Настройте подключение прокси для Microsoft Defender для конечной точки на Windows

  • Применяется к: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Microsoft Defender для конечной точки на Windows использует отдельные настройки прокси для датчика обнаружения и реагирования конечных точек (EDR) и антивируса Microsoft Defender. Если устройства должны использовать прокси для доступа к соответствующим облачным сервисам, используйте эти рекомендации для настройки автоматического обнаружения, параметров статического прокси для компонентов или системного WinHTTP-прокси. Руководство также касается конфигурации прокси для устройств, использующих Microsoft Monitoring Agent (MMA).

Важно!

Defender for Endpoint требует подключения к IPv4. Для сети, работающей только с IPv6, используйте механизм перехода, например DNS64/NAT64, чтобы обеспечить сквозную IPv4-связь. Дополнительные сведения см. в разделе Минимальные требования для Microsoft Defender для конечной точки.

Настройте отдельные настройки прокси для следующих компонентов:

Используйте прокси-рекомендации для операционной системы, которой вы управляете:

Выберите метод конфигурации прокси Windows

Сенсор Defender for Endpoint работает в контексте LocalSystem и использует Windows HTTP Services (WinHTTP) для передачи данных сенсоров и связи с Defender for Endpoint. Конфигурация WinHTTP независима от настроек прокси Windows Internet (WinINet). Для получения дополнительной информации см. WinINet против WinHTTP.

Совет

Если вы используете прямые прокси как шлюз в интернет, вы можете использовать сетевую защиту для расследования событий соединения, происходящих за прямыми прокси.

Используйте один из следующих методов конфигурации прокси:

  • Автоматическое обнаружение:

    • Прозрачный прокси.
    • Протокол автоматического обнаружения веб-прокси (WPAD).

    Если в вашей сети используется прозрачный прокси или WPAD, для датчика не требуется отдельная статическая настройка прокси для компонента.

  • Статический прокси-сервер сенсора EDR: Настройте TelemetryProxyServer с помощью групповой политики, если сенсор не может использовать автоматическое обнаружение прокси или общесистемный прокси WinHTTP.

  • Системный WinHTTP прокси: Настройте статический прокси, используя netsh winhttp. Эта настройка влияет на все приложения и сервисы, использующие стандартную конфигурацию прокси WinHTTP. Системный статический прокси лучше всего подходит для устройств в стабильной сетевой топологии.

Microsoft Defender Antivirus использует отдельные прокси-политики для облачной защиты. Настройте эти политики в разделе Configure a static proxy for Microsoft Defender Antivirus.

Настройте статический прокси-сервер для сенсора EDR с помощью групповой политики

Настройте статический прокси на основе реестра, когда датчик EDR не может подключиться напрямую, или используйте обнаружение прокси. Введите только прокси-хост и порт в TelemetryProxyServer. Не включать пробелы.

Примечание.

Установите последние обновления Defender for Endpoint перед настройкой статического прокси.

Настройте обе настройки в объекте Group Policy (GPO), который применяется к целевых устройствам.

  1. На компьютере для управления групповыми политиками откройте консоль управления групповыми политиками (GPMC).

  2. В дереве консоли GPMC разверните Объекты групповой политики в лесу и домене, которые содержат GPO, который вы хотите изменить.

  3. Щелкните объект групповой политики правой кнопкой мыши и выберите изменить.

  4. В Редакторе управления групповыми политиками перейдите в Конфигурация компьютера>Политики>Административные шаблоны>Компоненты Windows>Сбор данных и предварительные сборки.

  5. Откройте Настройка использования аутентифицированного прокси-сервера для службы Connected User Experience and Telemetry, выберите Включено, а затем выберите Отключить использование аутентифицированного прокси-сервера.

    Скриншот настройки Group Policy, которая отключает использование аутентифицированного прокси для телеметрии.

  6. Откройте Настрой подключённый пользовательский опыт и телеметрию, введите прокси как <server-name-or-ip>:<port>, затем выберите OK.

