Uç Nokta için Microsoft Defender ve Microsoft Defender Virüsten Koruma için dışlamaları yönetme

  • Makale

Şunlar için geçerlidir:

Platform

  • Windows

Not

Microsoft MVP olarak Fabian Bader bu makaleye katkıda bulundu ve bu makale için önemli geri bildirimler sağladı.

Uç Nokta için Microsoft Defender, gelişmiş siber tehditleri önlemek, algılamak, araştırmak ve yanıtlamak için çok çeşitli özellikler içerir. Bu özellikler yeni nesil korumayı (Microsoft Defender Virüsten Koruma'Microsoft Defender içerir) içerir. Herhangi bir uç nokta koruma veya virüsten koruma çözümünde olduğu gibi, bazen tehdit olmayan dosyalar, klasörler veya işlemler Uç Nokta için Defender veya Microsoft Defender Virüsten Koruma tarafından kötü amaçlı olarak algılanabilir. Bu varlıklar gerçekten bir tehdit olmasa da engellenebilir veya karantinaya gönderilebilir.

Hatalı pozitif sonuçların ve benzer sorunların oluşmasını önlemek için bazı eylemler gerçekleştirebilirsiniz. Bu eylemler şunlardır:

Bu makalede bu eylemlerin nasıl çalıştığı açıklanır ve Uç Nokta için Defender ve Microsoft Defender Virüsten Koruma için tanımlanabilir çeşitli dışlama türleri açıklanmaktadır.

Dikkat

Dışlamaları tanımlamak, Uç Nokta için Defender ve Microsoft Defender Virüsten Koruma tarafından sunulan koruma düzeyini azaltır. Son çare olarak dışlamaları kullanın ve yalnızca gerekli dışlamaları tanımladığınızdan emin olun. Dışlamalarınızı düzenli aralıklarla gözden geçirdiğinizden ve artık ihtiyacınız olmayanları kaldırdığınızdan emin olun. Kaçınılması gereken dışlamalar ve Yaygın hatalarhakkında önemli noktalara bakın.

Gönderimler, gizlemeler ve dışlamalar

Hatalı pozitiflerle veya uyarı oluşturan bilinen varlıklarla ilgilenirken, bir dışlama eklemeniz gerekmez. Bazen bir uyarıyı sınıflandırmak ve bastırmak yeterlidir. Analiz için Microsoft'a hatalı pozitifler (ve hatalı negatifler) göndermenizi öneririz. Aşağıdaki tabloda bazı senaryolar ve dosya gönderimleri, uyarı gizlemeler ve dışlamalar ile ilgili olarak hangi adımların atılması gerekenleri açıklanmaktadır.

Senaryo Dikkate alınması gereken adımlar
Hatalı pozitif: Bir dosya veya işlem gibi bir varlık algılandı ve varlık bir tehdit olmasa bile kötü amaçlı olarak tanımlandı. 1. Algılanan varlığın sonucu olarak oluşturulan uyarıları gözden geçirin ve sınıflandırın .
2. Bilinen bir varlık için uyarıyı gizleme .
3. Algılanan varlık için gerçekleştirilen düzeltme eylemlerini gözden geçirin .
4. Hatalı pozitif değeri analiz için Microsoft'a gönderin .
5. Varlık için bir dışlama tanımlayın (yalnızca gerekirse).
Aşağıdaki sorunlardan biri gibi performans sorunları:
- Bir sistem yüksek CPU kullanımı veya diğer performans sorunlarıyla karşılaşıyor.
- Bir sistemde bellek sızıntısı sorunları yaşanıyor.
- Bir uygulamanın cihazlara yüklenmesi yavaştır.
- Bir uygulama cihazlarda bir dosyayı açmak için yavaş çalışıyor.		 1. Microsoft Defender Virüsten Koruma için tanılama verilerini toplayın.
2. Microsoft dışı bir virüsten koruma çözümü kullanıyorsanız , gerekli dışlamalar için satıcıya başvurun.
3. Tahmini performans etkisini görmek için Microsoft Koruma Günlüğünü analiz edin .
4. Microsoft Defender Virüsten Koruma için bir dışlama tanımlayın (gerekirse).
5. Uç Nokta için Defender için bir gösterge İçerik Oluşturucu (yalnızca gerekirse).
Microsoft dışı virüsten koruma ürünleriyle ilgili uyumluluk sorunları.
Örnek: Uç Nokta için Defender, Microsoft Defender Virüsten Koruma veya Microsoft dışı bir virüsten koruma çözümü çalıştıran cihazlar için güvenlik bilgileri güncelleştirmelerine dayanır.		 1. Birincil virüsten koruma/kötü amaçlı yazılımdan koruma çözümünüz olarak Microsoft dışı bir virüsten koruma ürünü kullanıyorsanız Virüsten Koruma'yı pasif moda Microsoft Defender ayarlayın.
2. Microsoft dışı bir virüsten koruma/kötü amaçlı yazılımdan koruma çözümünden Uç Nokta için Defender'a geçiş yapıyorsanız bkz. Uç Nokta için Defender'a geçiş yapma. Bu kılavuz şunları içerir:
- Microsoft dışı virüsten koruma/kötü amaçlı yazılımdan koruma çözümü için tanımlamanız gereken dışlamalar;
- Microsoft Defender Virüsten Koruma için tanımlamanız gereken dışlamalar; ve
- Sorun giderme bilgileri (geçiş sırasında bir sorun olması durumunda).

