Configure o bloqueio à primeira vista no Microsoft Defender Antivirus

Bloqueio à primeira vista é um recurso de proteção contra ameaças da proteção de próxima geração. Ele detecta novos malwares e o bloqueia em segundos. O recurso é ativado quando todas as seguintes afirmações são verdadeiras:

• A proteção de nuvem (também chamada de proteção fornecida pela nuvem em Segurança do Windows) está ativada.
• O envio de exemplo é definido para enviar amostras automaticamente.
• O Microsoft Defender Antivirus está atualizado nos dispositivos.

Na maioria das organizações empresariais, essas configurações já estão configuradas com implantações Microsoft Defender Antivírus. Para mais informações, veja Configurar proteção em nuvem no Microsoft Defender Antivirus.

Quando Microsoft Defender Antivírus encontra um arquivo suspeito que não viu antes, ele envia uma consulta para o back-end de proteção de nuvem. O back-end de nuvem verifica o arquivo usando heurística, aprendizado de máquina e análise automatizada. Em seguida, ele decide se o arquivo é mal-intencionado ou seguro. Microsoft Defender Antivírus usa vários métodos de detecção e prevenção para fornecer proteção precisa e em tempo real.

Tenha em mente os detalhes a seguir ao usar bloquear à primeira vista:

• O bloqueio à primeira vista pode bloquear arquivos executáveis e arquivos executáveis não portáteis (como JS, VBS ou macros) em dispositivos Windows ou Windows Server que rodam a mais recente plataforma antimalware Defender.
• Bloquear à primeira vista utiliza apenas a infraestrutura de proteção em nuvem para arquivos executáveis e arquivos executáveis não portáteis que são baixados da Internet ou que se originam na zona da Internet. Um valor de hash do .exe arquivo é verificado por meio do back-end de nuvem para determinar se o arquivo é um arquivo não detectado anteriormente.
• Se o back-end da nuvem não for capaz de fazer uma determinação, o Microsoft Defender Antivirus bloqueará o arquivo e carregará uma cópia para a nuvem. A nuvem executa mais análises para alcançar uma determinação. Em seguida, a nuvem permite que o arquivo execute ou bloqueie o arquivo em todos os encontros futuros, dependendo se a nuvem determina que o arquivo seja mal-intencionado ou não uma ameaça.
• Em muitos casos, esse processo de análise e bloqueio baseado em nuvem pode reduzir o tempo de resposta do novo malware de horas para segundos.
• Você pode especificar por quanto tempo um arquivo deve ser impedido de ser executado enquanto o serviço de proteção baseado em nuvem analisa o arquivo. Você também pode personalizar a mensagem exibida nas áreas de trabalho dos usuários quando um arquivo está bloqueado. Você pode alterar o nome da empresa, informações de contato e URL da mensagem.

Dica

Para saber mais, consulte (Blog) Conheça as tecnologias avançadas que estão no centro da proteção de próxima geração do Microsoft Defender para Endpoint.

Este artigo é destinado a administradores empresariais e profissionais de TI que gerenciam configurações de segurança para organizações. Se você não gerencia as configurações de segurança de uma organização, consulte Configurar o bloqueio à primeira vista no aplicativo Segurança do Windows.

Cuidado

Desabilitar bloqueio à primeira vista reduz o estado de proteção de seus dispositivos e de sua rede. Não recomendamos desativar permanentemente o bloqueio à primeira detecção.

Pré-requisitos

Sistemas operacionais com suporte

Block at first sight é compatível com os seguintes sistemas operacionais:

• Windows

Configurar o bloqueio na primeira inicialização usando o Microsoft Intune

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir os recursos do Defender para Ponto de Extremidade aos dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender para Endpoint e não está incluído em todas as assinaturas. Para usar o Intune, você precisa de uma assinatura que a inclua ou pode comprá-la separadamente como uma assinatura autônoma ou complemento. Se você não tiver o Intune, poderá usar qualquer um dos outros métodos neste artigo. Para obter mais informações, confira Licenciamento do Microsoft Intune.

Para configurar o bloqueio à primeira vista no Microsoft Intune, use uma política de Antivírus de segurança de ponto de extremidade. Para instruções detalhadas, veja Criar políticas de segurança para endpoints ou Modificar políticas existentes (links abrem novas abas na documentação do Intune).

Ao criar a política, use estas configurações específicas:

• Tipo de política: Vá em Gerenciar>Antivírus na Segurança do Endpoint | Página de visão geral em https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, e então selecione Criar política.
• Plataforma: Selecione Windows.
• Perfil: selecione Microsoft Defender Antivírus.

