EDR im Blockmodus, passiver Modus und Dritt-Virenschutz

Viele Organisationen betreiben Microsoft Defender for Endpoint (MDE) als EDR, während der Virenschutz eines anderen Herstellers primär bleibt, zumindest während einer Migration. Das wird unterstützt, verändert aber, was Defender Antivirus auf jedem Gerät tut, und die Details unterscheiden sich zwischen Clients und Servern. Wer sie falsch einstellt, hat am Ende zwei Produkte, die sich gegenseitig behindern, oder einen Defender, der stillschweigend nichts tut, während alle glauben, er schütze den Rechner.

Dieser Leitfaden erklärt die Modi, wie Geräte in den jeweiligen Modus gelangen, was EDR im Blockmodus hinzufügt und wie Sie den Zustand jedes Geräts nachweisen. Er baut auf dem Grundlagenleitfaden zur Härtung von Defender Antivirus und dem übergreifenden Thema Microsoft Defender auf.

Die Modi

Prüfen Sie den Modus auf einem beliebigen Gerät:

Get-MpComputerStatus | Select-Object AMRunningMode, AMServiceEnabled, RealTimeProtectionEnabled,
  AMProductVersion, AntivirusSignatureAge, IsTamperProtected

Das Windows-Sicherheitscenter zeigt, welches Produkt als primär registriert ist:

Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct |
  Select-Object displayName, productState   # SecurityCenter2 gibt es nur auf Client-Editionen

Was im passiven Modus bleibt und was verloren geht

Die Tabelle ist das Argument dafür, eine Migration abzuschließen: Jede Zeile mit Nein ist ein Schutz, den Sie per Richtlinie konfiguriert haben, aber nicht erhalten. Die vollständige Liste, einschließlich des Verhaltens bei automatisierten Untersuchungen, finden Sie in Microsofts Kompatibilitätsmatrix für Defender Antivirus mit anderen Sicherheitsprodukten; sie wird aktualisiert, wenn sich Funktionen ändern.

Wie Geräte in den jeweiligen Modus gelangen

Clients mit Windows 10 und 11

Clients wechseln automatisch. Wenn sich ein Virenschutz eines Drittanbieters beim Windows-Sicherheitscenter registriert:

• Ist das Gerät in MDE eingebunden, wechselt Defender Antivirus in den passiven Modus.
• Ist es nicht eingebunden, wird Defender Antivirus deaktiviert (optional mit eingeschränkter regelmäßiger Überprüfung).

Wird das Drittanbieterprodukt deinstalliert, kehrt Defender von selbst in den aktiven Modus zurück. Eine übrig gebliebene Richtlinie kann das verhindern: Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Turn off Microsoft Defender Antivirus (DisableAntiSpyware) wird auf aktuellen Plattformen ignoriert, taucht aber noch in vielen alten GPOs auf. Entfernen Sie sie trotzdem, damit sie die Fehlersuche nicht verwirrt.

Windows Server

Server wechseln nicht automatisch. Ist ein anderer Virenschutz installiert und Defender weiterhin aktiv, laufen zwei Echtzeitscanner auf denselben I/O-Vorgängen: langsam und mitunter instabil. Setzen Sie vor oder während der Einbindung:

HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
  ForceDefenderPassiveMode   REG_DWORD 1

Verteilen Sie den Wert über Gruppenrichtlinieneinstellungen (Group Policy Preferences) oder Ihr Servermanagementwerkzeug und binden Sie den Server anschließend ein. Um einen Server wieder in den aktiven Modus zu versetzen, setzen Sie den Wert auf 0 (oder entfernen ihn) und starten neu. Setzen Sie den Wert vor der Einbindung, wenn der Server passiv bleiben soll. Ab Plattform 4.18.2208 blockiert der Manipulationsschutz den Wechsel zurück in den passiven Modus, sobald ein eingebundener Server mit aktivem Manipulationsschutz im aktiven Modus läuft, selbst mit ForceDefenderPassiveMode = 1.