Önemli

"İzin ver" göstergesi, Uç Nokta için Defender'da tanımlayabileceğiniz en güçlü dışlama türüdür. Göstergeleri düzenli olarak kullandığınızdan emin olun (yalnızca gerektiğinde) ve tüm dışlamaları düzenli aralıklarla gözden geçirin.

Dosyaları analiz için gönderme

Kötü amaçlı yazılım olarak yanlış algılandığını düşündüğünüz bir dosyanız (hatalı pozitif) veya algılanmadıysa bile kötü amaçlı yazılım olabileceğinden şüphelendiğiniz bir dosyanız (hatalı negatif) varsa, dosyayı analiz için Microsoft'a gönderebilirsiniz. Gönderiminiz hemen taranır ve Ardından Microsoft güvenlik analistleri tarafından gözden geçirilir. Gönderim geçmişi sayfasında gönderiminizin durumunu de kontrol edebilirsiniz.

Analiz için dosya göndermek, tüm müşteriler için hatalı pozitif sonuçları ve hatalı negatifleri azaltmaya yardımcı olur. Daha fazla bilgi edinmek için aşağıdaki makalelere bakın:

Uyarıları gizleme

Microsoft Defender portalında tehdit olmadığını bildiğiniz araçlar veya işlemler için uyarılar alıyorsanız, bu uyarıları gizleyebilirsiniz. Uyarıyı engellemek için bir gizleme kuralı oluşturur ve diğer, özdeş uyarılarda bunun için hangi eylemlerin uygulanacağını belirtirsiniz. Tek bir cihazda belirli bir uyarı için veya kuruluşunuz genelinde aynı başlığa sahip tüm uyarılar için gizleme kuralları oluşturabilirsiniz.

Daha fazla bilgi edinmek için aşağıdaki makalelere bakın:

Dışlamalar ve göstergeler

Bazen dışlamalar terimi Uç Nokta için Defender ve Microsoft Defender Virüsten Koruma için geçerli olan özel durumlara başvurmak için kullanılır. Bu özel durumları açıklamanın daha doğru bir yolu aşağıdaki gibidir:

Aşağıdaki tabloda, Uç Nokta için Defender ve Microsoft Defender Virüsten Koruma için tanımlanabilir dışlama türleri özetlenmiştir.

İpucu

Ürün/hizmet Dışlama türleri
Microsoft Defender Virüsten Koruma
Uç Nokta Için Defender Plan 1 veya Plan 2		 - Otomatik dışlamalar (Windows Server 2016 ve sonraki sürümlerdeki etkin roller için)
- Yerleşik dışlamalar (Windows'taki işletim sistemi dosyaları için)
- İşlem tabanlı dışlamalar, klasör konumu tabanlı dışlamalar, dosya uzantısı dışlamaları veya bağlamsal dosya ve klasör dışlamaları gibi özel dışlamalar
- Tehdit önem derecesine veya belirli tehditlere göre özel düzeltme eylemleri

Uç Nokta Plan 1 ve Plan 2 için Defender'ın tek başına sürümleri sunucu lisanslarını içermez. Sunucuları eklemek için Sunucular için Uç Nokta için Microsoft Defender veya Sunucu Planı 1 veya 2 için Microsoft Defender gibi başka bir lisansa ihtiyacınız vardır. Daha fazla bilgi edinmek için bkz. Windows Server'ı ekleme uç nokta için Defender.