Ative o Bloqueio à primeira vista com o Microsoft Intune

Ao criar ou modificar a política, use estas configurações específicas na aba Configurações de configuração :

• Permitir proteção na nuvem: Selecione Permitido. Ativa a Proteção de Nuvem (Padrão).
• Enviar consentimento de exemplos: selecione um dos seguintes valores:
  • Enviar amostras seguras automaticamente. (Padrão)
  • Enviar todas as amostras automaticamente

Para mais informações sobre as configurações disponíveis, veja Política de antivírus para segurança de endpoints no Intune.

Desativar o bloqueio à primeira vista com o Microsoft Intune

Para desligar o bloqueio à primeira vista, defina Permitir proteção de nuvens como Não permitida. Desativa a Proteção de Nuvens.

Configurar o bloqueio à primeira vista no portal do Microsoft Defender

Se sua organização gerencia políticas de segurança de endpoints no portal Microsoft Defender, use uma política de antivírus Microsoft Defender para configurar o bloqueio à primeira vista.

Para instruções detalhadas, veja Criar uma política de segurança para endpoints ou Editar uma política de segurança para endpoint (links abrem novas abas).

Quando você criar a política na guia Políticas do Windows da página Políticas de segurança de endpoint no portal do Defender em https://security.microsoft.com/policy-inventory?osPlatform=Windows, use estas configurações específicas:

• Selecionar plataforma: Selecione Windows.
• Selecionar modelo: selecione Microsoft Defender Antivírus.

Ative o bloqueio à primeira vista com o portal do Microsoft Defender

Ao criar ou modificar a política, use estas configurações específicas na aba Configurações de configuração :

• Permitir proteção na nuvem: Selecione Permitido. Ativa a Proteção de Nuvem (Padrão).
• Enviar consentimento de exemplos: selecione um dos seguintes valores:
  • Enviar amostras seguras automaticamente. (Padrão)
  • Enviar todas as amostras automaticamente

Desative o bloqueio à primeira vista com o portal do Microsoft Defender

Para desligar o bloqueio à primeira vista, defina Permitir proteção de nuvens como Não permitida. Desativa a Proteção de Nuvens.

Configurar o recurso para bloquear à primeira vista no Microsoft Configuration Manager

Para instruções para criar e implantar uma política antimalware, veja políticas antimalware de Proteção de Endpoint no Gerenciador de Configurações.

O Gerenciador de Configurações não inclui uma configuração separada chamada Bloquear à Primeira Vista. Configure a proteção em nuvem e as configurações de submissão de exemplos que o recurso exige.

Ative o bloqueio à primeira vista com o Microsoft Configuration Manager

Para ativar o bloqueio à primeira vista, configure as seguintes configurações na política antimalware:

• Configurações Avançadas:
  • Ative o envio automático de arquivos de amostra para ajudar a Microsoft a determinar se certos itens detectados são maliciosos: Selecione Sim.
• Serviço de Proteção de Nuvem:
  • Associação ao Serviço de Proteção de Nuvem: Selecione Avançado.

Desative o bloco à primeira vista com o Microsoft Configuration Manager

Para desativar o bloqueio à primeira vista, defina a associação do Serviço de Proteção à Nuvem para Não entrar no Serviço de Proteção à Nuvem.

Configurar o bloqueio à primeira detecção usando a Política de Grupo

1. Na Política de Grupo Centralizada, abra o Console de Gerenciamento de Política de Grupo (GPMC) no computador de gerenciamento da Política de Grupo.

2. Na árvore do console do GPMC, expanda Objetos de Política de Grupo na floresta e no domínio que contêm o GPO que você deseja editar.

3. Clique com o botão direito do rato no GPO e, em seguida, selecione Editar.

4. No Editor de Gerenciamento de Política de Grupo, vá para Configuração do Computador>Modelos Administrativos>Componentes do Windows>Antivírus do Microsoft Defender>MAPS.

5. No painel de detalhes do MAPS, as configurações usadas para configurar o bloco na primeira visualização são:

   • Configurar o recurso "Bloquear à Primeira Vista"
   • Envie amostras de arquivos quando for necessária uma análise adicional

   Para abrir e definir uma configuração, use qualquer um dos seguintes métodos:

   • Clique duas vezes na configuração.
   • Clique com o botão direito do mouse na configuração e selecione Editar.
   • Selecione a definição e, em seguida, selecione Editar Ação>.

Dica

Também pode configurar Política de Grupo localmente em dispositivos individuais com o Editor de Política de Grupo Local (gpedit.msc). Navegue até o mesmo caminho: Configuração do computador>Modelos administrativos>Componentes do Windows>Antivírus Microsoft Defender>MAPS.

