排查篡改防护方面的问题

解决Windows和macOS上常见的防篡改问题，以及Linux上的预览功能。 有关受保护设置的概述，请参见 “Tamper Protection 概述”。 关于设置说明，请参见“配置 Windows 设备上的篡改保护”、“在 macOS 上配置 Microsoft Defender for Endpoint 的篡改保护”，或在 Linux 上为 Microsoft Defender for Endpoint 配置“审计模式下的篡改保护”。 有关一般问题，请参见 关于防篡改的常见问题解答。

篡改保护是指在托管的Windows设备上阻止必要的更改。 我该怎么办？

使用 故障排除模式 临时更改设备的防篡改设置。 当你暂时关闭防篡改保护时，设备必须处于在线状态。 故障排除模式到期后，临时更改被丢弃，设置恢复为之前的策略管理值。

使用 组策略 对Microsoft Defender防病毒设置的更改将被忽略。 为什么会发生这种情况，我们该怎么办？

当防篡改保护开启时，组策略对防篡改设置的更改看似成功，但篡改保护会阻止这些更改。 更多信息请参见 防拆概览。

要对设备进行临时更改，请使用 故障排除模式。 要进行永久性更改，请调整防篡改策略或通过Intune或Configuration Manager将受影响设备排除在防篡改保护之外。 关于策略配置细节，请参见“配置 Windows 设备上的篡改保护”。

为什么防篡改显示为不适用？

设备必须先接入 Microsoft Defender for Endpoint，然后通过 Intune 或 Microsoft Defender 门户配置防篡改保护。 如果设备尚未载入，篡改防护会显示为不适用，直到完成载入。 请参阅设备载入要求。

为什么 Microsoft Defender 杀毒软件生成事件编号 5013？

事件ID 5013表示篡改保护阻止了对Microsoft Defender杀毒设置的更改。 该事件标识了尝试执行的操作试图更改的设置。 请参阅查看事件日志和错误代码以排查 Microsoft Defender 杀毒软件的问题。

为什么 Microsoft Defender 防病毒的排除项不受篡改保护？

排除保护要求使用受支持的 Microsoft Defender 平台版本、DisableLocalAdminMerge设置、受支持的设备管理状态以及集中管理的排除项。 请核实Protect Microsoft Defender杀毒软件排除条款中的需求和TPExclusions注册表值，并采用防篡改保护措施。

如何保护 Microsoft Defender 防病毒的排除项？

请参阅《使用篡改防护保护 Microsoft Defender 防病毒排除项》中的要求和验证步骤。

macOS 设备上的防篡改保护被报告为已禁用。 我该如何排查这个问题？

如果在您启用防篡改保护并将设备载入后超过一小时，mdatp health 仍报告防篡改保护已禁用，请检索详细的状态信息。 以下命令报告有效模式、配置源和受管理排除：

mdatp health --details tamper_protection

以下示例输出显示了策略传递的当前篡改保护模式、配置源和任何托管排除项。 验证 tamper_protection 和 configuration_source 是否与您预期的配置一致：

tamper_protection                           : "audit"
exclusions                                  : [{"path":"/usr/bin/ruby","team_id":"","signing_id":"com.apple.ruby","args":["/usr/local/bin/global_mdatp_restarted.rb"]}] [managed]
feature_enabled_protection                  : true
feature_enabled_portal                      : true
configuration_source                        : "local"
configuration_local                         : "audit"
configuration_portal                        : "block"
configuration_default                       : "audit"
configuration_is_managed                    : false

