防篡改保护概述

  • 适用于: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business, Microsoft Defender Antivirus

Microsoft Defender for Endpoint 中的篡改保护有助于保护重要的安全设置不被禁用或更改。 在网络攻击中，攻击者常试图禁用设备的安全功能，以访问数据、安装恶意软件，并利用数据、身份和设备。

您的安全团队可以管理组织内设备的防篡改保护。

有关常见问题解答，请参见 关于防篡改的常见问题解答。 如需帮助设置被阻挡和排除保护，请参见“ 防篡改问题的故障排除”。

注释

受控配置 基于防篡改保护。 管理体验中现有的防篡改设置被重命名为受控配置。 重命名的设置并不会自动启用受控配置保护。 通过Microsoft Intune或Microsoft Defender for Endpoint的安全设置管理部署受控配置策略以启用这些策略。

防篡改保护模式

Windows、macOS 和 Linux 设备上的防篡改保护模式和受保护的设置各不相同。

Windows设备上的防篡改保护模式

篡改保护不会阻止你查看安全设置，也不会影响非 Microsoft 杀毒软件在 Windows 安全中心 应用中的注册方式。 当 Defender 杀毒软件以被动模式运行时，它继续保护 Microsoft Defender 杀毒服务及其功能。 有关主动和被动模式的更多信息，请参见 Microsoft Defender 杀毒软件与其他安全产品的兼容性。

在 Windows 设备上，防篡改具有以下模式：

  • 禁用：篡改防护已关闭。
  • 启用：已开启防篡改保护，以下防篡改设置不可更改：
    • 病毒和威胁防护保持启用状态。
    • 实时保护保持打开状态。
    • 行为监视仍处于打开状态。
    • 杀毒软件保护，包括IOfficeAntivirus（IOAV），依然开启。
    • 云保护保持启用状态。
    • 安全情报已更新。
    • 对检测到的威胁执行自动操作。
    • 通知可在 Windows 安全中心 应用中查看。
    • 存档文件会被扫描。
    • 排除项不能被修改或添加。 请参阅使用篡改防护保护 Microsoft Defender 防病毒排除项。
    • 通过注册表修改 Microsoft Defender 杀毒软件设置的尝试会被阻止。

注释

当防篡改保护开启时，通过管理工具（包括组策略）所做的更改看似成功，但篡改保护会阻止这些更改。 需要更改保护设置时，使用 故障排除模式 暂时禁用防篡改保护。

自安全情报更新 1.383.1159.0 （2023年3月）起，防篡改功能不再将 “允许扫描网络文件 ”锁定为默认值。 在托管环境中，默认值为 enabled。

为了确保防篡改不会干扰非 Microsoft 的安全产品或修改 Microsoft Defender 杀毒设置的企业安装脚本，建议使用安全情报版本1.287.60.0（2019 年 2 月）或更晚版本。 查看Microsoft Defender杀毒软件及其他Microsoft反恶意软件的最新安全情报更新。

有关配置方法和优先级信息，请参见“配置 Windows 设备上的篡改保护”。

在 Windows 设备上，篡改保护是反篡改功能的一部分，其中包括标准的保护攻击面减少（ASR）规则。 防爆破保护也是 内置保护的重要组成部分。 有关详细信息，请参见:

macOS设备上的防篡改模式

在macOS设备上，防篡改具有以下模式：

  • 禁用：篡改防护已关闭。
  • 审计：篡改保护会记录试图卸载 Defender for Endpoint 代理，或创建、删除、重命名或修改 Defender for Endpoint 文件的行为。 它不会阻止这些尝试。 安装 Defender for Endpoint 后，审计模式是默认的。
  • 屏蔽：篡改保护阻止卸载 Defender for Endpoint 代理或创建、删除、重命名或修改 Defender for Endpoint 文件的尝试。 试图停止进程 wdavdaemon 的命令也会失败。

