Управление источниками обновлений антивирусной программы в Microsoft Defender

Поддержание антивирусной защиты в актуальном состоянии имеет решающее значение. Существует два компонента для управления обновлениями защиты для Microsoft Defender антивирусной программы:

• Где скачиваются обновления; И
• Скачивание и применение обновлений

В этой статье описывается, как указать, откуда следует скачать обновления (указание порядка исходного источника загрузки обновления также называется резервным порядком). Общие сведения о работе обновлений и настройке других аспектов обновлений (например, планирование обновлений) см. в статье Управление обновлениями Microsoft Defender и применение базовых показателей.

Предварительные условия

Поддерживаемые операционные системы

Поддерживаются следующие операционные системы:

• Windows

Изучите порядок использования резервных источников обновления защиты

Как правило, конечные точки настраиваются для отдельной загрузки обновлений из первичного источника, за которым следуют другие источники в порядке приоритета в зависимости от конфигурации сети. Обновления получаются из источников в указанном порядке. Если обновления из источника обновления, которые в настоящее время проверяются, устарели, используется следующий настроенный источник обновления в резервном порядке немедленно.

При публикации обновлений применяется логика, чтобы свести к минимуму размер обновления. В большинстве случаев скачиваются и применяются к устройству только различия между последним и установленным обновлением. Множество различий называется дельтой. Размер дельты зависит от двух основных факторов:

• Возраст последнего обновления на устройстве; И
• Источник, используемый для скачивания и применения обновлений

Чем старше обновления в конечной точке, тем больше загрузка. Однако также следует учитывать частоту скачивания. Более частое обновление может привести к большему использованию сети, в то время как менее частое расписание может привести к большему размеру файлов при каждой загрузке.

Существует пять расположений, в которых можно указать, где конечная точка должна получать обновления:

• Центр обновления Майкрософт
• служба обновления Windows Server. Если вы используете точку обновления ПО (SUP) в Microsoft Configuration Manager, вы можете перейти на совместное управление и использовать параметр внутреннего сервера обновления определений Intune, используя локальный WSUS в качестве источника обновлений.
• Microsoft Configuration Manager
• Общий сетевой файловый ресурс
• Обновления аналитики безопасности для Антивируса Microsoft Defender и других средств Microsoft для защиты от вредоносных программ. Политика и реестр могут указывать этот источник как аналитику безопасности Microsoft Malware Protection Center (MMPC) — его прежним названием.

Чтобы обеспечить максимальный уровень защиты, Microsoft Update позволяет оперативно выпускать обновления, а это означает небольшие по объёму загрузки на регулярной основе. Служба обновления Windows Server, Microsoft Configuration Manager, обновления аналитики безопасности Майкрософт и источники обновлений платформы предоставляют менее частые обновления. Таким образом, дельта-пакет может оказаться больше, что приведет к увеличению объема загрузки.

Обновления платформы и движка выпускаются ежемесячно. Обновления аналитики безопасности выпускаются несколько раз в день, однако этот разностный пакет не содержит обновления модуля. См. Аналитика безопасности и обновления продукта для антивирусной программы Microsoft Defender.

Каждый источник имеет типичные сценарии, которые зависят от того, как настроена сеть, помимо частоты публикации обновлений. В следующих расположениях источника обновления и примерах сценариев описано, когда следует использовать каждый источник:

Вы можете управлять порядком, в котором используются источники обновлений, с помощью групповой политики, Microsoft Configuration Manager, командлетов PowerShell и WMI.

В этой статье сначала описывается, как задать порядок, а затем — как настроить параметр Windows File Server — File share, если в политике обновления включен источник общей папки.

Используйте групповую политику для управления расположением обновлений

Выполните следующие действия, чтобы настроить расположение обновления с помощью групповой политики:

1. В централизованной групповой политике откройте консоль управления групповыми политиками (GPMC) на компьютере управления групповыми политиками.

