Wie Abrufintervall für Security Intelligence Update verkürzen?

[erich56]

Mir fällt bei allen meinen Windows10 PCs auf, daß wenn ich diese Updates manuell starte, meist auch ein solches runtergeladen wird - offenbar gibt's im Schnitt 3 pro Tag.
Was mir aber zeigt, daß das automatische Intervall für Updates-Abrufe offenbar wesentlich länger ist als die Zeitspanne zwischen den Veröffentlichungen dieser Security Intelligence Updates.
Ich gehe davon aus, daß es irgendwo in den Weiten der Registry den entsprechenden Intervall-Eintrag gibt, welchem man wohl auch ändern, sprich verkürzen kann.
Wo genau finde ich diesen Eintrag?

 

[BFF]

Wenn schon dann in den geplanten Aufgaben.

Abgesehen davon schau ich das garnicht mehr an. Weil rennt eh automatisch meist eine kurze Weile nach Systemstart und dann glaub ich alle 4h.

BFF

 

[maikrosoft]

Bei der Pro version von Windows 10 geht das per gpo.

 

[areiland]

Es ist einfach unnötig, an den Abrufintervallen rumzudoktern! Denn das Standardintervall beträgt ohnehin zwei Stunden und zwar in der Standardeinstellung ab 01:45 jedes Tages gerechnet. Kann dieses Intervall nicht gehalten werden, holt der Defender es innerhalb der nächsten Stunde nach.



Bloss weil man das noch weiter senkt, wird MS für den Defender nicht automatisch mehr Definitionsupdates bereitstellen. Besser wäre es, wenn die ganzen Telemetrieabwürger wenigstens den cloudbasierten Schutz und die automatische Übermittlung von Beispielen aktiviert liessen. Denn daraus entstehen neue Zuläufe für die Definitionsupdates und damit auch zwangsläufig kürzere Bereitstellungsintervalle.

 

[erich56]

Bei der Pro version von Windows 10 geht das per gpo.

Anhang anzeigen 873506

sieht bei mir leider anders aus - die von Dir gezeigten Einträge gibts hier offenbar nicht - siehe Screenshot

 

[BFF]

Du bist im falschen Zweig bei den GPO @erich56

 

[erich56]

Denn das Standardintervall beträgt ohnehin zwei Stunden und zwar in der Standardeinstellung ab 01:45 jedes Tages gerechnet.

hier offensichtlich nicht; denn wie könnte es sonst sein, daß jedesmal, wenn ich das Update manuell starte (wahllos zu unterschiedlichen Tageszeiten), garantiert ein solches Update auch kommt.

Bloss weil man das noch weiter senkt, wird MS für den Defender nicht automatisch mehr Definitionsupdates bereitstellen.

das ist mir klar, das ist aber auch nicht mein Punkt.

Ergänzung (4. Februar 2020)

Du bist im falschen Zweig bei den GPO @erich56

und der richtige wäre welcher?

 

[BFF]

Lass das Update mal eine Woche ohne manuelles Abrufen rennen und schau Dir die Versionsnummern im Verlauf an. Ich hab hier an manchen tagen 4 oder mehr, an machen Tagen ein Update. Ist halt so.

wie könnte es sonst sein, daß jedesmal, wenn ich das Update manuell starte (wahllos zu unterschiedlichen Tageszeiten), garantiert ein solches Update auch kommt.

MS muss ja, wie alle anderen, auch zeigen das es funktioniert.

BFF

 

[areiland]

...hier offensichtlich nicht; denn wie könnte es sonst sein, daß jedesmal, wenn ich das Update manuell starte (wahllos zu unterschiedlichen Tageszeiten), garantiert ein solches Update auch kommt...

Und wo genau liegt das Problem, mal in einer administrativen Powershell mit der Befehlszeile: get-mppreference | fl sig* die Einstellungen für die Signaturupdates nachzuprüfen? Ich hab mir schon was dabei gedacht, als ich den Screenshot mit der deutlich erkennbaren Befehlszeile und den markierten Parametern eingefügt habe.

Abgesehen davon ist die Tatsache, dass Du bei Windows Update immer wieder Signaturupdates findest, merkwürdig genug. Denn der Defender ist auf Windows Update gar nicht angewiesen sondern bezieht seine Signaturupdates völlig unabhängig davon. Und er bezieht auch alles, was verfügbar ist:



Bei keinem dieser Signaturupdates musste Windows Update herhalten und man sieht, dass da einige kamen. Selbst am Sonntag, wo der Rechner nur relativ kurz an war.

 

[erich56]

Und wo genau liegt das Problem, mal in einer administrativen Powershell mit der Befehlszeile: get-mppreference | fl sig* die Einstellungen für die Signaturupdates nachzuprüfen?

sieht bei mir so aus:

letzte Zeile zeigt "0" - in Gegensatz zu Deinem Screenshot

 

[areiland]

Tja, da hat Dir irgendwas den Bezug von Defenderupdates deaktiviert. Denn SignatureUpdateIntervall darf nicht auf 0 gesetzt sein. Ändere das in der Powershell mit Adminrechten mit dem Befehl: Set-mppreference -SignatureUpdateInterval 2 auf den Standardwert ab.

 

[erich56]

Ändere das in der Powershell mit Adminrechten mit dem Befehl: Set-mppreference -SignatureUpdateInterval 2 auf den Standardwert ab.

habe das mal gemacht.

Die Überprüfung eines weiteren PCs ergab, daß auch dort der Wert auf "0" stand. Nun ebenfalls abgeändert.
Morgen werde ich mir weitere 2 PCs ansehen.

 

[BFF]

@areiland
Ich hab an der betreffenden Stelle auch eine 0.
Stoert mich nicht, weil W10 nach Hochfahren eh alles ab prueft. Und dann das im Lauf des Tages wiederholt.

