Dışlamalara genel bakış

Şunlar için geçerlidir:

• Microsoft Defender Virüsten Koruma
• Uç Nokta için Microsoft Defender Planı 1
• Uç Nokta için Microsoft Defender Planı 2

Uç Nokta için Microsoft Defender, gelişmiş siber tehditleri önlemek, algılamak, araştırmak ve yanıtlamak için çok çeşitli özellikler içerir. Bu özellikler yeni nesil korumayı (Microsoft Defender Virüsten Koruma'Microsoft Defender içerir) içerir.

Herhangi bir uç nokta koruma veya virüsten koruma çözümünde olduğu gibi, bazen tehdit olmayan dosyalar, klasörler veya işlemler Uç Nokta için Defender veya Microsoft Defender Virüsten Koruma tarafından kötü amaçlı olarak algılanabilir. Bu varlıklar gerçekten bir tehdit olmasa da engellenebilir veya karantinaya gönderilebilir.

Bu makalede, tanımlanabilir çeşitli dışlama türleri veya Uç Nokta için Defender için gerçekleştirilebilecek eylemler ve bu durumların yönetilmesine yardımcı olmak için Virüsten Koruma Microsoft Defender açıklanmaktadır.

Dışlama türleri

Aşağıdaki tabloda, Uç Nokta için Defender ve Microsoft Defender Virüsten Koruma'daki farklı dışlama türleri ve özellikleri özetlenmiştir. Bu konuda daha fazla bilgi görmek için her türü seçin.

Aşağıdaki bölümlerde bu dışlamalar daha ayrıntılı olarak açıklanmaktadır.

Otomatik dışlamalar

Otomatik dışlamalar ( otomatik sunucu rolü dışlamaları olarak da adlandırılır) Windows Server'daki sunucu rolleri ve özellikleri için dışlamalar içerir. Bu dışlamalar gerçek zamanlı koruma tarafından taranmıyor ancak yine de hızlı, tam veya isteğe bağlı virüsten koruma taramalarına tabidir.

Örnekler şunları içerir:

• Dosya Çoğaltma Hizmeti (FRS)
• Hyper-V
• SYSVOL
• Active Directory
• DNS Sunucusu
• Yazdırma Sunucusu
• Web sunucusu
• Windows Server Update Services
• ... ve daha fazlasını yapın.

Daha fazla bilgi için bkz. Otomatik sunucu rolü dışlamaları.

Yerleşik dışlamalar

Yerleşik dışlamalar, windows'un tüm sürümlerinde (Windows 10, Windows 11 ve Windows Server dahil) Microsoft Defender Virüsten Koruma tarafından dışlanan bazı işletim sistemi dosyalarını içerir.

Örnekler şunları içerir:

• %windir%\SoftwareDistribution\Datastore\*\Datastore.edb
• %allusersprofile%\NTUser.pol
• dosyaları Windows Update
• dosyaları Windows Güvenliği
• ... ve daha fazlasını yapın.

Windows'taki yerleşik dışlamaların listesi, tehdit manzarası değiştikçe güncel tutulur. Bu dışlamalar hakkında daha fazla bilgi edinmek için bkz. Windows Server'da virüsten koruma dışlamaları: Yerleşik dışlamalar Microsoft Defender.

Özel dışlamalar

Özel dışlamalar , belirttiğiniz dosya ve klasörleri içerir. Dosyalar, klasörler ve işlemler için dışlamalar zamanlanmış taramalar, isteğe bağlı taramalar ve gerçek zamanlı koruma tarafından atlanır. İşlemle açılan dosyalar için dışlamalar gerçek zamanlı koruma tarafından taranamaz, ancak yine de hızlı, tam veya isteğe bağlı virüsten koruma taramalarına tabidir.

Özel düzeltme eylemleri

Microsoft Defender Virüsten Koruma, tarama çalıştırırken olası bir tehdit algıladığında algılanan tehdidi düzeltmeye veya kaldırmaya çalışır. Microsoft Defender Virüsten Koruma'nın belirli tehditleri nasıl ele alması gerektiğini, düzeltmeden önce bir geri yükleme noktası oluşturulup oluşturulmayacağını ve tehditlerin ne zaman kaldırılacağını yapılandırmak için özel düzeltme eylemleri tanımlayabilirsiniz. Microsoft Defender Virüsten Koruma algılamaları için düzeltme eylemlerini yapılandırın.

Saldırı yüzeyi azaltma dışlamaları

Saldırı yüzeyi azaltma kuralları (ASR kuralları olarak da bilinir) aşağıdakiler gibi belirli yazılım davranışlarını hedefler:

• Dosyaları indirmeye veya çalıştırmaya çalışan yürütülebilir dosyaları ve betikleri başlatma
• Karartılmış veya başka bir şekilde şüpheli görünen betikleri çalıştırma
• Uygulamaların genellikle normal gündelik iş sırasında başlatmayabilecekleri davranışlar gerçekleştirme

Bazı durumlarda, yasal uygulamalar saldırı yüzeyi azaltma kuralları tarafından engellenebilir yazılım davranışları sergiler. Bu durum kuruluşunuzda oluşuyorsa, belirli dosya ve klasörler için dışlamalar tanımlayabilirsiniz. Bu tür dışlamalar tüm saldırı yüzeyi azaltma kurallarına uygulanır. Bkz . Saldırı yüzeyi azaltma kurallarını etkinleştirme.

AsR kural dışlamalarının çoğu Microsoft Defender Virüsten Koruma dışlamalarından bağımsız olsa da, bazı ASR kurallarının bazı Microsoft Defender Virüsten Koruma dışlamalarına uyduğunu da unutmayın. Bkz. Saldırı yüzeyi azaltma kuralları başvurusu - virüsten koruma dışlamaları ve ASR kuralları Microsoft Defender.

Uç Nokta için Defender göstergeleri

Varlıklar için dosyalar, IP adresleri, URL'ler/etki alanları ve sertifikalar gibi belirli eylemlerle göstergeler tanımlayabilirsiniz. Uç Nokta için Defender'da göstergeler, Güvenlik Ihlal Göstergeleri (ICS) ve daha az sıklıkla özel göstergeler olarak adlandırılır. Göstergelerinizi tanımlarken aşağıdaki eylemlerden birini belirtebilirsiniz:

• İzin Ver – Uç Nokta için Defender, İzin Ver göstergelerine sahip dosyaları, IP adreslerini, URL'leri/etki alanlarını veya sertifikaları engellemez. (Bu eylemi dikkatli kullanın.)

• Denetim – Denetim göstergelerine sahip dosyalar, IP adresleri ve URL'ler/etki alanları izlenir ve kullanıcılar tarafından erişildiğinde Microsoft Defender portalında bilgilendirici uyarılar oluşturulur.

• Engelle ve Düzelt – Engelle ve Düzelt göstergelerine sahip dosyalar veya sertifikalar algılandığında engellenir ve karantinaya alınır.

• Blok Yürütme – Engelleme Yürütme göstergelerine sahip IP adresleri ve URL'ler/etki alanları engellenir. Kullanıcılar bu konumlara erişemez.

• Uyar – Uyarı göstergelerine sahip IP adresleri ve URL'ler/etki alanları, kullanıcı bu konumlara erişmeye çalıştığında bir uyarı iletisinin görüntülenmesine neden olur. Kullanıcılar uyarıyı atlayıp IP adresine veya URL/etki alanına geçmeyi seçebilir.

Aşağıdaki tabloda IoC türleri ve kullanılabilir eylemler özetlenmiştir:

Denetimli klasör erişimi dışlamaları

Denetimli klasör erişimi , uygulamaları kötü amaçlı olarak algılanan etkinlikler için izler ve Windows cihazlarında belirli (korumalı) klasörlerin içeriğini korur. Denetimli klasör erişimi, yalnızca güvenilen uygulamaların ortak sistem klasörleri (önyükleme kesimleri dahil) ve belirttiğiniz diğer klasörler gibi korumalı klasörlere erişmesine izin verir. Bazı uygulamaların veya imzalı yürütülebilir dosyaların korumalı klasörlere erişmesine izin vermek için dışlamalar tanımlayabilirsiniz. Bkz . Denetimli klasör erişimini özelleştirme.

Otomasyon klasörü dışlamaları

Otomasyon klasörü dışlamaları, uç nokta için Defender'da uyarıları incelemek ve algılanan ihlalleri çözmek için anında işlem yapmak üzere tasarlanmış otomatik araştırma ve düzeltme için geçerlidir. Uyarılar tetiklendikçe ve otomatik bir araştırma çalıştırıldığında, araştırılan her kanıt parçası için bir karara (Kötü Amaçlı, Şüpheli veya Tehdit bulunamadı) ulaşılır. Otomasyon düzeyine ve diğer güvenlik ayarlarına bağlı olarak, düzeltme eylemleri otomatik olarak veya yalnızca güvenlik operasyonları ekibinizin onayıyla gerçekleşebilir.

Otomatik araştırma ve düzeltme özelliklerinin dışında tutulacak klasörleri, belirli bir dizindeki dosya uzantılarını ve dosya adlarını belirtebilirsiniz. Bu tür otomasyon klasörü dışlamaları, Uç Nokta için Defender'a eklenen tüm cihazlar için geçerlidir. Bu dışlamalar hala virüsten koruma taramalarına tabidir. Bkz. Otomasyon klasörü dışlamalarını yönetme.

Dışlamalar ve göstergeler nasıl değerlendirilir?

Çoğu kuruluş, kullanıcıların bir dosyaya veya işleme erişip erişemeyeceğini ve bunları kullanıp kullanamayacağını belirlemek için çeşitli dışlama türlerine ve göstergelere sahiptir. Dışlamalar ve göstergeler, ilke çakışmalarının sistematik olarak ele alınabilmesi için belirli bir sırada işlenir.

Aşağıdaki görüntüde dışlamaların ve göstergelerin Uç Nokta için Defender ve Microsoft Defender Virüsten Koruma'da nasıl işlenme şekli özetlenir:

Şu şekilde çalışır:

1. Algılanan bir dosya/işleme Windows Defender Uygulama Denetimi ve AppLocker tarafından izin verilmiyorsa engellenir. Aksi takdirde virüsten koruma Microsoft Defender devam eder.

2. Algılanan dosya/işlem Microsoft Defender Virüsten Koruma için bir dışlamanın parçası değilse engellenir. Aksi takdirde, Uç Nokta için Defender dosya/işlem için özel bir göstergeyi denetler.

3. Algılanan dosya/işlem bir Engelle veya Uyar göstergesine sahipse, bu eylem gerçekleştirilir. Aksi takdirde dosya/işleme izin verilir ve saldırı yüzeyi azaltma kuralları, denetimli klasör erişimi ve SmartScreen koruması ile değerlendirmeye devam eder.

4. Algılanan dosya/işlem saldırı yüzeyi azaltma kuralları, denetimli klasör erişimi veya SmartScreen koruması tarafından engellenmediyse Virüsten Koruma'yı Microsoft Defender devam eder.

5. Algılanan dosyaya/işleme virüsten koruma Microsoft Defender izin verilmiyorsa, tehdit kimliğine göre bir eylem denetlenmiştir.

İlke çakışmaları nasıl işlenir?

Uç Nokta için Defender göstergelerinin çakıştığı durumlarda şunlar beklenmiştir:

• Çakışan dosya göstergeleri varsa, en güvenli karmayı kullanan gösterge uygulanır. Örneğin, SHA256 SHA-1'den önceliklidir ve bu da MD5'e göre önceliklidir.

• Çakışan URL göstergeleri varsa, daha katı gösterge kullanılır. SmartScreen Microsoft Defender için en uzun URL yolunu kullanan bir gösterge uygulanır. Örneğin, www.dom.ain/admin/ önceliklidir www.dom.ain. (Ağ koruması , etki alanı içindeki alt sayfalar yerine etki alanları için geçerlidir.)

• Farklı eylemleri olan bir dosya veya işlem için benzer göstergeler varsa, belirli bir cihaz grubu kapsamındaki gösterge, tüm cihazları hedefleyen bir göstergeden önceliklidir.

Otomatik araştırma ve düzeltme göstergelerle nasıl çalışır?

Uç Nokta için Defender'daki otomatik araştırma ve düzeltme özellikleri önce her kanıt parçası için bir karar belirler ve ardından Uç Nokta için Defender göstergelerine bağlı olarak bir eylemde bulunur. Bu nedenle, bir dosya/işlem "iyi" (herhangi bir tehdit bulunamadı anlamına gelir) kararı alabilir ve bu eylemle ilgili bir gösterge varsa yine de engellenebilir. Benzer şekilde, bir varlık "kötü" (kötü amaçlı olduğu belirlendiği anlamına gelir) kararı alabilir ve bu eylemle ilgili bir gösterge varsa buna izin verilir.

Aşağıdaki diyagramda otomatik araştırma ve düzeltmenin göstergelerle nasıl çalıştığı gösterilmektedir:

Diğer sunucu iş yükleri ve dışlamalar

Kuruluşunuz Exchange Server, SharePoint Server veya SQL Server gibi diğer sunucu iş yüklerini kullanıyorsa, Windows Server'da yalnızca yerleşik sunucu rollerinin (daha sonra yüklediğiniz yazılımlar için önkoşul olabilir) otomatik dışlamalar özelliği (ve yalnızca varsayılan yükleme konumlarını kullanırken) hariç tutulduğunu unutmayın. Büyük olasılıkla bu diğer iş yükleri için veya otomatik dışlamaları devre dışı bırakırsanız tüm iş yükleri için virüsten koruma dışlamaları tanımlamanız gerekir.

İhtiyacınız olan dışlamaları belirlemek ve uygulamak için teknik belgelere bazı örnekler aşağıda verilmiştir:

• Exchange Server'de virüsten koruma yazılımı çalıştırma
• SharePoint Server'da virüsten koruma taramalarının dışında tutulacak klasörler
• SQL Server için virüsten koruma yazılımı seçme

Ne kullandığınıza bağlı olarak, bu sunucu iş yükünün belgelerine başvurmanız gerekebilir.

Ayrıca bkz.

• Gönderimler, gizlemeler ve dışlamalar
• Dışlamalarla ilgili önemli noktalar
• Dışlamaları tanımlarken kaçınılması gereken yaygın hatalar