• tamper_protection 是 有效 模式。 如果数值与预期模式一致，说明防篡改保护配置正确。
• configuration_source 识别设定有效执行级别的来源。 数值应该和你配置防篡改的方法一致。 如果你使用的是托管配置文件，但该值不是 mdm，请检查配置文件配置。
  • mdm：管理配置文件配置该模式。 只有安全管理员才能通过更新配置文件来更改模式。
  • local： 该 mdatp config 命令配置模式。
  • portal：Microsoft Defender 门户负责配置默认的执行级别。
  • defaults： 没有源代码配置该模式，因此 Defender for Endpoint 使用默认模式。
• 如果 feature_enabled_protection 为 false，则未为组织启用篡改防护。 如果 Defender for Endpoint 未将该设备报告为已获许可，则可能会出现此值。
• 如果 feature_enabled_portal 为 false，则组织无法在 Microsoft Defender 门户中配置默认模式。
• configuration_local， configuration_portal， ， configuration_default 并显示每个配置源适用的模式。 例如，MDM 配置文件可以设置阻止模式，而 configuration_default报告审核模式。 如果你删除了 MDM 配置文件，且未应用任何本地设置或门户设置，Defender for Endpoint 将使用报告的默认模式。

Note

在版本 101.98.71（2023年5月）之前，请检查 Defender for Endpoint 日志以获取相同的信息。 执行以下命令以确认 Defender 核心日志中最新的防篡改功能状态条目：

sudo grep -F '[{tamperProtection}]: Feature state:' /Library/Logs/Microsoft/mdatp/microsoft_defender_core.log | tail -n 1

在Linux设备上，篡改保护审计模式被报告为禁用。 我该如何排查这个问题？

Important

Linux 的防篡改保护目前处于预览阶段。

在预览期间，Insiders-Slow 环中符合条件的设备默认启用审计模式。 该功能将在两周内逐步推出。 核实设备是否满足Linux的防篡改保护要求，包括Defender for Endpoint的版本、发行版和内核要求。

执行以下命令检查防篡改状态和错误：

mdatp health --details tamper_protection

以下输出显示在审计模式下无错误地启用了篡改保护：

tamper_protection_enforcement_level : "audit"
tamper_protection_errors            : []

如果 tamper_protection_enforcement_level 是 disabled，请使用 tamper_protection_errors 来确定原因：

Error	Description
tamper_protection_unsupported_kernel_version	设备内核版本不支持篡改保护。
not_supported_in_the_current_configuration	不能启用防震保护，因为没有所需的内部配置。

如果设备满足先决条件但审计模式仍然被禁用，请执行以下命令检查云配置：

mdatp health --details cloud

在输出中定位 ecs_configuration_version 。 以下数值表示云配置不可用：

ecs_configuration_version : unavailable

如果值为 unavailable，则允许访问 https://config.edge.skype.com/config/v1。 欲了解更多信息，请参见 Microsoft Defender for Endpoint 简化连接网址。

解决Windows和macOS上常见的防篡改问题，以及Linux上的预览功能。 有关受保护设置的概述，请参见 “Tamper Protection 概述”。 关于设置说明，请参见“配置 Windows 设备上的篡改保护”、“在 macOS 上配置 Microsoft Defender for Endpoint 的篡改保护”，或在 Linux 上为 Microsoft Defender for Endpoint 配置“审计模式下的篡改保护”。 有关一般问题，请参见 关于防篡改的常见问题解答。

使用 故障排除模式 临时更改设备的防篡改设置。 当你暂时关闭防篡改保护时，设备必须处于在线状态。 故障排除模式到期后，临时更改被丢弃，设置恢复为之前的策略管理值。

当防篡改保护开启时，组策略对防篡改设置的更改看似成功，但篡改保护会阻止这些更改。 更多信息请参见 防拆概览。

要对设备进行临时更改，请使用 故障排除模式。 要进行永久性更改，请调整防篡改策略或通过Intune或Configuration Manager将受影响设备排除在防篡改保护之外。 关于策略配置细节，请参见“配置 Windows 设备上的篡改保护”。

设备必须先接入 Microsoft Defender for Endpoint，然后通过 Intune 或 Microsoft Defender 门户配置防篡改保护。 如果设备尚未载入，篡改防护会显示为不适用，直到完成载入。 请参阅设备载入要求。

事件ID 5013表示篡改保护阻止了对Microsoft Defender杀毒设置的更改。 该事件标识了尝试执行的操作试图更改的设置。 请参阅查看事件日志和错误代码以排查 Microsoft Defender 杀毒软件的问题。

