使用受控文件夹访问保护文重要件夹

适用于：

• Microsoft Defender for Endpoint 计划 1
• Microsoft Defender for Endpoint 计划 2
• Microsoft Defender XDR
• Microsoft Defender 防病毒

适用对象

• Windows

希望体验 Defender for Endpoint？ 注册免费试用版。

平台

• Windows

什么是受控文件夹访问权限？

受控的文件夹访问有助于保护有价值的数据免受恶意应用和威胁（如勒索软件）的侵害。 受控文件夹访问通过检查应用是否存在已知的受信任应用列表来保护数据。 可以使用Microsoft Defender for Endpoint安全设置管理、Microsoft Intune、Microsoft终结点Configuration Manager或Windows 安全中心应用来配置受控文件夹访问权限。

受控文件夹访问最适用于 Microsoft Defender for Endpoint，它提供对受控文件夹访问事件和块的详细报告，作为常见警报调查方案的一部分。

受控文件夹访问权限的要求

在上支持受控文件夹访问：

• Windows 11
• Windows 10
• Windows Server 2025
• Windows Server 2022
• Windows Server 2019
• Windows Server 2016
• Windows Server 2012 R2

受控文件夹访问需要：

• Microsoft Defender防病毒是主动模式 (的主要防病毒) 。

• 需要打开 Real-Time 保护 (RTP) 。

提示

受控文件夹访问块不会在警报队列中生成 警报。 但是，可以在设备时间线视图中查看有关受控文件夹访问块的信息，同时使用高级搜寻或使用自定义检测规则。

受控文件夹访问如何工作？

受控文件夹访问权限的工作原理是仅允许受信任的应用访问受保护的文件夹。 配置受控文件夹访问权限时指定受保护的文件夹。 通常，常用文件夹（如用于文档、图片、下载等的文件夹）包含在受控文件夹列表中。

受控文件夹访问权限适用于受信任的应用列表。 受信任软件列表中包含的应用按预期工作。 阻止列表中未包含的应用对受保护文件夹内的文件进行任何更改。

应用会根据其普及率和信誉添加到列表中。 在整个组织中非常普遍且从未显示任何被视为恶意行为的应用被视为可信。 这些应用会自动添加到列表中。

还可以使用 Configuration Manager 或 Intune 手动将应用添加到受信任列表。 可以在Microsoft Defender门户中执行其他作。

为什么受控文件夹访问很重要

受控文件夹访问权限在帮助保护文档和信息免受 勒索软件攻击方面特别有用。 在勒索软件攻击中，文件可能会加密并被扣为人质。 在受控文件夹访问到位后，应用尝试对受保护文件夹中的文件进行更改的计算机上会显示通知。 你可以使用公司的详细信息和联系人信息自定义通知。 还可以单独启用规则以自定义功能所监视的技术。

受保护的文件夹包括常见系统文件夹 (包括启动扇区) ，你可以添加更多文件夹。 还可以 允许应用 授予它们对受保护文件夹的访问权限。

可以使用 审核模式 评估受控文件夹访问在启用后对组织的影响。

默认情况下，Windows 系统文件夹受到保护

默认情况下，Windows 系统文件夹和其他几个文件夹一起受到保护：

受保护的文件夹包括常见系统文件夹 (包括启动扇区) ，你可以添加其他文件夹。 还可以允许应用授予它们对受保护文件夹的访问权限。 默认保护的 Windows 系统文件夹包括：

• c:\Users\<username>\Documents
• c:\Users\Public\Documents
• c:\Users\<username>\Pictures
• c:\Users\Public\Pictures
• c:\Users\Public\Videos
• c:\Users\<username>\Videos
• c:\Users\<username>\Music
• c:\Users\Public\Music
• c:\Users\<username>\Favorites

默认文件夹显示在“ 此电脑”下的用户配置文件中，如下图所示：

相同的配置文件文件夹也受到系统帐户（如 LocalService、 NetworkService、 systemprofile等）的保护。 例如， C:\Windows\System32\config\systemprofile\Documents 也受到保护 (（如果存在) ）。

