Часто задаваемые вопросы о защите от незаконного изменения

Устройства должны соответствовать всем следующим требованиям:

• Устройства должны работать под управлением определенных версий Windows или macOS. (См . раздел О том, на каких устройствах можно включить защиту от незаконного изменения?)
• Устройства должны быть подключены к Microsoft Defender для конечной точки.
• Устройства должны использовать версию 4.18.2010.7 платформы защиты от вредоносных программ (или более позднюю) и версию модуля защиты от вредоносных программ (или более позднюю).1.1.17600.5 (Управление обновлениями антивирусной программы Microsoft Defender и применение базовых показателей.)
• Необходимо включить облачную защиту.

Для управления защитой от незаконного изменения на портале Microsoft Defender (https://security.microsoft.com) необходимо иметь соответствующие разрешения, назначенные через роли, такие как глобальный администратор или администратор безопасности. (См. Microsoft Defender XDR управление доступом на основе ролей (RBAC).)

• Windows 11
• Windows 11 Корпоративная многосессионная
• Windows 10 OS 1709, 1803, 1809 или более поздней версии вместе с Microsoft Defender для конечной точки.
• Windows 10 Корпоративная (многосеансовый режим)

Если вы используете Configuration Manager версии 2006 с подключением клиента, защиту от незаконного изменения можно расширить на Windows Server 2012 R2, Windows Server 2016, Windows Server 2019 и Windows Server 2022. См. статью Подключение клиента: Create и развертывание политики антивирусной защиты конечной точки в Центре администрирования (предварительная версия).

Нет. Предложения антивирусной программы сторонних разработчиков продолжают регистрироваться в приложении Безопасность Windows.

Если на устройстве установлено антивирусное или антивредоносное ПО, то при подключении этого устройства к Microsoft Defender для конечной точки Microsoft Defender антивирусная программа по умолчанию работает в пассивном режиме. Защита от незаконного изменения защищает службу и ее функции.

При удалении антивирусного или антивредоносного программного обеспечения сторонних разработчиков Microsoft Defender антивирусная программа автоматически переключается в активный режим. Защита от незаконного изменения продолжает защищать службу и ее функции.

Мы рекомендуем использовать Microsoft Intune для управления параметрами антивирусной программы Microsoft Defender для вашей организации. С помощью Intune можно управлять включением (или отключением) защиты от незаконного изменения с помощью политик. Вы также можете защитить Microsoft Defender исключения антивирусной программы. См. раздел Защита от незаконного изменения: Microsoft Defender исключения антивирусной программы.

Вы также можете использовать портал Microsoft Defender или Configuration Manager.

Если вы являетесь домашним пользователем, см. статью Управление защитой от незаконного изменения на отдельном устройстве.

Защита от незаконного изменения является частью встроенной защиты и должна быть включена.

Теперь развернуты новые функции для защиты Microsoft Defender исключений антивирусной программы на устройствах. Необходимо выполнить определенные условия. Например, для управления устройствами необходимо использовать только Intune или Configuration Manager, а также включить функцию Sense. См. раздел Защита исключений антивирусной программы Microsoft Defender.

Если в настоящее время вы используете Intune для настройки защиты от незаконного изменения и управления ими, следует продолжать использовать Intune. Если защита от незаконного изменения включена и вы используете групповая политика для внесения изменений в параметры Microsoft Defender антивирусной программы, все параметры, защищенные с помощью защиты от незаконного изменения, игнорируются.

• Если необходимо внести изменения в устройство и эти изменения заблокированы защитой от незаконного копирования, можно использовать режим устранения неполадок , чтобы временно отключить защиту от незаконного изменения на устройстве. После завершения режима устранения неполадок все изменения, внесенные в параметры, защищенные от незаконного изменения, возвращаются в настроенное состояние.
• Вы можете использовать Intune или Configuration Manager, чтобы исключить устройства из защиты от незаконного вмешательства.
• Если вы управляете защитой от незаконного изменения с помощью Intune и выполняются некоторые другие условия, вы можете управлять исключениями антивирусной программы, защищенной от незаконного изменения.

Если вы используете Intune для настройки и управления защитой от незаконного вмешательства, вам не обязательно применять защиту от незаконного вмешательства во всей организации. С помощью Intune вы можете применить защиту от незаконного изменения для всей организации или выбрать определенные устройства или группы пользователей для получения защиты от незаконного изменения. Вы также можете исключить определенные устройства из защиты от незаконного изменения.

При включении защиты от незаконного изменения защищаются следующие параметры безопасности:

• Защита от вирусов и угроз остается включенной.
• Защита в режиме реального времени остается включенной.
• Мониторинг поведения остается включенным.
• Антивирусная защита, включая IOfficeAntivirus (IOAV), остается включенной.
• Облачная защита по-прежнему включена.
• Обновления аналитики безопасности продолжают происходить.
• При обнаружении угроз выполняются автоматические действия.
• Уведомления отображаются в приложении Безопасность Windows на устройствах Windows.
• Архивные файлы сканируются.

Дополнительные сведения см. в статье Что происходит при включении защиты от незаконного изменения?

Если на портале Microsoft Defender () включена защита от незаконного изменения наhttps://security.microsoft.com уровне клиента. Однако политики, определенные в Intune или Configuration Manager, могут переопределять параметры на портале Microsoft Defender. Например, можно определить политику в Intune или Configuration Manager, которая исключает определенные устройства из защиты от незаконного изменения.

Используйте Intune для развертывания DisableLocalAdminMerge.

Следуйте инструкциям в разделе Управление исключениями антивирусной программы, защищенными от незаконного изменения.

Нет. Если включена защита от незаконного изменения исключений, ее не нужно отключать, чтобы применить новые исключения.

Да. Как и при использовании Intune, вы можете применить защиту от незаконного изменения ко всей организации или к определенным пользователям и устройствам. Дополнительные сведения см. в следующих источниках:

• Управление защитой от незаконного изменения с помощью Intune
• Управление защитой от незаконного изменения с помощью присоединения клиента с помощью Configuration Manager версии 2006
• Блог технического сообщества: Объявление о защите от незаконного изменения для клиентов подключения клиентов Configuration Manager клиента

Как правило, защита от незаконного изменения помогает защитить пользователей от изменения параметров безопасности непосредственно на устройствах. Защита от незаконного изменения является частью возможностей защиты от незаконного изменения, которые включают стандартные правила сокращения направлений атак. Чтобы предотвратить запуск вредоносных программ в ядре, рассмотрите возможность использования правил блокировки драйверов с управлением приложениями для Windows.

Если устройство отключено от Microsoft Defender для конечной точки, защита от незаконного изменения включается, что является состоянием по умолчанию для неуправляемых устройств.

Оповещения должны быть перечислены на портале Microsoft Defender в разделе Оповещения.

Ваша команда по операциям безопасности также может использовать запросы охоты, например следующий пример:

AlertInfo|where Title == "Tamper Protection bypass"

Для настройки защиты от незаконного изменения можно использовать любой из следующих методов:

• Портал Microsoft Defender (включение или отключение защиты от незаконного изменения на уровне клиента)
• Intune (включение или отключение защиты от незаконного изменения и (или) настройка защиты от незаконного изменения для некоторых или всех пользователей)
• Configuration Manager (с подключением клиента можно настроить защиту от незаконного изменения для некоторых или всех устройств с помощью профиля взаимодействия Безопасность Windows).
• Безопасность Windows приложение (для отдельного устройства, используемого дома или в ситуациях, когда команда безопасности не управляет вашим устройством)