2. В дереве консоли GPMC разверните узел «Объекты групповой политики» в лесу и домене, которые содержат объект групповой политики, который требуется изменить.

3. Щелкните объект групповой политики правой кнопкой мыши и выберите изменить.

4. В редакторе управления групповыми политиками перейдите в раздел Конфигурация>компьютера Административные шаблоны>Windows componentsMicrosoft>Defender>Antivirus Security Intelligence Updates.

   Примечание.

   Пути групповой политики до Windows 10 версии 2004 (май 2020 г.) могут использовать Windows антивирусной программы Defender вместо Microsoft Defender антивирусной программы. Пути групповой политики до Windows 10, версии 1909 (ноябрь 2019), могли использовать обновления подписей вместо Security Intelligence Updates. Старые и новые названия относятся к одним и тем же местам полиса.

5. В панели с деталями обновлений Security Intelligence доступны следующие настройки:

   • Определите порядок источников для скачивания обновлений разведки безопасности
   • Определите общие файлы для скачивания обновлений разведки безопасности

   Чтобы открыть и настроить настройки источника обновления разведки безопасности, используйте любой из следующих методов:

   • Дважды щелкните параметр.
   • Щелкните правой кнопкой мыши параметр и выберите пункт "Изменить".
   • Выберите параметр, а затем выберите Изменить действие>.

Включите и настройте порядок источника обновления разведки безопасности

1. В разделе деталей обновлений Security Intelligence откройте режим «Определить порядок источников для загрузки обновлений разведки безопасности ».

2. В открывавшемся окне параметров настройте следующие параметры:

   1. Выберите "Включено".
   2. Определите порядок источников для загрузки обновлений разведки безопасности в разделе «Опции »: Введите источники обновлений в порядке, в котором с ними следует связаться, разделённых одним каналом (|). Доступные значения равны InternalDefinitionUpdateServer, MicrosoftUpdateServer, MMPC, и FileShares. Например: InternalDefinitionUpdateServer|MicrosoftUpdateServer|MMPC.

   

   По завершении нажмите кнопку ОК.

Включать и настраивать общие файлы для обновления информации безопасности

1. В панели подробностей Security Intelligence Updates откройте раздел Define файловые ресурсы для скачивания обновлений разведки безопасности .

2. В открывавшемся окне параметров настройте следующие параметры:

   1. Выберите "Включено".
   2. Определите общие файлы для скачивания обновлений разведки безопасности в разделе «Опции »: Введите источники общего доступа в порядке контакта, разделённых одним каналом (|). Используйте стандартную нотацию UNC для каждого пути. Например: \\WindowsFileServer\share-name\object-name|\\host-name2\share-name\object-name.

   Если вы не укажете пути, источник файлового ресурса будет пропущен, когда виртуальная машина загружает обновления.

   По завершении нажмите кнопку ОК.

Управление расположением обновлений с помощью Microsoft Configuration Manager

Дополнительные сведения о настройке Microsoft Configuration Manager (текущая ветвь) см. в статье Настройка Обновления аналитики безопасности для Endpoint Protection.

Используйте командлеты PowerShell для управления расположением обновлений

Используйте следующие командлеты PowerShell, чтобы задать порядок обновления.

Set-MpPreference -SignatureFallbackOrder "LOCATION|LOCATION|LOCATION|LOCATION"
Set-MpPreference -SignatureDefinitionUpdateFileSharesSource "\\UNC\PATH1|\\UNC\PATH2"

Дополнительные сведения см. в следующих статьях:

• Set-MpPreference -ПодписьЗапасПорядок
• Set-MpPreference -SignatureDefinitionUpdateFileSharesSource
• Настройка и запуск антивирусной программы Microsoft Defender с помощью командлетов PowerShell
• Командлеты Defender Antivirus

Управление расположением обновлений с помощью инструментария управления Windows (WMI)

Используйте метод Set класса MSFT_MpPreference для следующих свойств:

SignatureFallbackOrder
SignatureDefinitionUpdateFileSharesSource

Дополнительные сведения см. в следующих статьях:

• API WMIv2 в Защитнике Windows

Используйте управление мобильными устройствами (MDM), чтобы управлять местом получения обновлений

Дополнительные сведения о настройке MDM см. в разделе Policy CSP — Defender/SignatureUpdateFallbackOrder .

