Översikt över undantag och indikatorer i Microsoft Defender för Endpoint

  • Gäller för: Microsoft Defender Antivirus, Microsoft Defender for Endpoint on macOS, Microsoft Defender for Endpoint on Linux

Microsoft Defender för Endpoint och Defender för företag innehåller en mängd olika funktioner för att förhindra, upptäcka, undersöka och svara på avancerade cyberhot. Microsoft förkonfigurerar produkten så att den fungerar bra på det operativsystem där den är installerad. I de flesta fall behövs inga andra ändringar.

Trots förkonfigurerade inställningar uppstår ibland oväntat beteende. Ett exempel:

  • Falska positiva identifieringar: Filer, mappar eller processer som inte är hot identifieras som skadliga av Defender för Slutpunkt eller Microsoft Defender Antivirus. Dessa entiteter blockeras eller skickas i karantän, även om de inte är ett hot.
  • Prestandaproblem: System får oväntade prestandaproblem när de körs med Defender för Slutpunkt eller Microsoft Defender Antivirus.
  • Programkompatibilitetsproblem: Program får oväntat beteende när de körs med Defender för slutpunkt eller Microsoft Defender Antivirus.

I följande avsnitt beskrivs vilka typer av undantag som är tillgängliga i Defender för Slutpunkt och Microsoft Defender Antivirus, tillsammans med när var och en ska användas. En sammanfattning av vilka hanteringsverktyg du kan använda för att konfigurera varje exkluderingstyp finns i Undantagsreferens för Microsoft Defender för Endpoint.

Note

Att skapa undantag eller indikatorer är en möjlig metod för att hantera problem med Defender för slutpunkter eller Microsoft Defender Antivirus, men ofta finns det andra steg som du kan vidta först.

Typer av undantag

Det finns flera typer av undantag att tänka på. Vissa typer av undantag påverkar flera funktioner i Defender för Endpoint, medan andra typer är specifika för Microsoft Defender Antivirus.

Information om indikatorer, som är en relaterad men separat mekanism för att tillåta eller blockera specifika filer, IP-adresser, URL:er och certifikat, finns i Översikt över indikatorer i Microsoft Defender för Endpoint.

I följande tabeller sammanfattas de typer av undantag som du kan definiera, grupperade efter om de är tillgängliga på alla plattformar eller endast på Windows. Observera omfånget för varje undantagstyp.

  • Plattformsoberoende undantag: Dessa undantag är tillgängliga på Windows-, macOS- och Linux-enheter.

    Typ av exkludering Scope Användningsfall
    Anpassade undantag Antivirus

    Regler för minskning av attackytan (ASR)

    Nätverksskydd    		 En fil, mapp eller process identifieras som skadlig, även om det inte är ett hot.

    Ett program stöter på oväntade prestanda- eller programkompatibilitetsproblem när det körs med Defender för slutpunkten.

    I Windows respekterar vissa ASR-regler Microsoft Defender undantag för antivirusfiler och mappar (sökväg).
    Indikatorer för tillåtelse av filer och certifikat Antivirus

    ASR-regler

    Kontrollerad mappåtkomst (CFA)    		 En fil eller process som signerats av ett certifikat identifieras som skadlig även om den inte är det.
    Indikatorer för domän/URL och IP-adress Nätverksskydd

    SmartScreen

    Webbinnehållsfiltrering    		 SmartScreen anger ett falskt positivt resultat.

    Du vill åsidosätta ett block för webbinnehållsfiltrering på en viss webbplats.

  • Undantag endast för Windows: Dessa undantag är endast tillgängliga på Windows-enheter.

    Typ av exkludering Scope Användningsfall
    Förkonfigurerade antivirusundantag Antivirus Microsoft Defender Antivirus exkluderar automatiskt vissa operativsystemfiler och Windows Server roller, så du behöver inte definiera dessa undantag själv.
    Undantag för ASR-regler ASR-regler En ASR-regel orsakar oväntat beteende.
    Undantag för automatiseringsmappar Automatiserad undersökning och svar Automatiserad undersökning och reparation vidtar en åtgärd för en fil, ett tillägg eller en katalog som ska hanteras manuellt.
    CFA-undantag CFA CFA blockerar ett program från att komma åt en skyddad mapp.

Note

Processundantag påverkar direkt nätverksskyddet på alla plattformar och ASR-regler i Windows. Ett processundantag på alla operativsystem (Windows, macOS eller Linux) hindrar nätverksskyddet från att inspektera trafik eller framtvinga regler för den specifika processen.

Förkonfigurerade antivirusundantag

Du behöver inte definiera dessa exkluderingstyper, men det är bra att veta vad de är och hur de fungerar. Microsoft Defender Antivirus förkonfigurerar följande exkluderingstyper:

  • Inbyggda Microsoft Defender Antivirus-undantag:
    • Microsoft Defender Antivirus innehåller inbyggda undantag för operativsystemfiler på alla klient- och serverversioner av Windows som stöds. Listan hålls uppdaterad när hotlandskapet ändras. Mer information finns i Inbyggda undantag.
    • I versioner av Windows Server som stöds gäller fler inbyggda undantag för serverfunktioner som Windows Internet Name Service (WINS) och File Replication Service (FRS). Mer information finns i Inbyggda undantag på Windows Server.