    Скриншот настройки групповой политики адреса и порта прокси-сервера телеметрии.

Политики настраивают следующие значения реестра:

Групповая политика Путь к реестру Значение реестра Ценностные данные
Настройка аутентифицированного использования прокси для сервиса Connected User Experience and Telemetry HKLM\Software\Policies\Microsoft\Windows\DataCollection DisableEnterpriseAuthProxy 1 (REG_DWORD)
Настройка телеметрии и функциональных возможностей подключенных пользователей HKLM\Software\Policies\Microsoft\Windows\DataCollection TelemetryProxyServer <server-name-or-ip>:<port> (REG_SZ), например, 10.0.0.6:8080

Примечание.

Не развертывайте TelemetryProxyServer с помощью системы управления мобильными устройствами (MDM). Датчик EDR считывает TelemetryProxyServer из раздела реестра групповой политики.

На устройствах, которые не могут использовать стандартный прокси-сервер WinHTTP для списков отзыва сертификатов или клиентский компонент Центра обновления Windows, установите PreferStaticProxyForHttpRequest в значение 1, чтобы совместимый датчик EDR предпочитал TelemetryProxyServer. Создайте значение в разделе HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection.

Следующая команда создаёт значение реестра:

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection" /v PreferStaticProxyForHttpRequest /t REG_DWORD /d 1 /f

PreferStaticProxyForHttpRequest применяется к поддерживаемым ветвлениям сенсоров, начинающихся с MsSense.exe версии 10.8210.* или 10.8049.*. Это не относится к предыдущему решению на основе MMA.

Настройка параметров прокси Microsoft Defender Antivirus

Облачная защита антивирусной программы Microsoft Defender обеспечивает практически мгновенную автоматическую защиту от новых и возникающих угроз. Облачное подключение необходимо для пользовательских индикаторов, когда Microsoft Defender Antivirus является вашим активным антивредоносным решением. Это также требуется для обнаружения и реагирования на конечных точках (EDR) в режиме блокировки, что обеспечивает резервную защиту, если решение не от Microsoft не блокирует угрозу.

Примечание.

Предпочитаю системный WinHTTP-прокси, который позволяет Windows получать списки отзыва сертификатов. Если такая конфигурация невозможна, установка для SSLOptions значения 2 в разделе HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet отключает проверку отзыва сертификатов для облачной защиты Microsoft Defender Antivirus. Отключение проверок отзыва снижает защиту сертификата и не является лучшей практикой. Для доступных значений и рисков см. раздел «Настройка и проверка сетевых подключений Microsoft Defender Antivirus».

Microsoft Defender Antivirus кэширует последний известный рабочий прокси. Не используйте TLS-инспекцию для облачных соединений Defender, потому что инспекция нарушает защищённое соединение.

Антивирусная программа Microsoft Defender не использует статический прокси-сервер для подключения к Центру обновления Windows или Центру обновления Майкрософт для загрузки обновлений. Вместо этого используется системный прокси при настройке клиентский компонент Центра обновления Windows или использует настроенный внутренний источник обновления согласно запасному порядку обновления защиты от антивируса Microsoft Defender.

Настройте настройки прокси, используя групповую политику

Используйте процедуру, описанную в разделе Configure Microsoft Defender Antivirus using Group Policy, чтобы открыть и изменить объект групповой политики (GPO), который применяется к целевым устройствам. Затем настройте политику, специфичную для прокси:

  1. В редакторе управления групповыми политиками перейдите в Конфигурация компьютера>Политики>Административные шаблоны>Компоненты Windows>Microsoft Defender Antivirus.

  2. Откройте Настроить прокси-сервер для подключения к сети, выберите Включено и укажите прокси-сервер. Включить http:// или https://. Поддерживайте актуальную платформу Defender Antivirus, как описано в разделе «Управление обновлениями Microsoft Defender Antivirus».

