Vidta svarsåtgärder för en fil

Gäller för:

Viktigt

En del information gäller förinstallerad produkt som kan ha ändrats mycket innan den släpps kommersiellt. Microsoft lämnar inga garantier, uttryckliga eller underförstådda, med avseende på den information som anges här.

Vill du uppleva Microsoft Defender för Endpoint? Registrera dig för en kostnadsfri utvärderingsversion.

Svara snabbt på identifierade attacker genom att stoppa och kvartrända filer eller blockera en fil. När du har åtgärdat filer kan du kontrollera aktivitetsinformationen i Åtgärdscenter.

Svarsåtgärder är tillgängliga på en fils detaljerade profilsida. En gång på den här sidan kan du växla mellan de nya och gamla sidlayouterna genom att växla ny filsida. Resten av den här artikeln beskriver den nyare sidlayouten.

Svarsåtgärder körs överst på filsidan och omfattar:

  • Stoppa och placera filen i karantän
  • Lägg till indikator
  • Ladda ned fil
  • Konsultera en hotexpert
  • Åtgärdscenter

Du kan också skicka filer för djupanalys för att köra filen i en säker sandbox-miljö i molnet. När analysen är klar får du en detaljerad rapport som innehåller information om filens beteende. Du kan skicka filer för djupanalys och läsa tidigare rapporter genom att välja fliken Djupanalys . Den finns under filinformationskorten.

Vissa åtgärder kräver vissa behörigheter. I följande tabell beskrivs vilken åtgärd vissa behörigheter kan vidta för portabla körbara filer (PE) och icke-PE-filer:

Behörighet PE-filer Filer som inte är PE-filer
Visa data X X
Undersökning av aviseringar X
Grundläggande svar i realtid X X
Avancerat livesvar

Mer information om roller finns i Skapa och hantera roller för rollbaserad åtkomstkontroll.

Stoppa och sätta filer i karantän i nätverket

Du kan innehålla en attack i din organisation genom att stoppa den skadliga processen och kvarhålla filen där den observerades.

Viktigt

Du kan bara vidta den här åtgärden om:

  • Enheten som du vidtar åtgärden på kör Windows 10 version 1703 eller senare och Windows 11
  • Filen tillhör inte betrodda tredjepartsutgivare eller är inte signerad av Microsoft
  • Microsoft Defender Antivirus måste minst köras i passivt läge. Mer information finns i Microsoft Defender Antivirus kompatibilitet.

Åtgärden Stoppa och karantänfil omfattar att stoppa processer som körs, kvarhålla filerna och ta bort beständiga data, till exempel registernycklar.

Den här åtgärden börjar gälla för enheter med Windows 10 version 1703 eller senare och Windows 11, där filen har observerats under de senaste 30 dagarna.

Anteckning

Du kommer när som helst att kunna återställa filen från karantänen.

Stoppa och placera filer i karantän

  1. Välj den fil som du vill stoppa och placera i karantän. Du kan välja en fil från någon av följande vyer eller använda sökrutan:

    • Aviseringar – klicka på motsvarande länkar från beskrivningen eller informationen i tidslinjen för aviseringsberättelsen
    • Sökruta – välj Arkiv i den nedrullningsbara menyn och ange filnamnet

    Anteckning

    Åtgärden stoppa och placera filen i karantän är begränsad till högst 1 000 enheter. Information om hur du stoppar en fil på ett större antal enheter finns i Lägg till indikator för att blockera eller tillåta fil.

  2. Gå till det övre fältet och välj Stoppa och placera filen i karantän.

    Åtgärden stoppa och placera filen i karantän

  3. Ange en orsak och välj sedan Bekräfta.

    Sidan stoppa och placera filen i karantän

    Åtgärdscentret visar överföringsinformationen:

    Åtgärdscentret för att stoppa och placera filen i karantän

    • Sändningstid – visar när åtgärden skickades.
    • Lyckades – visar antalet enheter där filen har stoppats och placerats i karantän.
    • Misslyckades – visar antalet enheter där åtgärden misslyckades och information om felet.
    • Väntar – visar antalet enheter där filen ännu inte har stoppats och placerats i karantän. Detta kan ta tid för fall då enheten är offline eller inte är ansluten till nätverket.
  4. Välj någon av statusindikatorerna för att visa mer information om åtgärden. Välj till exempel Misslyckades för att se var åtgärden misslyckades.

