Proteger as definições de segurança com proteção contra adulteração

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business, Microsoft Defender Antivirus

Este artigo descreve a proteção contra adulterações no Microsoft Defender para Endpoint, como protege as definições de segurança contra desativações ou alterações, e como configurá-la e geri-la para a sua organização.

O que é a proteção contra adulteração?

A proteção contra adulteração é uma capacidade no Microsoft Defender para Endpoint que ajuda a proteger determinadas definições de segurança, como proteção contra vírus e ameaças, contra a desativação ou alteração. Durante alguns tipos de ciberataques, os maus atores tentam desativar as funcionalidades de segurança nos dispositivos. A desativação das funcionalidades de segurança proporciona atores incorretos com acesso mais fácil aos seus dados, a capacidade de instalar software maligno e a capacidade de explorar os seus dados, identidades e dispositivos. A proteção contra manipulações ajuda a prevenir tentativas de desativar ou alterar funcionalidades de segurança durante ciberataques.

A proteção contra adulteração faz parte das capacidades anti-adulteração que incluem regras de redução da superfície de ataque de proteção padrão (ASR). A proteção contra adulteração é uma parte importante da proteção incorporada.

Note

A Microsoft está a introduzir a configuração controlada, uma nova funcionalidade que se baseia nas proteções que a proteção contra violações proporciona. Como parte desta alteração, a configuração existente de proteção contra violações nas experiências de gestão foi renomeada para configuração controlada. A funcionalidade e o comportamento atuais de proteção contra violações mantêm-se inalterados para as implementações existentes. As organizações não recebem automaticamente proteções de configuração controladas como resultado desta mudança de nome. Deve ativar explicitamente a configuração controlada implementando uma política de configuração controlada através do Microsoft Intune ou Microsoft Defender para Endpoint para a gestão das definições de segurança. Para mais informações, consulte Configuração controlada no Microsoft Defender para Endpoint.

Pré-requisitos

Sistemas operativos suportados

A proteção contra violações está disponível para dispositivos que executam um dos seguintes sistemas operativos:

  • Windows
  • macOS
  • Windows 10 e 11 (incluindo várias sessões empresariais)
  • Windows Server 2016 e posterior
  • Windows Server, versão 1803 ou posterior
  • Windows Server 2012 R2 (com a solução moderna e unificada)
  • Azure Stack HCI OS, versão 23H2 e posterior.

A proteção contra adulteração também está disponível para Mac, embora funcione de forma ligeiramente diferente da do Windows. Para obter mais informações, veja Proteger as definições de segurança do macOS com proteção contra adulteração.

O que acontece quando a proteção contra adulteração está ativada?

Quando a proteção contra violações está ativada, as seguintes definições protegidas contra violações não podem ser alteradas:

  • A proteção contra vírus e ameaças permanece ativada.
  • A proteção em tempo real permanece ativada.
  • A monitorização de comportamento permanece ativada.
  • A proteção antivírus, incluindo IOfficeAntivirus (IOAV) permanece ativada.
  • A proteção da cloud permanece ativada.
  • Ocorrem atualizações de informações de segurança.
  • São efetuadas ações automáticas em ameaças detetadas.
  • As notificações são visíveis na aplicação Segurança do Windows em dispositivos Windows.
  • Os ficheiros arquivados são analisados.
  • As exclusões não podem ser modificadas ou adicionadas (ver Proteção contra adulteração para exclusões antivírus).

A partir da versão de assinatura 1.383.1159.0, devido à confusão em torno do valor predefinido de "Permitir a análise de ficheiros de rede", a proteção contra adulteração deixou de manter esta definição bloqueada no valor predefinido. Em ambientes geridos, o valor predefinido é enabled.

Importante

Quando a proteção contra violação está ativada, as definições protegidas contra violação não podem ser alteradas. Para evitar interromper os processos de gestão, incluindo Gerir a proteção contra adulteração com o Intune, Gerir a proteção contra adulteração com o Microsoft Defender para Endpoint e Gerir a proteção contra adulteração com o Gestor de Configuração, tenha em atenção que as alterações efetuadas às definições protegidas contra adulteração podem parecer ser bem-sucedidas, mas são, na realidade, bloqueadas pela proteção contra adulteração. Consoante o seu cenário específico, tem várias opções disponíveis:

  • Se tiver de fazer alterações a um dispositivo e essas alterações forem bloqueadas pela proteção contra adulteração, pode utilizar o modo de resolução de problemas para desativar temporariamente a proteção contra adulteração no dispositivo.
  • Pode utilizar Intune, Microsoft Defender para Endpoint ou Gestor de Configuração para excluir dispositivos da proteção contra adulteração.

A proteção contra adulteração não o impede de ver as definições de segurança. Além disso, a proteção contra adulteração não afeta a forma como as aplicações antivírus não microsoft se registam na aplicação Segurança do Windows. Se a sua organização estiver a utilizar o Defender para Endpoint, os utilizadores individuais não poderão alterar a definição de proteção contra adulteração; nesses casos, a sua equipa de segurança gere a proteção contra adulteração. Pode configurar ou gerir a proteção contra adulterações usando o portal Microsoft Defender, Microsoft Intune, Gestor de Configuração ou a aplicação Segurança do Windows.

Sugestão

A proteção integrada ajuda a proteger contra ransomware e inclui a ativação da proteção contra violações por predefinição. Para mais informações, consulte:

Proteção contra adulteração no Windows Server 2012 R2, 2016 ou Windows versão 1709, 1803 ou 1809

Se estiveres a usar o Windows Server 2012 R2 com a solução unificada moderna, Windows Server 2016, Windows 10 versão 1709, 1803 ou 1809 (Windows 10 versão 1809 e Windows Server 2019), não vês Proteção contra Adulteraçõesna aplicação Segurança do Windows. Em vez disso, pode utilizar o PowerShell para determinar se a proteção contra adulteração está ativada.

