Compartilhar via

Introdução ao modo de resolução de problemas no Microsoft Defender para Ponto de Extremidade

Aplica-se a:

O modo de resolução de problemas no Microsoft Defender para Ponto de Extremidade permite que os administradores resolvam vários Microsoft Defender funcionalidades do Antivírus, mesmo que os dispositivos sejam geridos por políticas organizacionais. Por exemplo, se a proteção contra adulteração estiver ativada, determinadas definições não podem ser modificadas ou desativadas, mas pode utilizar o modo de resolução de problemas num dispositivo para editar essas definições temporariamente.

O modo de resolução de problemas está desativado por predefinição e requer que o ative para um dispositivo (e/ou grupo de dispositivos) durante um período de tempo limitado. O modo de resolução de problemas é exclusivamente uma funcionalidade apenas para empresas e requer Microsoft Defender acesso ao portal.

Este artigo descreve o modo de resolução de problemas para dispositivos Windows. Para obter informações sobre o modo de resolução de problemas no Mac, consulte o artigo Modo de resolução de problemas no Microsoft Defender para Ponto de Extremidade no macOS.

Dica

Do que você precisa saber para começar?

Durante o modo de resolução de problemas, pode utilizar o comando Set-MPPreference -DisableTamperProtection $true do PowerShell ou, nos sistemas operativos cliente, a aplicação Centro de Segurança para desativar temporariamente a proteção contra adulteração no seu dispositivo e fazer as alterações de configuração necessárias.

Pode utilizar o modo de resolução de problemas para resolver problemas ou marcar compatibilidade de aplicações com Microsoft Defender Antivírus, como quando ocorrem falsos positivos com blocos de aplicações.

Com as permissões adequadas, os administradores locais podem alterar a configuração em dispositivos individuais que estão normalmente bloqueados pela política. Ter um dispositivo no modo de resolução de problemas pode ser útil ao diagnosticar Microsoft Defender cenários de compatibilidade e desempenho do Antivírus. Os administradores locais não podem desativar Microsoft Defender Antivírus nem desinstalá-lo. Os administradores locais podem configurar todas as outras definições de segurança no conjunto de Microsoft Defender Antivírus (por exemplo, proteção da cloud, proteção contra adulteração).

Os administradores têm de ter permissões de "Gerir Definições de segurança" para ativar o modo de resolução de problemas.

O Defender para Endpoint recolhe registos e dados de investigação ao longo do processo de resolução de problemas.

  • Uma snapshot de é realizada antes do MpPreference início do modo de resolução de problemas.
  • Uma segunda snapshot é realizada imediatamente antes de o modo de resolução de problemas expirar.
  • Os registos operacionais de durante o modo de resolução de problemas também são recolhidos.
  • Os registos e instantâneos são recolhidos e estão disponíveis para um administrador recolher com a funcionalidade Recolher pacote de investigação na página do dispositivo. A Microsoft não remove estes dados do dispositivo até que um administrador os recolha.

Os administradores também podem rever as alterações nas definições que ocorrem durante o modo de resolução de problemas no Visualizador de Eventos no próprio dispositivo.

O modo de resolução de problemas desliga-se automaticamente depois de atingir a hora de expiração (dura 4 horas). Quando o modo de resolução de problemas expirar, todas as configurações geridas por políticas tornam-se novamente só de leitura e reverter à forma como o dispositivo foi configurado antes de ativar o modo de resolução de problemas.

Pode demorar até 15 minutos a partir do momento em que o comando é enviado de Microsoft Defender XDR para quando fica ativo no dispositivo.

As notificações são enviadas ao utilizador quando o modo de resolução de problemas começa e quando o modo de resolução de problemas termina. Também é enviado um aviso para indicar que o modo de resolução de problemas está a terminar em breve. O início e o fim do modo de resolução de problemas também são identificados no portal Microsoft Defender, na Linha Cronológica do Dispositivo na página do dispositivo.

Pode consultar todos os eventos do modo de resolução de problemas na investigação avançada.

Observação

As alterações de gestão de políticas são aplicadas ao dispositivo quando está ativamente no modo de resolução de problemas. No entanto, as alterações só entrarão em vigor quando o modo de resolução de problemas expirar. Além disso, Microsoft Defender as atualizações da Plataforma Antivírus não são aplicadas durante o modo de Resolução de Problemas. As atualizações da plataforma são aplicadas quando o modo de resolução de problemas termina com uma atualização do Windows.

Pré-requisitos

Ativar o modo de resolução de problemas

  1. Aceda ao portal Microsoft Defender e inicie sessão.

  2. Navegue para a página/página do dispositivo do dispositivo que pretende ativar o modo de resolução de problemas. Selecione Ativar o modo de resolução de problemas. Tem de ter permissões "Gerir definições de segurança no Centro de Segurança" para Microsoft Defender para Ponto de Extremidade.

    Ativar o modo de resolução de problemas

    Observação

    A opção Ativar modo de resolução de problemas está disponível em todos os dispositivos, mesmo que o dispositivo não cumpra os pré-requisitos para o modo de resolução de problemas.

  3. Confirme que pretende ativar o modo de resolução de problemas para o dispositivo.

    Lista de opções de configuração

  4. A página do dispositivo mostra que o dispositivo está agora no modo de resolução de problemas.

    O dispositivo está agora no modo de resolução de problemas

Consultas de investigação avançadas

Seguem-se algumas consultas de investigação avançadas pré-criadas para lhe dar visibilidade sobre os eventos de resolução de problemas que estão a ocorrer no seu ambiente. Também pode utilizar estas consultas para criar regras de deteção para gerar alertas quando os dispositivos estão no modo de resolução de problemas.

Obter eventos de resolução de problemas para um dispositivo específico

Pesquise por deviceId ou deviceName ao comentar as respetivas linhas.

//let deviceName = "<deviceName>";   // update with device name
let deviceId = "<deviceID>";   // update with device id
DeviceEvents
| where DeviceId == deviceId
//| where DeviceName  == deviceName
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| project Timestamp,DeviceId, DeviceName, _tsmodeproperties,
 _tsmodeproperties.TroubleshootingState, _tsmodeproperties.TroubleshootingPreviousState, _tsmodeproperties.TroubleshootingStartTime,
 _tsmodeproperties.TroubleshootingStateExpiry, _tsmodeproperties.TroubleshootingStateRemainingMinutes,
 _tsmodeproperties.TroubleshootingStateChangeReason, _tsmodeproperties.TroubleshootingStateChangeSource

Dispositivos atualmente no modo de resolução de problemas

DeviceEvents
| where Timestamp > ago(3h) // troubleshooting mode automatically disables after 4 hours 
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
|summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| order by Timestamp desc

Contagem de instâncias do modo de resolução de problemas por dispositivo

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(30d)  // choose the date range you want
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| sort by count_

Contagem total

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(2d) //beginning of time range
| where Timestamp < ago(1d) //end of time range
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count()
| where count_ > 5          // choose your max # of TS mode instances for your time range

Dica

Você deseja aprender mais? Engage com a comunidade de Segurança da Microsoft na nossa Comunidade Tecnológica: Microsoft Defender para Ponto de Extremidade Tech Community.