Anpassade undantag

Med Microsoft Defender för Endpoint och Microsoft Defender Antivirus kan du konfigurera anpassade undantag för att optimera prestanda och undvika falska positiva resultat. De anpassade undantag som du kan definiera varierar beroende på operativsystem.

  • macOS: Du kan definiera undantag som endast gäller för antivirusgenomsökning (genomsökningar på begäran, realtidsskydd och övervakning). Dessa undantag gäller inte för slutpunktsidentifiering och svar (EDR), så exkluderade filer kan fortfarande utlösa EDR-aviseringar och andra identifieringar. De undantagstyper som stöds är:

    • Undantag för filnamnstillägg: Exkludera alla filer med ett specifikt tillägg.
    • Filundantag: Exkludera en specifik fil som identifieras av dess fullständiga sökväg.
    • Undantag för mappar: Undanta alla filer i en angiven mapp rekursivt.
    • Processundantag: Exkludera en specifik process och alla filer som öppnas av den.

    Mer information finns i Konfigurera och validera undantag för Microsoft Defender för Endpoint på macOS.

  • Linux: Du kan konfigurera undantag som antivirusundantag (tillämpas på realtidsskydd, genomsökningar på begäran och beteendeövervakning, samtidigt som EDR-synligheten bibehålls) eller som globala undantag (tillämpas på sensornivå, vilket stänger av både antivirusidentifieringar och EDR-aviseringar). De undantagstyper som stöds är:

    • Undantag för filnamnstillägg: Exkludera alla filer med ett specifikt tillägg (inte tillgängligt för globala undantag).
    • Filundantag: Exkludera en specifik fil som identifieras av dess fullständiga sökväg.
    • Undantag för mappar: Undanta alla filer i en angiven mapp rekursivt.
    • Processundantag: Exkludera en specifik process (med fullständig sökväg eller filnamn) och alla filer som öppnas av den.

    Mer information finns i Konfigurera och validera undantag för Microsoft Defender för Endpoint på Linux.

  • Windows: Du kan konfigurera Microsoft Defender Antivirus för att undanta kombinationer av processer, filer, mappar (sökvägar) och tillägg från schemalagda genomsökningar, genomsökningar på begäran, realtidsskydd och potentiellt oönskade appidentifieringar (PUA). Dessa undantag gäller endast antivirusgenomsökning. De gäller inte för EDR, så exkluderade filer kan fortfarande utlösa EDR-aviseringar. För att undanta filer för alla funktioner i Defender for Endpoint använder du anpassade indikatorer. De undantagstyper som stöds är:

    • Fil- och mappundantag: Exkludera en specifik fil eller allt i en mapp. Kallas även sökvägsundantag.
    • Undantag för filnamnstillägg: Exkludera alla filer som har ett specifikt tillägg, oavsett plats.
    • Processundantag: Exkludera alla filer som öppnas av en specifik process.
    • Kontextundantag: Begränsa en sökvägsundantag så att den endast tillämpas i en specifik kontext, till exempel endast när en specifik process öppnar filen.

    Mer information finns i Undantag i Microsoft Defender Antivirus.

Regelundantag för minskning av attackytan

Regler för minskning av attackytan (ASR) blockerar riskfyllt programvarubeteende, men vissa legitima appar ägnar sig åt detta riskfyllda beteende (till exempel att starta körbara filer som laddar ned och kör andra filer). Vissa ASR-regler respekterar Microsoft Defender Antivirus-undantag. ASR-regler stöder även globala ASR-regelundantag och regelundantag per ASR.

Mer information finns i Fil- och mappundantag för ASR-regler.

Undantag för Automation-mappar

Undantag för automationsmappar gäller för automatiserad undersökning och reparation i Microsoft Defender för Endpoint plan 2, som undersöker aviseringar och vidtar omedelbara åtgärder för att lösa identifierade överträdelser. När en varning utlöser en automatiserad undersökning kommer undersökningen fram till en bedömning (skadligt, misstänkt eller inga hot hittades) för varje del av bevismaterialet. Beroende på automatiseringsnivå och andra säkerhetsinställningar sker reparationsåtgärder automatiskt eller efter att säkerhetsåtgärdsteamet har godkänt dem.

Mer information finns i Hantera undantag för automationsmappar.

Kontrollerade mappåtkomstundantag

Kontrollerad mappåtkomst (CFA) skyddar dina data genom att blockera ej betrodda appar från att ändra filer i skyddade mappar på Windows enheter. Som standard skyddar CFA vanliga systemmappar och du kan lägga till andra mappar. Om CFA blockerar en app som du litar på kan du definiera ett undantag så att appen kan ändra filer i skyddade mappar.