İş için Microsoft Defender kullanan küçük veya orta ölçekli bir işletmeyseniz Kurumsal sunucular için Microsoft Defender alabilirsiniz.
Uç Nokta Için Defender Plan 1 veya Plan 2 - Dosyalar, sertifikalar veya IP adresleri, URL'ler/etki alanları için göstergeler
- Saldırı yüzeyi azaltma dışlamaları
- Denetimli klasör erişimi dışlamaları
Uç Nokta için Defender Plan 2 Otomasyon klasörü dışlamaları (otomatik araştırma ve düzeltme için)

Aşağıdaki bölümlerde bu dışlamalar daha ayrıntılı olarak açıklanmaktadır:

Microsoft Defender Virüsten Koruma dışlamaları

Microsoft Defender Virüsten koruma dışlamaları virüsten koruma taramaları ve/veya gerçek zamanlı koruma için geçerli olabilir. Bu dışlamalar şunlardır:

Otomatik dışlamalar

Otomatik dışlamalar ( otomatik sunucu rolü dışlamaları olarak da adlandırılır) Windows Server'daki sunucu rolleri ve özellikleri için dışlamalar içerir. Bu dışlamalar gerçek zamanlı koruma tarafından taranmıyor ancak yine de hızlı, tam veya isteğe bağlı virüsten koruma taramalarına tabidir.

Örnekler şunları içerir:

  • Dosya Çoğaltma Hizmeti (FRS)
  • Hyper-V
  • SYSVOL
  • Active Directory
  • DNS Sunucusu
  • Yazdırma Sunucusu
  • Web Sunucusu
  • Windows Server Update Services
  • ... ve daha fazlasını yapın.

Not

Sunucu rolleri için otomatik dışlamalar Windows Server 2012 R2'de desteklenmez. Active Directory Domain Services (AD DS) sunucu rolü yüklü Windows Server 2012 R2 çalıştıran sunucular için etki alanı denetleyicileri için dışlamalar el ile belirtilmelidir. Bkz. Active Directory dışlamaları.

Daha fazla bilgi için bkz. Otomatik sunucu rolü dışlamaları.

Yerleşik dışlamalar

Yerleşik dışlamalar, windows'un tüm sürümlerinde (Windows 10, Windows 11 ve Windows Server dahil) Microsoft Defender Virüsten Koruma tarafından dışlanan bazı işletim sistemi dosyalarını içerir.

Örnekler şunları içerir:

  • %windir%\SoftwareDistribution\Datastore\*\Datastore.edb
  • %allusersprofile%\NTUser.pol
  • dosyaları Windows Update
  • dosyaları Windows Güvenliği
  • ... ve daha fazlasını yapın.

Windows'taki yerleşik dışlamaların listesi, tehdit manzarası değiştikçe güncel tutulur. Bu dışlamalar hakkında daha fazla bilgi edinmek için bkz. Windows Server'da virüsten koruma dışlamaları: Yerleşik dışlamalar Microsoft Defender.

Özel dışlamalar

Özel dışlamalar , belirttiğiniz dosya ve klasörleri içerir. Dosyalar, klasörler ve işlemler için dışlamalar zamanlanmış taramalar, isteğe bağlı taramalar ve gerçek zamanlı koruma tarafından atlanır. İşlemle açılan dosyalar için dışlamalar gerçek zamanlı koruma tarafından taranamaz, ancak yine de hızlı, tam veya isteğe bağlı virüsten koruma taramalarına tabidir.