Muss nachher mal nachsehen, wie das bei den anderen Kisten von mir ist.

Update.
Alle Maschinen, inklusive der VM, haben das hier.

Alle Maschinen holen aber nach Hochfahren bzw. Neustart recht flott SignaturUpdates. Das koennte/duerfte vielleicht an diesen Task liegen.

Anyway.
Mir persoenlich ist es Wurscht wie haeufig das Dingens Sig-Updates zieht, wenn es denn eh passiert und das noch mehrmals taeglich.

BFF

 

[erich56]

Ich hab an der betreffenden Stelle auch eine 0

hab zwischenzeitlich aus Neugier bei einem weiteren PC nachgesehen, auch dort steht der Wert auf "0". Dürfte wohl tatsächlich die Default-Einstellung sein.
Was aber offenbar nicht bedeutet, daß der Defender nie updated. Sondern, meinen Beobachtungen nach, halt nur 1 oder 2 mal pro Tag.

Stoert mich nicht, weil W10 nach Hochfahren eh alles ab prueft.

Was bei mir nicht relevant ist, da meine Kisten u.a. für Grid-Computing verwendet werden, und deshalb normalerweise 24/7 laufen.

Und gerade deshalb, weil sie permanent am Netz sind, bin ich an sehr zeitnahen Defender-Updates interessiert.
Ich denke, wenn es schon zwischen 3 und 4 mal täglich neue Signaturen gibt, sollte der Defender auch öfters als nur 1-2 mal täglich abrufen.

 

[BFF]

Dann mach einfach mal das was ich im Post #8 geschrieben habe.

Was bei mir nicht relevant ist, da meine Kisten u.a. für Grid-Computing verwendet werden, und deshalb normalerweise 24/7 laufen.

Ja und? Auch die ziehen mehrmals ohne das Du das merkst und das in einer Nummer aufgefuehrt wird.

Und gerade deshalb, weil sie permanent am Netz sind,

Haengen die Maschinen direkt am Internet oder ist da noch etwas dazwischen was den "Angriff" von "aussen" auf die Kiste "eindaemmt" Meine jetzt sowas wie einen Router mit einer ansatzweisen FW oder eine FW?

Abgesehen davon.
Teste Dich (Dein Netz oder externe IP) doch einfach mal mit Shodan.

BFF

 

[erich56]

Haengen die Maschinen direkt am Internet oder ist da noch etwas dazwischen was den "Angriff" von "aussen" auf die Kiste "eindaemmt" Meine jetzt sowas wie einen Router mit einer ansatzweisen FW oder eine FW?

ja, Router

 

[BFF]

Dann sieht man doch von aussen den Router und nicht die Maschinen. NAT (INTERN->EXTERN) wird ja definitiv an sein und eine FW wird der Router auch an Bord haben. Irgendwelche Ports (AUSSEN->INNEN) hast Du ja nicht offen.

Lass mal WireShark auf einem der "Hochsicherheitsgeraete" mit laufen und schau nach nach einer Woche, wieviele Geraete aus JWD diese Kiste angegriffen haben.

Anyway.
Ich glaub Du machst Dir zu viel persoenliche Panik.

BFF

 

[erich56]

Tja, da hat Dir irgendwas den Bezug von Defenderupdates deaktiviert. Denn SignatureUpdateIntervall darf nicht auf 0 gesetzt sein. Ändere das in der Powershell mit Adminrechten mit dem Befehl: Set-mppreference -SignatureUpdateInterval 2 auf den Standardwert ab.

tja, wie sich jetzt, 2 Tage nach der Änderung dieses Eintrags von "0" auf "2" (bei jenen 2 Notebooks, bei denen ich das so machte) herausstellt, ging dieser Schuß offensichtlich nach hinten los.
Denn seither werden die Defenderupdates überhaupt nicht mehr automatisch aktualisiert. Die letzte Aktualisierung erfolgte am 4.2. zu Version 1.309.304.0.
Bei meinen anderen PCs, wo ich diese Änderung nicht vornahm, gab es sowohl gestern wie auch heute automatisch Definitionsupdates.

Und das Unangenehme dran: selbst wenn ich versuche, im Rahmen des Windows Update neue Definitionsupdates manuell anzustoßen, werden bei diesen beiden Notbooks keine runtergeladen.

 

[areiland]

Dann machs doch einfach rückgängig - nur wieder auf Null setzen. Bei mir ist diese Einstellung auf allen Rechnern entsprechend meiner Angaben so gesetzt und die automatische Updateinstallation funktioniert einwandfrei. Es gibt allerdings laut Dokumentation von MS zu Set-Mppreference auch oft korrespondierende Einstellungen, die andere Einstellungen überfahren und aushebeln können.

 

[BFF]

Ich verstehe die Werte so.

-> -SignatureUpdateInterval 2

Alle 2h wird nach Updates gesehen. Default steht da nix (0).
Wenn da nix steht greift aber

-> -SignatureUpdateCatchupInterval

welches mindesten 1x am Tag die Signaturen aktualisiert, wenn dort nix Gegenteiliges eingestellt ist.

Inwieweit jetzt noch andere Einstellung zur Signatur bzw. Systemzustaende reinspielen will ich garnicht wissen. Ich bin mir so ziemlich sicher, dass diese Einstellung

-> -PUAProtection

bei mir dafuer sorgt, dass nicht nur 1x am Tag abgeglichen wird.

Warum bei Dir @erich56 ein 2stuendiges Intervall nicht funktioniert musst Du herausfinden. Nicht das da andere Abhaengigkeiten (Home-Edition, Energie-Einstellungen, System merkt das nix zu holen ist, keineNeustarts) dazu spielen.

BFF