Microsoft Defender for Endpoint中的 Web 内容筛选

网页内容过滤是 Microsoft Defender for Endpoint 和 Microsoft Defender 商业版 中网络保护的一部分。 使用网页内容过滤功能，根据内容类别追踪和监管访问网站。 即使网站不恶意，也可能因合规要求、带宽使用或其他顾虑而不适用。

Web 内容筛选具有以下优势：

• 无论用户是在您的网络内还是离开网络，都可以阻止受管设备访问某些类别的网站。
• 在集中报告中审查区块和网页使用情况。
• 在 Defender for Endpoint 中，给设备组分配不同的策略。
• 在 Defender 商业版 中，定义一个适用于所有用户的网页内容过滤策略。

为设备组配置策略以阻止选定类别。 屏蔽类别会阻止该组中设备上的用户访问与类别相关的URL。 未被封锁的类别中的URL会被审计。 用户可以在无干扰的情况下访问经过审计的网址，你可以利用访问统计数据做出明智的政策决策。 当网页尝试加载被阻断的资源时，用户会收到通知。

在 Windows 上，Microsoft Defender SmartScreen 在 Microsoft Edge 和仍支持该功能的操作系统上的 Internet Explorer 11 中强制执行网页内容过滤。 网络保护在Google Chrome、Mozilla Firefox、Brave和Opera中强制执行网页内容过滤。 在macOS和Linux上，网络保护会在支持的浏览器中强制进行网页内容过滤。 所有要求请参见 先决条件。

先决条件

确保您的环境满足以下要求：

• 订阅：您的订阅必须包含以下计划之一：
  • Windows 10/11 Enterprise E5
  • Microsoft 365 E5
  • Microsoft 365 A5
  • Microsoft Defender 套件
  • Microsoft 365 E3
  • Microsoft Defender for Endpoint 计划 1 或计划 2
  • Microsoft Defender 商业版
  • Microsoft 365 商业高级版
• 门户访问权限：您必须拥有Microsoft Defender门户的访问权限，并拥有以下任务的权限：
  • Microsoft Defender 统一基于角色的访问控制（RBAC）：
    • 查看策略和报告：安全操作 \ 安全数据 \ 安全数据基础（已阅读）。
    • 创建、更新或删除策略并允许指示：安全操作 \ 安全数据 \ 响应（管理）。
    • 开启网页内容过滤：授权与设置 \ 安全设置 \ 核心安全设置（管理）。
  • Defender for Endpoint RBAC，适用于尚未启用统一 RBAC 的组织：
    • 查看政策和报告： 查看数据 \ 安全操作。
    • 创建、更新或删除策略并允许指示： 主动修复操作 \ 安全操作。
    • 开启网页内容过滤： 在安全中心管理安全设置。
  • 将角色分配给管理员管理的设备组。
• 操作系统：设备必须运行以下操作系统之一：
  • Windows 11、Windows 10 版本 1607（2016 年 8 月）或更高版本，或 Windows Server 2019 及更高版本，并配备最新的 Microsoft Defender 杀毒软件更新
  • 受适用于 macOS 的网络保护支持的 macOS 版本
  • 受适用于 Linux 的网络保护支持的 Linux 版本
• 浏览器：设备必须使用 Microsoft Edge、Google Chrome、Mozilla Firefox、Brave 或 Opera。 Internet Explorer 11 仅在仍作为 Windows 组件的操作系统上支持。
• 保护配置：
  • 在 Windows 上，启用 Microsoft Defender SmartScreen for Microsoft Edge。
  • 在 Windows 上，启用对支持的非 Microsoft 浏览器的网络保护，设置为阻挡模式。
  • 在 macOS 和 Linux 上，为所有受支持的浏览器（包括 Microsoft Edge）启用阻止模式的网络保护。

Web 内容筛选数据存储和隐私

有关 Defender for Endpoint 如何存储、处理和保护网页内容过滤数据的信息，请参见 Microsoft Defender for Endpoint 数据存储与隐私。

多个有效策略的优先级

将多个不同的 Web 内容筛选策略应用于同一设备会导致对每个类别应用更严格的策略。 请考虑以下情况：

• 策略 1：阻止类别 1 和 2 并审核其余类别
• 策略 2：阻止类别 3 和 4，并审核其余类别

结果是类别1到类别4全部被阻塞，如下图所示：

启用 Web 内容筛选

在Microsoft Defender门户https://security.microsoft.com/securitysettings/endpoints/integration的可选功能页面，请确认网页内容过滤设置为开启。 如有必要，将开关滑动到 开启，然后选择 保存偏好设置。

