Resolver falsos positivos/negativos no Microsoft Defender para Endpoint

Nas soluções de proteção de pontos finais, um falso positivo é uma entidade, como um ficheiro ou um processo que foi detetado e identificado como malicioso, apesar de a entidade não ser realmente uma ameaça. Um falso negativo é uma entidade que não foi detetada como uma ameaça, apesar de ser realmente maliciosa. Podem ocorrer falsos positivos/negativos com qualquer solução de proteção contra ameaças, incluindo o Defender para Endpoint.

Se tiver Microsoft Defender XDR, reveja as "Origens de alertas", conforme descrito em Investigar alertas no Microsoft Defender XDR. Se a origem do alerta for Defender para Endpoint, continue a ler este artigo.

Pré-requisitos

Sistemas operativos suportados

• Windows

Identificar a origem de deteção

Quando tiver um falso positivo, um bom primeiro passo é tentar determinar a sua origem de deteção. A tabela seguinte lista as origens de deteção e potenciais soluções.

Falsos positivos e como resolvê-los

Felizmente, podem ser tomadas medidas para resolver e reduzir este tipo de problemas.

Parte 1: Rever e classificar alertas

Se vir um alerta gerado por algo ter sido detetado como malicioso ou suspeito, sem que o devesse ser, pode suprimir o alerta para essa entidade. Também pode suprimir alertas que não são necessariamente falsos positivos, mas que não são importantes. Recomendamos que também classifique alertas.

Gerir os alertas e classificar os verdadeiros/falsos positivos ajuda a preparar a sua solução de proteção contra ameaças e pode reduzir o número de falsos positivos ou falsos negativos ao longo do tempo. Seguir estes passos também ajuda a reduzir o ruído na sua fila para que a sua equipa de segurança se possa concentrar em itens de trabalho de prioridade superior.

Determinar se um alerta é preciso

Antes de classificar ou suprimir um alerta, determine se o alerta é preciso, um falso positivo ou benigno.

1. No portal Microsoft Defender, no painel de navegação, selecione Incidentes & alertas e, em seguida, selecione Alertas.

2. Selecione um alerta para ver mais detalhes sobre o mesmo. (Para obter ajuda com esta tarefa, consulte Rever alertas no Defender para Endpoint.)

3. Consoante o estado do alerta, siga os passos descritos na tabela seguinte:

   Estado do alerta	O que fazer
   O alerta é preciso	Atribua o alerta e, em seguida, investigue-o ainda mais.
   O alerta é um falso positivo	1. Classifique o alerta como um falso positivo. 2. Suprima o alerta. 3. Crie um indicador para Microsoft Defender para Endpoint. 4. Submeta um ficheiro à Microsoft para análise.
   O alerta é preciso, mas benigno (não importante)	Classifique o alerta como um verdadeiro positivo e, em seguida, suprima o alerta.

Classificar um alerta

Os alertas podem ser classificados como falsos positivos ou verdadeiros positivos no portal do Microsoft Defender. Classificar alertas ajuda a preparar o Defender para Endpoint para que, ao longo do tempo, veja mais alertas verdadeiros e menos alertas falsos.

1. No portal Microsoft Defender, no painel de navegação, selecione Incidentes & alertas, selecione Alertas e, em seguida, selecione um alerta.

2. Para o alerta selecionado, selecione Gerir alerta. Abre-se um painel desdobrável.

3. Na secção Gerir alerta , no campo Classificação , classifique o alerta (Verdadeiro positivo, Informativo, atividade esperada ou Falso positivo).

Suprimir um alerta

Se tiver alertas que sejam falsos positivos ou verdadeiros positivos, mas para eventos pouco importantes, pode suprimir esses alertas no portal Defender. Suprimir alertas ajuda a reduzir o ruído na fila.

1. No portal Microsoft Defender, no painel de navegação, selecione Incidentes & alertas e, em seguida, selecione Alertas.

