封鎖模式中的端點偵測和回應
適用於：
- 適用於端點的 Microsoft Defender 方案 2
- Microsoft Defender XDR
- Microsoft Defender 防毒軟體
平台
- Windows
想要體驗適用於端點的 Microsoft Defender 嗎? 注册免費試用版。
本文說明封鎖模式中的 EDR，其可協助保護執行非Microsoft防病毒軟體解決方案的裝置， (被動模式Microsoft Defender 防病毒軟體) 。
什麼是封鎖模式中的 EDR？
當 Microsoft Defender 防病毒軟體不是主要防病毒軟體產品，且在被動模式中執行時，封鎖模式中 EDR) (端點偵測和回應可提供額外的保護，以防止惡意成品。 適用於端點的Defender方案2提供封鎖模式的EDR。
重要事項
當 Microsoft Defender 防病毒軟體即時保護處於被動模式時，封鎖模式中的 EDR 無法提供所有可用的保護。 某些相依於 Microsoft Defender 防病毒軟體成為作用中防病毒軟體解決方案的功能將無法運作，例如下列範例：
- 當 Microsoft Defender 防病毒軟體處於被動模式時，無法使用即時保護，包括存取掃描和排程掃描。 若要深入瞭解即時保護原則設定，請參閱 啟用和設定 Microsoft Defender 防病毒軟體永遠開啟保護] 。
- 網路 保護 和 受攻擊面縮小規則 和指標等功能， (檔案哈希、ip 位址、URL 和憑證) 只有在Microsoft Defender 防病毒軟體以作用中模式執行時才能使用。 您的非Microsoft防病毒軟體解決方案應該會包含這些功能。
封鎖模式中的 EDR 可在幕後運作，以補救 EDR 功能所偵測到的惡意成品。 主要、非Microsoft防病毒軟體產品可能遺漏這類成品。 封鎖模式中的 EDR 可讓 Microsoft Defender 防病毒軟體對入侵後的行為 EDR 偵測採取動作。
封鎖模式中的 EDR 與 威脅 & 弱點管理 功能整合。 如果尚未啟用 EDR，貴組織的安全性小組會收到 安全性建議 ，以開啟封鎖模式的 EDR。
提示
若要獲得最佳保護，請務必部署 Microsoft Defender for Endpoint 基準。
觀看這段影片，了解為何以及如何在封鎖模式下開啟 EDR (端點偵測和回應) 、啟用行為封鎖，以及在每個階段從入侵前到入侵後進行內含專案。
偵測到某個專案時會發生什麼事？
當封鎖模式中的 EDR 開啟且偵測到惡意構件時，適用於端點的 Defender 會補救該成品。 您的安全性作業小組會在控制中心將偵測狀態視為 [已封鎖] 或 [已防止]，並列為已完成的動作。 下圖顯示在封鎖模式中透過 EDR 偵測到並補救的垃圾軟體實例：
在區塊模式中啟用 EDR
重要事項
- 在區塊模式中開啟 EDR 之前，請確定已符合 需求 。
- 需要適用於端點的Defender方案2授權。
- 從 平臺 4.18.2202.X 版開始，您可以使用 Intune CSP 將 EDR 設定為以特定裝置群組為目標。 您可以在 Microsoft Defender 入口網站中，以全租使用者模式繼續設定 EDR。
- 在裝置) 上安裝非Microsoft防病毒軟體解決方案 (，在被動模式中執行 Microsoft Defender 防病毒軟體的裝置，主要建議使用封鎖模式中的 EDR。
Microsoft Defender 入口網站
移至 Microsoft Defender 入口網站 (https://security.microsoft.com/) 並登入。
選擇 [設定>端點>一般>進階功能]。
向下捲動，然後在 區塊模式中開啟 [啟用 EDR]。
Intune
若要在 Intune 中建立自定義原則，請 參閱部署 OMA-URIs 以透過 Intune 將 CSP 設為目標，以及與內部部署的比較。
For more information on the Defender CSP used for EDR in block mode, see "Configuration/PassiveRemediation" under Defender CSP.
區塊模式中 EDR 的需求
下表列出 EDR 在區塊模式中的需求：
| 需求 | 詳細資料 |
|---|---|
| 權限 | 您必須在 Microsoft Entra ID 中指派全域管理員或安全性系統管理員角色。 如需詳細資訊，請參閱 基本許可權。 |
| 作業系統 | 裝置必須執行下列其中一個 Windows 版本： - Windows 11 - Windows 10 (所有版本) - Windows Server 2019 或更新版本 - Windows Server 版本 1803 或更新版本 - Windows Server 2016 和 Windows Server 2012 R2 (新的整合用戶端解決方案) |
| Microsoft適用於端點的 Defender 方案 2 | 裝置必須上線至適用於端點的Defender。 請參閱下列文章： - 適用於端點的 Microsoft Defender 的最低需求 - 將裝置上線並設定Microsoft適用於端點的Defender功能 - 將 Windows 伺服器上線至適用於端點的 Defender 服務 - 新式整合解決方案中的新 Windows Server 2012 R2 和 2016 功能 (請參閱 Windows Server 2016 和 Windows Server 2012 R2 是否支持封鎖模式的 EDR？) |
| Microsoft Defender 防毒軟體 | 裝置必須已安裝Microsoft Defender 防病毒軟體，並以主動模式或被動模式執行。 確認Microsoft Defender 防病毒軟體處於主動或被動模式。 |
| 雲端提供的保護 | Microsoft必須設定Defender防病毒軟體，才能 啟用雲端式保護。 |
| Microsoft Defender 防病毒軟體平臺 | 裝置必須是最新狀態。 若要確認使用 PowerShell，請以系統管理員身分執行 Get-MpComputerStatus Cmdlet。 在 AMProductVersion 行中，您應該會看到 4.18.2001.10 或更新版本。 若要深入了解，請參閱管理Microsoft Defender 防毒軟體更新及套用基準。 |
| Microsoft Defender 防病毒軟體引擎 | 裝置必須是最新狀態。 若要確認使用 PowerShell，請以系統管理員身分執行 Get-MpComputerStatus Cmdlet。 在 AMEngineVersion 行中，您應該會看到 1.1.16700.2 或更新版本。 若要深入了解，請參閱管理Microsoft Defender 防毒軟體更新及套用基準。 |
重要事項
若要取得最佳的保護值，請確定您的防病毒軟體解決方案已設定為接收定期更新和基本功能，並已 設定排除專案。 封鎖模式中的 EDR 會遵守針對 Microsoft Defender 防病毒軟體所定義的排除範圍，但不遵守針對適用於端點的 Microsoft Defender 所定義的 指標 。
Microsoft建議您使用許可權最少的角色。 這有助於改善貴組織的安全性。 全域管理員是高度特殊許可權的角色，當您無法使用現有角色時，應該僅限於緊急案例。
另請參閱
提示
想要深入了解? 在我們的技術社群中與Microsoft安全性社群互動：Microsoft適用於端點的Defender技術社群。