Настройка и проверка сетевого подключения антивирусной программы "Защитник Windows"

Чтобы обеспечить правильность работы Microsoft Defender антивирусной облачной защиты, команда безопасности должна настроить сеть, чтобы разрешить подключения между конечными точками и определенными серверами Майкрософт. В этой статье перечислены назначения, которые должны быть доступны. В нем также содержатся инструкции по проверке подключений. Правильная настройка подключения гарантирует, что ваша организация получит максимальную отдачу от облачных служб защиты Microsoft Defender Antivirus.

Предварительные условия

Поддерживаемые операционные системы

Поддерживаются следующие операционные системы:

• Windows

Разрешить подключения к облачной службе антивирусной Microsoft Defender

Облачная служба антивирусной программы Microsoft Defender обеспечивает быструю и надежную защиту конечных точек. Хотя включать и использовать облачные службы защиты, предоставляемые Microsoft Defender Antivirus, необязательно, настоятельно рекомендуется, так как они обеспечивают важную и своевременную защиту от новых угроз в конечных точках и сети. Дополнительные сведения см. в статье Включение облачной защиты, в которой описано, как включить службу с помощью Intune, Microsoft Configuration Manager, групповой политики, командлетов PowerShell или на отдельных клиентах через приложение «Безопасность Windows».

После включения Microsoft Defender антивирусной облачной защиты необходимо настроить сеть или брандмауэр, чтобы разрешить подключения между сетью и конечными точками. Компьютеры должны иметь доступ к Интернету и обращаться к облачным службам Майкрософт для правильной работы.

Обязательные Microsoft Defender антивирусные службы и URL-адреса

В следующей таблице перечислены службы и связанные с ними адреса веб-сайтов (URL-адреса).

Убедитесь, что нет правил брандмауэра или фильтрации сети, которые запрещают доступ к URL-адресам Microsoft Defender антивирусного подключения, перечисленным в следующей таблице. В противном случае необходимо создать правило разрешения специально для необходимых URL-адресов подключения антивирусной программы Microsoft Defender. URL-адреса Microsoft Defender антивирусного подключения используют порт 443 для обмена данными. (Порт 80 также требуется для некоторых URL-адресов, как указано в таблице служб и URL-адресов.)

Проверка подключений между сетью и облаком

После разрешения доступа к перечисленным URL-адресам убедитесь, что ваши конечные устройства могут подключаться к облачной службе Microsoft Defender Antivirus, а также корректно отправлять и получать данные.

Проверка облачной защиты с помощью средства командной строки MpCmdRun

Убедитесь, что сеть может взаимодействовать с облачной службой антивирусной программы Microsoft Defender:

В командной строке с повышенными привилегиями (окно командной строки, открытое путем выбора запуска от имени администратора) выполните следующие команды:

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Дополнительные сведения о MpCmdRun см. в статье Настройка и управление Microsoft Defender антивирусной программы с помощью программы командной строки MpCmdRun.

Распространенные сообщения об ошибках проверки облака

Ниже приведены некоторые сообщения об ошибках. Если тест подключения запускается, но завершается сбоем, вывод начинается с метки времени, а затем отображается сообщение об ошибке ValidateMapsConnection:

Start Time: <Day_of_the_week> MM DD YYYY HH:MM:SS
MpEnsureProcessMitigationPolicy: hr = 0x1
ValidateMapsConnection

Если устройство не может получить доступ к MAPS из-за проблемы с подключением, команда возвращает ошибку, аналогичную одному из следующих примеров:

ValidateMapsConnection failed to establish a connection to MAPS (hr=0x80070006 httpcore=451)
MpCmdRun.exe: hr = 0x80070006

Если проверка сертификата или согласование TLS завершается ошибкой, вы можете увидеть выходные данные, аналогичные следующим:

ValidateMapsConnection failed to establish a connection to MAPS (hr=0x80072F8F httpcore=451)
MpCmdRun.exe: hr = 0x80072F8F

