微软这EDR的进程注入检测出问题了？

驭龙

莒县小哥 发表于 2025-6-21 10:24
龙大现在开了SAC,MD监控还是坏的，而且开了SAC后云还是有问题
这个 样本MD扫描也不杀

是的，我没说监控好了，只是清毒无法完成的问题解决了，而且好像开SAC以后MD的云等级好像也强制降低了，如果SAC不拦截，那MD扫描也不杀，实在是搞不懂MD和SAC之间的逻辑

莒县小哥

驭龙 发表于 2025-6-21 13:02
是的，我没说监控好了，只是清毒无法完成的问题解决了，而且好像开SAC以后MD的云等级好像也强制降低了， ...

对头 龙大。开了SAC后MD查杀率大幅下降

驭龙

莒县小哥 发表于 2025-6-21 13:41
对头 龙大。开了SAC后MD查杀率大幅下降

而且是强制把MD的检测率同步到SAC的级别，只要SAC不拦截，MD就不杀，特别无语，所以我才怀疑MD监控不起效果不是BUG，而是无语的设计，当然我也希望是BUG，我真想用MD啊，可惜我开SAC了，无奈

莒县小哥

驭龙 发表于 2025-6-21 14:03
而且是强制把MD的检测率同步到SAC的级别，只要SAC不拦截，MD就不杀，特别无语，所以我才怀疑MD监控不起效 ...

难道鱼和熊掌真的不能兼得

驭龙

莒县小哥 发表于 2025-6-21 14:09
难道鱼和熊掌真的不能兼得

我天天在关注MD新版本，希望有朝一日解决这个关键的监控不起效果的问题，可惜25060.2也依然没解决问题，太无奈了

allentong

我是刚用MDE P1，注册调试起来也是延迟好久
https://learn.microsoft.com/zh-cn/defender-endpoint/verify-connectivity
你看看和服务器的连接是否正常，需要下载微软的一个检测工具目前我这边EDR服务器有的连不上，用尽各种办法都连不上（我怀疑微软服务器坏了）
还有就是你的设备管理者显示是intune(MDM)还是MDE呢？好像intune不能管理特别高级的设置，会覆盖MDE的策略

ANY.LNK

allentong 发表于 2025-6-24 06:26
我是刚用MDE P1，注册调试起来也是延迟好久
https://learn.microsoft.com/zh-cn/defender-endpoint/verify ...

我这边大概不是网络问题，因为只有这几个特定的检测没有，其他的EDR警报都是正常的，外加输出的结果


以及，你的那个工具版本太旧了，用这个https://aka.ms/MDEClientAnalyzer（https://learn.microsoft.com/zh-c ... iew-client-analyzer）

有些域名已经注销了