Evalueer Microsoft Defender Antivirus met behulp van Microsoft Defender Endpoint Security Settings Management (Eindpuntbeveiligingsbeleid)

In Windows 10 of hoger en in Windows Server 2016 of hoger kunt u gebruikmaken van beveiligingsfuncties van de volgende generatie die worden aangeboden door Microsoft Defender Antivirus (MDAV) en Microsoft Defender Exploit Guard (Microsoft Defender EG).

In dit artikel worden de configuratieopties beschreven die beschikbaar zijn in Windows 10 en latere versies, evenals in Windows Server 2016 en latere versies. Het biedt stapsgewijze richtlijnen voor het activeren en testen van de belangrijkste beveiligingsfuncties in Microsoft Defender Antivirus (MDAV) en Microsoft Defender voor Eindpunt (EG).

Als u vragen hebt over een detectie die MDAV maakt of als u een gemiste detectie ontdekt, kunt u een bestand naar ons verzenden op onze helpsite voor voorbeeldinzending.

Beheer van Microsoft Defender eindpuntbeveiligingsinstellingen (eindpuntbeveiligingsbeleid) gebruiken om de functies in te schakelen

In deze sectie wordt het Microsoft Defender voor Eindpunt Beheer van beveiligingsinstellingen (eindpuntbeveiligingsbeleid) beschreven waarmee de functies worden geconfigureerd die u moet gebruiken om onze beveiliging te evalueren.

MDAV geeft een detectie aan via standaard Windows-meldingen. U kunt ook detecties bekijken in de MDAV-app. Zie Scanresultaten van Microsoft Defender Antivirus controleren om dit te doen.

In het Windows-gebeurtenislogboek worden ook detectie- en engine-gebeurtenissen vastgelegd. Zie het artikel Microsoft Defender Antivirusgebeurtenissen voor een lijst met gebeurtenis-id's en de bijbehorende acties. Zie Gebeurtenislogboeken en foutcodes controleren om problemen met Microsoft Defender Antivirus op te lossen voor meer informatie over de lijst met gebeurtenis-id's en de bijbehorende acties.

Voer de volgende stappen uit om de opties te configureren die u moet gebruiken om de beveiligingsfuncties te testen:

1. Meld u aan bij Microsoft Defender XDR.

2. Ga naar Eindpunten > Configuratiebeheer > Eindpuntbeveiligingsbeleid > Windows-beleid > Nieuw beleid maken.

3. Selecteer Windows 10, Windows 11 en Windows Server in de vervolgkeuzelijst Platform selecteren.

4. Selecteer Microsoft Defender Antivirus in de vervolgkeuzelijst Sjabloon selecteren.

5. Selecteer Beleid maken. De pagina Een nieuw beleid maken wordt weergegeven.

6. Voer op de pagina Basisbeginselen een naam en beschrijving in voor het profiel in respectievelijk de velden Naam en Beschrijving .

7. Selecteer Volgende.

8. Vouw op de pagina Configuratie-instellingen de groepen instellingen uit.

9. Selecteer in deze groepen instellingen de instellingen die u met dit profiel wilt beheren.

10. Stel het beleid in voor de gekozen groepen instellingen door de instellingen te configureren zoals beschreven in de volgende tabellen:

    Realtime-beveiliging (always-on-beveiliging, realtime scannen):

    Beschrijving	Instellingen
    Realtime-bewaking toestaan	Toegestaan
    Realtime scanrichting	Alle bestanden bewaken (bidirectioneel)
    Gedragscontrole toestaan	Toegestaan
    Toegangsbeveiliging toestaan	Toegestaan
    PUA-beveiliging	PUA-beveiliging op

    Cloudbeveiligingsfuncties:

    Beschrijving	Instelling
    Cloudbeveiliging toestaan	Toegestaan
    Blokniveau van cloud	Hoog
    Uitgebreide time-out voor cloud	Geconfigureerd, 50
    Toestemming voor het verzenden van voorbeelden	Alle voorbeelden automatisch verzenden

Het voorbereiden en leveren van standaard updates van beveiligingsinformatie kan uren duren; onze cloudbeveiligingsservice kan deze beveiliging binnen enkele seconden bieden. Zie Next-Gen-technologieën gebruiken in Microsoft Defender Antivirus via cloudbeveiliging voor meer informatie.

Scans:

Netwerkbeveiliging:

Updates voor beveiligingsinformatie:

Beschrijving: Instelling voor terugvalvolgorde voor handtekeningupdates: schakel het selectievakje voor terugval van handtekeningupdate in

InternalDefinitionUpdateServer |MicrosoftUpdateServer|MMPC, waarbij 'InternalDefinitionUpdateServer' WSUS is met Microsoft Defender Antivirus-updates toegestaan; 'MicrosoftUpdateServer' = Microsoft Update (voorheen Windows Update); en MMPC = https://www.microsoft.com/en-us/wdsi/definitions.

Lokale beheerder AV:

Schakel AV-instellingen voor lokale beheerders, zoals uitsluitingen, uit en stel het beleid in vanuit de Microsoft Defender voor Eindpunt Beheer van beveiligingsinstellingen, zoals beschreven in de volgende tabel:

Standaardactie ernst bedreiging:

1. Wanneer je klaar bent met het configureren van instellingen, selecteer je Volgende.
2. Selecteer op het tabblad Toewijzingende optie Apparaatgroep of Gebruikersgroep of Alle apparaten of Alle gebruikers.
3. Selecteer Volgende.
4. Controleer op het tabblad Controleren en maken uw beleidsinstellingen en selecteer vervolgens Opslaan.

Regels voor het verminderen van kwetsbaarheid voor aanvallen

Voer de volgende stappen uit om ASR-regels (Attack Surface Reduction) in te schakelen met behulp van het eindpuntbeveiligingsbeleid:

1. Meld u aan bij Microsoft Defender XDR.

2. Ga naar Eindpunten > Configuratiebeheer > Eindpuntbeveiligingsbeleid > Windows-beleid > Nieuw beleid maken.

3. Selecteer Windows 10, Windows 11 en Windows Server in de vervolgkeuzelijst Platform selecteren.

4. Selecteer Regels voor het verminderen van kwetsbaarheid voor aanvallen in de vervolgkeuzelijst Sjabloon selecteren .

5. Selecteer Beleid maken.

6. Voer op de pagina Basisinformatie een naam en beschrijving in voor het profiel. kies vervolgens Volgende.

7. Vouw op de pagina Configuratie-instellingen de groepen instellingen uit en configureer de instellingen die u wilt beheren met dit profiel.

8. Stel het beleid in op basis van de volgende aanbevolen instellingen:

   Beschrijving	Instelling
   Uitvoerbare inhoud van e-mailclient en webmail blokkeren	Blokkeren
   Voorkomen dat Adobe Reader onderliggende processen kan maken	Blokkeren
   Uitvoering van mogelijk verborgen scripts blokkeren	Blokkeren
   Misbruik van misbruik van kwetsbare ondertekende stuurprogramma's blokkeren (apparaat)	Blokkeren
   Win32 API-aanroepen blokkeren vanuit Office-macro's	Blokkeren
   Uitvoerbare bestanden blokkeren, tenzij ze voldoen aan een criterium voor de prevalentie, leeftijd of vertrouwde lijst	Blokkeren
   Office-communicatietoepassing blokkeren voor het maken van onderliggende processen	Blokkeren
   Voorkomen dat alle Office-toepassingen onderliggende processen kunnen maken	Blokkeren
   [PREVIEW] Het gebruik van gekopieerde of geïmiteerde systeemhulpprogramma's blokkeren	Blokkeren
   JavaScript of VBScript blokkeren voor het starten van gedownloade uitvoerbare inhoud	Blokkeren
   Het stelen van referenties van het windows-subsysteem voor lokale beveiligingsinstantie blokkeren	Blokkeren
   Het maken van webshells voor servers blokkeren	Blokkeren
   Office-toepassingen blokkeren voor het maken van uitvoerbare inhoud	Blokkeren
   Niet-vertrouwde en niet-ondertekende processen blokkeren die worden uitgevoerd vanaf USB	Blokkeren
   Voorkomen dat Office-toepassingen code in andere processen injecteren	Blokkeren
   Persistentie blokkeren via WMI-gebeurtenisabonnement	Blokkeren
   Geavanceerde beveiliging tegen ransomware gebruiken	Blokkeren
   Procescreaties blokkeren die afkomstig zijn van PSExec- en WMI-opdrachten	Blokkeren (als u Configuration Manager (voorheen SCCM) of andere beheerhulpprogramma's hebt die gebruikmaken van WMI, moet u dit mogelijk instellen op Controleren in plaats van Blokkeren)
   [PREVIEW] Het opnieuw opstarten van de computer in de veilige modus blokkeren	Blokkeren
   Gecontroleerde maptoegang inschakelen	Ingeschakeld