Özel düzeltme eylemleri

Microsoft Defender Virüsten Koruma, tarama çalıştırırken olası bir tehdit algıladığında algılanan tehdidi düzeltmeye veya kaldırmaya çalışır. Microsoft Defender Virüsten Koruma'nın belirli tehditleri nasıl ele alması gerektiğini, düzeltmeden önce bir geri yükleme noktası oluşturulup oluşturulmayacağını ve tehditlerin ne zaman kaldırılacağını yapılandırmak için özel düzeltme eylemleri tanımlayabilirsiniz. Microsoft Defender Virüsten Koruma algılamaları için düzeltme eylemlerini yapılandırın.

Uç Nokta için Defender göstergeleri

Varlıklar için dosyalar, IP adresleri, URL'ler/etki alanları ve sertifikalar gibi belirli eylemlerle göstergeler tanımlayabilirsiniz. Uç Nokta için Defender'da göstergeler, Güvenlik Ihlal Göstergeleri (ICS) ve daha az sıklıkla özel göstergeler olarak adlandırılır. Göstergelerinizi tanımlarken aşağıdaki eylemlerden birini belirtebilirsiniz:

  • İzin Ver – Uç Nokta için Defender, İzin Ver göstergelerine sahip dosyaları, IP adreslerini, URL'leri/etki alanlarını veya sertifikaları engellemez. (Bu eylemi dikkatli kullanın.)

  • Denetim – Denetim göstergelerine sahip dosyalar, IP adresleri ve URL'ler/etki alanları izlenir ve kullanıcılar tarafından erişildiğinde Microsoft Defender portalında bilgilendirici uyarılar oluşturulur.

  • Engelle ve Düzelt – Engelle ve Düzelt göstergelerine sahip dosyalar veya sertifikalar algılandığında engellenir ve karantinaya alınır.

  • Blok Yürütme – Engelleme Yürütme göstergelerine sahip IP adresleri ve URL'ler/etki alanları engellenir. Kullanıcılar bu konumlara erişemez.

  • Uyar – Uyarı göstergelerine sahip IP adresleri ve URL'ler/etki alanları, kullanıcı bu konumlara erişmeye çalıştığında bir uyarı iletisinin görüntülenmesine neden olur. Kullanıcılar uyarıyı atlayıp IP adresine veya URL/etki alanına geçmeyi seçebilir.

Önemli

Kiracınızda en fazla 15.000 gösterge olabilir.

Aşağıdaki tabloda IoC türleri ve kullanılabilir eylemler özetlenmiştir:

Gösterge türü Kullanılabilir eylemler
Dosyalar -Izin
-Denetim
-Uyarmak
- Yürütmeyi engelle
- Engelleme ve düzeltme
IP adresleri ve URL'ler/etki alanları -Izin
-Denetim
-Uyarmak
- Yürütmeyi engelle
Sertifika -Izin
- Engelleme ve düzeltme

İpucu

Göstergeler hakkında daha fazla bilgi edinmek için aşağıdaki kaynaklara bakın:

Saldırı yüzeyi azaltma dışlamaları

Saldırı yüzeyi azaltma kuralları (ASR kuralları olarak da bilinir) aşağıdakiler gibi belirli yazılım davranışlarını hedefler:

  • Dosyaları indirmeye veya çalıştırmaya çalışan yürütülebilir dosyaları ve betikleri başlatma
  • Karartılmış veya başka bir şekilde şüpheli görünen betikleri çalıştırma
  • Uygulamaların genellikle normal gündelik iş sırasında başlatmayabilecekleri davranışlar gerçekleştirme

Bazı durumlarda, yasal uygulamalar saldırı yüzeyi azaltma kuralları tarafından engellenebilir yazılım davranışları sergiler. Bu durum kuruluşunuzda oluşuyorsa, belirli dosya ve klasörler için dışlamalar tanımlayabilirsiniz. Bu tür dışlamalar tüm saldırı yüzeyi azaltma kurallarına uygulanır. Bkz . Saldırı yüzeyi azaltma kurallarını etkinleştirme.

AsR kural dışlamalarının çoğu Microsoft Defender Virüsten Koruma dışlamalarından bağımsız olsa da, bazı ASR kurallarının bazı Microsoft Defender Virüsten Koruma dışlamalarına uyduğunu da unutmayın. Bkz. Saldırı yüzeyi azaltma kuralları başvurusu - virüsten koruma dışlamaları ve ASR kuralları Microsoft Defender.