2. Selecione um alerta que pretende suprimir para abrir o painel de Detalhes.

3. No painel Detalhes, selecione as reticências (...) e, em seguida, Criar regra de supressão.

4. Especifique todas as definições da regra de supressão e, em seguida, selecione Guardar.

Parte 2: Rever as ações de remediação

As ações de remediação, como enviar um ficheiro para colocar em quarentena ou parar um processo, são executadas em entidades (como ficheiros) que são detetadas como ameaças. Vários tipos de ações de remediação ocorrem automaticamente através da investigação automatizada e Microsoft Defender Antivírus:

• Colocar um ficheiro em quarentena
• Remover uma chave de registo
• Eliminar um processo
• Parar um serviço
• Desativar um controlador
• Remover uma tarefa agendada

Outras ações, como iniciar uma análise antivírus ou recolher um pacote de investigação, ocorrem manualmente ou através da Resposta em Direto. As ações executadas através da Resposta Em Direto não podem ser anuladas.

Depois de rever os alertas, o próximo passo é rever as ações de remediação. Se alguma ação tiver sido executada como resultado de falsos positivos, pode anular a maioria dos tipos de ações de remediação. Mais concretamente, pode:

• Restaurar um ficheiro em quarentena a partir do Centro de Ação
• Anular várias ações de uma só vez
• Remova um ficheiro da quarentena em múltiplos dispositivos, e
• Restaurar ficheiro a partir da quarentena

Quando terminar de rever e anular as ações que foram tomadas como resultado de falsos positivos, proceda à revisão ou definição de exclusões.

Rever as ações concluídas

1. No portal Microsoft Defender, selecione Ações & submissões e, em seguida, selecione Centro de ação.

2. Selecione o separador Histórico para ver uma lista das ações executadas.

3. Selecione um item para ver mais detalhes sobre a ação de remediação que foi tomada.

Restaurar um ficheiro em quarentena a partir do Centro de Ação

1. No portal Microsoft Defender, selecione Ações & submissões e, em seguida, selecione Centro de ação.

2. No separador Histórico , selecione uma ação que pretende anular.

3. No painel desdobrável, selecione Anular. Se a ação não puder ser anulada com este método, não verá um botão Anular . (Para saber mais, veja Anular ações concluídas.)

Anular várias ações de uma só vez

1. No portal Microsoft Defender, selecione Ações & submissões e, em seguida, selecione Centro de ação.

2. No separador Histórico , selecione as ações que pretende anular.

3. No painel desdobrável no lado direito do ecrã, selecione Anular.

Remover um ficheiro da quarentena em vários dispositivos

1. No portal Microsoft Defender, selecione Ações & submissões e, em seguida, selecione Centro de ação.

2. No separador Histórico , selecione um ficheiro que tenha o tipo de Ação Ficheiro de quarentena.

3. No painel do lado direito do ecrã, selecione Aplicar a X mais instâncias deste ficheiro e, em seguida, selecione Anular.

Rever mensagens em quarentena

1. No portal Microsoft Defender, no painel de navegação, em colaboração Email &, selecione Rastreio de mensagens do Exchange.

2. Selecione uma mensagem para ver os detalhes.

Restaurar ficheiro a partir da quarentena

Pode reverter e remover um ficheiro da quarentena se determinar que está limpo após uma investigação. Efetue os seguintes passos em cada dispositivo em que o ficheiro foi colocado em quarentena:

Numa Linha de Comandos elevada (uma janela da Linha de Comandos que abriu ao selecionar Executar como administrador), execute os seguintes comandos:

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Restore -Name EUS:Win32/CustomEnterpriseBlock -All

Para obter mais informações, veja Configurar e gerir Microsoft Defender Antivírus com a ferramenta de linha de comandos MpCmdRun.

Parte 3: Rever ou definir exclusões

Uma exclusão é uma entidade, como um ficheiro ou URL, que especifica como uma exceção às ações de remediação. A entidade excluída ainda pode ser detetada, mas não são tomadas medidas de remediação nessa entidade. Ou seja, o ficheiro ou processo detetado não é parado, enviado para quarentena, removido ou alterado de outra forma por Microsoft Defender para Endpoint.

Para definir exclusões entre Microsoft Defender para Endpoint, efetue as seguintes tarefas:

• Criar indicadores de permissão para o Microsoft Defender para Endpoint
• Definir exclusões para o Antivírus do Microsoft Defender
• Para regras de redução da superfície de ataque (ASR), configure exclusões globais das regras ASR ou exclusões por regra ASR.

