Bewerten von Microsoft Defender Antivirus mithilfe von Gruppenrichtlinie

In Windows 10 oder neueren und Windows Server 2016 oder neueren können Sie schutzfeatures der nächsten Generation verwenden, die von Microsoft Defender Antivirus (MDAV) und Microsoft Defender Exploit Guard (Microsoft Defender EG) angeboten werden.

In diesem Artikel wird erläutert, wie Sie die wichtigsten Schutzfunktionen in Microsoft Defender AV und Microsoft Defender EG aktivieren und testen. Außerdem erhalten Sie Anleitungen und Links zu weiteren Informationen.

In diesem Artikel werden Konfigurationsoptionen in Windows 10 oder höher und Windows Server 2016 oder höher beschrieben.

Voraussetzungen

Unterstützte Betriebssysteme

• Windows
• Windows 10
• Windows 2016 und höher

Verwenden sie Microsoft Defender Antivirus mit Gruppenrichtlinie, um die Features zu aktivieren.

Dieser Leitfaden enthält die Microsoft Defender Antivirus-Gruppenrichtlinie, die die Features konfiguriert, die Sie zum Bewerten unseres Schutzes verwenden sollten.

1. Holen Sie sich die neuesten "Windows Gruppenrichtlinie Administrative Vorlagen".

   Weitere Informationen finden Sie unter Erstellen und Verwalten des zentralen Speichers – Windows-Client.

   Tipp

   1. Die Windows-Instanz funktioniert mit den Windows-Servern.
   2. Auch wenn Sie ein Windows 10 oder Windows Server 2016 ausführen, erhalten Sie die neuesten administrativen Vorlagen für Windows 11 oder höher.

2. Erstellen Sie einen "zentralen Speicher", um die neuesten ADMX- und ADML-Vorlagen zu hosten.

   Weitere Informationen finden Sie unter Erstellen und Verwalten des zentralen Speichers – Windows-Client.

   Bei Beitritt zu einer Domäne:

   1. Erstellen Sie eine neue Vererbung von OE-Blockrichtlinien.

   2. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole (GPMC.msc).

   3. Wechseln Sie zu Gruppenrichtlinie Objekte, und erstellen Sie eine neue Gruppenrichtlinie.

   4. Klicken Sie mit der rechten Maustaste auf die neu erstellte Richtlinie, und wählen Sie Bearbeiten aus.

   5. Navigieren Sie zu Computerkonfigurationsrichtlinien>>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Antivirus.

   oder

   Wenn sie einer Arbeitsgruppe beigetreten ist

   1. Öffnen Sie Gruppenrichtlinie Editor MMC (GPEdit.msc).

   2. Navigieren Sie zu Computerkonfiguration>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Antivirus.

MDAV und potenziell unerwünschte Anwendungen (PUA)

Wurzel:

Echtzeitschutz (Always-On-Schutz, Echtzeitüberprüfung)

\ Echtzeitschutz:

Cloudschutzfeatures

Standard Security Intelligence-Updates können Stunden dauern, bis sie vorbereitet und bereitgestellt werden. Unser cloudbasierter Schutzdienst kann diesen Schutz in Sekundenschnelle bereitstellen.

Weitere Informationen finden Sie unter Verwenden von Technologien der nächsten Generation in Microsoft Defender Antivirus durch cloudbasierten Schutz.

\ KARTEN:

\ MpEngine:

Scans

Security Intelligence-Updates

Deaktivieren der AV-Einstellungen des lokalen Administrators

Deaktivieren Sie die av-Einstellungen des lokalen Administrators, z. B. Ausschlüsse, und erzwingen Sie die Richtlinien aus der Microsoft Defender for Endpoint Verwaltung von Sicherheitseinstellungen.

Wurzel:

Standardaktion für den Bedrohungsschweregrad

\ Bedrohungen

\ Quarantäne

\ Clientschnittstelle

Netzwerkschutz

\ Microsoft Defender Exploit Guard\Network Protection:

Verwenden Sie powerShell, um den Netzwerkschutz für Windows Server zu aktivieren:

Regeln zur Verringerung der Angriffsfläche

1. Navigieren Sie zu Computerkonfiguration>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Attack Surface Reduction.

2. Wählen Sie Weiter aus.

Kontrollierter Ordnerzugriff

Navigieren Sie zu Computerkonfiguration>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Attack Surface Reduction.

Weisen Sie die Richtlinien der Organisationseinheit zu, in der sich die Testcomputer befinden.

Aktivieren des Manipulationsschutzes

Navigieren Sie im Microsoft Defender-Portal unter https://security.microsoft.comzu Einstellungen>Endpunkte>Erweiterte Features>Manipulationsschutz>ein.