Denetimli klasör erişimi dışlamaları

Denetimli klasör erişimi , uygulamaları kötü amaçlı olarak algılanan etkinlikler için izler ve Windows cihazlarında belirli (korumalı) klasörlerin içeriğini korur. Denetimli klasör erişimi, yalnızca güvenilen uygulamaların ortak sistem klasörleri (önyükleme kesimleri dahil) ve belirttiğiniz diğer klasörler gibi korumalı klasörlere erişmesine izin verir. Bazı uygulamaların veya imzalı yürütülebilir dosyaların korumalı klasörlere erişmesine izin vermek için dışlamalar tanımlayabilirsiniz. Bkz . Denetimli klasör erişimini özelleştirme.

Otomasyon klasörü dışlamaları

Otomasyon klasörü dışlamaları, uç nokta için Defender'da uyarıları incelemek ve algılanan ihlalleri çözmek için anında işlem yapmak üzere tasarlanmış otomatik araştırma ve düzeltme için geçerlidir. Uyarılar tetiklendikçe ve otomatik bir araştırma çalıştırıldığında, araştırılan her kanıt parçası için bir karara (Kötü Amaçlı, Şüpheli veya Tehdit bulunamadı) ulaşılır. Otomasyon düzeyine ve diğer güvenlik ayarlarına bağlı olarak, düzeltme eylemleri otomatik olarak veya yalnızca güvenlik operasyonları ekibinizin onayıyla gerçekleşebilir.

Otomatik araştırma ve düzeltme özelliklerinin dışında tutulacak klasörleri, belirli bir dizindeki dosya uzantılarını ve dosya adlarını belirtebilirsiniz. Bu tür otomasyon klasörü dışlamaları, Uç Nokta için Defender'a eklenen tüm cihazlar için geçerlidir. Bu dışlamalar hala virüsten koruma taramalarına tabidir. Bkz. Otomasyon klasörü dışlamalarını yönetme.

Dışlamalar ve göstergeler nasıl değerlendirilir?

Çoğu kuruluş, kullanıcıların bir dosyaya veya işleme erişip erişemeyeceğini ve bunları kullanıp kullanamayacağını belirlemek için çeşitli dışlama türlerine ve göstergelere sahiptir. Dışlamalar ve göstergeler, ilke çakışmalarının sistematik olarak ele alınabilmesi için belirli bir sırada işlenir.

Aşağıdaki görüntüde dışlamaların ve göstergelerin Uç Nokta için Defender ve Microsoft Defender Virüsten Koruma'da nasıl işlenme şekli özetlenir:

Dışlamaların ve göstergelerin değerlendirilme sırasını gösteren ekran görüntüsü.

Şu şekilde çalışır:

  1. Algılanan bir dosyaya/işleme Uygulama Denetimi ve AppLocker Windows Defender izin verilmiyorsa engellenir. Aksi takdirde virüsten koruma Microsoft Defender devam eder.

  2. Algılanan dosya/işlem Microsoft Defender Virüsten Koruma için bir dışlamanın parçası değilse engellenir. Aksi takdirde, Uç Nokta için Defender dosya/işlem için özel bir göstergeyi denetler.

  3. Algılanan dosya/işlem bir Engelle veya Uyar göstergesine sahipse, bu eylem gerçekleştirilir. Aksi takdirde dosya/işleme izin verilir ve saldırı yüzeyi azaltma kuralları, denetimli klasör erişimi ve SmartScreen koruması ile değerlendirmeye devam eder.

  4. Algılanan dosya/işlem saldırı yüzeyi azaltma kuralları, denetimli klasör erişimi veya SmartScreen koruması tarafından engellenmediyse Virüsten Koruma'yı Microsoft Defender devam eder.

  5. Algılanan dosyaya/işleme virüsten koruma Microsoft Defender izin verilmiyorsa, tehdit kimliğine göre bir eylem denetlenmiştir.

İlke çakışmaları nasıl işlenir?

Uç Nokta için Defender göstergelerinin çakıştığı durumlarda şunlar beklenmiştir:

  • Çakışan dosya göstergeleri varsa, en güvenli karmayı kullanan gösterge uygulanır. Örneğin, SHA256 SHA-1'den önceliklidir ve bu da MD5'e göre önceliklidir.