    Скриншот политики антивируса Microsoft Defender для определения прокси-сервера.

Политика создаёт строковое значение ProxyServer в разделе HKLM\Software\Policies\Microsoft\Windows Defender. Используйте следующий формат:

<protocol>://<server-name-or-ip>:<port>

Например: http://10.0.0.6:8080.

Чтобы использовать файл автонастройки прокси (PAC), настройте Define proxy auto-config (.pac) для подключения к сети. Чтобы обходить прокси-сервер для определённых адресов, настройте Задать адреса, для которых не используется прокси-сервер.

Настройте настройки прокси с помощью PowerShell

Используйте командлеты Антивируса Microsoft Defender в сеансе PowerShell с повышенными правами на локальном устройстве (в окне PowerShell, которое вы открыли, выбрав Запуск от имени администратора).

  • Настройте статический прокси-сервер или PAC-файл:

    • Настройка статического прокси-сервера: используйте следующий синтаксис:

      Set-MpPreference -ProxyServer "<protocol>://<server-name-or-ip>:<port>"

      Рассмотрим пример.

      Set-MpPreference -ProxyServer "http://10.0.0.6:8080"

    • Настройка файла PAC: Используйте следующий синтаксис**:

      Set-MpPreference -ProxyPacUrl "<pac-file-url>"

      Рассмотрим пример.

      Set-MpPreference -ProxyPacUrl "https://proxy.contoso.com/proxy.pac"

  • Обойти прокси для определённых направлений: Используйте следующий синтаксис:

    Set-MpPreference -ProxyBypass "<address-1>","<address-2>"

    Рассмотрим пример.

    Set-MpPreference -ProxyBypass "intranet.contoso.com","updates.fabrikam.com"

  • Проверьте конфигурацию:

    Get-MpPreference | Select-Object ProxyServer, ProxyPacUrl, ProxyBypass

Для получения дополнительной информации см. раздел «Использовать команды PowerShell для настройки и запуска Microsoft Defender Antivirus и Set-MpPreference».

Настройте системный статический прокси, используя netsh

На устройствах в стабильной сетевой топологии откройте командную строку, выбрав Run как администратора, и используйте netsh winhttp для настройки системного статического прокси.

Примечание.

Эта конфигурация затрагивает все приложения и сервисы Windows, использующие стандартную конфигурацию прокси WinHTTP.

Используйте следующий синтаксис.

netsh winhttp set proxy <proxy>:<port>

Следующий пример настраивает прокси-сервер в 10.0.0.6 так, чтобы использовать порт 8080:

netsh winhttp set proxy 10.0.0.6:8080

Чтобы удалить текущую конфигурацию прокси WinHTTP и вернуться к прямому подключению, выполните следующую команду:

netsh winhttp reset proxy

Чтобы отобразить текущую конфигурацию, настроить адреса обхода или использовать расширенные настройки прокси WinHTTP, см. netsh winhttp. Для общих netsh условностей см. синтаксис, контексты и форматирование команд Netsh.

Настройте настройки прокси для устройств, использующих MMA

Устройства с Windows 8.1 по-прежнему зависят от MMA для Defender for Endpoint. Windows 7 SP1, Windows Server 2008 R2 SP1, Windows Server 2012 R2 и Windows Server 2016 должны использовать новый агент Defender for Endpoint. Для рекомендаций по миграции см. Обновление MMA на устройствах Windows.

Для Windows 8.1 и любых других устройств, которые временно продолжают использовать MMA, настройте общесистемный прокси-сервер или настройте MMA для подключения через прокси-сервер или шлюз Log Analytics:

Для рекомендаций по адаптации см. раздел «Onboard: предыдущие версии Windows».

Связанные материалы

Следующие статьи предоставляют дополнительную информацию о конфигурации прокси, подключении, онбординге и устранении неполадок для Defender for Endpoint:

  • Последнее обновление: