Uitsluitingen voor Microsoft Defender voor Eindpunt en Microsoft Defender Antivirus beheren

  • Artikel

Van toepassing op:

Platformen

  • Windows

Opmerking

Als Microsoft MVP heeft Fabian Bader bijgedragen aan en materiële feedback gegeven voor dit artikel.

Microsoft Defender voor Eindpunt bevat een breed scala aan mogelijkheden om geavanceerde cyberdreigingen te voorkomen, detecteren, onderzoeken en erop te reageren. Deze mogelijkheden omvatten beveiliging van de volgende generatie (waaronder Microsoft Defender Antivirus). Net als bij elke eindpuntbeveiligings- of antivirusoplossing kunnen bestanden, mappen of processen die niet echt een bedreiging vormen, soms worden gedetecteerd als schadelijk door Defender voor Eindpunt of Microsoft Defender Antivirus. Deze entiteiten kunnen worden geblokkeerd of in quarantaine worden geplaatst, ook al vormen ze niet echt een bedreiging.

U kunt bepaalde acties ondernemen om fout-positieven en soortgelijke problemen te voorkomen. Deze acties omvatten:

In dit artikel wordt uitgelegd hoe deze acties werken en worden de verschillende soorten uitsluitingen beschreven die kunnen worden gedefinieerd voor Defender voor Eindpunt en Microsoft Defender Antivirus.

Voorzichtigheid

Het definiëren van uitsluitingen vermindert het beveiligingsniveau van Defender voor Eindpunt en Microsoft Defender Antivirus. Gebruik uitsluitingen als laatste redmiddel en zorg ervoor dat u alleen de benodigde uitsluitingen definieert. Controleer regelmatig uw uitsluitingen en verwijder de uitsluitingen die u niet meer nodig hebt. Zie Belangrijke punten over uitsluitingen en veelvoorkomende fouten om te voorkomen.

Inzendingen, onderdrukkingen en uitsluitingen

Wanneer u te maken hebt met fout-positieven of bekende entiteiten die waarschuwingen genereren, hoeft u niet noodzakelijkerwijs een uitsluiting toe te voegen. Soms is het classificeren en onderdrukken van een waarschuwing voldoende. We raden u aan om ook fout-positieven (en fout-negatieven) naar Microsoft te verzenden voor analyse. In de volgende tabel worden enkele scenario's beschreven en welke stappen moeten worden uitgevoerd met betrekking tot bestandsinzendingen, onderdrukking van waarschuwingen en uitsluitingen.

Scenario Te overwegen stappen
Fout-positief: een entiteit, zoals een bestand of een proces, is gedetecteerd en geïdentificeerd als schadelijk, ook al is de entiteit geen bedreiging. 1. Controleer en classificeer waarschuwingen die zijn gegenereerd als gevolg van de gedetecteerde entiteit.
2. Een waarschuwing voor een bekende entiteit onderdrukken.
3. Bekijk herstelacties die zijn uitgevoerd voor de gedetecteerde entiteit.
4. Verzend de fout-positieve naar Microsoft voor analyse.
5. Definieer een uitsluiting voor de entiteit (alleen indien nodig).
Prestatieproblemen , zoals een van de volgende problemen:
- Een systeem heeft een hoog CPU-gebruik of andere prestatieproblemen.
- Een systeem heeft problemen met geheugenlekken.
- Een app wordt traag geladen op apparaten.
- Een app is traag om een bestand op apparaten te openen.		 1. Verzamel diagnostische gegevens voor Microsoft Defender Antivirus.
2. Als u een niet-Microsoft-antivirusoplossing gebruikt, neem dan contact op met de leverancier voor eventuele benodigde uitsluitingen.
3. Analyseer het Microsoft-beveiligingslogboek om de geschatte impact op de prestaties te zien.
4. Definieer een uitsluiting voor Microsoft Defender Antivirus (indien nodig).
5. Creatie een indicator voor Defender voor Eindpunt (alleen indien nodig).
Compatibiliteitsproblemen met niet-Microsoft-antivirusproducten.
Voorbeeld: Defender voor Eindpunt is afhankelijk van updates van beveiligingsinformatie voor apparaten, of ze nu Microsoft Defender Antivirus of een niet-Microsoft-antivirusoplossing uitvoeren.		 1. Als u een niet-Microsoft-antivirusproduct gebruikt als uw primaire antivirus-/antimalwareoplossing, stelt u Microsoft Defender Antivirus in op passieve modus.
2. Als u overstapt van een niet-Microsoft-antivirus-/antimalwareoplossing naar Defender voor Eindpunt, raadpleegt u Overstappen naar Defender voor Eindpunt. Deze richtlijnen omvatten:
- Uitsluitingen die u mogelijk moet definiëren voor de antivirus-/antimalwareoplossing die niet van Microsoft is;
- Uitsluitingen die u mogelijk moet definiëren voor Microsoft Defender Antivirus; en
- Informatie over het oplossen van problemen (voor het geval er iets misgaat tijdens de migratie).