Если подключение прерывается или истекает время ожидания, команда проверки может возвращать выходные данные, аналогичные следующему:

ValidateMapsConnection failed to establish a connection to MAPS (hr=0x80072EFE httpcore=451)
MpCmdRun.exe: hr = 0x80072EFE

Первопричины сбоев проверки облака

Основная причина появления сообщений об ошибках ValidateMapsConnection заключается в том, что на устройстве не настроен системный прокси-сервер WinHttp. Если вы не задаете прокси-сервер WinHttp на уровне системы, операционная система не знает о прокси-сервере и не может получить список отзыва сертификатов (CRL) (операционная система делает это, а не Defender для конечной точки), что означает, что подключения TLS к URL-адресам, как http://cp.wd.microsoft.com/ не удается. Вы видите успешные подключения к конечным точкам (ответ 200), но соединения MAPS по-прежнему будут завершаться сбоем.

Решения для сбоев проверки облака

Используйте один из следующих подходов для устранения сбоев проверки облака:

• Предпочтительное решение: настройте общесистемный прокси-сервер WinHttp, чтобы разрешить проверку списка отозванных сертификатов (CRL).

• Альтернативное решение: Настройте следующий SSLOption раздел реестра и значение в нём, чтобы отключить проверку CRL только для SpyNet. Раздел SSLOptions реестра не влияет на другие службы. Отключение проверки CRL (списка отзыва сертификатов) не является рекомендуемой практикой, поскольку устройство больше не проверяет, не были ли сертификаты отозваны, и не выполняет привязку сертификатов.

  Чтобы отключить проверку списка отзыва сертификатов для SpyNet, импортируйте файл реестра со следующим содержимым:

  Windows Registry Editor Version 5.00
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet]
  "SSLOptions"=dword:00000002
  

  Ниже представлены возможные значения.

  • 0: отключите проверки закрепления и отзыва.
  • 1: Отключить закрепление.
  • 2. Отключите только проверки отзыва.
  • 3 (по умолчанию): включить проверки отзыва и пиннинг.

Попытка скачать поддельный файл вредоносных программ из Корпорации Майкрософт

Вы можете скачать тестовый файл для облачной защиты, который антивирусная программа Microsoft Defender обнаружит и заблокирует, если ваше устройство правильно подключено к облачной службе антивирусной программы Microsoft Defender.

Если подключение выполнено правильно, вы увидите предупреждающее уведомление Microsoft Defender Antivirus.

Если вы используете Microsoft Edge, вы также увидите уведомление:

Internet Explorer также отображает уведомление, обнаруженное вредоносными программами:

Просмотрите ложное обнаружение вредоносной программы в приложении «Безопасность Windows»

Чтобы просмотреть обнаружение поддельных вредоносных программ в приложении Безопасность Windows, выполните следующие действия.

1. На панели задач щелкните значок Щит, откройте приложение Безопасность Windows. Или выполните поиск на начальном экране по запросу Безопасность.

2. Выберите Антивирусная & защита от угроз, а затем выберите Журнал защиты.

3. В разделе Угрозы, помещенные в карантин , выберите Просмотреть полный журнал , чтобы просмотреть обнаруженные поддельные вредоносные программы.

   Примечание.

   Версии Windows 10 до версии 1703 имеют другой пользовательский интерфейс. См. статью Антивирусная программа Microsoft Defender в приложении Безопасность Windows.

   В журнале событий Windows также будет отображаться идентификатор события 1116 Microsoft Defender Antivirus. Дополнительные сведения см. в разделе Устранение неполадок антивирусной программы Microsoft Defender, связанных с кодом события 1116.

Связанные материалы

Дополнительные сведения см. в следующих ресурсах:

• Настройка параметров прокси-сервера устройства и подключения к Интернету для Microsoft Defender для конечной точки
• Использование параметров групповой политики для настройки и управления антивирусной программой в Microsoft Defender
• Важные изменения в конечной точке служб Microsoft Active Protection Services