Proteção da cloud e submissão de exemplo no Antivírus do Microsoft Defender

Aplica-se a:

• Plano 1 do Microsoft Defender para Ponto de Extremidade
• Plano 2 do Microsoft Defender para Ponto de Extremidade
• Microsoft Defender Antivírus

Plataformas

• Windows

• macOS

• Linux

• Windows Server

Microsoft Defender Antivírus utiliza muitos mecanismos inteligentes para detetar software maligno. Uma das funcionalidades mais poderosas é a capacidade de aplicar o poder da cloud para detetar software maligno e realizar análises rápidas. A proteção da cloud e a submissão automática de exemplo funcionam em conjunto com Microsoft Defender Antivírus para ajudar a proteger contra ameaças novas e emergentes.

Se for detetado um ficheiro suspeito ou malicioso, é enviado um exemplo para o serviço cloud para análise enquanto Microsoft Defender Antivírus bloqueia o ficheiro. Assim que for efetuada uma determinação, o que acontece rapidamente, o ficheiro é libertado ou bloqueado por Microsoft Defender Antivírus.

Este artigo fornece uma descrição geral da proteção da cloud e da submissão automática de exemplo no Antivírus do Microsoft Defender. Para saber mais sobre a proteção da cloud, veja Proteção da cloud e Antivírus Microsoft Defender.

Como a proteção da cloud e a submissão de exemplo funcionam em conjunto

Para compreender como a proteção da cloud funciona em conjunto com a submissão de exemplo, pode ser útil compreender como o Defender para Endpoint protege contra ameaças. O Microsoft Intelligent Security Graph monitoriza dados de ameaças a partir de uma vasta rede de sensores. A Microsoft coloca em camadas modelos de machine learning baseados na cloud que podem avaliar ficheiros com base em sinais do cliente e na vasta rede de sensores e dados no Graph de Segurança Inteligente. Esta abordagem dá ao Defender para Endpoint a capacidade de bloquear muitas ameaças nunca antes vistas.

A imagem seguinte ilustra o fluxo de proteção da cloud e a submissão de exemplo com Microsoft Defender Antivírus:

Microsoft Defender o Antivírus e a proteção da cloud bloqueiam automaticamente a maioria das ameaças novas e nunca antes vistas à primeira vista através dos seguintes métodos:

1. Modelos simples de machine learning baseados no cliente, bloqueando software maligno novo e desconhecido.

2. Análise comportamental local, parando ataques baseados em ficheiros e sem ficheiros.

3. Antivírus de alta precisão, detetando software maligno comum através de técnicas genéricas e heurísticas.

4. A proteção avançada baseada na cloud é fornecida para casos em que Microsoft Defender Antivírus em execução no ponto final precisa de mais informações para verificar a intenção de um ficheiro suspeito.

   1. Caso Microsoft Defender Antivírus não consiga determinar claramente, os metadados de ficheiros são enviados para o serviço de proteção da cloud. Muitas vezes, em milissegundos, o serviço de proteção da cloud pode determinar com base nos metadados se o ficheiro é malicioso ou não uma ameaça.

      • A consulta na cloud de metadados de ficheiros pode ser resultado de comportamento, marca da Web ou outras características em que não é determinado um veredicto claro.
      • É enviado um pequeno payload de metadados, com o objetivo de chegar a um veredicto de software maligno ou não uma ameaça. Os metadados não incluem dados pessoais, como informações pessoais (PII). As informações, como os nomes de ficheiro, são hash.
      • Pode ser síncrono ou assíncrono. Para o síncrono, o ficheiro não abre até que a cloud apresente um veredicto. Para o assíncrono, o ficheiro é aberto enquanto a proteção da cloud efetua a respetiva análise.
      • Os metadados podem incluir atributos PE, atributos de ficheiro estático, atributos dinâmicos e contextuais e muito mais (veja Exemplos de metadados enviados para o serviço de proteção da cloud).

