Windows 的已驗證掃描
適用於：
重要事項
此功能將於 2025 年 11 月底淘汰，且在該日期之後將不受支援。 有關這項變更的詳細資訊，請參 閱 Windows 驗證掃描淘汰常見問題。
Windows 的已驗證掃描可讓您在非受控 Windows 裝置上執行掃描。 您可以透過IP範圍或主機名從遠端鎖定目標，並藉由提供 Microsoft Defender 弱點管理 認證來遠端存取裝置，來掃描 Windows 服務。 設定之後，會定期掃描目標 Unmanaged 裝置是否有軟體弱點。 根據預設，掃描會每四小時執行一次，並提供變更此間隔或只執行一次的選項。
注意事項
若要使用此功能，Microsoft Defender 弱點管理 需要獨立部署。 如果您已經是 適用於端點的 Microsoft Defender 方案 2 客戶，則需要 Defender 弱點管理 附加元件。
安全性系統管理員接著可以在 Microsoft Defender 入口網站中查看最新的安全性建議，並檢閱最近探索到的目標裝置弱點。
提示
您知道您可以免費試用 Microsoft Defender 弱點管理 中的所有功能嗎？ 瞭解如何 註冊免費試用版。
掃描器安裝
類似於 網路裝置 驗證掃描，您需要已安裝掃描器的掃描裝置。 如果您尚未安裝掃描器，請參閱 安裝掃描器 以取得如何下載和安裝掃描器的步驟。
注意事項
預先存在的已安裝掃描器不需要變更。
必要條件
下一節列出您必須設定的必要條件，才能使用 Windows 的已驗證掃描。
掃描帳戶
需要掃描帳戶才能從遠端存取裝置。 帳戶必須是 群組受控服務帳戶， (gMsa) 。
注意事項
我們建議 gMSA 帳戶是只有必要掃描許可權且設定為定期循環密碼的最低許可權帳戶。
若要建立 gMsa 帳戶：
在 PowerShell 視窗的域控制器上，執行：
New-ADServiceAccount -Name gmsa1 -PrincipalsAllowedToRetrieveManagedPassword scanner-win11-i$ -KerberosEncryptionType RC4, AES128, AES256 -Verbose- gmsa1 代表您要建立的帳戶名稱，scanner-win11-I$ 代表掃描器代理程序執行所在的計算機名稱。 只有這台計算機能夠擷取帳戶密碼。 您可以提供以逗號分隔的電腦清單。
- 您可以使用 Get-ADServiceAccount 和 Set-ADServiceAccount 來修改現有的帳戶
若要安裝 AD 服務帳戶，請在掃描器代理程式使用提升許可權的 PowerShell 視窗執行的電腦上，執行：
Install-ADServiceAccount -Identity gmsa1
如果您的PowerShell無法辨識這些命令，這可能表示您遺漏必要的PowerShell模組。 如何安裝模組的指示會根據您的作系統而有所不同。 如需詳細資訊，請參閱使用群組受控服務帳戶 使用者入門。
要掃描的裝置
請使用下表來取得每個要掃描裝置上所需設定的指引，以及掃描帳戶所需的權限：
注意事項
下列步驟只是設定要掃描之每個裝置的許可權並使用 效能監視器 Users 群組的其中一個建議方式。 您也可以透過下列方式設定權限：
- 將帳戶新增至不同的使用者群組，並提供該群組所需的所有許可權。
- 將這些許可權明確授與掃描帳戶。
若要設定許可權並套用至要使用組策略掃描的裝置群組，請參閱使用 組策略設定一組裝置。
| 要掃描的裝置需求 | 描述 |
|---|---|
| 已啟用 Windows Management Instrumentation (WMI) | 若要啟用遠端 Windows Management Instrumentation (WMI) ：
|
| 掃描帳戶是 效能監視器 Users 群組的成員 | 掃描帳戶必須是要掃描之裝置上 效能監視器 使用者群組的成員。 |
| 效能監視器 使用者群組具有根/CIMV2 WMI 命名空間的「啟用帳戶」和「遠端啟用」許可權 | 若要確認或啟用這些權限：
|
| 效能監視器 使用者群組應該具有DCOM作業的許可權 | 若要確認或啟用這些權限：
|
使用組策略設定一組裝置
組策略可讓您將掃描帳戶所需的設定和許可權大量套用至要掃描的裝置群組。
請在域控制器上遵循下列步驟，同時設定一組裝置：
| 步驟 | 描述 |
|---|---|
| 建立新群組原則物件 (GPO) |
|
| 啟用 Windows Management Instrumentation (WMI) | 若要啟用遠端 Windows Management Instrumentation (WMI) ：
|
| 允許 WMI 通過防火牆 | 若要允許 Windows Management Instrumentation (WMI) 通過防火牆：
|
| 授與執行DCOM作業的許可權 | 若要授與執行 DCOM 作業的許可權：
|
| 透過組策略執行 PowerShell 腳本，將許可權授與 Root\CIMV2 WMI 命名空間： |
|
範例 PowerShell 指令碼
使用下列 PowerShell 腳本作為起點，透過組策略將許可權授與 Root\CIMV2 WMI 命名空間：
Param ()
Process {
$ErrorActionPreference = "Stop"
$accountSID = "S-1-5-32-558" # Performance Monitor Users built-in group, please change or pass parameter as you wish
$computerName = "."
$remoteparams = @{ComputerName=$computerName}
$invokeparams = @{Namespace="root\cimv2";Path="__systemsecurity=@"} + $remoteParams
$output = Invoke-WmiMethod @invokeparams -Name GetSecurityDescriptor
if ($output.ReturnValue -ne 0) {
throw "GetSecurityDescriptor failed: $($output.ReturnValue)"
}
$acl = $output.Descriptor
$CONTAINER_INHERIT_ACE_FLAG = 0x2
$ACCESS_MASK = 0x21 # Enable Account + Remote Enable
$ace = (New-Object System.Management.ManagementClass("win32_Ace")).CreateInstance()
$ace.AccessMask = $ACCESS_MASK
$ace.AceFlags = $CONTAINER_INHERIT_ACE_FLAG
$trustee = (New-Object System.Management.ManagementClass("win32_Trustee")).CreateInstance()
$trustee.SidString = $accountSID
$ace.Trustee = $trustee
$ACCESS_ALLOWED_ACE_TYPE = 0x0
$ace.AceType = $ACCESS_ALLOWED_ACE_TYPE
$acl.DACL += $ace.psobject.immediateBaseObject
$setparams = @{Name="SetSecurityDescriptor";ArgumentList=$acl.psobject.immediateBaseObject} + $invokeParams
$output = Invoke-WmiMethod @setparams
if ($output.ReturnValue -ne 0) {
throw "SetSecurityDescriptor failed: $($output.ReturnValue)"
}
}
將 GPO 原則套用至裝置之後，就會套用所有必要的設定，而且您的 gMSA 帳戶可以存取和掃描裝置。
設定新的已驗證掃描
若要設定新的已驗證掃描：
移至 Microsoft Defender 入口網站中的 [設定>裝置探索>已驗證掃描]。
選 取 [新增掃描 ]，然後選擇 [Windows 驗證掃描] ，然後選取 [ 下一步]。
輸入 掃描名稱。
選取 掃描裝置： 您用來掃描非受控裝置的上線裝置。
輸入 目標 (範圍) ： 您要掃描的IP位址範圍或主機名。 您可以輸入位址或匯入 CSV 檔案。 匯入檔案會覆寫任何手動新增的位址。
選取 [掃描間隔]： 根據默認，掃描會每四小時執行一次。 您可以選取 [不要重複]，變更掃描間隔或只執行一次。
選擇您的 驗證方法 - 有兩個選項可供選擇：
- Kerberos (慣用)
- 談判
注意事項
在 Kerberos 失敗的情況下，Negotiate 選項會回復為 NTLM。 不建議使用NTLM，因為它不是安全的通訊協定。
輸入 Microsoft Defender 弱點管理 用來遠端存取裝置的認證：
- 使用 azure KeyVault： 如果您在 Azure KeyVault 中管理認證，您可以輸入掃描裝置要存取的 Azure KeyVault URL 和 Azure KeyVault 秘密名稱，以提供認證
- 針對 Azure KeyVault 秘密值，請使用格式為 Domain 的 gMSA 帳戶詳細數據;用戶名稱
選 取 [下一步 ] 以執行或略過測試掃描。 如需測試掃描的詳細資訊，請參閱 掃描和新增網路裝置。
選取 [下一步 ] 以檢閱設定，然後選取 [ 提交 ] 以建立新的已驗證掃描。
注意事項
由於已驗證的掃描器目前使用的加密演算法不符合 美國聯邦資訊處理標準 (FIPS) ，因此當組織強制使用符合 FIPS 規範的演算法時，掃描器無法運作。
若要允許不符合 FIPS 規範的演算法，請針對掃描器執行所在的裝置在登錄中設定下列值：Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FipsAlgorithmPolicy DWORD 值為 Enabled ，值 為 0x0
FIPS 兼容演算法僅用於與 美國 聯邦政府部門和機構相關。
Windows API 的已驗證掃描
您可以使用 API 來建立新的掃描，並檢視組織中所有現有的已設定掃描。 如需詳細資訊，請參閱：