Belangrijk

Een 'toestaan'-indicator is het sterkste type uitsluiting dat u kunt definiëren in Defender voor Eindpunt. Zorg ervoor dat u spaarzaam indicatoren gebruikt (alleen wanneer dat nodig is) en controleer alle uitsluitingen regelmatig.

Bestanden verzenden voor analyse

Als u een bestand hebt dat volgens u ten onrechte is gedetecteerd als malware (een fout-positief), of als u vermoedt dat het malware is, hoewel het niet is gedetecteerd (een fout-negatief), kunt u het bestand voor analyse naar Microsoft verzenden. Uw inzending wordt onmiddellijk gescand en wordt vervolgens beoordeeld door microsoft-beveiligingsanalisten. U kunt de status van uw inzending controleren op de pagina met de inzendingsgeschiedenis.

Het indienen van bestanden voor analyse helpt fout-positieven en fout-negatieven voor alle klanten te verminderen. Zie de volgende artikelen voor meer informatie:

Waarschuwingen onderdrukken

Als u waarschuwingen ontvangt in de Microsoft Defender portal voor hulpprogramma's of processen die niet echt een bedreiging vormen, kunt u deze waarschuwingen onderdrukken. Als u een waarschuwing wilt onderdrukken, maakt u een onderdrukkingsregel en geeft u op welke acties hiervoor moeten worden uitgevoerd op andere, identieke waarschuwingen. U kunt onderdrukkingsregels maken voor een specifieke waarschuwing op één apparaat of voor alle waarschuwingen met dezelfde titel in uw organisatie.

Zie de volgende artikelen voor meer informatie:

Uitsluitingen en indicatoren

Soms wordt de term uitsluitingen gebruikt om te verwijzen naar uitzonderingen die van toepassing zijn op Defender voor Eindpunt en Microsoft Defender Antivirus. Een nauwkeurigere manier om deze uitzonderingen te beschrijven is als volgt:

De volgende tabel bevat een overzicht van uitsluitingstypen die kunnen worden gedefinieerd voor Defender voor Eindpunt en Microsoft Defender Antivirus.

Tip

Product/service Uitsluitingstypen
Microsoft Defender Antivirus
Defender voor eindpuntplan 1 of abonnement 2		 - Automatische uitsluitingen (voor actieve rollen op Windows Server 2016 en hoger)
- Ingebouwde uitsluitingen (voor besturingssysteembestanden in Windows)
- Aangepaste uitsluitingen, zoals op processen gebaseerde uitsluitingen, uitsluitingen op basis van maplocatie, uitsluitingen van bestandsextensies of contextuele uitsluitingen van bestanden en mappen
- Aangepaste herstelacties op basis van ernst van bedreigingen of voor specifieke bedreigingen

De zelfstandige versies van Defender voor Eindpunt plan 1 en plan 2 bevatten geen serverlicenties. Als u servers wilt onboarden, hebt u een andere licentie nodig, zoals Microsoft Defender voor Eindpunt voor servers of Microsoft Defender voor servers abonnement 1 of 2. Zie Onboarding van Defender voor eindpunten voor Windows Server voor meer informatie.