Os procedimentos nesta secção descrevem como definir indicadores e exclusões.

Indicadores do Defender para Endpoint

Os indicadores (especificamente, indicadores de comprometimento ou IoCs) permitem à sua equipa de operações de segurança definir a deteção, prevenção e exclusão de entidades. Por exemplo, pode especificar determinados ficheiros a omitir de análises e ações de remediação no Microsoft Defender para Endpoint. Em alternativa, os indicadores podem ser utilizados para gerar alertas para determinados ficheiros, endereços IP ou URLs.

Para definir entidades como exclusões no Defender for Endpoint, crie indicadores de permissão para essas entidades. Esses indicadores de «permitir» aplicam-se à proteção de nova geração e à investigação e remediação automatizadas.

Os indicadores "Permitir" podem ser criados para:

• Ficheiros
• Endereços IP, URLs e domínios
• Certificados de aplicação

Indicadores para ficheiros

Quando cria um indicador "permitir" para um ficheiro, como um executável, ajuda a impedir que os ficheiros que a sua organização está a utilizar sejam bloqueados. Os ficheiros podem incluir ficheiros executáveis portáteis (PE), tais como ficheiros .exe e .dll.

Antes de criar indicadores para ficheiros, certifique-se de que os seguintes requisitos são cumpridos:

• Microsoft Defender o Antivírus está configurado com a proteção baseada na cloud ativada (veja Gerir a proteção baseada na cloud)
• A versão do cliente antimalware é 4.18.1901.x ou posterior
• Os dispositivos cliente têm de estar a executar Windows 11 ou Windows 10, versão 1703 ou posterior
• Os dispositivos de servidor têm de estar em execução Windows Server 2016 e posterior
• Windows Server 2012 R2 com a funcionalidade da solução unificada moderna
• A funcionalidade Bloquear ou permitir está ativada
• Azure Stack HCI OS, versão 23H2 e posterior.

Indicadores para endereços IP, URLs ou domínios

Quando cria um indicador "permitir" para um endereço IP, URL ou domínio, ajuda a impedir que os sites ou endereços IP que a sua organização utiliza sejam bloqueados.

Antes de criar indicadores para endereços IP, URLs ou domínios, certifique-se de que os seguintes requisitos são cumpridos:

• A proteção de rede no Defender para Endpoint está ativada no modo de bloqueio (veja Ativar a proteção de rede)
• A versão do cliente antimalware é 4.18.1906.x ou posterior
• Os dispositivos estão a executar Windows 10, versão 1709 ou posterior ou Windows 11

Os indicadores de rede personalizados são ativados no Microsoft Defender XDR. Para saber mais, veja Funcionalidades avançadas.

Indicadores para certificados de aplicação

Quando cria um indicador "permitir" para um certificado de aplicação, ajuda a impedir que aplicações, como aplicações desenvolvidas internamente, que a sua organização utiliza sejam bloqueadas. .CER ou .PEM as extensões de ficheiro são suportadas.

Antes de criar indicadores para certificados de aplicação, certifique-se de que os seguintes requisitos são cumpridos:

• O Microsoft Defender Antivirus está configurado com a proteção na nuvem ativada. Para obter mais informações, veja: Gerir a proteção baseada na cloud
• A versão do cliente antimalware é 4.18.1901.x ou posterior
• Os dispositivos estão a executar uma das seguintes opções:
  • Windows 10, versão 1703 ou posterior ou Windows 11
  • Windows Server 2012 R2 e posterior com a solução unificada moderna
  • Azure STACK HCI OS, versão 23H2 e posterior
• As definições de proteção contra vírus e ameaças estão atualizadas

Exclusões do Antivírus Microsoft Defender

Em geral, não deve ter de definir exclusões para Microsoft Defender Antivírus. Certifique-se de que define as exclusões com moderação e que inclui apenas os ficheiros, pastas, processos e ficheiros abertos pelo processo que resultam em falsos positivos. Além disso, certifique-se de que revê regularmente as exclusões definidas. Recomendamos que utilize Microsoft Intune para definir ou editar as exclusões antivírus. No entanto, pode utilizar outros métodos, como Política de Grupo (consulte Gerir Microsoft Defender para Endpoint).