1. Selecteer Volgende.
2. Selecteer op het tabblad Toewijzingende optie Apparaatgroep of Gebruikersgroep of Alle apparaten of Alle gebruikers.
3. Selecteer Volgende.
4. Controleer op het tabblad Controleren en maken uw beleidsinstellingen en selecteer vervolgens Opslaan.

Manipulatiebeveiliging inschakelen

1. Meld u aan bij Microsoft Defender XDR.

2. Ga naar Eindpunten > Configuratiebeheer > Eindpuntbeveiligingsbeleid > Windows-beleid > Nieuw beleid maken.

3. Selecteer Windows 10, Windows 11 en Windows Server in de vervolgkeuzelijst Platform selecteren.

4. Selecteer Beveiligingservaring in de vervolgkeuzelijst Sjabloon selecteren .

5. Selecteer Beleid maken. De pagina Een nieuw beleid maken wordt weergegeven.

6. Voer op de pagina Basisbeginselen een naam en beschrijving in voor het profiel in respectievelijk de velden Naam en Beschrijving .

7. Selecteer Volgende.

8. Vouw op de pagina Configuratie-instellingen de groepen instellingen uit.

9. Selecteer in deze groepen de instellingen die u met dit profiel wilt beheren.

10. Stel het beleid voor de gekozen groepen instellingen in door ze te configureren zoals beschreven in de volgende tabel:

    Beschrijving	Instelling
    TamperProtection (apparaat)	Aan

De cloudbeveiligingsnetwerkverbinding controleren

Het is belangrijk om te controleren of de Cloud Protection-netwerkverbinding werkt tijdens uw penetratietest.

CMD (Uitvoeren als beheerder)

cd "C:\Program Files\Windows Defender"
MpCmdRun.exe -ValidateMapsConnection

Gebruik het hulpprogramma cmdline om cloudbeveiliging te valideren voor meer informatie.

De updateversie van het platform controleren

Het meest recente Productiekanaal (GA) van de platformupdate is beschikbaar in de Microsoft Update-catalogus.

Als u wilt controleren welke versie van Platform Update u hebt geïnstalleerd, voert u de volgende opdracht uit in PowerShell met de bevoegdheden van een beheerder:

Get-MPComputerStatus | Format-Table AMProductVersion

De versie van de Security Intelligence Update controleren

De nieuwste versie van security intelligence update is beschikbaar in De nieuwste updates voor beveiligingsinformatie voor Microsoft Defender Antivirus en andere Antimalware van Microsoft - Microsoft-beveiligingsinformatie.

Als u wilt controleren welke versie van Security Intelligence Update u hebt geïnstalleerd, voert u de volgende opdracht uit in PowerShell met de bevoegdheden van een beheerder:

Get-MPComputerStatus | Format-Table AntivirusSignatureVersion

De engine-updateversie controleren

De meest recente versie van de scan 'engine-update' is beschikbaar in Meest recente updates voor beveiligingsinformatie voor Microsoft Defender Antivirus en andere Microsoft-antimalware - Microsoft-beveiligingsinformatie.

Als u wilt controleren welke versie van engine-update u hebt geïnstalleerd, voert u de volgende opdracht uit in PowerShell met de bevoegdheden van een beheerder:

Get-MPComputerStatus | Format-Table AMEngineVersion

Als u merkt dat uw instellingen niet van kracht worden, is er mogelijk een conflict. Zie Problemen met Microsoft Defender antivirusinstellingen oplossen voor meer informatie over het oplossen van conflicten.

Voor inzendingen met fout-negatieven (FN's)

Zie voor informatie over het indienen van fout-negatieven (FN's):

• Dien bestanden in Microsoft Defender voor Eindpunt als u Microsoft XDR, Microsoft Defender voor Eindpunt P2/P1 of Microsoft Defender voor Bedrijven hebt.
• Dien bestanden in voor analyse als u Microsoft Defender Antivirus hebt.