有关配置方法和优先级信息，请参见“配置 macOS 上的 Microsoft Defender for Endpoint 防篡改保护”。

Linux设备上的防篡改模式

Important

Linux 设备上的防篡改保护目前处于预览阶段。

在 Linux 设备上，目前仅在 审计 模式下提供篡改保护。 审计模式检测并报告未经授权的 Defender for Endpoint 资产更改，即使这些更改是根用户完成的。 它不会阻挡活动。

审计模式检测以下篡改尝试：

  • 修改 Defender for Endpoint 配置文件。
  • 删除、重命名或移动 Defender for Endpoint 配置文件、状态文件和二进制文件。
  • 停止 Defender for Endpoint 进程或重启 Defender for Endpoint 服务。

关于支持的 Linux 发行版、前置条件、验证和测试，请参见 Linux 上 Microsoft Defender for Endpoint 的审计模式下的 Tamper 保护。

防篡改要求

受支持的操作系统

篡改保护适用于运行以下操作系统之一的设备：

  • 支持的Linux发行版和内核版本，审计模式下的篡改保护目前处于预览阶段。
  • macOS 设备，其中篡改保护采用因平台而异的模式和行为。
  • Windows 10及更高版本，包括企业级多会话。
  • Windows Server 2016及以后版本。
  • Windows Server，版本为1803或更高。
  • 使用现代统一解决方案的Windows Server 2012 R2
  • Azure Stack HCI OS 版本 23H2 及更高版本。

在以下版本的Windows上，Windows 安全中心应用不会显示是否启用了防篡改保护：

  • 使用现代统一解决方案的 Windows Server 2012 R2
  • Windows Server 2016
  • Windows 10：
    • 版本1809（2018年11月）
    • 版本1803（2018年4月）
    • 版本1709（2017年10月）
  • Windows Server 2019

Important

在 Windows Server 2016 上，启用篡改保护时，Windows 安全中心 应用也可能显示不准确的实时保护状态。 要检查这两个设置，请参见 “用PowerShell确定篡改保护和实时保护的状态”。

所需的权限

所需权限取决于你如何配置防篡改保护：

Important

* 遵循最小权限原则，只分配账户所需的权限。 全球管理员职位享有高度特权。 仅在紧急情况下，或在无法使用权限较低的角色时使用它。

设备上线要求

设备必须先接入 Defender for Endpoint，才能通过 Intune 或 Microsoft Defender 门户配置防篡改保护。 如果设备尚未载入，篡改防护会显示为不适用，直到完成载入。

Windows管理方法的要求

其他要求会根据你如何配置防篡改保护而有所不同：

  • Microsoft Intune：

    • 你拥有 Intune 许可证。 Intune是一个独立产品，并非包含在所有Defender for Endpoint订阅中。 请参阅Microsoft Intune许可。
    • 你的组织使用 Intune 来管理设备。 此功能不支持共同管理的设备。
    • Windows 10 需求：版本 1709（2017 年 10 月）或更高版本。
    • Microsoft Defender 杀毒软件需求：
      • 平台更新： 4.18.1906.3 （2019年6月）或更晚。
      • 发动机更新： 1.1.15500.X （2019年3月）或更晚。
    • Intune 和 Defender for Endpoint 使用相同的 Microsoft Entra 基础设施。
    • 在设备上将 DisableLocalAdminMerge 设置为 true。

  • Microsoft Defender portal：

    • Microsoft Defender 杀毒软件需求：

      • 平台更新： 4.18.2010.7 （2020年10月）或更晚。
      • 发动机更新： 1.1.17600.5 （2020年10月）或更晚。

    • 云端保护被开启，以便控制启用状态。

      从平台更新 4.18.2111.5（2021 年 11 月）开始，开启防篡改保护后，如果设备上尚未启用云提供的保护，则会自动将其启用。

  • Microsoft Configuration Manager：设置tenant attach。 租户附件会同步本地的 Configuration Manager 设备与 Microsoft Intune 管理中心，以便你可以向设备集合部署终端安全策略。

  • Windows 安全中心 应用：Windows 设备不由安全团队管理。

注释

防篡改可能会阻止某些安全设置的更改。 如果出现事件ID 5013，请查看事件日志和错误代码以排查Microsoft Defender杀毒软件的问题。

篡改防护排除项

在Windows和macOS设备上，篡改保护排除条款有不同的用途。

Windows设备

在 Windows 设备上，防篡改可以在特定条件下保护组织管理的 Microsoft Defender 杀毒软件排除列表免受未经授权更改。 这些排除定义了 Microsoft Defender 杀毒软件无法扫描的文件、文件夹、文件类型和进程。 有关要求和验证步骤，请参阅使用篡改防护保护 Microsoft Defender 防病毒排除项。

macOS 设备

在macOS设备上，篡改保护排除允许可信进程执行原本会被篡改保护阻挡的操作。 Defender for Endpoint 包含适用于 Jamf 和 Intune 管理进程的内置排除项。 您可以使用MDM配置文件，根据路径、团队ID、签名ID、进程参数或这些属性的组合，为其他受信任的管理进程添加排除项。 欲了解更多信息，请参阅 在 macOS 上配置防篡改保护排除项。

查看有关篡改尝试的信息

篡改尝试可能表明这是更大规模的网络攻击。 攻击者会尝试更改安全设置以在设备上持续存在，从而避免被发现。

在 Windows 设备上，Defender for Endpoint 检测到可能试图关闭 Microsoft Defender 杀毒保护或更改杀毒排除选项的尝试。 篡改行为还可能包括试图阻止或修改Defender for Endpoint传感器，或绕过篡改保护。 有关警报标题的示例，请参见 在 Microsoft Defender 门户中检测潜在篡改活动。

在 Linux 设备上，审计模式下的篡改保护目前处于预览阶段。 篡改警报可在设备时间线以及 Microsoft Defender 门户的事件和警报中查看。

一些潜在的篡改活动会在Defender门户https://security.microsoft.com/alerts的警报页面生成警报。 打开警报以查看受影响的资产和实体、警报触发的原因，以及活动发生前后发生的相关事件。 警报进程树和时间线可以帮助您识别与尝试相关的进程、文件、用户或设备。 欲了解更多信息，请参见“调查 Microsoft Defender for Endpoint 中的警报”。

为了减少不必要的警报噪声，与可疑活动无关的篡改活动可能不会触发警报。 该活动仍可在设备时间线和高级搜寻中查看。

您的安全运营团队可以使用 终端检测与响应 技术来调查受影响设备并采取响应措施。 他们还可以利用高级狩猎技术查找相关事件和警报。

使用高级搜寻进行查询篡改尝试

来自受支持操作系统的篡改事件可在 DeviceEvents 表中查看。 有关查询、受支持的表和所需权限的信息，请参阅 使用高级搜寻主动搜寻威胁。

在Defender门户https://security.microsoft.com/v2/advanced-hunting的高级狩猎页面上，运行以下查询：

DeviceEvents
| where Timestamp > ago(10d)
| where ActionType == "TamperingAttempt"

要将结果限制为特定设备，请添加以下行，并将 https://security.microsoft.com/machines 替换为 Defender 门户中位于 <DeviceId> 的 设备清单 页面上的设备 ID：

| where DeviceId == "<DeviceId>"

防篡改警报名称因检测到的活动和操作系统而异。 以下查询返回两个已知的防篡改警报标题：

AlertInfo
| where Timestamp > ago(10d)
| where DetectionSource == "EDR"
| where Title in ("Tamper Protection bypass", "Tampering with the Microsoft Defender for Endpoint sensor")

根据需要调整 Timestamp 任一查询的值。

调整警报，以识别合法的篡改活动

为了减少已知和批准活动带来的警报噪声，可以在 Microsoft Defender 门户中创建警报调优规则。 有关详细信息，请参阅 优化警报。

查看安全建议

篡改防护与 Microsoft Defender 漏洞管理 集成。 安全建议 会识别未开启防篡改保护的设备。 在 漏洞管理仪表盘中搜索“ 篡改”，然后在结果中选择 “启用防篡改保护 ”。 有关详细信息，请参阅 Defender 漏洞管理 仪表板见解。

相关内容

  • 上次更新时间为