- Procedury przywracania izolowanych plików przy użyciu interfejsu Zabezpieczeń systemu Windows, konsoli MpCmdRun lub portalu punktów końcowych.
- Kryteria bezpieczeństwa pozwalające odróżnić fałszywy alarm od prawdziwego zagrożenia przed odzyskaniem pliku wykonywalnego.
- Skonfiguruj wykluczenia ścieżek i folderów, aby zapobiec wielokrotnemu usuwaniu przez program antywirusowy prawidłowych plików.
- Metody naprawy systemu i dokładne czyszczenie przy użyciu trybu awaryjnego i poleceń konsoli w celu naprawienia błędów wykrycia.
Czasami zabezpieczenia systemu Windows przesadzają i umieszczają w kwarantannie całkowicie nieszkodliwe pliki , narażając nas na atak akurat wtedy, gdy potrzebujemy uruchomić ważny program. To właśnie nazywamy fałszywie dodatnim alarmem i dzieje się tak, ponieważ program antywirusowy wykrywa podejrzany wzorzec, mimo że plik jest w rzeczywistości legalny i bezpieczny.
Jeśli kiedykolwiek zdarzyło Ci się, że program Microsoft Defender usunął plik wykonywalny lub dokument potrzebny do pracy, nie trać nadziei. Istnieje kilka sposobów na odzyskanie tych danych , a co ważniejsze, na skonfigurowanie systemu tak, aby zapobiec ponownemu wystąpieniu takiej sytuacji. W tym artykule omówimy wszystko, od najprostszych kroków po bardziej zaawansowane sztuczki, które pomogą Ci okiełznać program antywirusowy.
Jak odzyskać pliki, które trafiły do kwarantanny
Gdy oprogramowanie antywirusowe izoluje plik, nie usuwa go od razu całkowicie, lecz przenosi do bezpiecznego obszaru, gdzie nie może wyrządzić szkody. Aby go odzyskać, najszybszym sposobem jest otwarcie aplikacji Zabezpieczenia systemu Windows , przejście do sekcji Ochrona przed wirusami i zagrożeniami i sprawdzenie historii ochrony. Tam możesz filtrować według elementów poddanych kwarantannie, wybrać żądany plik i kliknąć opcję Przywróć , aby przywrócić go do pierwotnej lokalizacji.
Jeśli jesteś osobą, która nie chce klikać w menu i wolisz korzystać z konsoli, możesz skorzystać z narzędzia MpCmdRun.exeAby to zrobić, musisz otworzyć wiersz polecenia jako administrator. Najpierw zaleca się przejście do katalogu platformy Defender i uruchomienie polecenia. -Restore -ListAll Aby wyświetlić listę przechwyconych plików. Po znalezieniu dokładnej nazwy wystarczy uruchomić polecenie -Restore -Name <nombre_del_archivo> dla zwróć plik do jego lokalizacji.
W środowiskach profesjonalnych lub korporacyjnych portal Microsoft Defender Endpoint Portal umożliwia zdalne zarządzanie takimi sytuacjami. Stamtąd możesz pobrać plik w zabezpieczonym hasłem archiwum .zip, co pozwoli Ci go przeanalizować przed podjęciem decyzji, czy można go bezpiecznie zwrócić na komputer pracownika.
Analiza krytyczna: Czy to naprawdę fałszywie pozytywny wynik?
Przed odzyskaniem czegokolwiek, ważne jest, aby zachować realizm. Nie zaleca się przywracania pliku bez powodu, tylko dlatego, że jest potrzebny. Najlepiej zweryfikować pochodzenie pliku : kto go wysłał? Z jakiej strony internetowej został pobrany? I czy był podpisany cyfrowo? Jeśli plik jest instalatorem znanego oprogramowania, najrozsądniej jest porównać go z oficjalną wersją od producenta lub sprawdzić wartość skrótu pliku , aby upewnić się, że nie został zmodyfikowany.
