Abilitare e usare la modalità di risoluzione dei problemi in Microsoft Defender per endpoint

  • Si applica a: Microsoft Defender for Endpoint, Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Sui dispositivi Windows, la modalità troubleshooting in Microsoft Defender per endpoint ti permette di modificare temporaneamente alcune impostazioni di Microsoft Defender Antivirus gestite dalle policy. Usa la modalità troubleshooting per diagnosticare prestazioni, compatibilità applicativa, falsi positivi e altri problemi antivirus, incluso quando la protezione antimanomissione impedisce modifiche alle impostazioni protette.

La modalità di risoluzione dei problemi è disponibile per dispositivi registrati in Defender for Endpoint che eseguono Windows o macOS. Attualmente, la modalità troubleshooting non è disponibile per dispositivi Linux. Su macOS, la modalità troubleshooting non permette di disattivare la protezione antimanomissione. Per i requisiti e le istruzioni per macOS, consulta Troubleshooting mode in Microsoft Defender per endpoint on macOS.

Mentre la modalità troubleshooting è attiva, gli amministratori locali possono modificare le impostazioni su singoli dispositivi che di solito sono bloccati da policy. Gli amministratori locali non possono disattivare o disinstallare Microsoft Defender Antivirus, ma possono modificare altre impostazioni di sicurezza di Microsoft Defender Antivirus, come la protezione cloud e la protezione antimanomissione.

La modalità di risoluzione dei problemi può impiegare fino a 15 minuti per avviarsi e si spegne automaticamente dopo quattro ore. È limitato a otto ore per dispositivo, e la quota si azzera 24 ore dopo che la modalità troubleshooting è stata attivata per la prima volta. Quando la modalità troubleshooting scade, le impostazioni gestite dalle policy diventano di sola lettura e tornano ai valori precedenti. L'utente del dispositivo riceve notifiche quando la modalità di risoluzione dei problemi inizia, sta per terminare e termina.

Disattivare temporaneamente la protezione anti-manomissione può aumentare il rischio per la sicurezza. Il dispositivo deve essere online quando disattivi temporaneamente la protezione antimanomissione.

Le modifiche fornite tramite le policy di gestione mentre la modalità troubleshooting è attiva non entrano in vigore fino alla scadenza della modalità troubleshooting. Gli aggiornamenti della piattaforma antivirus Microsoft Defender non vengono applicati mentre la modalità troubleshooting è attiva. Gli aggiornamenti della piattaforma vengono applicati al termine della modalità di risoluzione dei problemi quando si avvia Windows Update.

Prerequisites

Prima di abilitare la modalità di risoluzione dei problemi, verifica i seguenti requisiti:

  • Il ruolo di Microsoft Entra Amministratore della sicurezza. Per un accesso con privilegi minimi, usare un ruolo RBAC unificato personalizzato di Microsoft Defender con le autorizzazioni Autorizzazione e impostazioni \ Impostazioni di sicurezza \ Impostazioni di sicurezza di base (gestione) e Autorizzazione e impostazioni \ Impostazioni di sicurezza \ Ottimizzazione del rilevamento (gestione). Per altre informazioni, vedi il controllo degli accessi in base al ruolo (RBAC) unificato di Microsoft Defender.
  • Un dispositivo registrato e attivo in Defender for Endpoint.
  • Versione 4.18.2203 della piattaforma antivirus Microsoft Defender (marzo 2022) o successiva, attiva attivamente sul dispositivo.
  • Uno dei seguenti sistemi operativi con le versioni o build minime seguenti:

Attiva la modalità troubleshooting nel portale Microsoft Defender

Attiva la modalità troubleshooting su un dispositivo prima di apportare modifiche temporanee alle impostazioni di Microsoft Defender Antivirus:

  1. Nella pagina dell'inventario dei dispositivi nel portale Microsoft Defender a https://security.microsoft.com/machines, seleziona ovunque nella riga del dispositivo tranne che nella casella di spunta.

  2. Nella pagina dettagli del dispositivo, seleziona Altre opzioni (...), poi seleziona Attiva la modalità troubleshooting.

    Schermata del menu delle azioni del dispositivo con l’opzione «Attiva modalità di risoluzione dei problemi» selezionata.

    Note

    L'opzione Attiva la modalità di risoluzione dei problemi appare per tutti i dispositivi, anche se un dispositivo non soddisfa i prerequisiti.

  3. Nel flyout di conferma, seleziona Invia.

    Schermata del riquadro di conferma per l'attivazione della modalità di risoluzione dei problemi.

  4. Aspetta che la pagina dettagli del dispositivo mostri che la modalità troubleshooting è attiva. L'attivazione può richiedere fino a 15 minuti.

Disabilita temporaneamente la protezione antimanomissione

Dopo che la modalità troubleshooting è attiva, usa PowerShell su un dispositivo Windows supportato o l'app protezione di Windows su un dispositivo client Windows supportato per disabilitare temporaneamente la protezione antimanomissione.

Disattiva temporaneamente la protezione anti-manomissione usando PowerShell

Per disabilitare temporaneamente la protezione antimanomissione mentre il dispositivo è in modalità troubleshooting, esegui il seguente comando Set-MpPreference in una sessione PowerShell elevata (una finestra PowerShell che hai aperto selezionando Esegui come amministratore):

Set-MPPreference -DisableTamperProtection $true

Per verificare lo stato della protezione antimanomissione sul dispositivo, esegui il seguente comando:

Get-MpComputerStatus | Select-Object IsTamperProtected

Il valore False conferma che la protezione antimanomissione è disattivata.

Disabilita temporaneamente la protezione antimanomissione usando l'app protezione di Windows

Segui i passaggi in Configura la protezione antimanomissione usando l'app protezione di Windows per disattivare la protezione antimanomissione.

Note

Non è necessario riattivare manualmente la protezione antimano. Quando la modalità di risoluzione dei problemi termina, la modifica temporanea viene annullata e la protezione antimanomissione torna al precedente stato gestito dai criteri. Se la protezione antimanomissione era già attiva, si riattiva. Se era spenta in precedenza, rimane spenta.

Rivedi i risultati della modalità di risoluzione dei problemi

Defender for Endpoint raccoglie log e dati di indagine durante tutto il processo di risoluzione dei problemi:

  • Viene creata un'istantanea di MpPreference prima che inizi la modalità di risoluzione dei problemi.
  • Un secondo snapshot viene creato poco prima della scadenza della modalità di risoluzione dei problemi.
  • I log operativi vengono raccolti mentre la modalità di risoluzione dei problemi è attiva.

Utilizzare i seguenti metodi per rivedere o raccogliere informazioni sulla modalità di risoluzione dei problemi:

Query di ricerca avanzate

Usa le seguenti query di caccia avanzate per visualizzare gli eventi della modalità di risoluzione dei problemi nel tuo ambiente. Puoi anche usare le query per creare regole di rilevamento che generano avvisi quando i dispositivi sono in modalità troubleshooting.

Ottenere gli eventi di risoluzione dei problemi per un dispositivo specifico

Cerca per deviceId o deviceName commentando la riga che non vuoi usare.

//let deviceName = "<deviceName>";   // update with device name
let deviceId = "<deviceID>";   // update with device id
DeviceEvents
| where DeviceId == deviceId
//| where DeviceName  == deviceName
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| project Timestamp,DeviceId, DeviceName, _tsmodeproperties,
 _tsmodeproperties.TroubleshootingState, _tsmodeproperties.TroubleshootingPreviousState, _tsmodeproperties.TroubleshootingStartTime,
 _tsmodeproperties.TroubleshootingStateExpiry, _tsmodeproperties.TroubleshootingStateRemainingMinutes,
 _tsmodeproperties.TroubleshootingStateChangeReason, _tsmodeproperties.TroubleshootingStateChangeSource

Dispositivi attualmente in modalità di risoluzione dei problemi

DeviceEvents
| where Timestamp > ago(3h) // troubleshooting mode automatically disables after 4 hours
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
|summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| order by Timestamp desc

Numero di istanze della modalità di risoluzione dei problemi per dispositivo

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(30d)  // choose the date range you want
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| sort by count_

Conta le istanze della modalità troubleshooting in un intervallo di tempo

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(2d) //beginning of time range
| where Timestamp < ago(1d) //end of time range
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count()
| where count_ > 5          // choose your max # of TS mode instances for your time range

Contenuti correlati

  • Ultimo aggiornamento: