Descrição geral da proteção contra adulteração

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business, Microsoft Defender Antivirus

A proteção contra violações no Microsoft Defender para Endpoint ajuda a proteger definições de segurança importantes de serem desativadas ou alteradas. Durante os ciberataques, os atacantes tentam frequentemente desativar funcionalidades de segurança nos dispositivos para aceder a dados, instalar malware e explorar dados, identidades e dispositivos.

A sua equipa de segurança pode gerir a proteção contra violações para dispositivos na sua organização.

Para respostas a perguntas mais comuns, consulte Perguntas Frequentes sobre proteção contra violações. Para ajuda com definições bloqueadas e proteção contra exclusão, consulte Resolução de problemas com proteção contra adulterações.

Note

A configuração controlada baseia-se na proteção contra violações. A configuração existente de proteção contra violações nas experiências de gestão é renomeada para configuração controlada. A definição renomeada não ativa automaticamente proteções de configuração controladas. Implemente uma política de configuração controlada através do Microsoft Intune ou Microsoft Defender para Endpoint Security Settings Management para as ativar.

Modos de proteção contra adulteração

Os modos de proteção contra adulteração e as definições protegidas diferem entre dispositivos Windows, macOS e Linux.

Modos de proteção contra adulteração em dispositivos Windows

A proteção contra adulteração não impede que veja as definições de segurança nem afeta como as aplicações antivírus não da Microsoft se registam na aplicação Segurança do Windows. Continua a proteger o serviço Microsoft Defender Antivirus e as suas funcionalidades quando o Defender Antivirus está em modo passivo. Para mais informações sobre modos ativos e passivos, consulte Microsoft Defender Antivirus compatibilidade com outros produtos de segurança.

Nos dispositivos Windows, a proteção contra adulteração tem os seguintes modos:

  • Desativado: A proteção contra violação está desligada.
  • Ativado: A proteção contra violações está ativada e as seguintes definições protegidas contra violações não podem ser alteradas:
    • A proteção contra vírus e ameaças permanece ativada.
    • A proteção em tempo real permanece ativada.
    • A monitorização de comportamento permanece ativada.
    • A proteção antivírus, incluindo o IOfficeAntivirus (IOAV), mantém-se ativada.
    • A proteção da cloud permanece ativada.
    • Ocorrem atualizações de informações de segurança.
    • São efetuadas ações automáticas em ameaças detetadas.
    • As notificações são visíveis na aplicação Segurança do Windows.
    • Os ficheiros arquivados são analisados.
    • As exclusões não podem ser modificadas ou adicionadas. Consulte Proteger as exclusões do Microsoft Defender Antivirus com proteção antiviolação.
    • As tentativas de modificar as definições do Microsoft Defender Antivirus através do registo são bloqueadas.

Note

Quando a proteção contra violação é ativada, as alterações feitas através de uma ferramenta de gestão, incluindo a Política de Grupo, podem parecer ter sucesso, mas a proteção contra violações bloqueia essas alterações. Usa o modo de resolução de problemas para desativar temporariamente a proteção contra violações quando precisares de alterar uma configuração protegida.

A partir da atualização de informações de segurança 1.383.1159.0 (março de 2023), a proteção contra adulteração deixa de fixar Permitir a análise de ficheiros de rede no respetivo valor predefinido. Em ambientes geridos, o valor predefinido é enabled.

Para ajudar a garantir que a proteção contra manipulações não interfira com produtos de segurança não da Microsoft ou scripts de instalação empresariais que modificam as definições do Microsoft Defender Antivírus, utilize a versão 1.287.60.0 de inteligência de segurança (fevereiro de 2019) ou posterior. Consulte as últimas atualizações de inteligência de segurança para o Microsoft Defender Antivirus e outros antimalware da Microsoft.

Para métodos de configuração e informações de precedência, veja Configurar proteção contra adulteração em dispositivos Windows.

Nos dispositivos Windows, a proteção contra adulteração faz parte das capacidades anti-manipulação que incluem regras padrão de redução de superfície de ataque (ASR). A proteção contra violações é também uma parte importante da proteção incorporada. Para obter mais informações, consulte:

Modos de proteção contra adulteração em dispositivos macOS

Nos dispositivos macOS, a proteção contra manipulações tem os seguintes modos:

  • Desativado: A proteção contra violação está desligada.
  • Auditoria: A proteção contra adulteração regista tentativas de desinstalar o agente do Defender for Endpoint ou de criar, eliminar, mudar o nome ou modificar ficheiros do Defender for Endpoint. Não bloqueia as tentativas. O modo de auditoria é o padrão após a instalação do Defender for Endpoint.
  • Bloqueio: A proteção contra manipulações bloqueia tentativas de desinstalar o agente Defender for Endpoint ou de criar, eliminar, renomear ou modificar ficheiros do Defender for Endpoint. Comandos que tentam parar o wdavdaemon processo também falham.

Para métodos de configuração e informações de precedência, consulte Configurar proteção contra manipulações para Microsoft Defender para Endpoint no macOS.