Importante

No Windows Server 2016, a aplicação Definições não reflete com precisão o estado da proteção em tempo real quando a proteção contra adulteração está ativada.

Utilizar o PowerShell para determinar se a proteção contra adulteração e a proteção em tempo real estão ativadas

Use os seguintes passos para verificar se a proteção contra violação e a proteção em tempo real estão ativadas num dispositivo:

  1. Abra a aplicação Windows PowerShell.

  2. Utilize o cmdlet do PowerShell Get-MpComputerStatus.

  3. Na lista de resultados, procure IsTamperProtected e RealTimeProtectionEnabled. (Um valor de verdadeiro significa que a proteção contra adulteração está ativada.)

Como devo proceder para configurar ou gerir a proteção contra adulteração?

Pode utilizar Microsoft Intune e outros métodos para configurar ou gerir a proteção contra adulteração, conforme listado na seguinte tabela:

Método O que pode fazer
Utilize o portal Microsoft Defender. Ative (ou desative) a proteção contra adulteração em toda a organização ou aplique-a a determinados utilizadores/dispositivos. Pode excluir determinados dispositivos da proteção contra adulteração. Veja Gerir a proteção contra adulteração para a sua organização com Microsoft Defender XDR.

Utilize o centro de administração do Microsoft Intune ou o Gestor de Configuração. Ative (ou desative) a proteção contra adulteração em toda a organização ou aplique-a a determinados utilizadores/dispositivos. Pode excluir determinados dispositivos da proteção contra adulteração. Veja Gerir a proteção contra adulteração na sua organização através do Intune.

Proteja as exclusões do Antivírus do Microsoft Defender contra alterações indevidas se estiver a utilizar apenas o Intune ou apenas o Gestor de Configuração. Veja Proteção antiviolação para exclusões do antivírus.
Utilize o Gestor de Configuração com anexação a inquilino. Ative (ou desative) a proteção contra adulteração em toda a organização ou aplique-a a determinados utilizadores/dispositivos. Pode excluir determinados dispositivos da proteção contra adulteração. Consulte Gerir a proteção contra adulteração para a sua organização com a anexação de inquilino no Gestor de Configuração, versão 2006.
Utilize a aplicação Segurança do Windows. Ative (ou desative) a proteção contra adulteração num dispositivo individual que não seja gerido por uma equipa de segurança (como dispositivos para utilização doméstica). Veja Gerir a proteção contra adulteração num dispositivo individual.

Este método não substitui as definições de proteção contra adulteração definidas no portal do Microsoft Defender, Intune ou Gestor de Configuração e não se destina a ser utilizado por organizações.

Sugestão

Se estiver a utilizar Política de Grupo para gerir as definições do Antivírus Microsoft Defender, tenha em atenção que quaisquer alterações efetuadas às definições protegidas por adulteração são ignoradas. Se tiver de efetuar alterações a um dispositivo e essas alterações forem bloqueadas pela proteção contra adulteração, utilize o modo de resolução de problemas para desativar temporariamente a proteção contra adulteração no dispositivo. Após o fim do modo de resolução de problemas, todas as alterações efetuadas às definições protegidas por adulteração são revertidas para o estado configurado. Para alterar os valores das definições protegidas por adulteração permanentemente, desative temporariamente a proteção contra adulteração antes de voltar a ativá-la depois de as definições terem sido alteradas. Tenha em mente que desativar temporariamente a proteção contra violações pode representar riscos de segurança e não funciona em dispositivos que estão offline quando a proteção contra violações foi temporariamente desativada. Como desativar temporariamente a proteção contra violações representa riscos de segurança e não funciona em dispositivos offline, recomendamos usar outros métodos de gestão para as definições do Defender for Endpoint, como o Intune, em vez de usar a Política de Grupo.

Proteger exclusões do Antivírus do Microsoft Defender

Em determinadas condições, a proteção contra adulteração pode proteger as exclusões definidas para Microsoft Defender Antivírus. Para obter mais informações, veja Proteção contra adulteração para exclusões.

Ver informações sobre tentativas de adulteração

Normalmente, as tentativas de adulteração indicam que ocorreu um ciberataque maior. Os agentes maliciosos tentam alterar as definições de segurança como forma de manter a persistência e não serem detetados. Se fizer parte da equipa de segurança da sua organização, pode ver informações sobre essas tentativas e, em seguida, tomar as medidas adequadas para mitigar ameaças.

Sempre que é detetada uma tentativa de adulteração, é emitido um alerta no portal de Microsoft Defender (security.microsoft.com).

Com as capacidades de deteção e resposta em dispositivos e de pesquisa avançada do Microsoft Defender para Endpoint, a sua equipa de operações de segurança pode investigar e responder a essas tentativas.

Reveja as recomendações de segurança

A proteção contra adulteração integra-se com capacidades de Gestão de vulnerabilidades do Microsoft Defender. As recomendações de segurança incluem garantir que a proteção contra adulteração está ativada. Por exemplo, no painel de Gestão de Vulnerabilidades, pode pesquisar por tamper. Nos resultados, pode selecionar Ativar a Proteção contra Adulteração para saber mais e ativá-la.

Para saber mais sobre Gestão de vulnerabilidades do Microsoft Defender, veja Informações do dashboard - Gestão de vulnerabilidades do Defender.

Conteúdo relacionado

  • Last updated on