是否可以在块模式下为 EDR 指定排除项？
如果收到误报，可以在Microsoft 安全智能提交站点提交文件进行分析。
还可以为 Microsoft Defender 防病毒定义排除项。 请参阅配置和验证Microsoft Defender防病毒扫描的排除项。
如果我在设备上运行了Microsoft Defender防病毒，是否需要在阻止模式下打开 EDR？
是的，Microsoft建议在阻止模式下启用 EDR，即使系统上的主防病毒软件Microsoft Defender防病毒软件也是如此。 阻止模式下的 EDR 的主要用途是修正非Microsoft防病毒产品错过的违规后检测。 但是，在某些情况下，块模式下的 EDR 可能会带来好处，例如，Microsoft Defender防病毒配置错误，或者未启用 PUA 保护。 在这种情况下，处于块模式的 EDR 可以自动修正 PUA 等检测。
处于阻止模式的 EDR 会影响用户的防病毒保护吗？
处于阻止模式的 EDR 不会影响在用户设备上运行的非Microsoft防病毒保护。 如果主防病毒解决方案缺少某些内容，或者存在违规后检测，则块模式下的 EDR 有效。 块模式下的 EDR 的工作方式与被动模式下的 Microsoft Defender 防病毒一样，但块模式下的 EDR 也会阻止并修正检测到的恶意项目或行为。
为什么需要使防病毒Microsoft Defender保持最新状态？
由于Microsoft Defender防病毒会检测并修正恶意项目，因此请务必使其保持最新状态。 若要使块模式下的 EDR 有效，它使用最新的设备学习模型、行为检测和启发式。 Defender for Endpoint 的功能堆栈以集成方式工作。 若要获得最佳保护值，应使防病毒Microsoft Defender保持最新状态。 请参阅管理Microsoft Defender防病毒更新和应用基线。
为什么我们需要云保护 (MAPS) ？
需要云保护才能打开设备上的功能。 云保护允许 Defender for Endpoint 基于安全智能的广度和深度以及行为和设备学习模型提供最新、最出色的保护。
主动模式和被动模式之间的区别是什么？
对于运行 Windows 10、Windows 11、Windows Server 版本 1803 或更高版本、Windows Server 2019 或 Windows Server 2022 的终结点，当Microsoft Defender防病毒处于活动模式时，它将用作设备上的主防病毒。 在被动模式下运行时，Microsoft Defender防病毒不是主要防病毒产品。 在这种情况下，Microsoft Defender防病毒不会实时修正威胁。
注意
仅当设备载入到Microsoft Defender for Endpoint时，Microsoft Defender防病毒才能在被动模式下运行。
有关详细信息，请参阅Microsoft Defender防病毒兼容性。
如何实现确认防病毒Microsoft Defender处于主动模式还是被动模式？
若要确认Microsoft Defender防病毒是在主动模式还是被动模式下运行，可以在运行 Windows 的设备上使用命令提示符或 PowerShell。
| 方法 | Procedure |
|---|---|
| PowerShell | 1. 选择“开始”菜单，开始键入 PowerShell，然后在结果中打开Windows PowerShell。2.键入 Get-MpComputerStatus。3. 在结果列表中的 AMRunningMode 行中，查找以下值之一： - Normal- Passive Mode若要了解详细信息，请参阅 Get-MpComputerStatus。 |
| 命令提示符 |
|
如何实现确认处于块模式的 EDR 处于打开状态，Microsoft Defender防病毒处于被动模式？
可以使用 PowerShell 确认在阻止模式下打开 EDR，并且Microsoft Defender防病毒在被动模式下运行。
选择“开始”菜单，开始键入
PowerShell，然后在结果中打开Windows PowerShell。类型
Get-MPComputerStatus|select AMRunningMode。确认显示结果
EDR Block Mode。
提示
如果Microsoft Defender防病毒处于活动模式，你将看到 Normal 而不是 EDR Block Mode。 若要了解详细信息，请参阅 Get-MpComputerStatus。
Windows Server 2016 和 Windows Server 2012 R2 是否支持处于块模式的 EDR？
如果Microsoft Defender防病毒在主动模式或被动模式下运行，则以下版本的 Windows 支持块模式下的 EDR：
- Windows 11
- Windows 10 (所有版本)
- Windows Server 版本 1803 或更高版本
- Windows Server 2022
- Windows Server 2019
- 使用新的统一客户端解决方案) Windows Server 2016和Windows Server 2012 R2 (
使用适用于 Windows Server 2016 和 Windows Server 2012 R2 的新统一客户端解决方案，可以在被动模式或主动模式下以块模式运行 EDR。
注意
Windows Server 2016和Windows Server 2012 R2 必须按照载入 Windows 服务器中的说明载入，才能使此功能正常工作。
禁用块模式下的 EDR 需要多长时间？
如果选择在块模式下禁用 EDR，系统最多可能需要 30 分钟才能禁用此功能。