Обнаружение и ответ конечной точки в режиме блокировки

  • Статья

Область применения:

Платформы

  • Windows

Хотите попробовать Defender для конечной точки? Зарегистрироваться для бесплатной пробной версии.

Что такое EDR в блочном режиме?

Обнаружение и ответ конечной точки (EDR) в режиме блокировки обеспечивает дополнительную защиту от вредоносных артефактов, если антивирусная программа Microsoft Defender не является основным антивирусным продуктом и работает в пассивном режиме. EDR в блочном режиме работает в фоновом режиме для исправления вредоносных артефактов, обнаруженных EDR возможностями. Такие артефакты могли быть пропущены основным антивирусным продуктом сторонних разработчиков. EDR в режиме блокировки позволяет Microsoft Defender антивирусной программе выполнять действия при обнаружении EDR после нарушения.

Важно!

EDR в режиме блокировки не может обеспечить всю доступную защиту, если Microsoft Defender антивирусная защита в режиме реального времени не включена. Некоторые возможности, которые зависят от того, Microsoft Defender антивирусная программа будет активным антивирусным решением, не будут работать, например в следующих примерах:

Ожидается, что антивирусное решение сторонних разработчиков включает в себя эти возможности.

EDR в блочном режиме интегрирован с возможностями управления уязвимостями угроз&. Команда безопасности вашей организации получит рекомендацию по безопасности , чтобы включить EDR в режиме блокировки, если она еще не включена. Эта рекомендация в первую очередь применяется для устройств, использующих активное антивирусное решение сторонних разработчиков (с Microsoft Defender антивирусной программы в пассивном режиме). Если Microsoft Defender антивирусная программа является основным антивирусным решением на устройствах, то в этом случае EDR в режиме блокировки не дает никаких преимуществ.

Рекомендация по включению EDR в режиме блокировки

Совет

Чтобы обеспечить оптимальную защиту, обязательно разверните Microsoft Defender для конечной точки базовые показатели.

Просмотрите это видео, чтобы узнать, почему и как включить обнаружение конечных точек и реагирование (EDR) в режиме блокировки, включить поведенческую блокировку и сдерживание на каждом этапе от предварительного нарушения до последующего нарушения.

Что происходит при обнаружении чего-либо?

Если EDR в блочном режиме включен и обнаружен вредоносный артефакт, Defender для конечной точки исправит этот артефакт. Ваша команда по операциям безопасности увидит состояние обнаружения Заблокировано или Запрещено в центре уведомлений, в списке как выполненные действия. На следующем рисунке показан экземпляр нежелательного программного обеспечения, который был обнаружен и исправлен с помощью EDR в блочном режиме:

Обнаружение с помощью EDR в блочном режиме

Включение EDR в блочном режиме

Важно!

Убедитесь, что требования выполнены, прежде чем включать EDR в режиме блокировки.

Начиная с версии платформы 4.18.2202.X, теперь можно настроить EDR в блочном режиме для целевых групп устройств с помощью служб CSP Intune. Вы можете продолжить настройку EDR в блочном режиме на уровне клиента на портале Microsoft Defender.

EDR в режиме блокировки в основном рекомендуется для устройств, работающих Microsoft Defender антивирусной программы в пассивном режиме (на устройстве установлено и активно антивирусное решение сторонних разработчиков).

Microsoft Defender XDR

  1. Перейдите на портал Microsoft Defender (https://security.microsoft.com/) и выполните вход.

  2. Выберите Параметры Конечные>>точкиОбщие>дополнительные функции.

  3. Прокрутите вниз и включите параметр Включить EDR в режиме блокировки.

Intune

Сведения о создании настраиваемой политики в Intune см. в статье Развертывание OMA-URIs для целевого CSP через Intune и сравнение с локальной средой.

Дополнительные сведения о поставщике служб CSP Defender, используемом для EDR в блочном режиме, см. в разделе Configuration/PassiveRemediation в разделе CSP Defender.

Требования к EDR в блочном режиме

В следующей таблице перечислены требования к EDR в блочном режиме:

Требование Подробно
Разрешения В идентификаторе Microsoft Entra должна быть назначена роль глобального администратора или администратора безопасности. Дополнительные сведения см. в разделе Базовые разрешения.
Операционная система Устройства должны работать под управлением одной из следующих версий Windows:
— Windows 11
— Windows 10 (все выпуски)
— Windows Server 2019 или более поздней версии
— Windows Server версии 1803 или более поздней
— Windows Server 2016 и Windows Server 2012 R2 (с новым унифицированным клиентским решением)
Microsoft Defender для конечной точки Устройства должны быть подключены к Defender для конечной точки. См. следующие статьи:
- Минимальные требования к Microsoft Defender для конечной точки
- Подключение устройств и настройка возможностей Microsoft Defender для конечной точки
- Подключение серверов Windows к службе Defender для конечной точки
- Новые функции Windows Server 2012 R2 и 2016 в современном унифицированном решении
(См. раздел Поддерживается ли EDR в режиме блока для Windows Server 2016 и Windows Server 2012 R2?)
Антивирусная программа в Microsoft Defender На устройствах должна быть установлена Microsoft Defender антивирусная программа, работающая в активном или пассивном режиме. Убедитесь, Microsoft Defender антивирусная программа находится в активном или пассивном режиме.
Облачная защита Microsoft Defender антивирусная программа должна быть настроена таким образом, чтобы была включена облачная защита.
Антивирусная платформа Microsoft Defender Устройства должны быть обновлены. Чтобы подтвердить использование PowerShell, выполните командлет Get-MpComputerStatus от имени администратора. В строке AMProductVersion должен отображаться номер 4.18.2001.10 или более поздней версии.

Дополнительные данные см. в разделе Управление обновлениями антивирусной программы в Microsoft Defender и применение базовых показателей.
Антивирусная программа Microsoft Defender Устройства должны быть обновлены. Чтобы подтвердить использование PowerShell, выполните командлет Get-MpComputerStatus от имени администратора. В строке AMEngineVersion должен отображаться 1.1.16700.2 или более поздней версии.

Дополнительные данные см. в разделе Управление обновлениями антивирусной программы в Microsoft Defender и применение базовых показателей.

Важно!

Чтобы получить наилучшее значение защиты, убедитесь, что антивирусное решение настроено для регулярного получения обновлений и основных функций, а также что исключения настроены. EDR в блочном режиме учитывает исключения, определенные для Microsoft Defender антивирусной программы, но не индикаторы, определенные для Microsoft Defender для конечной точки.

См. также

Совет

Хотите узнать больше? Обратитесь к сообществу Майкрософт по безопасности в нашем техническом сообществе: Microsoft Defender для конечной точки технического сообщества.