排除保护要求使用受支持的 Microsoft Defender 平台版本、DisableLocalAdminMerge设置、受支持的设备管理状态以及集中管理的排除项。 请核实Protect Microsoft Defender杀毒软件排除条款中的需求和TPExclusions注册表值，并采用防篡改保护措施。

请参阅《使用篡改防护保护 Microsoft Defender 防病毒排除项》中的要求和验证步骤。

如果在您启用防篡改保护并将设备载入后超过一小时，mdatp health 仍报告防篡改保护已禁用，请检索详细的状态信息。 以下命令报告有效模式、配置源和受管理排除：

mdatp health --details tamper_protection

以下示例输出显示了策略传递的当前篡改保护模式、配置源和任何托管排除项。 验证 tamper_protection 和 configuration_source 是否与您预期的配置一致：

tamper_protection                           : "audit"
exclusions                                  : [{"path":"/usr/bin/ruby","team_id":"","signing_id":"com.apple.ruby","args":["/usr/local/bin/global_mdatp_restarted.rb"]}] [managed]
feature_enabled_protection                  : true
feature_enabled_portal                      : true
configuration_source                        : "local"
configuration_local                         : "audit"
configuration_portal                        : "block"
configuration_default                       : "audit"
configuration_is_managed                    : false

• tamper_protection 是 有效 模式。 如果数值与预期模式一致，说明防篡改保护配置正确。
• configuration_source 识别设定有效执行级别的来源。 数值应该和你配置防篡改的方法一致。 如果你使用的是托管配置文件，但该值不是 mdm，请检查配置文件配置。
  • mdm：管理配置文件配置该模式。 只有安全管理员才能通过更新配置文件来更改模式。
  • local： 该 mdatp config 命令配置模式。
  • portal：Microsoft Defender 门户负责配置默认的执行级别。
  • defaults： 没有源代码配置该模式，因此 Defender for Endpoint 使用默认模式。
• 如果 feature_enabled_protection 为 false，则未为组织启用篡改防护。 如果 Defender for Endpoint 未将该设备报告为已获许可，则可能会出现此值。
• 如果 feature_enabled_portal 为 false，则组织无法在 Microsoft Defender 门户中配置默认模式。
• configuration_local， configuration_portal， ， configuration_default 并显示每个配置源适用的模式。 例如，MDM 配置文件可以设置阻止模式，而 configuration_default报告审核模式。 如果你删除了 MDM 配置文件，且未应用任何本地设置或门户设置，Defender for Endpoint 将使用报告的默认模式。

Note

在版本 101.98.71（2023年5月）之前，请检查 Defender for Endpoint 日志以获取相同的信息。 执行以下命令以确认 Defender 核心日志中最新的防篡改功能状态条目：

sudo grep -F '[{tamperProtection}]: Feature state:' /Library/Logs/Microsoft/mdatp/microsoft_defender_core.log | tail -n 1

Important

Linux 的防篡改保护目前处于预览阶段。

在预览期间，Insiders-Slow 环中符合条件的设备默认启用审计模式。 该功能将在两周内逐步推出。 核实设备是否满足Linux的防篡改保护要求，包括Defender for Endpoint的版本、发行版和内核要求。

执行以下命令检查防篡改状态和错误：

mdatp health --details tamper_protection

以下输出显示在审计模式下无错误地启用了篡改保护：

tamper_protection_enforcement_level : "audit"
tamper_protection_errors            : []

如果 tamper_protection_enforcement_level 是 disabled，请使用 tamper_protection_errors 来确定原因：

Error	Description
tamper_protection_unsupported_kernel_version	设备内核版本不支持篡改保护。
not_supported_in_the_current_configuration	不能启用防震保护，因为没有所需的内部配置。

如果设备满足先决条件但审计模式仍然被禁用，请执行以下命令检查云配置：

mdatp health --details cloud

在输出中定位 ecs_configuration_version 。 以下数值表示云配置不可用：

ecs_configuration_version : unavailable

如果值为 unavailable，则允许访问 https://config.edge.skype.com/config/v1。 欲了解更多信息，请参见 Microsoft Defender for Endpoint 简化连接网址。