微软Defender ATP新增恶意行为封锁功能

微软陆续强化终端安全软件Defender进阶威胁防护（Defender ATP）的功能。本周又宣布加入端点侦测与回应封锁模式（EDR in block mode）功能，以阻断企业装置上的恶意行为。

这项功能主要用于发生骇客入侵事件后，以背景执行模式扫描装置上的恶意活动、恶意软件或其他有害物件。启动这项功能时，Defender ATP即会在侦测到恶意行为时，予以封锁和修复。

EDR in block mode使用Defender ATP的机器学习引擎，来分析恶意程式的行为。它可以即时侦测和封锁威胁行动，即使恶意程式已经开始执行也没问题，有助于更及时防范威胁，减少人为操作的麻烦和时间延宕。微软指出，今年4月EDR in block mode已经成功找出或阻挡NanoCore RAT攻击。

EDR in block mode目前以不公开预览版开放测试。EDR in block mode可透过Defender Security Center中的“设定”、“进阶”功能启动、关闭。但这项功能无法从登录档金钥、Intune或群组政策控制。

EDR in block mode只提供给Windows 10或是Server 2016以上，或是具备Microsoft 365 E3/ E5授权的机器。机器上的Microsoft Defender Antivirus防毒软件也需升级到最新版本，且开启云端防护功能。