Jeśli pracujesz w małej lub średniej firmie (MŚP), kluczowe jest, aby nie testować na komputerze produkcyjnym. Najlepiej pobrać czystą kopię z oficjalnego repozytorium dostawcy, zamiast polegać na pliku, który został już zablokowany. Jeśli plik zawiera poufne dane, unikaj przesyłania go do publicznych analizatorów online, aby zapobiec ujawnieniu poufnych informacji firmowych.
Zablokuj programowi Defender możliwość dalszego usuwania plików
Jeśli wiesz już, że plik jest bezpieczny, ale Defender usuwa go po każdym ponownym uruchomieniu, najlepszym rozwiązaniem jest utworzenie wykluczenia folderu lub pliku . Aby to zrobić, przejdź do ustawień ochrony przed wirusami i zagrożeniami i poszukaj opcji „Dodaj lub usuń wykluczenia”. Dodając cały folder, w którym znajduje się program, instruujesz program antywirusowy, aby ignorował tę konkretną ścieżkę podczas skanowania.
Zaawansowaną sztuczką dla tych, którzy korzystają z programów antywirusowych innych firm (takich jak Avast lub Malwarebytes) i zauważają, że Defender nadal działa w tle, jest aktywacja Analiza okresowaDzięki temu interfejs wykluczeń stanie się widoczny i będzie można zapisać ścieżki w rejestrze systemu Windows (konkretnie w kluczu). HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows Defender\\Exclusions\\Paths), zapewniając, że wykluczenie trwa nawet jeśli Defender jest technicznie wyłączony.
Rozwiązywanie problemów i gruntowne czyszczenie
W przypadkach, gdy program antywirusowy zwraca błędy podczas próby usunięcia zagrożenia lub historia ochrony nie zostanie wyczyszczona, w systemie mogą znajdować się uszkodzone pliki. Uruchom polecenie DISM.exe /Online /Cleanup-image /Restorehealth w konsoli administratora pomaga napraw obraz systemu WindowsJeżeli problem będzie się powtarzał, polecenie Sfc /scannow Jest to idealne narzędzie do korygowania błędów w chronionych plikach systemu operacyjnego.
Jeśli podejrzewasz, że infekcja blokuje działanie programu Defender, najskuteczniejszym rozwiązaniem jest ponowne uruchomienie komputera w trybie awaryjnym i uruchomienie skanowania offline programu Microsoft Defender. To narzędzie może usunąć uporczywe złośliwe oprogramowanie, które ukrywa się, gdy system operacyjny jest w pełni załadowany. Aby uzyskać dodatkowe czyszczenie, narzędzia innych firm, takie jak Malwarebytes lub AdwCleaner, stanowią doskonałe uzupełnienie, dzięki czemu upewnisz się, że nie pozostaną żadne ślady złośliwych skryptów.
Dla tych, którzy chcą ręcznie wyczyścić historię alertów i zacząć od nowa, istnieje możliwość usunięcia zawartości folderu usługi w C:\\ProgramData\\Microsoft\\Windows Defender\\Scan\\History\\ServiceWymaga to jednak tymczasowego wyłączenia ochrony w czasie rzeczywistym i ochrony w chmurze. Możesz również dostosować czas automatycznego usuwania elementów poddanych kwarantannie za pomocą polecenia w programie PowerShell. Set-MpPreference-ScanPurgeItemsAfterDelay a następnie pożądaną liczbę dni.
Zachowanie równowagi między bezpieczeństwem a użytecznością wymaga zarządzania alertami antywirusowymi bez wyłączania ogólnej ochrony. Najrozsądniejszym podejściem jest dokumentowanie każdego utworzonego wyjątku, weryfikacja plików za pomocą oficjalnych źródeł oraz korzystanie z narzędzi do głębokiego skanowania, gdy natywne narzędzia systemu Windows są przeciążone przez rzeczywiste zagrożenie lub błąd systemowy.