Ative o bloqueio à primeira vista com a Política de Grupo

Para ativar o bloqueio à primeira vista nas configurações MAPS da Política de Grupo, siga estas etapas:

1. Abra a configuração de 'Bloquear à primeira vista'.
2. Na janela de configuração que é aberta, selecione Habilitado e, em seguida, selecione OK.
3. Abra a configuração Enviar amostras do arquivo quando for necessária uma análise adicional .
4. Na janela de configuração que é aberta, configure as seguintes opções:

   1. Selecione Habilitado.

   2. Enviar exemplos de arquivo quando uma análise adicional for necessária: selecione um dos seguintes valores:

      • Enviar exemplos seguros (0x1)
      • Enviar todos os exemplos (0x3)

      Importante

      Sempre avisar (0x0) reduz o estado de proteção do dispositivo. Nunca enviar (0x2) impede que o Block at First Sight funcione.

   3. Selecione OK.

Desativar o bloqueio à primeira vista com a Política de Grupo

Dica

Desativar o bloqueio à primeira vista não desativa nem altera as políticas de proteção em nuvem e submissão de exemplos.

Para desativar o bloqueio à primeira vista nas configurações de MAPS da Política de Grupo, siga estas etapas:

1. Abra a configuração de 'Bloquear à primeira vista'.
2. Na janela de definições que é aberta, selecione Desativado e, em seguida, selecione OK.

Configurar o bloqueio à primeira detecção usando o PowerShell

Execute os comandos em uma sessão PowerShell elevada (uma janela PowerShell que você abriu selecionando Executar como administrador).

Ativar o bloqueio à primeira vista com o PowerShell

O comando a seguir ativa a proteção em nuvem, envio automático de amostras seguras e bloqueio à primeira vista:

Set-MpPreference -MAPSReporting Advanced -SubmitSamplesConsent SendSafeSamples -DisableBlockAtFirstSeen $false

Para enviar todas as amostras automaticamente, em vez de apenas amostras seguras, use SendAllSamples para o valor SubmitSamplesConsent.

Verificar a configuração

O comando a seguir exibe o bloco atual nas configurações do First Sight:

Get-MpPreference | Select-Object MAPSReporting, SubmitSamplesConsent, DisableBlockAtFirstSeen

Para verificar se o recurso Bloquear à primeira vista está ativado, confirme os seguintes valores:

• MAPSReporting: 2 (Avançado)
• SubmitSamplesConsent: 1 (Envie amostras seguras automaticamente) ou 3 (Envie todas as amostras automaticamente)
• DisableBlockAtFirstSeen: False

Desligue o bloqueio à primeira vista com o PowerShell

O comando a seguir desativa o bloqueio à primeira vista sem alterar as configurações de proteção da nuvem e envio de exemplos:

Set-MpPreference -DisableBlockAtFirstSeen $true

Para obter informações detalhadas sobre sintaxe e parâmetros, consulte Set-MpPreference e Get-MpPreference.

Configurar o bloqueio ao primeiro sinal no aplicativo Segurança do Windows

Em um dispositivo não gerenciado, você pode configurar o bloqueio à primeira vista no aplicativo Segurança do Windows. Embora o aplicativo não tenha uma configuração chamada Bloquear à primeira vista, o recurso é ativado quando você ativa a proteção entregue na nuvem e o envio automático de amostras.

Observação

Se a Política de Grupo gerencia essas configurações, elas aparecem desativadas no aplicativo Segurança do Windows e não podem ser alteradas localmente.

As mudanças na Política de Grupo devem chegar ao dispositivo antes que as configurações sejam atualizadas no aplicativo Segurança do Windows.

Para configurar o bloqueio à primeira vista, siga estas etapas:

1. No aplicativo de segurança Windows no dispositivo, vá para a Proteção contra Vírus & contra ameaças.
2. No painel Vírus > proteção contra ameaças , na seção Configurações de Proteção contra Vírus > , selecione Gerenciar configurações.
3. No painel de Configurações de Vírus e Proteção contra Ameaças , tome uma das seguintes ações:
   • Para ativar o bloqueio à primeira vista, ative a proteção entregue na nuvem e o envio automático de amostras.
   • Para desligar o bloqueio à primeira vista, desative qualquer uma das opções.

Confira também

Para obter mais informações sobre Microsoft Defender Antivírus e recursos relacionados, consulte os seguintes recursos:

• Microsoft Defender Antivírus no Windows
• Ativar proteção fornecida pela nuvem
• Permaneça protegido com a Segurança do Windows
• Integrar ao Microsoft Defender para Ponto de Extremidade