zmianie polityki lub resecie ochrony konfiguracji.
Zachowania cykliczne
Zachowanie ochrony konfiguracji zmienia się w zależności od zmian w cyklu życia urządzenia:
- Usuwanie przypisania polityki: Ochrona konfiguracji jest usuwana z urządzenia, chyba że nadal obowiązuje inna polityka ochrony konfiguracji.
- Wyrejestrowanie z usługi Defender for Endpoint: Ochrona konfiguracji pozostaje włączona (nie jest usuwana automatycznie).
- Wycofanie urządzenia: Ochrona konfiguracji zostaje usunięta i zresetowana do wartości Wyłączone.
Zresetuj ochronę konfiguracji na urządzeniu
Aby usunąć stan ochrony konfiguracji na urządzeniu, uruchom następujące polecenia w podwyższonym wierszu poleceń (okno wiersza poleceń, które otworzyłeś wybierając Uruchom jako administrator):
Wskazówka
Urządzenie musi mieć włączone zabezpieczenie przed manipulacją i być w trybie rozwiązywania problemów.
Pierwsze polecenie zmienia katalog na najnowszą wersję <wersji platformy ochrony przed złośliwym oprogramowaniem> w %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Jeśli ta ścieżka nie istnieje, przechodzi do %ProgramFiles%\Windows Defender.
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -Config -ResetControlledConfiguration
Więcej informacji można znaleźć w artykule Włącz i użyj trybu rozwiązywania problemów w Ochrona punktu końcowego w usłudze Microsoft Defender.
Znane ograniczenia
Obecnie dotyczą ochrony konfiguracyjnej następujące ograniczenia:
- Możesz zauważyć fałszywe konflikty w Intune, gdy zarówno polityki ochrony przed manipulacją, jak i ochrony konfiguracji są skierowane do tego samego urządzenia.
- Możesz zauważyć niespójności w raportowaniu między centrum administracyjnym Microsoft Intune a portalem Microsoft Defender.
- Zasięg ogranicza się do ustawień antywirusowych Microsoft Defender (kontrola urządzeń, EDR i zapora sieciowa nie są jeszcze objęte).
- Gdy włączysz ochronę konfiguracji przez zarządzanie ustawieniami bezpieczeństwa w Ochrona punktu końcowego w usłudze Microsoft Defender lub Intune, ochrona przed manipulacją jest wyłączona, chyba że inna polityka ochrony przed manipulacją wyraźnie ustawia ochronę przed manipulacją na włączoną. Gdy ochrona konfiguracyjna jest włączona, a ochrona przed manipulacją wyłączona, wskaźnik zabezpieczenia przed manipulacją jest niższy. Pracujemy nad wypełnieniem tej luki.