Что делать, если мы используем сторонних поставщиков?

В этой статье описывается настройка обновлений для антивирусной программы Microsoft Defender и управление ими. Однако для выполнения этих задач можно нанять сторонних поставщиков.

Например, предположим, что компания Contoso наняла Fabrikam для управления своим решением безопасности, которое включает в себя антивирусную программу Microsoft Defender. Fabrikam обычно использует инструментарий управления Windows, командлеты PowerShell или командную строку Windows для развертывания исправлений и обновлений.

Создайте общий ресурс UNC для аналитики угроз

На Windows файловом сервере настройте сетевую общую папку UNC (универсальное соглашение об именовании) (также называемую сопоставленным диском) для скачивания аналитики безопасности с сайта центра защиты от вредоносных программ (MMPC) Microsoft с помощью запланированной задачи.

1. В системе, на которой вы хотите создать общий ресурс и скачать обновления, создайте папку для скрипта.

   Start, CMD (Run as admin)
   MD C:\Tool\PS-Scripts\
   

2. Создайте папку для обновления подписи.

   MD C:\Temp\TempSigs\x64
   MD C:\Temp\TempSigs\x86
   

3. Скачайте сценарий PowerShell из пакета SignatureDownloadCustomTask на коллекция PowerShell.

4. Выберите Скачать вручную.

5. Выберите Скачать необработанный nupkg-файл.

6. Извлеките файл.

7. Скопируйте файл SignatureDownloadCustomTask.ps1 в ранее созданную C:\Tool\PS-Scripts\ папку .

8. Используйте командную строку для настройки запланированной задачи.

   Примечание.

   Есть два типа обновлений: полные и разностные.

   • Для дельты x64:

     Powershell (Run as admin)
     
     C:\Tool\PS-Scripts\
     
     ".\SignatureDownloadCustomTask.ps1 -action create -arch x64 -isDelta $true -destDir C:\Temp\TempSigs\x64 -scriptPath C:\Tool\PS-Scripts\SignatureDownloadCustomTask.ps1 -daysInterval 1"
     

   • Для полной версии x64:

     Powershell (Run as admin)
     
     C:\Tool\PS-Scripts\
     
     ".\SignatureDownloadCustomTask.ps1 -action create -arch x64 -isDelta $false -destDir C:\Temp\TempSigs\x64 -scriptPath C:\Tool\PS-Scripts\SignatureDownloadCustomTask.ps1 -daysInterval 1"
     

   • Для x86 delta:

     Powershell (Run as admin)
     
     C:\Tool\PS-Scripts\
     
     ".\SignatureDownloadCustomTask.ps1 -action create -arch x86 -isDelta $true -destDir C:\Temp\TempSigs\x86 -scriptPath C:\Tool\PS-Scripts\SignatureDownloadCustomTask.ps1 -daysInterval 1"
     

   • Для полной версии x86:

     Powershell (Run as admin)
     
     C:\Tool\PS-Scripts\
     
     ".\SignatureDownloadCustomTask.ps1 -action create -arch x86 -isDelta $false -destDir C:\Temp\TempSigs\x86 -scriptPath C:\Tool\PS-Scripts\SignatureDownloadCustomTask.ps1 -daysInterval 1"
     

   Примечание.

   При создании запланированных задач их можно найти в планировщике задач в разделе Microsoft\Windows\Windows Defender.