  • Çakışan URL göstergeleri varsa, daha katı gösterge kullanılır. SmartScreen Microsoft Defender için en uzun URL yolunu kullanan bir gösterge uygulanır. Örneğin, www.dom.ain/admin/ önceliklidir www.dom.ain. (Ağ koruması , etki alanı içindeki alt sayfalar yerine etki alanları için geçerlidir.)

  • Farklı eylemleri olan bir dosya veya işlem için benzer göstergeler varsa, belirli bir cihaz grubu kapsamındaki gösterge, tüm cihazları hedefleyen bir göstergeden önceliklidir.

Otomatik araştırma ve düzeltme göstergelerle nasıl çalışır?

Uç Nokta için Defender'daki otomatik araştırma ve düzeltme özellikleri önce her kanıt parçası için bir karar belirler ve ardından Uç Nokta için Defender göstergelerine bağlı olarak bir eylemde bulunur. Bu nedenle, bir dosya/işlem "iyi" (herhangi bir tehdit bulunamadı anlamına gelir) kararı alabilir ve bu eylemle ilgili bir gösterge varsa yine de engellenebilir. Benzer şekilde, bir varlık "kötü" (kötü amaçlı olduğu belirlendiği anlamına gelir) kararı alabilir ve bu eylemle ilgili bir gösterge varsa buna izin verilir.

Aşağıdaki diyagramda otomatik araştırma ve düzeltmenin göstergelerle nasıl çalıştığı gösterilmektedir:

Otomatik araştırmayı, düzeltmeyi ve göstergeleri gösteren ekran görüntüsü.

Diğer sunucu iş yükleri ve dışlamalar

Kuruluşunuz Exchange Server, SharePoint Server veya SQL Server gibi diğer sunucu iş yüklerini kullanıyorsa, Windows Server'da yalnızca yerleşik sunucu rollerinin (daha sonra yüklediğiniz yazılımlar için önkoşul olabilir) otomatik dışlamalar özelliği (ve yalnızca varsayılan yükleme konumlarını kullanırken) hariç tutulduğunu unutmayın. Büyük olasılıkla bu diğer iş yükleri için veya otomatik dışlamaları devre dışı bırakırsanız tüm iş yükleri için virüsten koruma dışlamaları tanımlamanız gerekir.

İhtiyacınız olan dışlamaları belirlemek ve uygulamak için teknik belgelere bazı örnekler aşağıda verilmiştir:

Ne kullandığınıza bağlı olarak, bu sunucu iş yükünün belgelerine başvurmanız gerekebilir.

İpucu

Performans ipucu Çeşitli faktörler nedeniyle, diğer virüsten koruma yazılımları gibi Virüsten Koruma Microsoft Defender uç nokta cihazlarında performans sorunlarına neden olabilir. Bazı durumlarda, bu performans sorunlarını gidermek için Microsoft Defender Virüsten Koruma'nın performansını ayarlamanız gerekebilir. Microsoft'un Performans çözümleyicisi hangi dosyaların, dosya yollarının, işlemlerin ve dosya uzantılarının performans sorunlarına neden olabileceğini belirlemeye yardımcı olan bir PowerShell komut satırı aracıdır; bazı örnekler şunlardır:

  • Tarama süresini etkileyen en iyi yollar
  • Tarama süresini etkileyen en önemli dosyalar
  • Tarama süresini etkileyen en önemli işlemler
  • Tarama süresini etkileyen en iyi dosya uzantıları
  • Birleşimler, örneğin:
    • uzantı başına en çok kullanılan dosyalar
    • uzantı başına en iyi yollar
    • yol başına en üstteki işlemler
    • dosya başına en çok tarama
    • işlem başına dosya başına en çok tarama

Performans sorunlarını daha iyi değerlendirmek ve düzeltme eylemleri uygulamak için Performans çözümleyicisi kullanılarak toplanan bilgileri kullanabilirsiniz. Bkz. Microsoft Defender Virüsten Koruma için performans çözümleyicisi.

Ayrıca bkz.

İpucu

Daha fazla bilgi edinmek mi istiyorsunuz? Teknoloji Topluluğumuzdaki Microsoft Güvenlik topluluğuyla Engage: Uç Nokta için Microsoft Defender Teknoloji Topluluğu.