Meddelande på enhetsanvändaref

När filen tas bort från en enhet visas följande meddelande:

Meddelandet en på enhetsanvändaren

På enhetens tidslinje läggs en ny händelse till för varje enhet där en fil stoppades och sattes i karantän.

En varning visas innan åtgärden implementeras för filer som används i stor utsträckning i en organisation. Det är för att verifiera att åtgärden är avsedd.

Återställa fil från karantän

Du kan återställa och ta bort en fil från karantänen om du har fastställt att den är ren efter en undersökning. Kör följande kommando på varje enhet där filen sattes i karantän.

  1. Öppna en upphöjd kommandotolk på enheten:

    1. Gå till Start och skriv cmd.

    2. Högerklicka på Kommandotolken och välj Kör som administratör.

  2. Ange följande kommando och tryck på Retur:

    "%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Restore -Name EUS:Win32/CustomEnterpriseBlock -All
    

    Anteckning

    I vissa fall kan ThreatName visas som: EUS:Win32/CustomEnterpriseBlock!cl.

    Defender för Endpoint återställer alla anpassade blockerade filer som har placerats i karantän på den här enheten under de senaste 30 dagarna.

Viktigt

En fil som satts i karantän som ett potentiellt nätverkshot kanske inte kan återställas. Om en användare försöker återställa filen efter karantänen kanske filen inte är tillgänglig. Detta kan bero på att systemet inte längre har nätverksautentiseringsuppgifter för att komma åt filen. Detta är vanligtvis ett resultat av en tillfällig inloggning till ett system eller en delad mapp och åtkomsttoken har upphört att gälla.

Ladda ned eller samla in filer

Om du väljer Ladda ned fil från svarsåtgärderna kan du ladda ned ett lokalt, lösenordsskyddat .zip arkiv som innehåller filen. En utfällbar meny visas där du kan registrera en orsak till att ladda ned filen och ange ett lösenord.

Som standard bör du kunna ladda ned filer som befinner sig i karantän.

Nedladdningsfilens åtgärd

Ladda ned filer i karantän

Filer som har placerats i karantän av Microsoft Defender Antivirus eller ditt säkerhetsteam sparas på ett kompatibelt sätt enligt dina exempelkonfigurationer för insändning. Säkerhetsteamet kan ladda ned filerna direkt från filens informationssida via knappen Ladda ned fil. Den här förhandsgranskningsfunktionen är aktiverad som standard.

Platsen beror på organisationens geoinställningar (antingen EU, Storbritannien eller USA). En fil i karantän samlas bara in en gång per organisation. Läs mer om Microsofts dataskydd från Service Trust Portal på https://aka.ms/STP.

Om den här inställningen är aktiverad kan säkerhetsteam undersöka potentiellt felaktiga filer och undersöka incidenter snabbt och på ett mindre riskabelt sätt. Men om du behöver inaktivera den här inställningen går du till Inställningar > Avancerade funktioner > för slutpunkter > Ladda ned filer i karantän för att justera inställningen. Läs mer om avancerade funktioner

Säkerhetskopiera filer i karantän

Användare kan uppmanas att ge uttryckligt medgivande innan de säkerhetskopierar filen i karantän, beroende på din konfiguration för sändning av exempel.

Den här funktionen fungerar inte om exempelöverföring är inaktiverat. Om automatisk sändning av exempel är inställt på att begära behörighet från användaren samlas endast exempel som användaren samtycker till att skicka in.

Viktigt

Ladda ned filkrav i karantän:

  • Din organisation använder Microsoft Defender Antivirus i aktivt läge
  • Antivirusmotorversionen är 1.1.17300.4 eller senare. Se Månatliga plattforms- och motorversioner
  • Molnbaserat skydd är aktiverat. Se Aktivera molnlevererad skydd
  • Exempelöverföring är aktiverat
  • Enheter har Windows 10 version 1703 eller senare, eller Windows server 2016 eller 2019, Windows Server 2022 eller Windows 11

Samla in filer

Om en fil inte redan lagras av Microsoft Defender för Endpoint kan du inte ladda ned den. I stället visas knappen Samla in fil på samma plats. Om en fil inte har setts i organisationen under de senaste 30 dagarna inaktiveras Collect-filen .

Viktigt

En fil som satts i karantän som ett potentiellt nätverkshot kanske inte kan återställas. Om en användare försöker återställa filen efter karantänen kanske filen inte är tillgänglig. Detta kan bero på att systemet inte längre har nätverksautentiseringsuppgifter för att komma åt filen. Detta är vanligtvis ett resultat av en tillfällig inloggning till ett system eller en delad mapp och åtkomsttoken har upphört att gälla.

Lägg till indikator för att blockera eller tillåta en fil

Förhindra ytterligare spridning av en attack i din organisation genom att förbjuda potentiellt skadliga filer eller misstänkt skadlig kod. Om du känner till en potentiellt skadlig portabel körbar fil (PE) kan du blockera den. Den här åtgärden förhindrar att den läses, skrivs eller körs på enheter i din organisation.

Viktigt

  • Den här funktionen är tillgänglig om din organisation använder Microsoft Defender Antivirus och molnlevererat skydd är aktiverat. Mer information finns i Hantera molnlevererad skydd.

  • Klientversionen för program mot skadlig kod måste vara 4.18.1901.x eller senare.

  • Den här funktionen är utformad för att förhindra att misstänkt skadlig kod (eller potentiellt skadliga filer) laddas ned från webben. Det stöder för närvarande bärbara körbara filer (PE), inklusive .exe - och .dll-filer . Täckningen kommer att förlängas med tiden.

  • Den här svarsåtgärden är tillgänglig för enheter på Windows 10 version 1703 eller senare och Windows 11.

  • Funktionen tillåt eller blockera kan inte utföras på filer om filens klassificering finns i enhetens cacheminne innan åtgärden tillåts eller blockeras.

Anteckning

PE-filen måste finnas i enhetens tidslinje för att du ska kunna vidta den här åtgärden.

Det kan finnas ett par minuters svarstid mellan den tid då åtgärden vidtas och den faktiska filen blockeras.

Aktivera funktionen för blockeringsfiler

Om du vill börja blockera filer måste du först aktivera funktionen Blockera eller tillåta i Inställningar.

Tillåt eller blockera fil

När du lägger till en indikatorhash för en fil kan du välja att skapa en avisering och blockera filen när en enhet i organisationen försöker köra den.

Filer som blockeras automatiskt av en indikator visas inte i filens åtgärdscenter, men aviseringarna visas fortfarande i aviseringskön.

Mer information om hur du blockerar och höjer aviseringar för filer finns i Hantera indikatorer .

Om du vill sluta blockera en fil tar du bort indikatorn. Du kan göra det via åtgärden Redigera indikator på filens profilsida. Den här åtgärden visas i samma position som åtgärden Lägg till indikator innan du lägger till indikatorn.

Du kan också redigera indikatorer från sidan Inställningar under Regelindikatorer>. Indikatorer listas i det här området efter filens hash.

Konsultera en hotexpert

Kontakta en Microsoft-hotexpert för mer information om en potentiellt komprometterad enhet eller redan komprometterade enheter. Microsoft Hotexperter används direkt från Microsoft 365 Defender-portalen för att få ett snabbt och korrekt svar. Experter ger insikter om en potentiellt komprometterad enhet och hjälper dig att förstå komplexa hot och riktade attackmeddelanden. De kan också ge information om aviseringarna eller en kontext för hotinformation som visas på instrumentpanelen på portalen.

Mer information finns i Kontakta en Microsoft Threat Expert .

Kontrollera aktivitetsinformation i Åtgärdscenter

Åtgärdscentret innehåller information om åtgärder som har vidtagits på en enhet eller fil. Du kan visa följande information:

  • Insamling av undersökningspaket
  • Antivirusgenomsökning
  • Appbegränsning
  • Enhetsisolering

All annan relaterad information visas också, till exempel sändningsdatum/tid, sändning av användare och om åtgärden lyckades eller misslyckades.

Åtgärdscentret med information

Djupanalys

Cybersäkerhetsutredningar utlöses vanligtvis av en avisering. Aviseringar är relaterade till en eller flera observerade filer som ofta är nya eller okända. Om du väljer en fil kommer du till filvyn där du kan se filens metadata. Om du vill utöka data som är relaterade till filen kan du skicka filen för djupanalys.

Funktionen Djupanalys kör en fil i en säker, fullständigt instrumenterad molnmiljö. Djupgående analysresultat visar filens aktiviteter, observerade beteenden och associerade artefakter, till exempel borttagna filer, registerändringar och kommunikation med IP-adresser. Djupanalys stöder för närvarande omfattande analys av portabla körbara filer (PE) (inklusive .exe - och .dll-filer ).

Djupgående analys av en fil tar flera minuter. När filanalysen är klar uppdateras fliken Djupanalys för att visa en sammanfattning och datum och tid för de senaste tillgängliga resultaten.

Sammanfattningen av djupanalysen innehåller en lista över observerade beteenden, varav vissa kan tyda på skadlig aktivitet och observerbara filer, inklusive kontaktade IP-adresser och filer som skapats på disken. Om inget hittades visas ett kort meddelande i de här avsnitten.

Resultat av djupanalys matchas mot hotinformation och matchningar genererar lämpliga aviseringar.

Använd funktionen för djupanalys för att undersöka information om en fil, vanligtvis under en undersökning av en avisering eller av någon annan anledning där du misstänker skadligt beteende. Den här funktionen är tillgänglig på fliken Djupanalys på filens profilsida.

Skicka för djupanalys aktiveras när filen är tillgänglig i Defender för Endpoint-serverdelsexempelsamlingen, eller om den observerades på en Windows 10 enhet som stöder sändning till djupanalys.

Anteckning

Endast filer från Windows 10 och Windows 11 kan samlas in automatiskt.

Du kan också skicka ett exempel via Microsoft 365 Defender-portalen om filen inte har observerats på en Windows 10 enhet (eller Windows 11) och vänta tills knappen Skicka för djupanalys har blivit tillgänglig.

Anteckning

På grund av serverdelsbearbetningsflöden i Microsoft 365 Defender-portalen kan det finnas upp till 10 minuters svarstid mellan filöverföring och tillgänglighet för djupanalysfunktionen i Defender för Endpoint.

Skicka filer för djupanalys

  1. Välj den fil som du vill skicka för djupanalys. Du kan välja eller söka i en fil från någon av följande vyer:

    • Aviseringar – välj fillänkarna från beskrivningen eller informationen på tidslinjen för aviseringsberättelsen
    • Enhetslista – välj fillänkarna i avsnittet Beskrivning eller Information i avsnittet Enhet i organisation
    • Sökruta – välj Arkiv i den nedrullningsbara menyn och ange filnamnet
  2. På fliken Djupanalys i filvyn väljer du Skicka.

    Knappen Skicka PE-filer

    Anteckning

    Endast PE-filer stöds, inklusive .exe - och .dll-filer .

    En förloppsindikator visas och innehåller information om de olika faserna i analysen. Du kan sedan visa rapporten när analysen är klar.

Anteckning

Beroende på enhetens tillgänglighet kan insamlingstiden variera. Det finns en tidsgräns på 3 timmar för exempelsamlingen. Samlingen misslyckas och åtgärden avbryts om det inte finns någon onlinerapportering Windows 10 enhet (eller Windows 11) vid den tidpunkten. Du kan skicka om filer för djupanalys för att hämta nya data i filen.

Visa djupanalysrapporter

Visa den angivna djupanalysrapporten för att se mer djupgående insikter om filen du skickade. Den här funktionen är tillgänglig i filvykontexten.

Du kan visa den omfattande rapporten som innehåller information om följande avsnitt:

  • Beteenden
  • Observerbara

Informationen kan hjälpa dig att undersöka om det finns tecken på en potentiell attack.

  1. Välj den fil som du skickade för djupanalys.

  2. Välj fliken Djupanalys . Om det finns några tidigare rapporter visas rapportsammanfattningen på den här fliken.

    Djupanalysrapporten som visar detaljerad information i ett antal kategorier

Felsöka djupanalys

Om du stöter på ett problem när du försöker skicka en fil kan du prova vart och ett av följande felsökningssteg.

  1. Kontrollera att filen i fråga är en PE-fil. PE-filer har vanligtvis .exe eller .dll tillägg (körbara program eller program).

  2. Kontrollera att tjänsten har åtkomst till filen, att den fortfarande finns och inte har skadats eller ändrats.

  3. Vänta en stund och försök skicka filen igen. Kön kan vara full eller så uppstod ett tillfälligt anslutnings- eller kommunikationsfel.

  4. Om exempelsamlingsprincipen inte har konfigurerats är standardbeteendet att tillåta exempelsamling. Om den är konfigurerad kontrollerar du att principinställningen tillåter exempelsamling innan du skickar filen igen. När exempelsamlingen har konfigurerats kontrollerar du följande registervärde:

    Path: HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
    Name: AllowSampleCollection
    Type: DWORD
    Hexadecimal value :
      Value = 0 - block sample collection
      Value = 1 - allow sample collection
    
  5. Ändra organisationsenheten via grupprincip. Mer information finns i Konfigurera med grupprincip.

  6. Kontakta supporten om de här stegen inte löser problemet.