注意

可以将更多文件夹配置为受保护的文件夹，但不能删除默认受保护的 Windows 系统文件夹。

注意

使用 证书和文件指示器创建“允许”指示器时，受控制的文件夹访问不信任 PowerShell 等脚本引擎。 允许脚本引擎修改受保护文件夹的唯一方法是将其添加为允许的应用。 请参阅 允许特定应用对受控文件夹进行更改。

在Microsoft Defender门户中查看受控文件夹访问事件

提示

受控文件夹访问块不会在警报队列中生成 警报。 但是，可以在设备时间线视图中查看有关受控文件夹访问块的信息，同时使用高级搜寻或使用自定义检测规则。

Defender for Endpoint 在 Microsoft Defender 门户中提供有关事件和块的详细报告，作为警报调查方案的一部分。 有关详细信息，请参阅 Microsoft Defender XDR 中的Microsoft Defender for Endpoint。

可以使用高级搜寻查询Microsoft Defender for Endpoint数据。 如果使用 审核模式，则可以使用 高级搜寻 来了解受控制的文件夹访问设置在启用后对环境的影响。

示例查询：

DeviceEvents
| where ActionType in ('ControlledFolderAccessViolationAudited','ControlledFolderAccessViolationBlocked')

查看 Windows 事件查看器中的受控文件夹访问事件

你可以查看 Windows 事件日志，查看在受控文件夹访问阻止 (或) 应用审核时创建的事件：

1. 下载 评估包 并将文件 cfa-events.xml 提取到设备上易于访问的位置。

2. 在“开始”菜单中键入“事件查看器”以打开 Windows 事件查看器。

3. 在左侧面板的 “作”下，选择“ 导入自定义视图...”。

4. 导航到提取 cfa-events.xml 的位置并选择它。 或者， 直接复制 XML。

5. 选择“确定”。

   下表显示了与受控文件夹访问相关的事件：

   事件 ID	描述
   5007	更改设置时的事件
   1124	已审核的受控文件夹访问事件
   1123	阻止的受控文件夹访问事件
   1127	阻止的受控文件夹访问扇区写入阻止事件
   1128	审核的受控文件夹访问扇区写入阻止事件

受控文件夹访问体验

用户尝试安装触发受控文件夹访问的应用程序，如果软件或应用程序具有未知的信誉，Toast 通知会向用户显示以下内容：

Virus & threat protection
Unauthorized changes blocked
Controlled folder access blocked C:\...
\ApplicationName... from making changes to memory.

在“保护历史记录”中，你将看到：

Protected memory access blocked
MM/DD/YEAR HH:MM AM/PM

查看或更改受保护文件夹的列表

可以使用 Windows 安全中心 应用查看受受控文件夹访问权限保护的文件夹列表。

1. 在Windows 10或Windows 11设备上，打开Windows 安全中心应用。

2. 选择“病毒和威胁防护”。

3. 在 “勒索软件防护”下，选择“ 管理勒索软件防护”。

4. 如果已关闭受控文件夹访问，则需要将其打开。 选择 受保护的文件夹。

5. 采取以下步骤之一：

   • 若要添加文件夹，请选择“ + 添加受保护的文件夹”。
   • 若要删除文件夹，请选择该文件夹，然后选择“ 删除”。

   重要

   不要 (环回添加本地共享路径，) 为受保护的文件夹。 请改用本地路径。 例如，如果已将 共享 C:\demo 为 \\mycomputer\demo，则不要将 添加到 \\mycomputer\demo 受保护的文件夹列表中。 请改为添加 C:\demo。

默认情况下，Windows 系统文件夹 受到保护，你无法从列表中删除它们。 向列表添加新文件夹时，子文件夹也会包含在保护中。

提示

想要了解更多信息？ Engage技术社区中的Microsoft安全社区：Microsoft Defender for Endpoint技术社区。