Deinstallieren Sie das Feature Windows Defender nicht, um für ein anderes Produkt „Platz zu schaffen“, wenn der Server in MDE eingebunden ist. Der passive Modus hält EDR im Blockmodus und einen Rückfallweg verfügbar.

Clients, die nicht passiv werden

Microsoft dokumentiert ForceDefenderPassiveMode für Windows Server; auf Clients hängt der passive Modus davon ab, dass sich das Drittanbieterprodukt beim Windows-Sicherheitscenter registriert. Ist der Dienst Windows Security Center Service deaktiviert, kann Defender das andere Produkt nicht sehen und bleibt parallel dazu aktiv, was Microsoft nicht unterstützt. Beheben Sie die Registrierung oder den Dienst, statt sich auf eine Überschreibung in der Registrierung zu verlassen.

EDR im Blockmodus

EDR im Blockmodus erlaubt Defender Antivirus, auf das zu reagieren, was der EDR-Sensor sieht, auch wenn ein anderes Produkt primär ist. Stuft die Verhaltenserkennung in MDE eine Datei oder einen Prozess als bösartig ein, blockiert und bereinigt Defender im passiven Modus ihn: Die Datei wird unter Quarantäne gestellt, der Prozess beendet. Ohne diese Funktion würde MDE einen Alarm auslösen und darauf warten, dass der andere Virenschutz oder ein Analyst handelt.

Voraussetzungen:

• Defender for Endpoint Plan 2 (oder eine Lizenz, die ihn enthält) und eingebundene Geräte.
• Windows 10 oder 11, Windows Server 2019 oder neuer oder Server 2016 / 2012 R2 mit der modernen einheitlichen Lösung.
• Defender Antivirus installiert und im passiven oder aktiven Modus, mit Plattform 4.18.2001.10 und Engine 1.1.16700.2 oder neuer (in der Praxis beide aktuell halten).
• Cloudbasierter Schutz in der Defender-Konfiguration aktiviert.

Aktivieren Sie die Funktion im Microsoft Defender-Portal: Settings > Endpoints > General > Advanced features > Enable EDR in block mode. Dieser Schalter gilt mandantenweit; ab Plattform 4.18.2202 können Sie stattdessen Gerätegruppen gezielt über den Defender-CSP Configuration/PassiveRemediation oder die GPO Microsoft Defender Antivirus > Features > Enable EDR in block mode ansprechen. Microsoft positioniert die Funktion in erster Linie für Geräte, auf denen Defender im passiven Modus läuft.

Auf diese Weise bereinigte Erkennungen erscheinen im Info-Center (Action center) des Portals als abgeschlossene Aktionen mit dem Status Blocked oder Prevented; der Alarm kann Microsoft Defender Antivirus als Quelle nennen, obwohl dieser im passiven Modus läuft. Auf dem Gerät ist die Bereinigung im Schutzverlauf von Defender und im Protokoll Windows Defender Operational sichtbar (Erkennung 1116, Aktion 1117).

Zwei Produkte ohne Konflikt betreiben

Wenn ein Drittanbieter-Virenschutz und Defender nebeneinander laufen, muss jeder die Dateien des anderen ignorieren, sonst drohen Fehlalarme, Deadlocks und langsame Scans.

1. Im Drittanbieterprodukt schließen Sie die Binärdateien und Daten von Defender aus: C:\Program Files\Windows Defender\, C:\ProgramData\Microsoft\Windows Defender\ sowie den MDE-Sensor (MsSense.exe, SenseCncProxy.exe, SenseIR.exe und den Ordner C:\Program Files\Windows Defender Advanced Threat Protection\). Nutzen Sie den Mechanismus des Herstellers und die von Microsoft veröffentlichte Liste, die maßgebliche Fassung.
2. In Defender fügen Sie Ausschlüsse für die Installations- und Datenordner des Drittanbieterprodukts nur hinzu, wenn Sie Konflikte beobachten. Im passiven Modus scannt Defender nicht in Echtzeit, diese Ausschlüsse dienen also vor allem der späteren aktiven Phase. Halten Sie sie eng und mit Verantwortlichem, wie in der Prüfung der Ausschlüsse beschrieben.
3. Konfigurieren Sie Defender trotzdem vollständig. Verteilen Sie Ihre ASR-, Netzwerkschutz-, CFA- und Cloudeinstellungen schon jetzt. Im passiven Modus werden sie ignoriert und greifen in dem Moment, in dem das Gerät aktiv wird, genau das, was Sie bei der Umstellung wollen.