Utilizar Intune para gerir exclusões de antivírus (para políticas existentes)

Para gerir exclusões de antivírus com o Microsoft Intune, consulte Modificar políticas existentes (abre num novo separador na documentação do Intune). Escolha as seguintes opções:

• Política: Antivírus, depois selecione a sua política de antivírus Microsoft Defender
• Exclusões do Microsoft Defender Antivírus: Especifique as suas exclusões.
  • As Extensões Excluídas são exclusões que define por extensão de tipo de ficheiro. Estas extensões aplicam-se a qualquer nome de ficheiro que tenha a extensão definida sem o caminho ou pasta do ficheiro. Cada tipo de ficheiro na lista deve ser separado por um caráter |. Por exemplo, lib|obj. Para obter mais informações, veja ExcludedExtensions.
  • Os Caminhos Excluídos são exclusões que define pela respetiva localização (caminho). Estes tipos de exclusões também são conhecidos como exclusões de ficheiros e pastas. Separe cada caminho na lista por um carácter |. Por exemplo, C:\Example|C:\Example1. Para obter mais informações, veja ExcludedPaths.
  • Os Processos Excluídos são exclusões para ficheiros abertos por determinados processos. Separe cada tipo de ficheiro da lista utilizando o caráter |. Por exemplo, C:\Example. exe|C:\Example1.exe. Estas exclusões não se aplicam aos processos efetivos. Para excluir processos, pode utilizar exclusões de ficheiros e pastas. Para obter mais informações, veja ExcludedProcesses.

Utilizar Intune para criar uma nova política antivírus com exclusões

Para criar uma nova política antivírus com exclusões no Microsoft Intune, consulte Criar uma política de segurança para endpoints (abre num novo separador na documentação do Intune). Ao criar a política, utilize estas definições:

• Tipo de política: Antivírus
• Plataforma: Windows 10, Windows 11 e Windows Server
• Perfil: Exclusões do Microsoft Defender Antivirus
• Definições de configuração: Especifique as suas exclusões antivírus.
  • As Extensões Excluídas são exclusões que define por extensão de tipo de ficheiro. Estas extensões aplicam-se a qualquer nome de ficheiro que tenha a extensão definida sem o caminho ou pasta do ficheiro. Separe cada tipo de ficheiro da lista utilizando o caráter |. Por exemplo, lib|obj. Para obter mais informações, veja ExcludedExtensions.
  • Os Caminhos Excluídos são exclusões que define pela respetiva localização (caminho). Estes tipos de exclusões também são conhecidos como exclusões de ficheiros e pastas. Separe cada caminho na lista por um carácter |. Por exemplo, C:\Example|C:\Example1. Para obter mais informações, veja ExcludedPaths.
  • Os Processos Excluídos são exclusões para ficheiros abertos por determinados processos. Separe cada tipo de ficheiro da lista utilizando o caráter |. Por exemplo, C:\Example. exe|C:\Example1.exe. Estas exclusões não se aplicam aos processos efetivos. Para excluir processos, pode utilizar exclusões de ficheiros e pastas. Para obter mais informações, veja ExcludedProcesses.
• Etiquetas de escopo: Se estiver a usar etiquetas de âmbito na sua organização, especifique etiquetas de âmbito para a política que está a criar. (Veja Etiquetas de âmbito.)
• Atribuições: especifique os utilizadores e grupos a quem a sua política deve ser aplicada, e depois escolha Próximo. (Se precisar de ajuda com atribuições, consulte Atribuir perfis de utilizador e de dispositivo no Microsoft Intune.)

Parte 4: Submeter um ficheiro para análise

Pode submeter entidades, como ficheiros e deteções sem ficheiros, à Microsoft para análise. Os investigadores de segurança da Microsoft analisam todas as submissões e os respetivos resultados ajudam a informar as capacidades de proteção contra ameaças do Defender para Endpoint. Quando inicia sessão no site de submissão, pode controlar as suas submissões.

Enviar hashes para análise

Para investigar hashes, utilize o https://aka.ms/wdsi portal Web. Pode submeter um máximo de 100 hashes. A origem do Indicador de Comprometimento (IOC) tem de ser fornecida. Pode ser uma mensagem de blogue, um artigo de segurança ou qualquer outra origem relevante.

Submeter um ficheiro para análise

Se tiver um ficheiro que foi detetado incorretamente como malicioso ou que não foi identificado, siga estes passos para submeter o ficheiro para análise.

1. Veja as diretrizes aqui: Submeter ficheiros para análise.

2. Submeta ficheiros no Defender para Endpoint ou visite o site de submissão Informações de Segurança da Microsoft e submeta os seus ficheiros.

Enviar uma deteção sem ficheiros para análise

Se algo tiver sido detetado como software maligno com base no comportamento e não tiver um ficheiro, pode submeter o ficheiro MpSupportFiles.cab para análise. Pode obter o ficheiro .cab utilizando a ferramenta de linha de comandos MpCmdRun no Windows 10 ou no Windows 11.

1. Gere o ficheiro C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab conforme descrito em Recolher Microsoft Defender dados de diagnóstico do Antivírus.

2. Veja as diretrizes aqui: Submeter ficheiros para análise.

3. Visite o site de submissão do Microsoft Security Intelligence e submeta os ficheiros .cab.

O que acontece depois de um ficheiro ser submetido?

A sua submissão é imediatamente analisada pelos nossos sistemas para lhe dar a mais recente determinação mesmo antes de um analista começar a processar o seu caso. É possível que um ficheiro já tenha sido submetido e processado por um analista. Nesses casos, uma determinação é feita rapidamente.

Para submissões que ainda não foram processadas, são priorizadas para análise da seguinte forma:

• Os ficheiros predominantes com potencial para afetar um grande número de computadores têm uma prioridade mais alta.
• Os clientes autenticados, especialmente os clientes empresariais com IDs de Software Assurance (SAIDs) válidos, têm uma prioridade mais alta.
• As submissões sinalizadas como de alta prioridade pelos titulares do SAID recebem atenção imediata.

Para verificar se existem atualizações sobre a sua submissão, inicie sessão no site de submissão do Microsoft Security Intelligence.

Parte 5: Rever e ajustar as definições de proteção contra ameaças

O Defender para Endpoint oferece uma grande variedade de opções, incluindo a capacidade de ajustar as definições para várias funcionalidades e capacidades. Se estiver a receber muitos falsos positivos, reveja as definições de proteção contra ameaças da sua organização. Poderá ter de efetuar alguns ajustes a:

• Proteção fornecida pela cloud
• Remediação para aplicações potencialmente indesejadas
• Investigação e remediação automatizadas

Proteção fornecida pela cloud

Verifique o nível de proteção fornecido pela cloud para Microsoft Defender Antivírus. Por predefinição, a proteção fornecida pela cloud está definida como Não configurada; no entanto, recomendamos que o ative. Para saber mais sobre como configurar a proteção fornecida pela cloud, veja Ativar a proteção da cloud no Antivírus do Microsoft Defender.

Pode utilizar Intune ou outros métodos, como Política de Grupo, para editar ou definir as definições de proteção fornecidas pela cloud.

Veja Ativar a proteção na nuvem no Antivírus do Microsoft Defender.

Remediação para aplicações potencialmente indesejadas

As aplicações potencialmente indesejadas (PUA) são uma categoria de software que pode fazer com que os dispositivos sejam executados lentamente, apresentem anúncios inesperados ou instalem outro software que possa ser inesperado ou indesejado. Exemplos de PUA incluem software publicitário, software de agrupamento e software de evasão que se comporta de forma diferente com produtos de segurança. Embora o PUA não seja considerado malware, alguns tipos de software são PUA com base no seu comportamento e reputação.

Para saber mais sobre o PUA, veja Detetar e bloquear aplicações potencialmente indesejadas.

Consoante as aplicações que a sua organização está a utilizar, poderá estar a receber falsos positivos como resultado das definições de proteção contra PUA. Se necessário, considere executar a proteção contra PUA no modo de auditoria durante algum tempo ou aplicar a proteção contra PUA a um subconjunto de dispositivos na sua organização. A proteção contra PUA pode ser configurada para o browser Microsoft Edge e para Microsoft Defender Antivírus.

Recomendamos que utilize Intune para editar ou definir definições de proteção contra PUA. No entanto, pode utilizar outros métodos, como Política de Grupo.

Veja Configurar a proteção contra PUA no Antivírus do Microsoft Defender.

Investigação e remediação automatizadas

As capacidades automatizadas de investigação e remediação (AIR) foram concebidas para examinar alertas e tomar medidas imediatas para resolver falhas. À medida que os alertas são acionados, e uma investigação automatizada é executada, é gerado um veredicto para cada prova investigada. Os veredictos podem ser Maliciosos, Suspeitos ou Não foram encontradas ameaças.

Consoante o nível de automatização definido para a sua organização e outras definições de segurança, são executadas ações de remediação em artefactos considerados Maliciosos ou Suspeitos. Em alguns casos, as ações de remediação ocorrem automaticamente; noutros casos, as ações de remediação são executadas manualmente ou apenas após aprovação pela sua equipa de operações de segurança.

• Saiba mais sobre os níveis de automatização; e, em seguida,
• Configure as capacidades do AIR no Defender para Endpoint.

Falsos negativos e como os enfrentar

Um falso negativo ocorre quando uma entidade maliciosa (como um ficheiro, processo ou ligação de rede) não é detetada pelo Defender for Endpoint. Falsos negativos podem resultar de inteligência de segurança desatualizada, funcionalidades mal configuradas ou ameaças que escapam às assinaturas existentes.

Verificar um falso negativo suspeito

Antes de reportar um falso negativo, confirme que a atividade suspeita ocorreu e não foi detetada. Use a linha temporal do dispositivo e a caça avançada no portal Microsoft Defender para verificar o comportamento dos endpoints.

1. Na página de inventário de dispositivos do portal Defender em https://security.microsoft.com/machines, selecione o dispositivo afetado.

2. Na página da entidade do dispositivo que se abre, selecione o separador Timeline e procure eventos que correspondam à atividade suspeita (por exemplo, criação de ficheiros, execução de processos ou ligações de rede durante o período de tempo esperado).

3. Para pesquisar todo o seu ambiente, vá à página de caça avançada do portal Defender em https://security.microsoft.com/v2/advanced-hunting e faça consultas em tabelas relevantes. Por exemplo, use a seguinte consulta para encontrar eventos relacionados com um hash específico de ficheiro:

   DeviceFileEvents
   | where SHA1 == "<hash>"
   | where ActionType == "FileCreated"
   

   Também pode verificar a atividade da rede com uma consulta como o seguinte exemplo:

   DeviceNetworkEvents
   | where RemoteUrl has "<suspicious-domain>"
   

4. Se a atividade estiver presente nos registos mas não foi gerado nenhum alerta, é provável que a deteção tenha sido ignorada e deve avançar com a recolha de provas.

Recolha provas para a escalada de falsos negativos

Antes de submeter um falso negativo à Microsoft, reúna os seguintes artefactos forenses para apoiar a análise:

• Ficheiros de suporte do ponto final: Gere o pacote de diagnóstico C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab executando MpCmdRun.exe -GetFiles numa Linha de Comandos com privilégios elevados. Para obter instruções, veja Collect Microsoft Defender Antivirus diagnostic data (Recolher dados de diagnóstico do Antivírus do Microsoft Defender).

• Detalhes de execução do processo: Documente a árvore de processos, os parâmetros da linha de comandos e os processos pais associados à atividade suspeita. Pode encontrar detalhes da execução de processos na linha temporal do dispositivo ou através de consultas de pesquisa avançada na tabela DeviceProcessEvents.

• Dados de fluxo de rede: Se a ameaça envolver ligações de rede, capture detalhes relevantes da ligação (IPs remotos, domínios, portas) da DeviceNetworkEvents tabela.

• Capturas de memória ou registos de execução em sandbox: Se possível, recolha capturas de memória ou registos de execução em sandbox do dispositivo afetado para ajudar a Microsoft a analisar o comportamento da ameaça. Também pode recolher um pacote de investigação diretamente do dispositivo no portal Defender.

• Dados brutos de eventos: Exporte eventos relevantes da caça avançada no portal Microsoft Defender para inclusão na sua submissão.

Submeter falsos negativos para análise

Depois de recolher provas, submeta o falso negativo à Microsoft para análise usando um dos seguintes métodos:

• Na página Submissões do portal do Defender em https://security.microsoft.com/reportsubmission:

  • Ficheiros: Para obter instruções completas, consulte Submeter ficheiros no Microsoft Defender para Endpoint.
  • Separador URLs: Para obter instruções completas, consulte Comunicar URLs suspeitos à Microsoft.

• Submeta hashes e ficheiros diretamente no site de submissão do Microsoft Security Intelligence. Para obter mais informações, veja Submeter ficheiros para análise.

Mitigar ameaças enquanto aguarda análise

Depois de submeter um falso negativo, a ameaça afetada pode continuar ativa no seu ambiente. Use indicadores personalizados no Defender for Endpoint para bloquear imediatamente entidades maliciosas conhecidas até que a Microsoft atualize as assinaturas de deteção:

• Hashes de ficheiros: Criar indicadores de bloqueio para hashes de ficheiros maliciosos. Veja Criar indicadores para ficheiros.
• Endereços IP e domínios: Crie indicadores de bloco para IPs ou domínios maliciosos. Veja Criar indicadores para IPs e URLs/domínios.

Indicadores personalizados entram em vigor em toda a sua organização e oferecem proteção imediata enquanto a Microsoft analisa a submissão.

Verificar a saúde e configuração dos endpoints

Falsos negativos também podem resultar de inteligência de segurança desatualizada ou funcionalidades de proteção desativadas no endpoint. Para verificar o estado do endpoint no dispositivo afetado, utilize os seguintes passos:

1. Execute o seguinte comando numa janela PowerShell elevada no dispositivo afetado para verificar as versões do motor e da assinatura:

   Get-MpComputerStatus | Select-Object AMServiceVersion, AMProductVersion, AMEngineVersion, AntispywareSignatureVersion, AntivirusSignatureVersion
   

2. Confirme que as atualizações de inteligência de segurança estão atualizadas. Se as versões estiverem desatualizadas, execute o seguinte comando para as atualizar:

   Update-MpSignature
   

   Nota

   Também é possível verificar atualizações da inteligência de segurança numa Linha de Comandos com privilégios elevados, executando MpCmdRun.exe -SignatureUpdate. Para mais informações, consulte Usar a linha de comandos para gerir o Microsoft Defender Antivirus.

3. Verifique se as funcionalidades de proteção de chaves estão ativadas. Podem ocorrer falsos negativos se as seguintes funcionalidades forem desativadas ou configuradas incorretamente:

   • Proteção fornecida pela cloud
   • Proteção em tempo real
   • EDR em modo de bloqueio
   • Regras de redução da superfície de ataque (RSA)

4. Verifique se a plataforma do dispositivo e o sistema operativo estão atualizados, porque versões mais antigas podem não ter capacidades de deteção disponíveis nas versões mais recentes.

Ainda necessita de ajuda?

Se já passou por todos os passos neste artigo e ainda precisa de ajuda, contacte o suporte técnico.

1. No portal Microsoft Defender, no canto superior direito, selecione o ponto de interrogação (?) e, em seguida, selecione Suporte da Microsoft.

2. Na janela Assistente de Suporte , descreva o problema e, em seguida, envie a sua mensagem. A partir daí, pode abrir um pedido de serviço.

Consulte também

• Gerir o Defender para Endpoint
• Gerir exclusões para o Microsoft Defender para Endpoint e o Microsoft Defender Antivirus
• Descrição geral do portal do Microsoft Defender
• Microsoft Defender para Endpoint no Mac
• Microsoft Defender para Endpoint no Linux
• Configurar o Microsoft Defender para Endpoint em funcionalidades do iOS
• Configurar as funcionalidades do Microsoft Defender para Endpoint no Android