Включить блокировку при первом обнаружении

В этой статье описывается функция для борьбы с вирусами и вредоносными программами, известная как "блокировка при первом подозрении". В статье описано включение блокировки при первом подозрении в инфраструктуре вашей организации. Перед началом работы ознакомьтесь с разделом "Предварительные требования" для необходимых параметров и поддерживаемых операционных систем.

Предварительные условия

Поддерживаемые операционные системы

Функция «Мгновенная блокировка» поддерживается в следующих операционных системах:

• Windows

Что такое «блокировка с первого взгляда»?

Блокировка на первый взгляд является функцией защиты от угроз следующего поколения. Он обнаруживает новые вредоносные программы и блокирует его в течение нескольких секунд. Эта функция включена при включении этих параметров:

• Защита от облака (также называемая облачной защитой в Безопасность Windows) включена.
• Отправка образцов настроена на автоматическую отправку образцов.
• Microsoft Defender антивирусная программа обновлена на устройствах.

В большинстве корпоративных организаций эти параметры уже настроены при развертывании Microsoft Defender Antivirus. Дополнительные сведения см. в разделе "Включение защиты облака" в Microsoft Defender антивирусной программе.

Принципы действия

Когда антивирусная программа Microsoft Defender находит подозрительный файл, который он не видел раньше, он отправляет запрос в серверную часть защиты облака. Серверная часть облака проверяет файл с помощью эвристики, машинного обучения и автоматического анализа. Затем он решает, является ли файл вредоносным или безопасным.

Microsoft Defender антивирусная программа использует несколько методов обнаружения и предотвращения для обеспечения точной защиты в режиме реального времени.

Вот несколько важных фактов о блокировке при первом подозрении

Имейте в виду следующие моменты при первом использовании блока:

• Функция блокировки с первого взгляда может блокировать непереносимые исполняемые файлы (например, JS, VBS или макросы) и исполняемые файлы при использовании последней версии платформы Microsoft Defender Antivirus в Windows или Windows Server.

• Блокировка при первом обнаружении использует облачную защиту только для исполняемых файлов и не-PE-файлов, которые были загружены из Интернета или происходят из зоны Интернета. Хэш-значение .exe файла проверяется через облачную серверную часть, чтобы определить, является ли файл ранее незамеченным.

• Если тыловой облачной защите не удается определить, вредоносный этот файл или нет, антивирусная программа в Microsoft Defender заблокирует файл и загрузит его копию в облако. Облако выполняет более подробный анализ для достижения решимости. Затем облако позволяет файлу запускать или блокировать файл во всех будущих встречах, в зависимости от того, определяет ли облако файл вредоносным или не является угрозой.

• Во многих случаях этот облачный анализ и блокировка могут сократить время отклика для новых вредоносных программ с часов до секунд.

• Вы можете указать, как долго файл следует удерживать от запуска, пока облачная служба защиты анализирует его Вы также можете настроить сообщения, которые будут отправляться на компьютеры пользователей при блокировке файлов. Вы можете изменить название компании, контактные данные и URL-адрес сообщения.

Включите блокировку с первого взгляда с помощью Microsoft Intune

Чтобы включить блокировку при первом появлении с помощью политики антивирусной программы Microsoft Intune Endpoint Security, см. статью "Создание политики безопасности конечной точки" (открывается на новой вкладке в документации Intune). При создании политики используйте следующие параметры:

• Тип политики: Антивирусная программа
• Платформа: Windows
• Профиль: антивирусная программа Microsoft Defender
• Параметры конфигурации: настройте следующие параметры:
  • Разрешить облачную защиту: выберите "Разрешено". Включает Cloud Protection (по умолчанию).
  • Отправка согласия на выборку: выберите одно из следующих значений:
    • Автоматическая отправка безопасных примеров. (по умолчанию)
    • Автоматическая отправка всех примеров

Дополнительные сведения о профилях антивирусной программы в Microsoft Intune см. в статье "Антивирусная политика для защиты конечных точек" в Microsoft Intune.

Включите блокировку при первом обнаружении с помощью групповой политики

1. В централизованной групповой политике откройте консоль управления групповыми политиками (GPMC) на компьютере управления групповыми политиками.

2. В дереве консоли GPMC разверните узел «Объекты групповой политики» в лесу и домене, которые содержат объект групповой политики, который требуется изменить.

3. Щелкните объект групповой политики правой кнопкой мыши и выберите изменить.

4. В редакторе управления групповыми политиками перейдите в Конфигурация компьютера>Административные шаблоны>Компоненты Windows>Антивирусная программа Microsoft Defender>MAPS.

5. В области сведений maps настройте следующие параметры. Чтобы открыть и настроить параметр, используйте любой из следующих методов:

   • Дважды щелкните параметр.
   • Щелкните правой кнопкой мыши параметр и выберите пункт "Изменить".
   • Выберите параметр, а затем выберите Изменить действие>.

