Поделиться через

Начало работы с режимом устранения неполадок в Microsoft Defender для конечной точки

  • Статья

Область применения:

Режим устранения неполадок в Microsoft Defender для конечной точки позволяет администраторам устранять неполадки с различными функциями антивирусной программы Microsoft Defender, даже если устройства управляются политиками организации. Например, если включена защита от незаконного изменения, некоторые параметры нельзя изменить или отключить, но вы можете временно изменить эти параметры в режиме устранения неполадок на устройстве.

Режим устранения неполадок отключен по умолчанию и требует включения его для устройства (или группы устройств) на ограниченное время. Режим устранения неполадок является исключительно корпоративной функцией и требует Microsoft Defender доступа к порталу.

В этой статье описывается режим устранения неполадок для устройств Windows. Сведения о режиме устранения неполадок в Mac см. в статье Режим устранения неполадок в Microsoft Defender для конечной точки в macOS.

Совет

Что нужно знать перед началом работы

В режиме устранения неполадок можно использовать команду Set-MPPreference -DisableTamperProtection $true PowerShell или в клиентских операционных системах приложение Центра безопасности, чтобы временно отключить защиту от незаконного изменения на устройстве и внести необходимые изменения в конфигурацию.

Режим устранения неполадок можно использовать для устранения неполадок или проверка совместимости приложений с Microsoft Defender антивирусной программой, например при возникновении ложных срабатываний в блоках приложений.

При наличии соответствующих разрешений локальные администраторы могут изменять конфигурацию на отдельных устройствах, которые обычно заблокированы политикой. Наличие устройства в режиме устранения неполадок может быть полезно при диагностике Microsoft Defender сценариев производительности и совместимости антивирусной программы. Локальные администраторы не могут отключить Microsoft Defender антивирусную программу или удалить ее. Локальные администраторы могут настроить все другие параметры безопасности в наборе антивирусной программы Microsoft Defender (например, защиту от облака, защиту от незаконного изменения).

Администраторы должны иметь разрешения "Управление параметрами безопасности", чтобы включить режим устранения неполадок.

Defender для конечной точки собирает журналы и данные исследования на протяжении всего процесса устранения неполадок.

  • Перед началом работы режима устранения неполадок выполняется snapshotMpPreference.
  • Второй snapshot выполняется непосредственно перед истечением срока действия режима устранения неполадок.
  • Также собираются операционные журналы из режима устранения неполадок.
  • Журналы и моментальные снимки собираются и доступны администратору для сбора с помощью функции Сбор пакета исследования на странице устройства. Корпорация Майкрософт не удаляет эти данные с устройства до тех пор, пока администратор не заберет их.

Администраторы также могут просматривать изменения в параметрах, которые происходят во время режима устранения неполадок в Просмотр событий на самом устройстве.

Режим устранения неполадок автоматически выключается после истечения срока действия (он длится 4 часа). Когда срок действия режима устранения неполадок истек, все конфигурации, управляемые политикой, снова становятся доступными только для чтения и отменить изменения к настройке устройства перед включением режима устранения неполадок.

Это может занять до 15 минут с момента отправки команды из Microsoft Defender XDR до момента ее активации на устройстве.

Уведомления отправляются пользователю, когда начинается режим устранения неполадок и когда заканчивается режим устранения неполадок. Также отправляется предупреждение о том, что режим устранения неполадок скоро завершится. Начало и конец режима устранения неполадок также определяются на портале Microsoft Defender на временной шкале устройства на странице устройства.

Вы можете запрашивать все события режима устранения неполадок в расширенной охоте.

Примечание.

Изменения управления политиками применяются к устройству, когда оно активно работает в режиме устранения неполадок. Однако изменения не вступают в силу до истечения срока действия режима устранения неполадок. Кроме того, обновления антивирусной платформы Microsoft Defender не применяются в режиме устранения неполадок. Обновления платформы применяются, когда режим устранения неполадок завершается обновлением Windows.

Предварительные условия

Включение режима устранения неполадок

  1. Перейдите на портал Microsoft Defender и выполните вход.

  2. Перейдите на страницу устройства или страницу компьютера для устройства, которое вы хотите включить режим устранения неполадок. Выберите Включить режим устранения неполадок. Для Microsoft Defender для конечной точки необходимо иметь разрешения "Управление параметрами безопасности в Центре безопасности".

    Включение режима устранения неполадок

    Примечание.

    Параметр Включить режим устранения неполадок доступен на всех устройствах, даже если устройство не соответствует предварительным требованиям для режима устранения неполадок.

  3. Убедитесь, что вы хотите включить режим устранения неполадок для устройства.

    Всплывающее окно конфигурации

  4. На странице устройства отображается, что устройство теперь находится в режиме устранения неполадок.

    Устройство теперь находится в режиме устранения неполадок

Запросы расширенной охоты

Ниже приведены некоторые предварительно созданные расширенные запросы охоты, которые позволяют получить представление о событиях устранения неполадок, происходящих в вашей среде. Эти запросы также можно использовать для создания правил обнаружения для создания оповещений, когда устройства находятся в режиме устранения неполадок.

Получение событий устранения неполадок для определенного устройства

Выполните поиск по deviceId или deviceName, закомментируя соответствующие строки.

//let deviceName = "<deviceName>";   // update with device name
let deviceId = "<deviceID>";   // update with device id
DeviceEvents
| where DeviceId == deviceId
//| where DeviceName  == deviceName
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| project Timestamp,DeviceId, DeviceName, _tsmodeproperties,
 _tsmodeproperties.TroubleshootingState, _tsmodeproperties.TroubleshootingPreviousState, _tsmodeproperties.TroubleshootingStartTime,
 _tsmodeproperties.TroubleshootingStateExpiry, _tsmodeproperties.TroubleshootingStateRemainingMinutes,
 _tsmodeproperties.TroubleshootingStateChangeReason, _tsmodeproperties.TroubleshootingStateChangeSource

Устройства, которые в настоящее время находятся в режиме устранения неполадок

DeviceEvents
| where Timestamp > ago(3h) // troubleshooting mode automatically disables after 4 hours 
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
|summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| order by Timestamp desc

Количество экземпляров режима устранения неполадок по устройствам

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(30d)  // choose the date range you want
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| sort by count_

Общее число

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(2d) //beginning of time range
| where Timestamp < ago(1d) //end of time range
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count()
| where count_ > 5          // choose your max # of TS mode instances for your time range

Совет

Хотите узнать больше? Engage с сообществом Microsoft Security в нашем техническом сообществе: Microsoft Defender для конечной точки Техническое сообщество.