Avaliar Microsoft Defender Antivírus com o PowerShell

Artigo
2025-04-19

Aplica-se a:

Antivírus do Microsoft Defender
Microsoft Defender para Endpoint Plano 1 e Plano 2

No Windows 10 (ou mais recente) e Windows Server 2016 (ou mais recente), pode utilizar funcionalidades de proteção de próxima geração oferecidas pelo Antivírus Microsoft Defender com proteção contra exploits.

Este artigo explica como ativar e testar as principais funcionalidades de proteção no Antivírus do Microsoft Defender com proteção contra exploits e fornece orientações e ligações para mais informações.

Recomendamos que utilize o nosso script do PowerShell de avaliação para configurar estas funcionalidades, mas pode ativar individualmente cada funcionalidade com os cmdlets descritos no resto deste documento.

Para obter mais informações sobre os nossos produtos e serviços do Endpoint Protection, veja os seguintes recursos:

Este artigo descreve as opções de configuração em Windows 10 ou mais recentes e Windows Server 2016 ou mais recentes. Se tiver dúvidas sobre uma deteção que Microsoft Defender o Antivírus efetuar ou detetar uma deteção perdida, pode submeter-nos um ficheiro no nosso site de ajuda de submissão de exemplo.

Utilizar o PowerShell para ativar as funcionalidades

Este guia fornece os cmdlets do Antivírus Microsoft Defender que configuram as funcionalidades que deve utilizar para avaliar a nossa proteção.

Para utilizar estes cmdlets, abra o PowerShell como administrador, execute um comando e, em seguida, prima Enter.

Pode verificar o estado de todas as definições antes de começar, ou durante a avaliação, com o cmdlet Get-MpPreference do PowerShell.

Microsoft Defender Antivírus indica uma deteção através de notificações padrão do Windows. Também pode rever as deteções na aplicação Antivírus Microsoft Defender.

O registo de eventos do Windows também regista eventos de deteção e de motor. Veja o artigo Microsoft Defender Eventos antivírus para obter uma lista de IDs de eventos e as ações correspondentes.

Funcionalidades de proteção da cloud

As atualizações de definições padrão podem demorar horas a preparar e entregar; O nosso serviço de proteção fornecido pela cloud pode fornecer esta proteção em segundos.

Para obter mais informações, veja Proteção da cloud e Antivírus Microsoft Defender.

Descrição	Comando do PowerShell
Ative o Microsoft Defender Cloud para proteção quase instantânea e maior proteção	`Set-MpPreference -MAPSReporting Advanced`
Submeter automaticamente exemplos para aumentar a proteção de grupos	`Set-MpPreference -SubmitSamplesConsent Always`
Utilizar sempre a cloud para bloquear software maligno novo em segundos	`Set-MpPreference -DisableBlockAtFirstSeen 0`
Analisar todos os ficheiros e anexos transferidos	`Set-MpPreference -DisableIOAVProtection 0`
Definir o nível de bloco da cloud como Alto	`Set-MpPreference -CloudBlockLevel High`
Tempo limite de bloqueio da cloud definido alto para 1 minuto	`Set-MpPreference -CloudExtendedTimeout 50`

Proteção alwayson (análise em tempo real)

Microsoft Defender o Antivírus analisa ficheiros assim que são vistos pelo Windows, monitoriza quaisquer processos em execução para comportamentos maliciosos conhecidos ou suspeitos. Se o motor antivírus detetar modificações maliciosas, bloqueia imediatamente a execução do processo ou ficheiro.

Para obter mais informações sobre estas opções, veja Configurar a proteção comportamental, heurística e em tempo real.

Descrição	Comando do PowerShell
Monitorizar constantemente ficheiros e processos para modificações de software maligno conhecidas	`Set-MpPreference -DisableRealtimeMonitoring 0`
Monitorize constantemente comportamentos de software maligno conhecidos, mesmo em ficheiros que não são considerados uma ameaça e em execução de programas	`Set-MpPreference -DisableBehaviorMonitoring 0`
Analisar scripts assim que forem vistos ou executados	`Set-MpPreference -DisableScriptScanning 0`
Analisar unidades amovíveis assim que forem inseridas ou montadas	`Set-MpPreference -DisableRemovableDriveScanning 0`

Proteção de Aplicações Potencialmente Indesejada

As aplicações potencialmente indesejadas são ficheiros e aplicações que não são tradicionalmente classificados como maliciosos. Essas aplicações incluem instaladores não Microsoft para software comum, injeção de anúncios e determinados tipos de barras de ferramentas no seu browser.

Descrição	Comando do PowerShell
Impedir a instalação de grayware, adware e outras aplicações potencialmente indesejadas	`Set-MpPreference -PUAProtection Enabled`

análise de arquivos e Email

Pode definir Microsoft Defender Antivírus para analisar automaticamente determinados tipos de ficheiros de e-mail e ficheiros de arquivo (como .zip ficheiros) quando são vistos pelo Windows. Para obter mais informações, veja Análises de e-mail geridas no Microsoft Defender.

