Etikett: Intune

  • Defender for Endpoint – Del 4: ASR-regler – minska attackytan

    Defender for Endpoint – Del 4: ASR-regler – minska attackytan

    Dags för del 4 i vår serie om Defender for Endpoint. Först gick vi igenom startguiden, därefter avancerade inställningar, och nu senast rekommendationer på hur man konfigurerar sin antiviruspolicy.

    Jag har sett fram emot att skriva den här delen, för utöver antivirus och EDR är Attack Surface Reduction (ASR) en funktion som verkligen kan göra skillnad för säkerheten.

    Till skillnad från antivirus och EDR så fokuserar inte ASR på skadlig kod eller misstänkt beteende. Istället handlar det om (precis som det låter) att minska attackytan genom att stänga av eller begränsa funktioner som ofta blir angripna.

    I den här posten kommer jag dels att visa hur man skapar ASR-policyer, men också förklara vad varje regel innebär och ge rekommendationer på konfiguration.

    Delar i serien

    Här är en översikt över de delar som ingår i serien. Jag uppdaterar länkarna löpande allt eftersom nya inlägg blir publicerade.

    Skapa en ASR-policy

    Som jag skrev i förra posten så hanteras policyer olika beroende på licens och konfiguration.

    Om du använder en Enterprise-version (Defender for Endpoint Plan 1 eller Plan 2) kan du konfigurera ASR-policyer i Defender-portalen under menyn ”Endpoint → Configuration management → Endpoint security policies”.

    Använder du däremot en Business-version så går det inte att konfigurera dessa policyer i Defender-portalen. Då måste du använda Microsoft Intune.

    💡 Tips: Om du vill veta hur man kopplar ihop Defender-portalen med Microsoft Intune så har jag skrivit om det i Del 3 – Antivirus & Intune-portalen.

    För att skapa en ASR-policy i Microsoft Intune

    1. Logga in i Intune-portalen.
    2. Klicka på Endpoint security i menyn.
    3. Scrolla ner till sektion Manage och välj Attack Surface Reduction.
    4. Klicka på Create Policy och välj:
      • Platform: Windows
      • Profile: Attack Surface Reduction Rules
    1. Klicka på Create.
    2. Fyll i namn och beskrivning.

    💡 Tips: Det är bra att använda en namnstandard som gör det enkelt att överblicka vad varje policy gör. Jag brukar använda formatet plattform-funktion-målgrupp.

    Plattform kan vara Win, macOS, Linux, iOS eller Android.

    Funktion beskriver vad policyn hanterar, till exempel AV (Antivirus), ASR (Attack Surface Reduction), DC (Device Control), FW (Firewall).

    Målgrupp anger vilka enheter som omfattas av policyn, till exempel Clients, Servers eller Virtual.

    Exempel på namn:

    • macOS-AV-Clients
    • Win-AV-Clients
    • Win-ASR-Clients
    1. Klicka på Next för att fortsätta med konfigurationen.
    2. Konfigurera ASR-regler. En beskrivning av varje regel finns längre ner i denna artikel. När du är nöjd klickar du på Next för att fortsätta.
    3. Scope tags används för att gruppera resurser och styra vad olika administratörer ska kunna se och hantera. Detta är användbart i stora miljöer, men ligger utanför scope för den här guiden. Klicka på Next för att fortsätta.
    4. På sidan Assignments lägger du till vilka grupper som ska använda denna policy. Det går även att lägga till grupper som ska vara exkluderade. Klicka på Next för att fortsätta.

    ⚠️ Obs! Det går att skapa Device Groups i Defender-portalen, men eftersom dessa grupper är unika för Defender-portalen och inte används av andra tjänster brukar jag rekommendera vanliga säkerhetsgrupper i Microsoft Entra istället.

    Det finns ett undantag och det är Automated Investigation & Response (AIR). Men vi återkommer till denna funktion i en senare artikel.

    1. På sista sidan (Review + create) kan du kontrollera alla inställningar. När du är nöjd klickar du på Save.

    ⚠️ Viktigt att tänka på:

    • ASR stöds bara på Windows-klienter och Windows-servrar (inte macOS, Linux eller mobila enheter).
    • Tänk på att du kan behöva olika ASR-policyer för olika ändamål, till exempel en för servrar, en annan för klienter som främst använder kontorsprogram och en tredje för utvecklare.
    • Börja med att sätta alla regler i audit-läge och analysera vad som påverkas. När du känner dig trygg med vilka undantag som behövs kan reglerna ändras till Block-läge.
    • Det går att skapa undantag per regel för alla ASR-regler utom ”Block persistence through WMI event subscription”. Så även om du upptäcker problem med någon fil eller process behöver du inte stänga av hela regeln.

    Attack Surface Reduction – inställningar och rekommendationer

    I det här avsnittet går vi igenom alla ASR-regler för sig. Målet är att beskriva varje regel så enkelt och tydligt som möjligt.

    ⚠️ Obs! Jag vill än en gång poängtera att detta inte är en “How to” som passar alla, utan snarare en “How I do”. Jag tror att mina rekommendationer fungerar bra för många, men det finns såklart situationer där du kan behöva anpassa inställningarna.

    Block Adobe Reader from creating child processes

    Denna regel hindrar Adobe Reader från att starta nya processer, något som skadliga PDF-filer ofta utnyttjar.

    Jag har ännu inte stött på något legitimt scenario som använder denna funktion.

    Rekommendation: 🟢 På

    Block process creations originating from PSExec and WMI commands

    Denna regel blockerar processer som skapas via PsExec och WMI.

    Angripare kan använda PsExec och WMI för att läsa ut information och köra kommandon. Samtidigt används dessa tekniker även av legitima verktyg för fjärradministration, till exempel Microsoft Endpoint Configuration Manager.

    Om ni kör verktyg för fjärradministration som använder PsExec eller WMI rekommenderar jag att sätta regeln i audit-läge och analysera vad som blir påverkat. Baserat på resultatet kan ni välja att skapa undantag eller att fortsätta köra regeln i audit-läge.

    Rekommendation: 🟡 På (beroende på miljö)

    Block execution of potentially obfuscated scripts

    Denna regel blockerar skript som är obfuskerade (avsiktligt ändrade för att göra dem svåra att läsa och analysera).

    Angripare använder obfuskering för att dölja skadlig kod och försöka undgå säkerhetsanalyser. Vanliga exempel är att byta namn på variabler till slumpmässiga tecken eller att Base64-koda skriptet.

    Rekommendation: 🟢 På

    Block persistence through WMI event subscription

    Angripare använder WMI event subscriptions för att trigga skadlig kod när specifika händelser inträffar, till exempel vid systemstart eller när en användare loggar in.

    Detta är ett effektivt sätt att skapa ett fotfäste som finns kvar även efter en omstart. Eftersom koden går att lagra i WMI-databasen, istället för som filer på hårddisken, är den svår att upptäcka för traditionella antivirusprogram.

    Denna regel blockerar nya, okända processer från att registrera den här typen av WMI event subscriptions.

    Rekommendation: 🟢 På

    Block Win32 API calls from Office macros

    Det är ovanligt att Office-makron behöver anropa Win32 API:er, även om det förekommer i undantagsfall.

    Angripare använder Win32 API:er för att komma åt mer avancerade funktioner, till exempel för att manipulera minne eller injicera kod i andra processer.

    Jag rekommenderar att aktivera denna regel. Om något legitimt makro blir påverkat går det att lägga till undantag.

    Rekommendation: 🟢 På (lägg till undantag vid behov)

    Block Office applications from creating executable content

    Denna regel hindrar Office-applikationer från att skapa körbara filer med skadligt innehåll.

    Angripare kan använda makron för att skapa filer med skadligt innehåll och skriva dessa till disk. På så sätt etablerar de ett fotfäste som finns kvar på systemet även efter en omstart.

    Jag rekommenderar att aktivera denna regel. Vid behov går det att lägga till specifika undantag.

    Rekommendation: 🟢 På (lägg till undantag vid behov)

    Block credential stealing from the Windows local security authority subsystem

    Angripare försöker ofta läsa ut autentiseringsuppgifter, till exempel hashvärden och Kerberosbiljetter, från LSASS. Denna regel blockerar sådana försök.

    Även legitima applikationer anropar LSASS, vilket innebär att regeln kan skapa en del falsklarm. I många fall är dock dessa anrop inte nödvändiga för applikationens funktion. Dessutom blir inte den anropande processen blockerad, utan endast försöket att läsa från LSASS-processens minne.

    Jag rekommenderar att aktivera denna regel. Vid behov går det att lägga till specifika undantag.

    Rekommendation: 🟢 På (lägg till undantag vid behov)

    Block use of copied or impersonated system tools

    Denna regel blockerar försök att köra kopierade eller förfalskade systemverktyg.

    Rekommendation: 🟢 På

    Block executable files from running unless they meet a prevalence, age, or trusted list criterion

    Blockerar körbara filer (till exempel .exe, .dll eller .scr) om de är nya eller okända.

    Hur bra denna regel fungerar beror väldigt mycket på miljön. I miljöer med relativt statiska och välkända applikationer kan den ge ett bra skydd. Men för till exempel utvecklingsteam som kompilerar program och uppdaterar verktyg löpande kan regeln generera många falsklarm.

    Prevalence, dvs hur utbredd en fil är, baseras på Microsofts globala molndata. Om en fil bara finns på 10 datorer i hela världen anses den ha låg prevalence och blockeras.

    Jag rekommenderar att börja i audit-läge och analysera vad som blir påverkat. Det här är en regel som kan behöva konfigureras olika för olika delar av organisationen – vissa kan köra den i block-läge, medan andra behöver undantag eller att regeln fortsätter köra i audit-läge.

    Rekommendation: 🟡 Börja med audit och lägg till undantag vid behov.

    Block JavaScript or VBScript from launching downloaded executable content

    Denna regel blockerar JavaScript och VBScript från att starta körbara filer som har laddats ner från internet.

    Angripare använder ofta skript för att ladda ner och köra skadliga filer som nästa steg i en attack.

    Rekommendation: 🟢 På

    Block Office communication application from creating child processes

    Idag är det vanligt att angripare skickar mejl med skadligt innehåll, till exempel länkar eller bilagor, för att få Outlook att starta skript eller körbara filer. Denna regel blockerar Outlook från att starta nya processer, och blockerar dessa angrepp.

    Rekommendation: 🟢 På

    Block Office applications from injecting code into other processes

    Denna regel blockerar Office-applikationer från att injicera kod i andra processer.

    Den här tekniken används av angripare för att injicera skadlig kod i en annan process, och på så sätt kringgå säkerhetsfunktioner. Vid normal användning är det väldigt ovanligt att detta behövs.

    Jag rekommenderar att aktivera denna regel. Vid behov går det att lägga till specifika undantag.

    Rekommendation: 🟢 På (lägg till undantag vid behov)

    Block all Office applications from creating child processes

    Blockerar Office-applikationer från att starta nya processer.

    Ett väldigt vanligt angreppssätt är att använda makron i Office-dokument för att ladda ner och köra skadlig kod. Denna attackvektor är så pass vanlig att makron i filer som kommer från internet (till exempel via e-post eller nedladdningar) är blockerade som standard i dag.

    Jag rekommenderar verkligen att aktivera den här regeln. Samtidigt kan det finnas betrodda makron som behöver starta andra processer, och i sådana fall går det att lägga till specifika undantag.

    Rekommendation: 🟢 På (lägg till undantag vid behov)

    Block rebooting machine in Safe Mode

    Denna regel blockerar försök att starta om datorn i felsäkert läge.

    Många säkerhetsprodukter blir inaktiverade eller begränsade i felsäkert läge. Angripare försöker utnyttja detta för att kunna köra kommandon utan att bli blockerade.

    Rekommendation: 🟢 På

    Block Webshell creation for Servers

    Ett webshell är ett skript som en angripare laddar upp på en webbserver för att kunna köra kommandon, ladda upp eller ner filer och behålla åtkomst till systemet.

    Normalt sett brukar man inte kunna ladda upp egna skript på webbservrar. För att lyckas med detta måste angriparen först hitta en server som kör en sårbar applikation.

    Denna regel blockerar försök att spara webshells på servrar.

    Rekommendation: 🟢 På

    Block untrusted and unsigned processes that run from USB

    Denna regel blockerar att osignerade eller ej betrodda program startar från flyttbara medier.

    Angripare använder flyttbara medier, till exempel USB-minnen, för att sprida skadlig kod. Detta var ett större problem förr när AutoRun startade program automatiskt när en enhet anslöts. I moderna Windows-versioner är AutoRun avstängt som standard.

    I de flesta miljöer påverkar regeln inte normal användning, eftersom legitima applikationer sällan körs direkt från USB-enheter.

    Rekommendation: 🟢 På

    Use advanced protection against ransomware

    Denna regel ger ett extra skydd genom att analysera programs beteenden och försöka upptäcka mönster som är typiska för ransomware.

    Regeln fungerar som ett extra skyddslager ovanpå det vanliga antiviruset och ger ett ökat skydd mot nya eller okända ransomware-varianter.

    Rekommendation: 🟢 På

    Block executable content from email client and webmail

    Blockerar Microsoft Outlook och populära webmail-tjänster från att starta körbara filer och skript.

    Detta inkluderar bland annat:

    • Körbara filer (.exe, .dll eller .scr)
    • Skript (PowerShell .ps1, Visual Basic .vbs eller JavaScript .js)
    • Arkivfiler (till exempel .zip-filer)

    De flesta e-postklienter blockerar körbara filer och skript automatiskt. Denna regel fungerar därför som ett extra skyddslager och är ett bra komplement till det inbyggda skyddet.

    Rekommendation: 🟢 På

    Block abuse of exploited vulnerable signed drivers (Device)

    Denna regel hindrar applikationer från att skriva kända sårbara drivrutiner till disk (även om de är korrekt signerade).

    Applikationer med tillräcklig behörighet kan utnyttja sårbara drivrutiner för att få åtkomst till operativsystemets kernel och på så vis kringgå säkerhetsskydd eller manipulera systemet.

    Regeln bygger på en blocklista över kända sårbara drivrutiner och ger ett bra skydd mot den här typen av attacker.

    Rekommendation: 🟢 På

    Attack Surface Reduction Only Exclusions

    Här kan du ange filer eller mappar som ska exkluderas från alla ASR-regler. Dessa undantag påverkar bara ASR och gäller inte för antivirus eller EDR.

    Eftersom dessa undantag gäller samtliga ASR-regler bör funktionen användas med försiktighet. I de flesta fall är det bättre att konfigurera per rule exclusion för specifika regler.

    Rekommendation: ⚠️ Används endast vid behov

    Enable Controlled Folder Access

    Denna funktion hjälper dig skydda din viktigaste data från skadliga appar och hot, framförallt ransomware.

    När funktionen är aktiverad får bara betrodda program skriva till skyddade mappar, till exempel Dokument, Bilder, Musik, Videor eller andra känsliga platser. Om ett program som inte är betrott försöker ändra filer blir åtgärden blockerad.

    Controlled Folder Access är särskilt effektivt mot ransomware som ofta försöker kryptera användarens filer i just dessa mappar.

    Detta är en kraftfull funktion, men jag rekommenderar att börja i audit-läge för att identifiera om ni behöver lägga till undantag för vissa applikationer.

    Rekommendation: 🟡 Börja med audit och lägg till undantag vid behov.

    Controlled Folder Access Protected Folders

    Controlled Folder Access skyddar som standard ett antal vanliga användarmappar, till exempel Dokument, Bilder, Musik, Videor och Skrivbord.

    Med denna inställning kan du lägga till egna mappar som ska vara skyddade.

    Rekommendation: 🟡 Lägg till mappar vid behov.

    Controlled Folder Access Allowed Applications

    När Controlled Folder Access är aktiverat tillåts endast betrodda program att skriva till skyddade mappar. Program som inte är betrodda blockeras som standard.

    Med denna inställning kan du lägga program som ska tillåtas, till exempel:

    • egenutvecklade program
    • äldre applikationer
    • skript eller administrativa verktyg

    Rekommendation: 🟡 Lägg till program vid behov.

    Sammanfattning

    Det här var del 4 i serien om Defender for Endpoint och en genomgång av Attack Surface Reduction (ASR) och de regler som går att konfigurera.

    Förhoppningsvis gav artikeln tips på hur du kan använda ASR-regler för att stärka säkerheten, utan att påverka användarupplevelsen.

    Har du frågor, egna erfarenheter eller arbetar på ett annat sätt i din miljö? Dela gärna med dig i kommentarerna så hjälps vi åt att göra guiden ännu bättre 👍

  • Defender for Endpoint – Del 3: Antivirus & Intune-portalen

    Defender for Endpoint – Del 3: Antivirus & Intune-portalen

    Detta är del 3 i vår serie om Defender for Endpoint, och i den här delen ska vi titta närmare på antiviruspolicyer och Intune-portalen.

    Innan vi går in på själva inställningarna är det bra att reda ut hur och var policyerna hanteras, eftersom det kan skilja sig åt beroende på licens och konfiguration.

    Det finns flera sätt att arbeta med policyer, och i den här artikeln går vi igenom de vanligaste alternativen och hur de används i praktiken.

    • Direkt i Defender-portalen
    • Via Intune-portalen, genom att koppla ihop Defender for Endpoint med Microsoft Intune

    Delar i serien

    Här är en översikt över de delar som ingår i serien. Jag uppdaterar länkarna löpande allt eftersom nya inlägg blir publicerade.

    Konfiguration i Defender-portalen

    Om du använder en Enterprise-version (Defender for Endpoint Plan 1 eller Plan 2) finns möjlighet att konfigurera alla policyer direkt i Defender-portalen, till exempel:

    • Antivirus
    • Brandvägg
    • Attack Surface Reduction (ASR)
    • Device Control

    Dessutom går det att konfigurera policyer för både Windows, macOS och Linux.

    Du hittar policyinställningarna under menyn ”Endpoint → Configuration management → Endpoint security policies”.

    Använder du däremot en Business-version så ser menyerna lite annorlunda ut. I denna version hittar du policyinställningarna under ”Endpoint → Configuration management → Device configuration”.

    Denna sida är väldigt begränsad jämfört med Enterprise-varianten. I Defender for Business kan du via Defender-portalen bara konfigurera:

    • Antivirus
    • Brandvägg

    Och bara för Windows-enheter.

    Men Defender for Business har faktiskt stöd för flera funktioner, till exempel Attack Surface Reduction (ASR). Likaså finns stöd för macOS och Linux. Skillnaden är att dessa policyer inte går att konfigurera i Defender-portalen utan måste hanteras via Microsoft Intune.

    Man kan såklart nöja sig med att konfigurera antivirus- och brandväggspolicyer men det innebär att man går miste om flera viktiga säkerhetsfunktioner, framförallt Attack Surface Reduction, som är en central funktion i ett modernt skydd.

    Därför rekommenderar jag starkt att man kopplar ihop Defender for Endpoint med Microsoft Intune.
    Intune ger tillgång till fler typer av policyer och är dessutom ett väldigt kraftfullt verktyg för enhetshantering.

    ⚠️ Viktigt: Använder du en Enterprise-version kan samtliga policyer som beskrivs i den här guiden konfigureras direkt i Defender-portalen.

    I mitt fall använder jag Defender for Business, därför kommer jag koppla ihop Defender-portalen med Microsoft Intune och visa konfigurationen via Intune-portalen.

    Inställningarna och rekommendationerna är dock desamma, oavsett vilket alternativ du använder.

    Koppla ihop Defender-portalen med Microsoft Intune

    Steg 1: Aktivera Intune-kopplingen i Defender-portalen

    1. Logga in i Defender-portalen
    2. Scrolla ner i vänstermenyn till System
    3. Gå till Settings → Endpoints → Advanced features
    4. Scrolla ner på sidan och aktivera funktionen ”Microsoft Intune connection”

    Steg 2: Aktivera integrationen i Intune-portalen

    1. Logga in i Intune-portalen
    2. Klicka på menyn Endpoint security
    3. Scrolla ner till sektion Setup och välj Microsoft Defender for Endpoint
    4. Verifiera att status är Available

    Om status inte är Available har Defender for Endpoint-konfigurationen inte slutförts. Vänta några minuter och uppdatera sidan.

    1. Aktivera inställningen Allow Microsoft Defender for Endpoint to enforce Endpoint Security Configurations

    Detta innebär att Defender for Endpoint kan läsa policyer från Intune och tillämpa dem på enheter som hanteras av MDE.

    Steg 3: Slutför konfigurationen i Defender-portalen

    1. Gå tillbaka till Defender-portalen
    2. Navigera till Settings
    3. Scrolla ner till Configuration management och klicka på Enforcement scope
    4. Aktivera inställningen Use MDE to enforce security configuration settings from Intune

    När du aktiverat denna funktion visas en lista över vilka operativsystem som ska kunna hanteras via Intune.

    I mitt fall klickar jag i:

    • Windows Client devices
    • Linux devices
    • macOS devices

    Men det finns även möjlighet att välja:

    • Windows Server devices
    • Windows Server Domain Controller devices

    När dessa inställningar är konfigurerade kan Defender for Endpoint och Microsoft Intune kommunicera med varandra. Detta innebär att enheter som onboardas i Defender-portalen även visas i Intune, samt att policyer som skapas i Intune kan tillämpas av Defender for Endpoint.

    Antiviruspolicy – inställningar och rekommendationer

    I detta avsnitt går vi igenom inställningarna i antiviruspolicyn. Jag har försökt beskriva varje funktion så tydligt och kortfattat som möjligt.

    För att göra det enklare har jag lagt in en översiktstabell. Du kan klicka på namnen i tabellen för att hoppa direkt till respektive avsnitt.

    ⚠️ Obs! Jag vill än en gång poängtera att detta inte är en “How to” som passar alla, utan snarare en “How I do”. Jag tror att mina rekommendationer fungerar bra för många, men det finns såklart situationer där du kan behöva anpassa inställningarna.

    Översikt över inställningar

    PolicyRekommendation
    Allow Archive Scanning🟢 På
    Allow Behavior Monitoring🟢 På
    Allow Cloud Protection🟢 På
    Allow Email Scanning🟢 På
    Allow Full Scan On Mapped Network Drives🔴 Av
    Allow Full Scan Removable Drive Scanning🟢 På
    [Deprecated] Allow Intrusion Prevention System🟠 Inte konfigurerad
    Allow scanning of all downloaded files and attachments🟢 På
    Allow Realtime Monitoring🟢 På
    Allow Scanning Network Files🟢 På
    Allow Script Scanning🟢 På
    Allow User UI Access🟢 På
    Avg CPU Load Factor🟢 25%
    Archive Max Depth🟢 0 (obegränsat)
    Archive Max Size🟢 0 (obegränsat)
    Check For Signatures Before Running Scan🟠 Inte konfigurerad (beror på uppdateringsfrekvens och miljö)
    Cloud Block Level🟢 High
    Cloud Extended Timeout🟢 50 sekunder
    Days To Retain Cleaned Malware🟢 30 dagar
    Disable Catchup Full Scan🟢 På
    Disable Catchup Quick Scan🟢 På
    Enable Low CPU Priority🟢 På
    Enable Network Protection🟢 Blockera
    Excluded Extensions / Paths / Processes⚠️ Använd endast vid behov
    PUA Protection🟢 På
    Real Time Scan Direction🟢 Bi-directional
    Scan Parameter🟢 Full scan (om prestanda tillåter)
    Schedule Quick Scan Time🟢 600 (kl. 10:00)
    Schedule Scan Day🟠 Valfri veckodag (om prestanda tillåter)
    Schedule Scan Time🟢 120 (kl. 02:00)
    Signature Update Fallback Order⚠️ Använd endast vid behov
    Signature Update File Shares Sources⚠️ Använd endast vid behov
    Signature Update Interval🟢 4 timmar
    Submit Samples Consent🟢 Safe
    Disable Local Admin Merge🔴 Inaktivera
    Allow On Access Protection🟢 På
    Remediation action for Severe / Moderate / Low / High threats🟢 Karantän
    Allow Network Protection Down Level🟢 På
    Allow Datagram Processing On Win Server🟡 På – efter test
    Disable Dns Over Tcp / Http / Ssh / Tls Parsing🟢 Av (aktivera protokollinspektion)
    [Deprecated] Enable Dns Sinkhole🟠 Inte konfigurerad
    Engine Updates Channel🟠 Inte konfigurerad
    Metered Connection Updates🟢 På
    Platform Updates Channel🟠 Inte konfigurerad (använd standardkanal)
    Security Intelligence Updates Channel🟠 Inte konfigurerad (använd standardkanal)
    Randomize Schedule Task Times🟠 Inte konfigurerad
    Scheduler Randomization Time🟠 Inte konfigurerad
    Disable Core Service ECS Integration🟢 Av (aktivera ECS-integration)
    Disable Core Service Telemetry🟠 Inte konfigurerad

    Allow Archive Scanning

    Tillåter skanning i arkivfiler, till exempel .ZIP eller .CAB-filer.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Allow Behavior Monitoring

    Denna inställning innebär att Defender övervakar beteenden i realtid för att identifiera misstänkt aktivitet.

    I stället för att enbart förlita sig på signaturer så analyserar Defender hur program, tjänster och filer beter sig. Detta gör det möjligt att upptäcka även nya och okända angrepp.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Allow Cloud Protection

    Denna inställning gör det möjligt att använda Microsofts molntjänster för att snabbt identifiera och blockera nya och okända hot.

    Detta ger ett modernare och mer effektivt skydd jämfört med att enbart använda lokala signaturer.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Allow Email Scanning

    Tillåter att Defender skannar e-postmeddelanden och bilagor efter skadligt innehåll.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Allow Full Scan On Mapped Network Drives

    Tillåter att schemalagda fullständiga skanningar även skannar nätverksenheter som är mappade på klienten.

    Detta kan innebära hög belastning på nätverket och påverka prestandan negativt.

    Rekommendation: 🔴 Av

    ⬆️ Tillbaka till översikten

    Allow Full Scan Removable Drive Scanning

    Tillåter att schemalagda fullständiga skanningar även skannar flyttbara medier, till exempel USB-minnen och externa hårddiskar.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    [Deprecated] Allow Intrusion Prevention System

    Inställningen är markerad som föråldrad och kan bli ändrad eller borttagen. Moderna funktioner som Network Protection och Attack Surface Reduction ersätter denna inställning.

    Jag brukar sätta denna till Not configured för att följa Microsofts rekommendationer och undvika beroenden till funktioner som kan bli ändrade.

    Rekommendation: 🟠 Inte konfigurerad

    ⬆️ Tillbaka till översikten

    Allow scanning of all downloaded files and attachments

    Denna inställning säkerställer att alla nedladdade filer och bilagor skannas innan de öppnas eller körs.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Allow Realtime Monitoring

    Aktiverar realtidsskydd, vilket innebär att filer, processer och aktiviteter skannas kontinuerligt medan de används. Detta är en grundläggande säkerhetsfunktion som alltid bör vara aktiverad.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Allow Scanning Network Files

    Tillåter att schemalagda och manuella skanningar även inkluderar filer som nås via nätverket.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Allow Script Scanning

    Tillåter att Defender skannar skript, till exempel PowerShell- och VBScript-filer efter skadligt innehåll innan de körs.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Allow User UI Access

    Tillåter att användaren får åtkomst till Defenders användargränssnitt och kan se skyddsstatus, historik och notifieringar.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Avg CPU Load Factor

    Anger hur mycket processorkraft som Defender får använda vid skanningar.

    Standardvärdet är 50% vilket kan påverka prestandan märkbart. På användarklienter sätter jag vanligtvis detta till 20–30%. Det blir bättre balans mellan skydd och prestanda.

    Rekommendation: 🟢 25%

    ⬆️ Tillbaka till översikten

    Archive Max Depth

    Anger hur djupt Defender ska packa upp och skanna arkiv.

    Rekommendation: 🟢 0 (obegränsat)

    ⬆️ Tillbaka till översikten

    Archive Max Size

    Anger maximal storlek på arkiv som Defender ska packa upp och skanna.

    Stora arkiv kan påverka prestandan, men i praktiken har jag inte upplevt att detta innebär några problem.

    Rekommendation: 🟢 0 (obegränsat)

    ⬆️ Tillbaka till översikten

    Check For Signatures Before Running Scan

    Anger om Defender ska söka efter nya signaturer innan en schemalagd eller manuell skanning startar.

    Om man uppdaterar skyddssignaturer regelbundet kan denna inställning vara överflödig. I miljöer där uppdateringar sker mer sällan kan det däremot vara bra att ha den aktiverad.

    Rekommendation: 🟠 Inte konfigurerad (beror på uppdateringsfrekvens och miljö)

    ⬆️ Tillbaka till översikten

    Cloud Block Level

    Anger hur aggressivt Defender ska blockera hot baserat på molnbaserad analys.

    Ju högre nivå desto hårdare blockering av nya och okända hot, men kan även öka risken för falska positiva träffar.

    I de flesta miljöer är High rätt balans mellan säkerhet och användbarhet.

    Rekommendation: 🟢 High

    ⬆️ Tillbaka till översikten

    Cloud Extended Timeout

    Anger hur länge systemet väntar på svar från molntjänsten innan den tillåter eller blockerar ett misstänkt hot.

    En längre timeout ger molntjänsten mer tid att fatta ett beslut, vilket förbättrar skyddet mot nya och okända hot.

    Rekommendation: 🟢 50 sekunder

    ⬆️ Tillbaka till översikten

    Days To Retain Cleaned Malware

    Anger hur många dagar Defender sparar objekt i karantän.

    Rekommendation: 🟢 30 dagar

    ⬆️ Tillbaka till översikten

    Disable Catchup Full Scan

    Anger om en missad schemalagd fullständig skanning automatiskt ska köras i efterhand. När inställningen är aktiverad körs ingen catch-up scan.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Disable Catchup Quick Scan

    Anger om en missad schemalagd snabbskanning automatiskt ska köras i efterhand. När inställningen är aktiverad körs ingen catch-up scan.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Enable Low CPU Priority

    Anger om Defender ska köra schemalagda skanningar med lägre CPU-prioritet för att minska påverkan för användaren.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Enable Network Protection

    Aktiverar Network Protection vilket innebär att kända skadliga domäner och IP-adresser blir blockerade.

    Rekommendation: 🟢 Blockera

    ⬆️ Tillbaka till översikten

    Excluded Extensions / Paths / Processes

    Används för att exkludera filer, mappar eller processer från skanning. Bör användas mycket restriktivt.

    Rekommendation: ⚠️ Använd endast vid behov

    ⬆️ Tillbaka till översikten

    PUA Protection

    Anger om Microsoft Defender ska blockera potentiellt oönskade program (Potentially Unwanted Applications).

    Jag rekommenderar att denna inställning är aktiverad. Potentiellt oönskade program kan innebära säkerhetsrisker. Om legitim programvara blir blockerad är det bättre att skapa ett undantag.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Real Time Scan Direction

    Anger om realtidsskyddet ska skanna filer som kommer in till systemet, filer som lämnar systemet, eller både och.

    Rekommendation: 🟢 Bi-directional

    ⬆️ Tillbaka till översikten

    Scan Parameter

    Anger vilken typ av skanning som ska köras vid schemalagda skanningar – snabbskanning eller fullständig skanning.

    Det finns en separat inställning för att konfigurera dagliga snabbskanningar. Därför ser jag denna inställning som ett komplement och använder den för att schemalägga fullständiga skanningar.

    Rekommendation: 🟢 Full scan

    ⬆️ Tillbaka till översikten

    Schedule Quick Scan Time

    Anger vilken tid den dagliga snabbskanningen ska köras.

    Värde 0 motsvarar kl. 00:00, värde 60 motsvarar kl. 01:00 och så vidare.

    Många guider rekommenderar att man kör denna skanning utanför arbetstid. Eftersom snabbskanning går fort och vanligtvis inte påverkar prestandan tycker jag att man ska köra den vid en tidpunkt då klienten sannolikt är på.

    Rekommendation: 🟢 600 (kl. 10:00)

    ⬆️ Tillbaka till översikten

    Schedule Scan Day

    Anger vilken veckodag den schemalagda skanningen ska köras. Typ av skanning beror på ”Scan Parameter”.

    Denna skanning är ett komplement till den dagliga snabbskanningen. Om det finns möjlighet att köra schemalagd fullständig skanning utan att påverka användarupplevelsen negativt är detta ett bra komplement.

    Rekommendation: 🟠 Valfri veckodag (om prestanda tillåter)

    ⬆️ Tillbaka till översikten

    Schedule Scan Time

    Anger vilken tid den schemalagda skanningen ska köras.

    Värde 0 motsvarar kl. 00:00, värde 60 motsvarar kl. 01:00 och så vidare.

    Om man kör fullständig skanning rekommenderar en tidpunkt utanför arbetstid för att minimera påverkan på användarna.

    Rekommendation: 🟢 120 (kl. 02:00)

    ⬆️ Tillbaka till översikten

    Signature Update Fallback Order

    Denna inställning låter dig konfigurera i vilken ordning Defender ska kontakta alternativa signaturkällor om den primära inte är tillgänglig.

    Rekommendation: ⚠️ Använd endast vid behov

    ⬆️ Tillbaka till översikten

    Signature Update File Shares Sources

    Anger sökvägar till delade mappar som Defender kan använda som alternativa signaturkällor för att hämta uppdateringar.

    Rekommendation: ⚠️ Använd endast vid behov

    ⬆️ Tillbaka till översikten

    Signature Update Interval

    Anger hur ofta Defender ska söka efter uppdaterade signaturer.

    Standardvärde är 8 timmar, vilket i praktiken innebär en gång om dagen. När nya signaturer finns tillgängliga vill jag få ut dem så snabbt som möjligt.

    Rekommendation: 🟢 4 timmar

    ⬆️ Tillbaka till översikten

    Anger om Defender får skicka misstänkta filer till Microsoft för vidare analys.

    Genom att tillåta automatisk insamling kan systemet analysera nya och okända hot snabbare. Denna inställning kan vara känslig ur integritetssynpunkt, därför rekommenderar jag ”Safe” som bara skickar nödvändig information och undviker känslig persondata.

    Rekommendation: 🟢 Safe

    ⬆️ Tillbaka till översikten

    Disable Local Admin Merge

    Anger om lokala administratörer kan påverka centralt konfigurerade Defender-policyer.

    Rekommendation: 🔴 Inaktivera

    ⬆️ Tillbaka till översikten

    Allow On Access Protection

    Anger om Defender ska skanna filer i realtid när de öppnas, körs eller ändras.

    Detta är en grundläggande skyddsfunktion och bör vara på i alla miljöer.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Remediation action for Severe / Moderate / Low / High threats

    Anger vilken åtgärd Defender vidtar när den identifierar ett hot. Jag rekommenderar att alltid placera hot i karantän, så att en säkerhetsanalytiker kan analysera hotet.

    Rekommendation: 🟢 Karantän

    ⬆️ Tillbaka till översikten

    Allow Network Protection Down Level

    Anger om Network Protection ska vara aktivt även på äldre Windows-versioner.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Allow Datagram Processing On Win Server

    Anger om Network Protection ska analysera UDP-trafik även på Windows Server.

    Som standard är denna inställning inaktiv eftersom den kan påverka prestandan negativt. Jag tycker man ska testa funktionen och se hur den fungerar på respektive server.

    Rekommendation: 🟡 På – efter test

    ⬆️ Tillbaka till översikten

    Disable Dns Over Tcp / Http / Ssh / Tls Parsing

    Dessa inställningar styr om Network Protection ska inaktivera analys av viss nätverkstrafik.

    Jag rekommenderar att låta all protokollinspektion vara aktiv för att få maximalt skydd. Märker man att någon av funktionerna påverkar prestandan kan man stänga av den specifika analysen.

    Rekommendation: 🟢 Av (aktivera protokollinspektion)

    ⬆️ Tillbaka till översikten

    [Deprecated] Enable Dns Sinkhole

    Inställningen är markerad som föråldrad och kan komma att ändras eller tas bort.

    Jag brukar sätta denna till Not configured för att följa Microsofts rekommendationer och undvika beroenden till funktioner som kan bli ändrade.

    Rekommendation: 🟠 Inte konfigurerad

    ⬆️ Tillbaka till översikten

    Engine Updates Channel

    Anger vilken kanal Defender ska använda för uppdateringar av antivirusmotorn.

    Rekommendation: 🟠 Inte konfigurerad (använd standardkanal)

    ⬆️ Tillbaka till översikten

    Metered Connection Updates

    Anger om Defender ska hämta uppdateringar även när enheten använder en anslutning med begränsad datamängd.

    Eftersom skyddssignaturer och uppdateringar är avgörande för säkerheten rekommenderar jag att man tillåter detta.

    Rekommendation: 🟢 På

    ⬆️ Tillbaka till översikten

    Platform Updates Channel

    Anger vilken kanal Defender ska använda för uppdateringar av plattformskomponenter.

    Rekommendation: 🟠 Inte konfigurerad (använd standardkanal)

    ⬆️ Tillbaka till översikten

    Security Intelligence Updates Channel

    Anger vilken kanal Defender ska använda för uppdateringar av signaturer och andra hotdefinitioner.

    Rekommendation: 🟠 Inte konfigurerad (använd standardkanal)

    ⬆️ Tillbaka till översikten

    Randomize Schedule Task Times

    Anger om Defender ska slumpa starttider för schemalagda skanningar.

    Denna inställning kan till exempel vara användbar i virtualiserade miljöer för att undvika att många virtuella gäster startar schemalagda jobb samtidigt.

    Rekommendation: 🟠 Inte konfigurerad

    ⬆️ Tillbaka till översikten

    Scheduler Randomization Time

    Anger hur stort tidsintervall Defender kan använda för att slumpa starttider för schemalagda uppgifter (om randomisering är aktiverad).

    Jag har inte haft behov av att justera denna inställning och har därför lämnat den okonfigurerad. Som standard innebär detta ett intervall på 4 timmar.

    Rekommendation: 🟠 Inte konfigurerad

    ⬆️ Tillbaka till översikten

    Disable Core Service ECS Integration

    Core Service är en relativt ny komponent i Defender som används för att förbättra stabilitet och prestanda.

    Denna inställning anger om Core Service får använda Experimentation and Configuration Service (ECS) för att snabbt hämta kritiska uppdateringar.

    Rekommendation: 🟢 Av (aktivera ECS-integration)

    ⬆️ Tillbaka till översikten

    Disable Core Service Telemetry

    Anger om Core Service ska skicka diagnostik- och telemetridata till Microsoft.

    Telemetri används för att förbättra funktionalitet, stabilitet och felsökning. Denna datadelning kan vara känslig ur integritetssynpunkt, beroende på organisationens krav och policyer.

    Rekommendation: 🟠 Inte konfigurerad

    ⬆️ Tillbaka till översikten

    Sammanfattning

    Det här var del 3 i serien om Defender for Endpoint och en genomgång av de antiviruspolicyer som går att konfigurera. Förhoppningsvis ger artikeln en tydligare bild av hur man bygger ett bra grundskydd utan att i onödan påverka prestanda eller användarupplevelse.

    Har du frågor eller arbetar du på ett annat sätt i din miljö? Dela gärna med dig i kommentarerna så hjälps vi åt att göra guiden ännu bättre 👍