创建 Web 内容筛选策略

网页内容过滤策略指定每个设备组要屏蔽以下哪些父类别和子类别：

• 成人内容：
  • 邪教：与成员对不同于普遍接受信仰体系充满热情的团体或运动相关的网站。
  • 赌博：网络赌博及其推广赌博的网站。
  • 裸体：提供全裸或部分裸露的图片或视频的网站，通常以艺术形式呈现，并可能允许下载或销售这些材料。
  • 色情/性露骨：包含性露骨内容或其他性取向材料的网站。
  • 性教育：讨论性和性取向的网站，包括人类生殖、避孕、预防性传播疾病以及性健康。
  • 低俗：包含可能不适合儿童或在工作场所不宜展示的内容，但不一定涉及暴力或色情的网站。
  • 暴力：展示或宣传针对人类或动物暴力的网站。
• 高带宽：
  • 下载网站：主要目的是下载媒体或软件的网站。
  • 图片分享：主要用于查找或分享照片的网站，包括具有社交功能的网站。
  • 点对点：托管点对点（P2P）软件或促进点对点文件共享的站点。
  • 流媒体与下载：主要用于分发、查找、观看或收听流媒体的网站。
• 法律责任：
  • 儿童虐待图片：包含儿童虐待内容的网站。
  • 犯罪活动：指导、建议或推广非法活动的网站。
  • 黑客攻击：提供非法或可疑软件或硬件使用资源的网站，包括破解的版权材料。
  • 仇恨与不容忍：那些通过种族、宗教、性别、年龄、国籍、残疾、经济状况、性取向或生活方式等特征来识别群体，传播攻击性、贬低或辱骂性观点的网站。
  • 非法毒品：销售非法或受控物质、宣传物质滥用或销售相关用具的网站。
  • 非法软件：包含或推广恶意软件、间谍软件、僵尸网络、钓鱼诈骗、盗版或版权盗窃的网站。
  • 学校作弊：与抄袭或学校作弊相关的网站。
  • 自残：鼓励自残的网站，包括包含辱骂或威胁信息的网络欺凌网站。
  • 武器：销售或倡导使用武器的网站，包括枪支、刀具和弹药。
• 休闲：
  • 聊天：主要用作网络聊天室的网站。
  • 游戏：与视频或电脑游戏相关的网站，包括托管游戏或提供游戏信息的网站。
  • 即时通讯：用于下载或访问即时通讯软件的网站。
  • 专业网络：提供专业社交服务的网站。
  • 社交网络：提供社交网络服务的网站。
  • 基于网络的电子邮件：提供基于网络的电子邮件服务的网站。
• 未分类：
  • 新注册域名：过去30天内注册但未被分配到其他类别的网站。
  • 停放域名：没有内容或保留以供后续使用的网站。

注意

未分类 仅包含新注册域名和停放域名。 它并不包括所有不属于其他类别的网站。

远程代理网站 被归类为 非法软件 ，因为它们可以将流量导向任何目的地，包括不受欢迎、恶意或非法内容。 要为特定站点绕过类别拦截，请创建一个允许标记。

创建策略

注意

• 从创建策略的时间到在设备上强制实施策略的时间，延迟可能长达 2 小时。
• 无需选择要阻止的任何类别即可部署策略。 此操作会创建仅审核策略，以帮助在创建阻止策略之前了解用户行为。
• 如果要同时删除策略或更改设备组，则策略部署可能会延迟。
• 屏蔽 未分类 类别可能导致意想不到且不想要的结果。

要制定网页内容过滤政策，请按照以下步骤操作：

1. 在Microsoft Defender门户https://security.microsoft.com/securitysettings/endpoints/web_content_filtering_policy的网页内容过滤页面，选择添加政策。

2. 系统将打开添加策略向导。 在“ 常规 ”页上，为策略指定唯一的描述性名称，然后选择“ 下一步”。

3. 在 “被屏蔽类别 ”页面，选择一个或多个要屏蔽的 网页内容类别 ，然后选择 “下一步”。

4. 在 范围 页面，选择该策略适用的设备组。 机器组的默认值是全部选择。 选择 下一步。

   提示

   如果使用 Microsoft 365 商业高级版 或 Microsoft Defender 商业版，则默认情况下，Web 内容筛选策略将应用于所有用户。 范围界定不适用。

5. 在“摘要”页上，查看您的设置。 选择 返回 以进行更改，或选择 提交 以创建策略。

最终用户体验

在支持的非 Microsoft 浏览器中，网络保护在阻断连接时会显示系统通知。 Microsoft Edge 提供了浏览器内的屏蔽页面。

从Microsoft Edge 124版本开始，以下页面显示所有网页内容过滤块。

允许特定网站

要覆盖特定网站的网页内容过滤类别屏蔽，可以创建 自定义允许指示器。 允许指标优先于网页内容过滤政策。

要定义允许指示器，请按照以下步骤操作：

1. 在Microsoft Defender门户https://security.microsoft.com/securitysettings/endpoints/custom_ti_indicators的指示器页面，选择“URL/域名”标签，然后选择添加项目。

2. 添加指示器向导随即打开。 在“ 指示器 ”选项卡上，输入以下信息：

   • URL/域名
   • 标题：输入唯一的描述性名称。
   • 到期时间 (UTC) ：选择 “从不 (默认) ”或 “自定义” 以输入到期日期。

   在 “统计信息 ”部分中，可以选择“ 显示统计信息 ”，以了解添加此自定义指示器的效果。

   完成“ 指示器 ”页后，选择“ 下一步”。

3. 在 “操作” 页上，选择“ 允许”，然后选择“ 下一步”。

4. 在 “组织范围 ”页上，选择设备组范围。 默认值为 “我组织中的所有设备”。 选择 下一步。

5. 在“摘要”页上，查看您的设置。 选择 返回 以进行更改，或选择 提交 以创建指示器。

争议类别

如果遇到分类错误的域，可以直接在Microsoft Defender门户中对类别提出异议。

在Microsoft Defender门户https://security.microsoft.com/reports/webprotection的网页保护页面，选择“网页内容过滤类别详情”，然后选择“域名”标签。找到域名，选择省略号（...），然后选择争议类别。

在打开的面板中，选择优先级并提供详细信息，比如建议的类别。 选择“提交”。 Microsoft会在一个工作日内审核该请求。 在请求审核期间要解除域名封锁，可以创建一个 自定义允许指示器。

监视 Web 内容筛选报告

在Microsoft Defender门户https://security.microsoft.com/reports/webprotection的网络防护页面上，查看内容过滤和网络威胁防护的卡片。 以下卡片总结了内容过滤活动。

按类别划分的 Web 活动

按类别划分的 网页活动 卡片列出访问尝试增加或减少最多的父类别。 回顾过去30天、3个月或6个月的活动。 选择类别以查看详情。

在使用 Web 内容筛选的前 30 天内，组织可能没有足够的数据按类别卡显示 Web 活动。

网页内容筛选摘要卡

Web 内容筛选摘要卡片显示不同父级 Web 内容类别中被阻止的访问尝试分布。 选择其中一个彩色条，以查看有关特定父级网站类别的更多信息。

网络活动摘要卡片

Web 活动摘要卡显示所有 URL 中 Web 内容的请求总数。

查看卡详细信息

要打开卡片的报告详情，请选择表格中的一行或图表中的一个条形。 详细信息包括网页内容类别、域名和设备组的统计数据。

• Web 类别：列出组织中曾尝试访问的 Web 内容类别。 选择特定类别以打开摘要浮出控件。
• 域名：列出你的组织中已访问或已阻止的 Web 域名。
• 设备组：列出所有在你组织中产生网络活动的设备组。

使用页面左上角的时间范围筛选器选择时间段。 还可以筛选信息或自定义列。 选择一行以打开浮出控件窗格，其中包含有关所选项目的详细信息。

已知问题和限制

• 网页内容过滤通过进程名称识别支持的浏览器。 当本地代理应用程序（如Fiddler）掩盖起始进程名称时，它就无法实现。 网页内容过滤在孤立的浏览器会话中也无法工作，比如 Microsoft Defender 应用程序防护。

• 网页内容过滤在非 Microsoft 浏览器中使用网络保护。 在这些浏览器中屏蔽需要浏览器 配置以进行内容检查。 对于 HTTPS 流量，完整 URL 路径只能在 Microsoft Edge 中被阻断。 要在其他浏览器中屏蔽某些网页应用，您可能需要为该应用的登录域名创建自定义屏蔽指示器。 该指示器也可能阻挡使用同一域的其他服务。

• 网页内容过滤对数十亿个URL进行了分类，但新网站可能不会立即被分类。 网站的内容和分类也可能发生变化。 为了更好地控制访问网站，可以创建自定义指示器来允许或屏蔽访问。

• 如果您使用 Microsoft 365 商业高级版 或 Microsoft Defender 商业版，您只能为您的环境定义一个网页内容过滤策略。

相关内容

• Web 保护功能概述
• Web 威胁防护功能
• 监控网络安全
• 应对网络威胁
• 网络保护的要求