9. Запустите каждую задачу вручную и убедитесь, что у вас есть данные (mpam-d.exe, mpam-fe.exeи nis_full.exe) в следующих папках (вы можете использовать разные расположения):

   • C:\Temp\TempSigs\x86
   • C:\Temp\TempSigs\x64

   Если запланированная задача завершается сбоем, выполните следующие команды:

    C:\windows\system32\windowspowershell\v1.0\powershell.exe -NoProfile -executionpolicy allsigned -command "&\"C:\Tool\PS-Scripts\SignatureDownloadCustomTask.ps1\" -action run -arch x64 -isDelta $False -destDir C:\Temp\TempSigs\x64"
   
    C:\windows\system32\windowspowershell\v1.0\powershell.exe -NoProfile -executionpolicy allsigned -command "&\"C:\Tool\PS-Scripts\SignatureDownloadCustomTask.ps1\" -action run -arch x64 -isDelta $True -destDir C:\Temp\TempSigs\x64"
   
    C:\windows\system32\windowspowershell\v1.0\powershell.exe -NoProfile -executionpolicy allsigned -command "&\"C:\Tool\PS-Scripts\SignatureDownloadCustomTask.ps1\" -action run -arch x86 -isDelta $False -destDir C:\Temp\TempSigs\x86"
   
    C:\windows\system32\windowspowershell\v1.0\powershell.exe -NoProfile -executionpolicy allsigned -command "&\"C:\Tool\PS-Scripts\SignatureDownloadCustomTask.ps1\" -action run -arch x86 -isDelta $True -destDir C:\Temp\TempSigs\x86"
   

   Примечание.

   Так как запланированная задача запускает PowerShell с -ExecutionPolicy AllSigned, задача выполняется неинтерактивно в учетной записи SYSTEM. Не удается ответить на Do you want to run software from this untrusted publisher? запрос, который PowerShell отображает при первом обнаружении подписанного скрипта от издателя, который еще не классифицируется как доверенный. Первый запуск SignatureDownloadCustomTask.ps1 может завершиться ошибкой UnauthorizedAccess .

   Перед выполнением запланированной задачи (или команд восстановления, показанных позже), экспортируйте сертификат подписи кода Authenticode, который используется для подписи SignatureDownloadCustomTask.ps1, и импортируйте его в хранилище сертификатов доверенных издателей локального компьютера.

   В качестве альтернативы, в средах, где доступна групповая политика, разверните сертификат в разделе Конфигурация компьютера>Политики>Конфигурация Windows>Параметры безопасности>Политики открытого ключа>Доверенные издатели. Дополнительные сведения см. в разделах о about_Execution_Policies и о about_Signing.

10. Создайте общий ресурс, указывающий на C:\Temp\TempSigs (например, \\server\updates).

    Примечание.

    Как минимум, пользователи, прошедшие проверку подлинности, должны иметь доступ на чтение. Это требование также относится к доменным компьютерам, общему ресурсу и безопасности NTFS.

11. Задайте в политике расположение общего ресурса для общей папки.

    Примечание.

    Не добавляйте папку x64 (или x86) в путь. Процесс MpCmdRun.exe добавляет его автоматически.

Включение обновлений платформы с помощью UNC-ресурса

Чтобы включить обновления платформы с помощью общего ресурса UNC, скачайте KB4052623 и скопируйте его в папки с соответствующей архитектурой под именем updateplatform.exe. Файлы updateplatform.exe обновляются ежемесячно и должны быть вручную заменены каждый месяц.

KB4052623 доступны для следующих архитектур:

• x86

• amd64

• arm64

Пример структуры:

[UNC Share]\
    x86\
       mpam-fe.exe
       mpam-d.exe
       updateplatform.exe
    x64\
       mpam-fe.exe
       mpam-d.exe
       updateplatform.exe

Статьи по теме

• Развертывание антивирусной программы Microsoft Defender
• Управление обновлениями антивирусной программы в Microsoft Defender и применение базовых показателей
• Управление обновлениями для устаревших конечных точек
• Управление принудительными обновлениями на основе событий
• Управление обновлениями для мобильных устройств и виртуальных машин
• Антивирусная программа в Microsoft Defender (Windows 10)