Descrição	Comando do PowerShell
Analisar ficheiros e arquivos de e-mail	`Set-MpPreference -DisableArchiveScanning 0` `Set-MpPreference -DisableEmailScanning 0`

Gerir atualizações de produtos e proteção

Normalmente, recebe Microsoft Defender atualizações antivírus do Windows Update uma vez por dia. No entanto, pode aumentar a frequência dessas atualizações ao definir as seguintes opções e garantir que as atualizações são geridas no System Center Configuration Manager, com Política de Grupo ou em Intune.

Descrição	Comando do PowerShell
Atualizar assinaturas todos os dias	`Set-MpPreference -SignatureUpdateInterval`
Verificar a atualização de assinaturas antes de executar uma análise agendada	`Set-MpPreference -CheckForSignaturesBeforeRunningScan 1`

Monitorização avançada de ameaças e exploração e prevenção Acesso controlado a pastas

A proteção contra exploits fornece funcionalidades que ajudam a proteger os dispositivos contra comportamentos maliciosos conhecidos e ataques a tecnologias vulneráveis.

Descrição	Comando do PowerShell
Impedir que aplicações maliciosas e suspeitas (como ransomware) façam alterações a pastas protegidas com acesso controlado a pastas	`Set-MpPreference -EnableControlledFolderAccess Enabled`
Bloquear ligações a endereços IP incorretos conhecidos e outras ligações de rede com a Proteção de rede	`Set-MpPreference -EnableNetworkProtection Enabled`
Aplicar um conjunto padrão de mitigações com o Exploit Protection	`Invoke-WebRequest` `https://demo.wd.microsoft.com/Content/ProcessMitigation.xml -OutFile ProcessMitigation.xml` `Set-ProcessMitigation -PolicyFilePath ProcessMitigation.xml`
Bloquear vetores de ataque malicioso conhecidos com Redução da superfície de ataque	`Add-MpPreference -AttackSurfaceReductionRules\_Ids 56a863a9-875e-4185-98a7-b882c64b5ce5 -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids 7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids D4F940AB-401B-4EfC-AADCAD5F3C50688A -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2 -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids BE9BA2D9-53EA-4CDC-84E5- 9B1EEEE46550 -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids 01443614-CD74-433A-B99E2ECDC07BFC25 -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids 5BEB7EFE-FD9A-4556801D275E5FFC04CC -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids D3E037E1-3EB8-44C8-A917- 57927947596D -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids 3B576869-A4EC-4529-8536- B80A7769E899 -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids 75668C1F-73B5-4CF0-BB93- 3ECF5CB7CC84 -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids 26190899-1602-49e8-8b27-eb1d0a1ce869 -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids e6db77e5-3df2-4cf1-b95a-636979351e5b -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids D1E49AAC-8F56-4280-B9BA993A6D77406C -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids 33ddedf1-c6e0-47cb-833e-de6133960387 -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids B2B3F03D-6A65-4F7B-A9C7- 1C7EF74A9BA4 -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids a8f5898e-1dc8-49a9-9878-85004b8a61e6 -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids 92E97FA1-2EDF-4476-BDD6- 9DD0B4DDDC7B -AttackSurfaceReductionRules\_Actions Enabled` `Add-MpPreference -AttackSurfaceReductionRules\_Ids C1DB55AB-C21A-4637-BB3FA12568109D35 -AttackSurfaceReductionRules\_Actions Enabled`

Algumas regras podem bloquear o comportamento que considerar aceitável na sua organização. Nestes casos, altere a regra de Enabled para Audit para impedir blocos indesejados.

Ativar a Proteção contra Adulteração

No portal Microsoft Defender, aceda a Definições Pontos Finais>Funcionalidades avançadas>Proteção>contra Adulteração>Ativada.

Para obter mais informações, veja Como devo proceder para configurar ou gerir a proteção contra adulteração.

Verificar a conectividade de rede do Cloud Protection

É importante verificar se a conectividade de rede do Cloud Protection está a funcionar durante o teste da caneta. Com a Linha de Comandos como administrador, execute o seguinte comando:

cd "C:\Program Files\Windows Defender"
MpCmdRun.exe -ValidateMapsConnection

Para obter mais informações, veja Utilizar a ferramenta cmdline para validar a proteção fornecida pela cloud.

Seleção única Microsoft Defender Análise Offline

Microsoft Defender Análise Offline é uma ferramenta especializada fornecida com Windows 10 ou mais recente e permite-lhe arrancar uma máquina num ambiente dedicado fora do sistema operativo normal. É especialmente útil para malware potente, como rootkits.

Para obter mais informações, consulte Microsoft Defender Offline.

Descrição	Comando do PowerShell
Certifique-se de que as notificações lhe permitem iniciar o dispositivo num ambiente especializado de remoção de software maligno	`Set-MpPreference -UILockdown 0`

Partilhar via