Als u een klein of middelgroot bedrijf bent dat gebruikmaakt van Microsoft Defender voor Bedrijven, kunt u Microsoft Defender voor Bedrijfsservers krijgen.
Defender voor eindpuntplan 1 of abonnement 2 - Indicatoren voor bestanden, certificaten of IP-adressen, URL's/domeinen
- Uitsluitingen voor kwetsbaarheid voor aanvallen verminderen
- Uitsluitingen voor gecontroleerde maptoegang
Defender voor Eindpunt-abonnement 2 Uitsluitingen van Automation-mappen (voor geautomatiseerd onderzoek en herstel)

In de volgende secties worden deze uitsluitingen gedetailleerder beschreven:

Microsoft Defender Antivirus-uitsluitingen

Microsoft Defender Antivirus-uitsluitingen kunnen van toepassing zijn op antivirusscans en/of op realtime-beveiliging. Deze uitsluitingen zijn onder andere:

Automatische uitsluitingen

Automatische uitsluitingen (ook wel automatische uitsluitingen van serverfuncties genoemd) omvatten uitsluitingen voor serverfuncties en -onderdelen in Windows Server. Deze uitsluitingen worden niet gescand door realtime-beveiliging , maar zijn nog steeds onderhevig aan snelle, volledige of on-demand antivirusscans.

Voorbeelden zijn:

  • File Replication Service (FRS)
  • Hyper-V
  • SYSVOL
  • Active Directory
  • DNS-server
  • Afdrukserver
  • Webserver
  • Windows Server Update Services
  • ... en meer.

Opmerking

Automatische uitsluitingen voor serverfuncties worden niet ondersteund op Windows Server 2012 R2. Voor servers met Windows Server 2012 R2 waarop de Active Directory Domain Services (AD DS)-serverfunctie is geïnstalleerd, moeten uitsluitingen voor domeincontrollers handmatig worden opgegeven. Zie Active Directory-uitsluitingen.

Zie Automatische uitsluitingen van serverfuncties voor meer informatie.

Ingebouwde uitsluitingen

Ingebouwde uitsluitingen omvatten bepaalde besturingssysteembestanden die worden uitgesloten door Microsoft Defender Antivirus op alle versies van Windows (inclusief Windows 10, Windows 11 en Windows Server).

Voorbeelden zijn:

  • %windir%\SoftwareDistribution\Datastore\*\Datastore.edb
  • %allusersprofile%\NTUser.pol
  • Windows Update bestanden
  • Windows-beveiliging bestanden
  • ... en meer.

De lijst met ingebouwde uitsluitingen in Windows wordt bijgewerkt naarmate het bedreigingslandschap verandert. Zie Microsoft Defender Antivirusuitsluitingen op Windows Server: ingebouwde uitsluitingen voor meer informatie over deze uitsluitingen.

Aangepaste uitsluitingen

Aangepaste uitsluitingen omvatten bestanden en mappen die u opgeeft. Uitsluitingen voor bestanden, mappen en processen worden overgeslagen door geplande scans, scans op aanvraag en realtime-beveiliging. Uitsluitingen voor door het proces geopende bestanden worden niet gescand door realtime-beveiliging , maar worden nog steeds onderworpen aan snelle, volledige of on-demand antivirusscans.

Aangepaste herstelacties

Wanneer Microsoft Defender Antivirus een potentiële bedreiging detecteert tijdens het uitvoeren van een scan, wordt geprobeerd de gedetecteerde bedreiging te herstellen of te verwijderen. U kunt aangepaste herstelacties definiëren om te configureren hoe Microsoft Defender Antivirus bepaalde bedreigingen moet aanpakken, of er een herstelpunt moet worden gemaakt voordat u het herstelt en wanneer bedreigingen moeten worden verwijderd. Herstelacties configureren voor Microsoft Defender Antivirusdetecties.