Weitere Informationen finden Sie unter Gewusst wie Konfigurieren oder Verwalten des Manipulationsschutzes?.

Überprüfen der Cloud Protection-Netzwerkkonnektivität

Es ist wichtig, zu überprüfen, ob die Cloud Protection-Netzwerkkonnektivität während Ihres Penetrationstests funktioniert.

1. Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten (ein Eingabeaufforderungsfenster, das Sie geöffnet haben, indem Sie Als Administrator ausführen ausgewählt haben). Zum Beispiel:

   1. Öffnen Sie das Startmenü , und geben Sie dann cmd ein.
   2. Klicken Sie mit der rechten Maustaste auf das Eingabeaufforderungsergebnis , und wählen Sie dann Als Administrator ausführen aus.

2. Führen Sie an der Eingabeaufforderung mit erhöhten Rechten die folgenden Befehle aus:

   Tipp

   Mit dem ersten Befehl wird das Verzeichnis in die neueste Version der <Antischadsoftwareplattform in>%ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>geändert. Wenn dieser Pfad nicht vorhanden ist, wechselt er zu %ProgramFiles%\Windows Defender.

   (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
   
   MpCmdRun.exe -ValidateMapsConnection
   

Weitere Informationen finden Sie unter Konfigurieren und Verwalten Microsoft Defender Antivirus mit dem Befehlszeilentool MpCmdRun.

Überprüfen der Plattformupdateversion

Die neueste Version des Produktionskanals "Platform Update" (GA) ist hier verfügbar:

Microsoft Update-Katalog

Um die installierte Version von "Plattformupdate" anzuzeigen, führen Sie den folgenden Befehl in einer PowerShell-Sitzung mit erhöhten Rechten aus (ein PowerShell-Fenster, das Sie durch Auswahl von Als Administrator ausführen geöffnet haben):

Get-MpComputerStatus | Format-Table AMProductVersion

Überprüfen der Version des Security Intelligence-Updates

Die neueste Version des Security Intelligence-Updates ist hier verfügbar:

Neueste Security Intelligence-Updates für Microsoft Defender Antivirus und andere Antischadsoftware von Microsoft – Microsoft Security Intelligence

Führen Sie den folgenden Befehl in einer PowerShell-Sitzung mit erhöhten Rechten aus, um die installierte Version von "Security Intelligence Update" anzuzeigen:

Get-MpComputerStatus | Format-Table AntivirusSignatureVersion

Überprüfen der Engine Update-Version

Die neueste Scanversion "Engine Update" ist hier verfügbar:

Neueste Security Intelligence-Updates für Microsoft Defender Antivirus und andere Antischadsoftware von Microsoft – Microsoft Security Intelligence

Führen Sie den folgenden Befehl in einer PowerShell-Sitzung mit erhöhten Rechten aus, um die installierte Version von "Engine Update" anzuzeigen:

Get-MpComputerStatus | Format-Table AMEngineVersion

Wenn Ihre Einstellungen nicht wirksam werden, liegt möglicherweise ein Konflikt vor. Informationen zum Beheben von Konflikten finden Sie unter Problembehandlung Microsoft Defender Antiviruseinstellungen.

Für FN-Übermittlungen (False Negatives)

Wenn Sie Fragen zu einer Erkennung haben, die Microsoft Defender AV macht, oder wenn Sie eine verpasste Erkennung feststellen, können Sie uns eine Datei übermitteln.

Wenn Sie über Microsoft XDR, Microsoft Defender for Endpoint P2/P1 oder Microsoft Defender for Business verfügen: Lesen Sie Übermitteln von Dateien in Microsoft Defender for Endpoint.

Wenn Sie über Microsoft Defender Antivirus verfügen, finden Sie weitere Informationen unter Übermitteln von Dateien zur Analyse.

Microsoft Defender AV gibt eine Erkennung über Standardmäßige Windows-Benachrichtigungen an. Sie können Erkennungen auch in der Microsoft Defender AV-App überprüfen.

Das Windows-Ereignisprotokoll zeichnet auch Erkennungs- und Engine-Ereignisse auf. Eine Liste der Ereignis-IDs und der entsprechenden Aktionen finden Sie im Artikel Microsoft Defender Antivirusereignisse.

Wenn Ihre Einstellungen nicht ordnungsgemäß angewendet werden, finden Sie heraus, ob in Ihrer Umgebung in Konflikt stehende Richtlinien aktiviert sind. Weitere Informationen finden Sie unter Problembehandlung für Microsoft Defender Antiviruseinstellungen.

Wenn Sie eine Microsoft-Supportanfrage erstellen müssen, wenden Sie sich an Microsoft Defender for Endpoint Support.