   2. Depois de examinar os metadados, se Microsoft Defender a proteção da cloud antivírus não conseguir chegar a um veredicto conclusivo, pode pedir uma amostra do ficheiro para uma inspeção mais aprofundada. Este pedido honra a configuração da definição para submissão de exemplo, conforme descrito na tabela seguinte:

      Setting	Descrição
      Enviar amostras seguras automaticamente	- Os exemplos seguros são exemplos considerados como não contêm normalmente dados PII. Os exemplos incluem .bat, .scr, .dlle .exe. - Se for provável que o ficheiro contenha PII, o utilizador recebe um pedido para permitir a submissão do exemplo de ficheiro. - Esta opção é a configuração predefinida no Windows, macOS e Linux.
      Pedir Sempre	- Se estiver configurado, é sempre pedido ao utilizador o consentimento antes da submissão do ficheiro - Esta definição não está disponível no macOS e na proteção da cloud do Linux
      Enviar todos os exemplos automaticamente	- Se configurado, todos os exemplos são enviados automaticamente - Se quiser que a submissão de exemplo inclua macros incorporadas no Word documentos, tem de selecionar Enviar todos os exemplos automaticamente - Esta definição não está disponível na proteção da cloud do macOS
      Não enviar	- Impede "bloquear à primeira vista" com base na análise de exemplo de ficheiros - "Não enviar" é o equivalente à definição "Desativado" na política macOS e à definição "Nenhum" na política do Linux. - Os metadados são enviados para deteções mesmo quando a submissão de exemplo está desativada

   3. Depois de os ficheiros serem submetidos para a proteção da cloud, os ficheiros submetidos podem ser analisados, detonados e processados através de modelos de machine learning de análise demacrodados para chegar a um veredicto. Desativar a análise de limites de proteção fornecidos pela cloud apenas para o que o cliente pode fornecer através de modelos de machine learning locais e funções semelhantes.

Níveis de proteção da cloud

A proteção da cloud está ativada por predefinição no Antivírus do Microsoft Defender. Recomendamos que mantenha a proteção da cloud ativada, embora possa configurar o nível de proteção para a sua organização. Veja Especificar o nível de proteção fornecido pela cloud para Microsoft Defender Antivírus.

Definições de submissão de exemplo

Além de configurar o nível de proteção da cloud, pode configurar as definições de submissão de exemplo. Pode escolher entre várias opções:

• Enviar amostras seguras automaticamente (o comportamento predefinido)
• Enviar todos os exemplos automaticamente
• Não enviar exemplos

Exemplos de metadados enviados para o serviço de proteção da cloud

A tabela seguinte lista exemplos de metadados enviados para análise por proteção da cloud:

Os exemplos são tratados como dados do cliente

Caso esteja a perguntar-se o que acontece com submissões de exemplo, o Defender para Endpoint trata todos os exemplos de ficheiros como dados do cliente. A Microsoft honra as opções de retenção geográfica e de dados que a sua organização selecionou ao integrar o Defender para Endpoint.

Além disso, o Defender para Endpoint recebeu várias certificações de conformidade, demonstrando a continuação da adesão a um conjunto sofisticado de controlos de conformidade:

• ISO 27001
• ISO 27018
• SOC I, II, III
• PCI

Para obter mais informações, consulte os seguintes recursos:

• Ofertas de Conformidade do Azure
• Portal de Confiança do Serviço
• Microsoft Defender para Ponto de Extremidade armazenamento de dados e privacidade

Outros cenários de submissão de exemplo de ficheiro

Existem mais dois cenários em que o Defender para Endpoint pode pedir um exemplo de ficheiro que não esteja relacionado com a proteção da cloud no Antivírus do Microsoft Defender. Estes cenários estão descritos na tabela seguinte:

Confira também

Visão geral da proteção de última geração

Configure a remediação para Microsoft Defender deteções de Antivírus.