Настройте функцию "Блокировать при первом появлении":

1. На панели сведений MAPS откройте параметр «Настроить функцию "Блокировать при первом обнаружении"».
2. В открывавшемся окне параметров нажмите кнопку "Включено" и нажмите кнопку "ОК".

Отправка примеров файлов при необходимости дальнейшего анализа:

1. В области сведений MAPS откройте параметр Отправлять образцы файлов, если требуется дополнительный анализ.
2. В открываемом окне параметров настройте следующие параметры:

   1. Выберите "Включено".

   2. Отправьте примеры файлов, если требуется дальнейший анализ: выберите одно из следующих значений:

      • Отправка безопасных примеров (0x1)
      • Отправка всех примеров (0x3)

      Важно!

      Параметр Always Prompt (0x0) снижает состояние защиты устройства. Никогда не отправлять (0x2) означает, что блокировка при первом обнаружении не работает.

   3. Нажмите ОК.

Убедитесь, что функция «Блокировка с первого взгляда» включена на каждом клиентском устройстве

Вы можете подтвердить, что блокировка при первом подозрении включена на отдельных клиентских устройствах, с помощью приложения "Безопасность Windows". Блокировка при первом подозрении автоматически включена, если включены оба параметра: Облачная защита и Автоматическая отправка образцов.

1. Откройте приложение "Безопасность Windows".

2. Выберите Защита от вирусов и угроз, а затем в области Параметры защиты от вирусов и угрозвыберите Управление параметрами.

   

3. Убедитесь, что оба параметра, Облачная защита и Автоматическая отправка образцов, включены.

Отключить блокировку при первом обнаружении

Отключите функцию «Блокировка с первого взгляда» в Microsoft Intune

Чтобы отключить блокировку при первом появлении с помощью Microsoft Intune, см. раздел "Изменение существующих политик" (открывается на новой вкладке в документации Intune). Выберите следующие параметры:

• Политика: антивирусная программа, а затем выберите политику антивирусной программы Microsoft Defender
• Разрешить облачную защиту: запрещено. Отключает облачную защиту

Отключить блокировку с первого взгляда с помощью групповой политики

Чтобы отключить блокировку при первом обнаружении с помощью групповой политики, выполните следующие действия:

1. В централизованной групповой политике откройте консоль управления групповыми политиками (GPMC) на компьютере управления групповыми политиками.

2. В дереве консоли GPMC разверните узел «Объекты групповой политики» в лесу и домене, которые содержат объект групповой политики, который требуется изменить.

3. Щелкните объект групповой политики правой кнопкой мыши и выберите изменить.

4. В редакторе управления групповыми политиками перейдите в Конфигурация компьютера>Административные шаблоны>Компоненты Windows>Антивирусная программа Microsoft Defender>MAPS.

5. На панели сведений MAPS откройте параметр «Настроить функцию "Блокировать при первом обнаружении"».

6. В открывавшемся окне параметров выберите Отключено, а затем нажмите кнопку ОК.

Не администратор предприятия и не сотрудник ИТ?

Если вы не являетесь администратором организации или ИТ-специалистом, но у вас есть вопросы о функции блокировки при первом обнаружении, вам могут помочь следующие рекомендации для пользователей личных устройств. Блокировка при первом подозрении обнаруживает новые вредоносные программы и блокирует их за считанные секунды. Хотя параметра "Блокировать при первом подозрении" как такового не существует, функция включена, если на устройстве настроены определенные параметры.

Как включить или отключить блокировку с первого взгляда на своем устройстве

Если у вас есть личное устройство, которое не управляется организацией, вам может быть интересно, как включить или отключить блокировку с первого взгляда. Для управления блокировкой с первого взгляда можно использовать приложение «Безопасность Windows».

1. На компьютере с Windows 10 или Windows 11 откройте приложение "Безопасность Windows".

2. Выберите Защита от вирусов и угроз.

3. В разделе Защита от вирусов и угроз выберите Управление параметрами.

4. Выполните одно из следующих действий:

   • Чтобы настроить блокировку при первом подозрении, включите оба параметра: Облачная защита и Автоматическая отправка образцов.

   • Чтобы отключить функцию «Блокировка с первого взгляда»:

     Предостережение

     Отключение блокировки при первом подозрении снижает уровень защиты вашего устройства. Мы не рекомендуем постоянно отключать функцию «Блокировка с первого обнаружения».

     Отключите облачную защиту или автоматическую отправку образца.

См. также

Дополнительные сведения о Microsoft Defender антивирусной программе и связанных функциях см. в следующих ресурсах:

• Антивирус Microsoft Defender в Windows
• Включение облачной защиты
• Защита с помощью системы безопасности Windows
• Подключение к Microsoft Defender для конечной точки