Umstellung bei der Migration

Eine typische Reihenfolge beim Wechsel von einem anderen Virenschutz zu Defender:

1. ForceDefenderPassiveMode auf Servern setzen, dann Geräte in MDE einbinden.
2. EDR im Blockmodus mandantenweit aktivieren.
3. Defender-Richtlinien verteilen (AV, ASR-Regeln im Überwachungsmodus, Netzwerkschutz, Ausschlüsse).
4. Das Drittanbieterprodukt ringweise deinstallieren. Clients werden automatisch aktiv; auf Servern ForceDefenderPassiveMode auf 0 setzen und neu starten.
5. Modus Normal überprüfen, dann ASR-Regeln auf Blockieren umstellen.
6. Manipulationsschutz aktivieren, sobald der jeweilige Ring aktiv ist.

Was dabei kaputtgeht

• Zwei aktive Echtzeitscanner auf einem Server, der nie auf passiv gesetzt wurde: hohe CPU-Last, Dateisperren, fehlgeschlagene Backups. Abhilfe schafft ForceDefenderPassiveMode.
• Defender bleibt im passiven Modus hängen, nachdem das andere Produkt entfernt wurde, wegen einer verbliebenen Registrierung im Sicherheitscenter oder eines vergessenen ForceDefenderPassiveMode-Werts. Prüfen Sie beides.
• Defender-Feature auf Servern entfernt, sodass EDR im Blockmodus stillschweigend nicht handeln kann. Installieren Sie es, wo unterstützt, mit Install-WindowsFeature Windows-Defender neu.
• Veraltete Security Intelligence auf passiven Geräten. Updates müssen weiterhin ankommen; ein passives Gerät mit einer Woche alter Security Intelligence liefert schwache Ergebnisse bei EDR im Blockmodus.

Überprüfen

Erstellen Sie einen Flottenbericht, keine Stichprobe:

$s = Get-MpComputerStatus
[pscustomobject]@{
  Computer     = $env:COMPUTERNAME
  Mode         = $s.AMRunningMode
  Platform     = $s.AMProductVersion
  SigAgeDays   = $s.AntivirusSignatureAge
  Tamper       = $s.IsTamperProtected
  ForcePassive = (Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection' -ErrorAction SilentlyContinue).ForceDefenderPassiveMode
}

Im Defender-Portal zeigt der Bericht Microsoft Defender Antivirus health (unter Reports > Device health) den Antivirenmodus jedes eingebundenen Geräts. Jedes Gerät sollte sich in genau einem erwarteten Zustand befinden: Normal, wo Defender primär ist, EDR Block Mode, wo noch ein anderes Produkt primär ist. Passive Mode ohne Blockmodus oder SxS Passive Mode auf einem eingebundenen Gerät ist eine Lücke, die geschlossen werden muss.

Checkliste

• Ausführungsmodus für jedes Gerät erfasst, erwarteter Zustand dokumentiert
• ForceDefenderPassiveMode auf Servern mit anderem AV gesetzt; nach der Umstellung entfernt
• Defender-Feature auf eingebundenen Servern installiert gelassen
• EDR im Blockmodus mandantenweit aktiviert
• Gegenseitige Ausschlüsse zwischen Defender und Drittanbieterprodukt eingerichtet
• Defender-Richtlinien (ASR, Netzwerkschutz, CFA) vor der Umstellung verteilt
• Veraltete GPOs „Turn off Microsoft Defender Antivirus“ entfernt
• Geräte in unerwarteten Modi gemeldet und mit Alarmen versehen