Modo de proteção contra adulterações em dispositivos Linux

Importante

A proteção contra adulteração em dispositivos Linux está atualmente em pré-visualização.

Nos dispositivos Linux, a proteção contra adulteração está atualmente disponível apenas em modo de Auditoria . O modo de auditoria deteta e reporta alterações não autorizadas aos ativos do Defender for Endpoint, mesmo quando o utilizador root faz as alterações. Não bloqueia a atividade.

O modo de auditoria deteta as seguintes tentativas de adulteração:

  • Modificar ficheiros de configuração do Defender para Endpoint.
  • Eliminar, renomear ou mover ficheiros de configuração, ficheiros de estado e binários do Defender for Endpoint.
  • Parar o Defender para processos Endpoint ou reiniciar o Defender para serviços Endpoint.

Para distribuições Linux suportadas, pré-requisitos, verificação e testes, consulte Proteção contra Manipulações em modo de auditoria para Microsoft Defender para Endpoint no Linux.

Requisitos para proteção contra adulteração

Sistemas operativos suportados

A proteção contra violações está disponível para dispositivos que executam um dos seguintes sistemas operativos:

  • Distribuições Linux suportadas e versões do kernel, nas quais a proteção antiviolação no modo de auditoria está atualmente em pré-visualização.
  • dispositivos macOS, onde a proteção contra violações utiliza modos e comportamentos específicos da plataforma.
  • Windows 10 ou posterior, incluindo Enterprise multi-session.
  • Windows Server 2016 e versões posteriores.
  • Windows Server, versão 1803 ou posterior.
  • Windows Server 2012 R2 usando a solução unificada moderna.
  • Azure Stack HCI OS, versão 23H2 e posterior.

Nas versões seguintes do Windows, a aplicação Segurança do Windows não mostra se a proteção contra adulteração está ativada:

  • Windows Server 2012 R2 usando a solução unificada moderna
  • Windows Server 2016
  • Windows 10:
    • Versão 1809 (novembro de 2018)
    • Versão 1803 (abril de 2018)
    • Versão 1709 (outubro de 2017)
  • Windows Server 2019

Importante

No Windows Server 2016, a aplicação Segurança do Windows também poderá apresentar um estado incorreto da proteção em tempo real quando a proteção contra adulteração estiver ativada. Para verificar ambas as definições, consulte Determinar o estado da proteção contra violação e proteção em tempo real usando o PowerShell.

Permissões necessárias

As permissões necessárias dependem de como configuras a proteção contra violações:

Importante

* Siga o princípio do privilégio mínimo atribuindo às contas apenas as permissões de que necessitam. O papel de Administrador Global é altamente privilegiado. Limita a sua utilização a emergências ou situações em que não possas usar um papel menos privilegiado.

Requisito de integração de dispositivos

Os dispositivos devem estar integrados no Defender for Endpoint antes de configurares a proteção contra violações através do Intune ou do portal Microsoft Defender. Se um dispositivo não estiver a bordo, a proteção contra violações aparece como Não aplicável até que a integração esteja concluída.

Requisitos para métodos de gestão do Windows

Outros requisitos variam consoante a forma como configuras a proteção contra violações:

  • Microsoft Intune:

    • Tens uma licença Intune. O Intune é um produto separado que não está incluído em todas as subscrições do Defender for Endpoint. Consulte licenciamento do Microsoft Intune.
    • A sua organização utiliza o Intune para gerir dispositivos. Os dispositivos com gestão conjunta não são suportados para esta funcionalidade.
    • Requisitos do Windows 10: Versão 1709 (outubro de 2017) ou posterior.
    • Requisitos para o antivírus Microsoft Defender:
      • Atualização da plataforma: 4.18.1906.3 (junho de 2019) ou mais tarde.
      • Atualização do motor:1.1.15500.X (março de 2019) ou mais tarde.
    • O Intune e o Defender for Endpoint usam a mesma infraestrutura Microsoft Entra.
    • Configure DisableLocalAdminMerge para true nos dispositivos.

  • Portal Microsoft Defender:

    • Requisitos para o antivírus Microsoft Defender:

      • Atualização da plataforma: 4.18.2010.7 (outubro de 2020) ou mais tarde.
      • Atualização do motor: 1.1.17600.5 (outubro de 2020) ou mais tarde.

    • A proteção entregue na cloud é ativada para que o estado ativado possa ser controlado.

      A partir da atualização 4.18.2111.5 da plataforma (novembro de 2021), ativar a proteção contra violações ativa automaticamente a proteção entregue na cloud, caso ainda não esteja ativada no dispositivo.

  • Microsoft Configuration Manager: Configurar tenant attach. O Tenant Attach sincroniza os dispositivos do Gestor de Configuração local com o centro de administração Microsoft Intune para que possa implementar políticas de segurança de endpoint nas coleções de dispositivos.

  • Aplicação Segurança do Windows: O dispositivo Windows não é gerido por uma equipa de segurança.

Note

A proteção contra violações pode bloquear alterações a certas definições de segurança. Se aparecer o ID de Evento 5013, consulte Rever registos de eventos e códigos de erro para resolver problemas com o Microsoft Defender Antivirus.

Exclusões da proteção contra adulteração

As exclusões de proteção contra adulteração têm propósitos diferentes em dispositivos Windows e macOS.

Dispositivos Windows

Nos dispositivos Windows, a proteção contra adulteração pode proteger listas de exclusão do Microsoft Defender Antivirus geridas pela organização contra alterações não autorizadas sob certas condições. Estas exclusões definem ficheiros, pastas, tipos de ficheiros e processos que o Microsoft Defender Antivirus não analisa. Para requisitos e passos de verificação, consulte Proteja as exclusões do Antivírus Microsoft Defender com proteção contra adulteração.

dispositivos macOS

Nos dispositivos macOS, as exclusões da proteção contra adulteração permitem que processos fidedignos realizem operações que a proteção contra adulteração bloquearia de outra forma. O Defender for Endpoint inclui exclusões integradas para processos de gestão do Jamf e do Intune. Pode usar um perfil MDM para adicionar exclusões para outros processos de gestão de confiança com base no seu caminho, ID de equipa, ID de assinatura, argumentos de processo ou uma combinação destes atributos. Para mais informações, consulte Configurar exclusões de proteção contra adulterações no macOS.

Ver informações sobre tentativas de adulteração

Tentativas de manipulação podem indicar um ciberataque maior. Os atacantes tentam alterar as definições de segurança para persistir nos dispositivos e evitar a deteção.

Nos dispositivos Windows, o Defender for Endpoint deteta potenciais tentativas de desativar a proteção antivírus do Microsoft Defender ou alterar exclusões antivírus. A atividade de adulteração pode também incluir tentativas de parar ou modificar o sensor do Defender para o Endpoint ou de contornar a proteção contra adulterações. Para exemplos de títulos de alerta, veja Detetar potencial atividade de manipulação no portal Microsoft Defender.

Nos dispositivos Linux, a proteção contra adulteração no modo de auditoria está atualmente em pré-visualização. Alertas de adulteração estão disponíveis na linha temporal do dispositivo e em Incidentes e alertas no portal Microsoft Defender.

Alguma atividade potencial de manipulação gera um alerta na página de Alertas no portal do Defender em https://security.microsoft.com/alerts. Abra o alerta para rever os ativos e entidades afetados, o motivo pelo qual o alerta foi acionado e os eventos relacionados que ocorreram antes e depois da atividade. A árvore de alertas e a linha temporal do processo podem ajudá-lo a identificar o processo, ficheiro, utilizador ou dispositivo associado à tentativa. Para mais informações, consulte Investigar alertas no Microsoft Defender para Endpoint.

Para reduzir o ruído desnecessário nos alertas, a atividade de adulteração que não esteja correlacionada com atividade suspeita pode não gerar um alerta. A atividade ainda está disponível na linha temporal do dispositivo e na caça avançada.

A sua equipa de operações de segurança pode utilizar a deteção e resposta em pontos finais para investigar o dispositivo afetado e executar ações de resposta. Também podem usar caça avançada para encontrar eventos e alertas relacionados.

Tentativas de manipulação de consultas com pesquisa avançada

Eventos de violação dos sistemas operativos suportados estão disponíveis na tabela DeviceEvents. Para obter informações sobre consultas, tabelas suportadas e permissões necessárias, consulte Procurar ameaças de forma proativa com pesquisa avançada.

Na página de caça avançada no portal Defender em https://security.microsoft.com/v2/advanced-hunting, execute a seguinte consulta:

DeviceEvents
| where Timestamp > ago(10d)
| where ActionType == "TamperingAttempt"

Para limitar os resultados a um dispositivo específico, adicione a linha seguinte e substitua <DeviceId> pelo ID do dispositivo da página de inventário de dispositivos no portal Defender em https://security.microsoft.com/machines:

| where DeviceId == "<DeviceId>"

Os títulos dos alertas de proteção contra adulteração variam consoante a atividade detetada e o sistema operativo. A consulta seguinte retorna dois títulos conhecidos de alerta de proteção contra violações:

AlertInfo
| where Timestamp > ago(10d)
| where DetectionSource == "EDR"
| where Title in ("Tamper Protection bypass", "Tampering with the Microsoft Defender for Endpoint sensor")

Ajuste o valor de Timestamp em qualquer uma das consultas, conforme necessário.

Ajuste alertas relativos a atividade legítima de adulteração

Para reduzir o ruído de alerta proveniente de atividades conhecidas e aprovadas, crie regras de ajuste de alertas no portal Microsoft Defender. Para obter mais informações, veja Otimizar um alerta.

Reveja as recomendações de segurança

A proteção contra manipulações integra-se com o Gestão de vulnerabilidades do Microsoft Defender. As recomendações de segurança identificam dispositivos onde a proteção contra violações não está ativada. No dashboard de Gestão de Vulnerabilidades, procure por tamper e, depois, selecione Ativar a proteção contra adulteração nos resultados. Para mais informações, consulte informações do painel do Gestão de vulnerabilidades do Defender.

Conteúdo relacionado

  • Last updated on