Defender voor Eindpunt-indicatoren

U kunt indicatoren definiëren met specifieke acties voor entiteiten, zoals bestanden, IP-adressen, URL's/domeinen en certificaten. In Defender voor Eindpunt worden indicatoren aangeduid als Indicators of Compromise (IOC's) en minder vaak als aangepaste indicatoren. Wanneer u uw indicatoren definieert, kunt u een van de volgende acties opgeven:

  • Toestaan : Defender voor Eindpunt blokkeert geen bestanden, IP-adressen, URL's/domeinen of certificaten met indicatoren voor toestaan. (Gebruik deze actie voorzichtig.)

  • Audit: bestanden, IP-adressen en URL's/domeinen met auditindicatoren worden bewaakt en wanneer ze worden geopend door gebruikers, worden informatieve waarschuwingen gegenereerd in de Microsoft Defender-portal.

  • Blokkeren en herstellen : bestanden of certificaten met blokkerings- en herstelindicatoren worden geblokkeerd en in quarantaine geplaatst wanneer deze worden gedetecteerd.

  • Uitvoering blokkeren : IP-adressen en URL's/domeinen met blokuitvoeringsindicatoren worden geblokkeerd. Gebruikers hebben geen toegang tot deze locaties.

  • Waarschuwen : IP-adressen en URL's/domeinen met waarschuwingsindicatoren zorgen ervoor dat er een waarschuwingsbericht wordt weergegeven wanneer een gebruiker toegang probeert te krijgen tot deze locaties. Gebruikers kunnen ervoor kiezen om de waarschuwing te omzeilen en door te gaan naar het IP-adres of de URL/het domein.

Belangrijk

U kunt maximaal 15.000 indicatoren in uw tenant hebben.

De volgende tabel bevat een overzicht van IoC-typen en beschikbare acties:

Indicatortype Beschikbare acties
Bestanden -Toestaan
-Audit
-Waarschuwen
- Uitvoering blokkeren
- Blokkeren en herstellen
IP-adressen en URL's/domeinen -Toestaan
-Audit
-Waarschuwen
- Uitvoering blokkeren
Certificaten -Toestaan
- Blokkeren en herstellen

Tip

Zie de volgende bronnen voor meer informatie over indicatoren:

Uitsluitingen voor kwetsbaarheid voor aanvallen verminderen

Regels voor het verminderen van kwetsbaarheid voor aanvallen (ook wel bekend als ASR-regels) zijn gericht op bepaald softwaregedrag, zoals:

  • Uitvoerbare bestanden en scripts starten die proberen bestanden te downloaden of uit te voeren
  • Scripts uitvoeren die verborgen of anderszins verdacht lijken te zijn
  • Gedrag uitvoeren dat apps meestal niet initiëren tijdens normaal dagelijks werk

Soms vertonen legitieme toepassingen softwaregedrag dat kan worden geblokkeerd door regels voor het verminderen van kwetsbaarheid voor aanvallen. Als dat gebeurt in uw organisatie, kunt u uitsluitingen definiëren voor bepaalde bestanden en mappen. Dergelijke uitsluitingen worden toegepast op alle regels voor het verminderen van kwetsbaarheid voor aanvallen. Zie Regels voor het verminderen van kwetsbaarheid voor aanvallen inschakelen.

Houd er ook rekening mee dat hoewel de meeste uitsluitingen van ASR-regels onafhankelijk zijn van Microsoft Defender Antivirus-uitsluitingen, sommige ASR-regels sommige Microsoft Defender Antivirus-uitsluitingen in ere houden. Zie Verwijzing naar regels voor het verminderen van kwetsbaarheid voor aanvallen - Microsoft Defender Antivirusuitsluitingen en ASR-regels.

Uitsluitingen voor gecontroleerde maptoegang

Gecontroleerde maptoegang bewaakt apps op activiteiten die worden gedetecteerd als schadelijk en beveiligt de inhoud van bepaalde (beveiligde) mappen op Windows-apparaten. Met gecontroleerde maptoegang hebben alleen vertrouwde apps toegang tot beveiligde mappen, zoals algemene systeemmappen (inclusief opstartsectoren) en andere mappen die u opgeeft. U kunt bepaalde apps of ondertekende uitvoerbare bestanden toegang geven tot beveiligde mappen door uitsluitingen te definiëren. Zie Beheerde maptoegang aanpassen.

Uitsluitingen van Automation-mappen

Uitsluitingen van Automation-mappen zijn van toepassing op geautomatiseerd onderzoek en herstel in Defender for Endpoint, dat is ontworpen om waarschuwingen te onderzoeken en onmiddellijk actie te ondernemen om gedetecteerde schendingen op te lossen. Wanneer waarschuwingen worden geactiveerd en een geautomatiseerd onderzoek wordt uitgevoerd, wordt er een vonnis (Schadelijk, Verdacht of Geen bedreigingen gevonden) bereikt voor elk onderzocht bewijs. Afhankelijk van het automatiseringsniveau en andere beveiligingsinstellingen kunnen herstelacties automatisch of alleen na goedkeuring door uw beveiligingsteam worden uitgevoerd.

U kunt mappen, bestandsextensies in een specifieke map en bestandsnamen opgeven die moeten worden uitgesloten van mogelijkheden voor geautomatiseerd onderzoek en herstel. Dergelijke uitsluitingen van automatiseringsmappen zijn van toepassing op alle apparaten die zijn toegevoegd aan Defender for Endpoint. Deze uitsluitingen zijn nog steeds onderhevig aan antivirusscans. Zie Uitsluitingen van automatiseringsmappen beheren.

Hoe uitsluitingen en indicatoren worden geëvalueerd

De meeste organisaties hebben verschillende soorten uitsluitingen en indicatoren om te bepalen of gebruikers toegang moeten hebben tot en gebruik moeten kunnen maken van een bestand of proces. Uitsluitingen en indicatoren worden in een bepaalde volgorde verwerkt, zodat beleidsconflicten systematisch worden afgehandeld.

In de volgende afbeelding ziet u hoe uitsluitingen en indicatoren worden verwerkt in Defender voor Eindpunt en Microsoft Defender Antivirus:

Schermopname van de volgorde waarin uitsluitingen en indicatoren worden geëvalueerd.

Dit werkt als volgt:

  1. Als een gedetecteerd bestand/proces niet is toegestaan door Windows Defender Toepassingsbeheer en AppLocker, wordt het geblokkeerd. Anders gaat het verder met Microsoft Defender Antivirus.

  2. Als het gedetecteerde bestand/proces geen deel uitmaakt van een uitsluiting voor Microsoft Defender Antivirus, wordt het geblokkeerd. Anders controleert Defender voor Eindpunt op een aangepaste indicator voor het bestand/proces.

  3. Als het gedetecteerde bestand/proces een blok- of waarschuwingsindicator heeft, wordt die actie uitgevoerd. Anders is het bestand/proces toegestaan en wordt het geëvalueerd door regels voor het verminderen van kwetsbaarheid voor aanvallen, beheerde maptoegang en SmartScreen-beveiliging.

  4. Als het gedetecteerde bestand/proces niet wordt geblokkeerd door regels voor het verminderen van kwetsbaarheid voor aanvallen, gecontroleerde maptoegang of SmartScreen-beveiliging, gaat het verder met Microsoft Defender Antivirus.

  5. Als het gedetecteerde bestand/proces niet is toegestaan door Microsoft Defender Antivirus, wordt het gecontroleerd op een actie op basis van de bedreigings-id.

Hoe beleidsconflicten worden verwerkt

In gevallen waarin defender voor eindpuntindicatoren conflict, kunt u het volgende verwachten:

  • Als er conflicterende bestandsindicatoren zijn, wordt de indicator die gebruikmaakt van de veiligste hash toegepast. SHA256 heeft bijvoorbeeld voorrang op SHA-1, dat voorrang heeft op MD5.