Mer information finns i Konfigurera kontrollerad mappåtkomst.

Anpassade reparationsåtgärder

När Microsoft Defender Antivirus identifierar ett potentiellt hot vid körning av en genomsökning försöker det åtgärda eller ta bort det identifierade hotet. Du kan definiera anpassade reparationsåtgärder för att konfigurera hur Microsoft Defender Antivirus ska hantera vissa hot, om en återställningspunkt ska skapas före reparation och när hot ska tas bort.

Mer information finns i Konfigurera reparationsåtgärder för Microsoft Defender antivirusidentifieringar.

Hur undantag och indikatorer utvärderas

De flesta organisationer har flera typer av undantag och indikatorer för att avgöra om användare ska kunna komma åt och använda en fil eller process. På Windows enheter bearbetas dessa undantag och indikatorer i en viss ordning så att principkonflikter hanteras systematiskt.

Så här fungerar det. Utvärderingen stoppas vid det första villkoret som gäller:

  1. Om filen inte tillåts av Windows Defender principer för programkontroll och AppLocker-framtvingandeläge blockeras den.
  2. Annars, om filen tillåts av ett undantag i Microsoft Defender Antivirus, är den tillåten.
  3. Om filen annars har en blockerings- eller varningsfilindikator blockeras eller varnas den.
  4. Annars blockeras filen om den blockeras av SmartScreen.
  5. Annars, om filen tillåts av en indikator för tillåten fil, tillåts den.
  6. Om filen annars blockeras av regler för minskning av attackytan, kontrollerad mappåtkomst eller antivirusskydd blockeras den.
  7. Annars är filen tillåten.

Så här hanteras principkonflikter

I de fall där Indikatorer för Defender för Endpoint står i konflikt kan du förvänta dig följande:

  • Om det finns motstridiga filindikatorer tillämpas indikatorn som använder den säkraste hashen. SHA256 har till exempel företräde framför SHA-1, som har företräde framför MD5.

  • Om det finns motstridiga URL-indikatorer används den mer specifika indikatorn.

    • För Microsoft Defender SmartScreen används en indikator som använder den längsta URL-sökvägen. Till exempel www.contoso.com/admin/ har företräde framför www.contoso.com.
    • Nätverksskyddet tillämpas främst på domännivå, även om det kan blockera specifika URL-sökvägar i vissa scenarier.

  • Om det finns liknande indikatorer för en fil eller process som har olika åtgärder har indikatorn som är begränsad till en specifik enhetsgrupp företräde framför en indikator som riktar sig till alla enheter.

Så här fungerar automatiserad undersökning och reparation

Automatiserade undersöknings- och åtgärdsfunktioner i Defender for Endpoint fastställer först ett utlåtande för varje bevisföremål och vidtar sedan en åtgärd beroende på indikatorer i Defender for Endpoint. Som ett resultat kan en fil eller process få en bedömning av "bra" (vilket innebär att inga hot hittades) och fortfarande blockeras om det finns en indikator med den åtgärden. På samma sätt kan en entitet få omdömet "dålig" (vilket innebär att den har fastställts vara skadlig) och ändå tillåtas om det finns en indikator med den åtgärden.

Mer information finns i Automatiserad undersöknings- och reparationsmotor.

Alternativ och steg att tänka på innan du skapar ett undantag

Om du skapar ett undantag eller en tillåt-indikator skapas ett skyddsgap. Använd dessa tekniker först när du har fastställt rotorsaken till problemet. Tills dess bör du överväga alternativ som att skicka en fil till Microsoft för analys eller förhindra en avisering.

I följande lista beskrivs vanliga scenarier och de steg du bör tänka på innan du skapar en undantags- eller tillåt-indikator.

Skicka filer för analys

Om du har en fil som du tror felaktigt har identifierats som skadlig kod (en falsk positiv identifiering) eller en fil som du misstänker kan vara skadlig kod trots att den inte har identifierats (en falsk negativ kod) kan du skicka filen till Microsoft för analys. Din sändning genomsöks omedelbart och granskas sedan av Microsoft säkerhetsanalytiker. Du kan kontrollera statusen för din överföring på sidan för sändningshistorik.

Genom att skicka in filer för analys minskar du antalet falska positiva respektive falska negativa resultat för alla kunder. Mer information finns i följande artiklar:

Ignorera aviseringar

Om du får aviseringar i Microsoft Defender-portalen för verktyg eller processer som du vet inte är ett hot kan du ignorera dessa aviseringar.

Om du vill förhindra en avisering skapar du en undertryckningsregel och anger vilka åtgärder som ska utföras för aviseringen på andra identiska aviseringar. Du kan skapa regler för undertryckning för en specifik avisering på en enskild enhet eller för alla aviseringar som har samma titel i din organisation.

Mer information finns i följande artiklar:

Se även

  • Uppdaterades senast