  • Als er conflicterende URL-indicatoren zijn, wordt de striktere indicator gebruikt. Voor Microsoft Defender SmartScreen wordt een indicator toegepast die het langste URL-pad gebruikt. Heeft bijvoorbeeld www.dom.ain/admin/ voorrang op www.dom.ain. (Netwerkbeveiliging is van toepassing op domeinen, in plaats van subpagina's binnen een domein.)

  • Als er vergelijkbare indicatoren zijn voor een bestand of proces met verschillende acties, heeft de indicator die is gericht op een specifieke apparaatgroep voorrang op een indicator die is gericht op alle apparaten.

Hoe geautomatiseerd onderzoek en herstel werkt met indicatoren

Geautomatiseerde onderzoeks- en herstelmogelijkheden in Defender voor Eindpunt bepalen eerst een oordeel voor elk bewijsstuk en ondernemen vervolgens een actie, afhankelijk van defender voor eindpuntindicatoren. Zo kan een bestand/proces een oordeel krijgen over 'goed' (wat betekent dat er geen bedreigingen zijn gevonden) en nog steeds worden geblokkeerd als er een indicator is met die actie. Op dezelfde manier kan een entiteit een oordeel krijgen over 'slecht' (wat betekent dat deze schadelijk is) en nog steeds wordt toegestaan als er een indicator is met die actie.

In het volgende diagram ziet u hoe geautomatiseerd onderzoek en herstel werkt met indicatoren:

Schermopname van geautomatiseerd onderzoek en herstel en indicatoren.

Andere serverworkloads en uitsluitingen

Als uw organisatie andere serverworkloads gebruikt, zoals Exchange Server, SharePoint Server of SQL Server, moet u er rekening mee houden dat alleen ingebouwde serverfuncties (die mogelijk vereisten zijn voor software die u later installeert) op Windows Server worden uitgesloten door de functie automatische uitsluitingen (en alleen wanneer de standaardinstallatielocatie wordt gebruikt). U moet waarschijnlijk antivirusuitsluitingen definiëren voor deze andere workloads of voor alle workloads als u automatische uitsluitingen uitschakelt.

Hier volgen enkele voorbeelden van technische documentatie voor het identificeren en implementeren van de uitsluitingen die u nodig hebt:

Afhankelijk van wat u gebruikt, moet u mogelijk de documentatie voor die serverworkload raadplegen.

Tip

Prestatietip Vanwege verschillende factoren kan Microsoft Defender Antivirus, net als andere antivirussoftware, prestatieproblemen veroorzaken op eindpuntapparaten. In sommige gevallen moet u mogelijk de prestaties van Microsoft Defender Antivirus afstemmen om deze prestatieproblemen te verhelpen. Performance Analyzer van Microsoft is een PowerShell-opdrachtregelprogramma waarmee u kunt bepalen welke bestanden, bestandspaden, processen en bestandsextensies prestatieproblemen kunnen veroorzaken. enkele voorbeelden zijn:

  • Belangrijkste paden die van invloed zijn op de scantijd
  • Belangrijkste bestanden die van invloed zijn op de scantijd
  • Belangrijkste processen die van invloed zijn op de scantijd
  • Belangrijkste bestandsextensies die van invloed zijn op de scantijd
  • Combinaties, zoals:
    • belangrijkste bestanden per extensie
    • bovenste paden per extensie
    • belangrijkste processen per pad
    • bovenste scans per bestand
    • topscans per bestand per proces

U kunt de informatie die is verzameld met Performance Analyzer gebruiken om prestatieproblemen beter te beoordelen en herstelacties toe te passen. Zie Prestatieanalyse voor Microsoft Defender Antivirus.

Zie ook

Tip

Wil je meer weten? Engage met de Microsoft Security-community in onze Tech Community: Microsoft Defender voor Eindpunt Tech Community.