Útočník, který se dostane do firemního notebooku, obvykle udělá jako první jednu věc: vypne antivirus. Teprve potom spustí ransomware nebo začne vynášet data. Tamper protection (ochrana proti neoprávněným změnám) v Microsoft Defenderu tomu brání – zamkne klíčová bezpečnostní nastavení tak, že je nezmění ani malware, ani uživatel s právy místního správce. V tomto návodu vysvětlujeme, co přesně tamper protection chrání, jak ji v malé firmě zapnout přes Microsoft Intune a jak řešit situace, kdy nastavení potřebujete výjimečně změnit.

Proč útočníci nejdřív vypínají antivirus

Moderní antivirus s detekcí chování a cloudovou ochranou zachytí většinu známého škodlivého kódu. Útočníci to vědí, a proto mají v postupu krok „oslepit obranu“. Databáze MITRE ATT&CK ho vede jako samostatnou techniku T1562.001 – Disable or Modify Tools a popisuje desítky skupin, které ji běžně používají.

V praxi to vypadá nenápadně. Skript přes PowerShell vypne ochranu v reálném čase, do registru zapíše výjimku pro celý disk C: nebo zastaví aktualizace definic. Antivirus pak formálně „běží“, ale nic nekontroluje. Americká agentura CISA ve svém průvodci obranou proti ransomwaru proto doporučuje mít zabezpečení koncových zařízení nastavené tak, aby ho útočník nemohl jednoduše deaktivovat.

Pro malou firmu je to obzvlášť důležité. Nemá vlastní bezpečnostní tým, který by v noci sledoval výstrahy. Pokud se ochrana vypne potichu, nikdo si toho nevšimne až do chvíle, kdy jsou soubory zašifrované.

Co je tamper protection a co přesně chrání

Tamper protection je funkce Microsoft Defenderu, která zabraňuje vypnutí nebo změně důležitých bezpečnostních nastavení na zařízení – a to i ze strany místního správce, skriptu nebo zásad skupiny. Podle dokumentace Microsoftu zůstávají při zapnuté ochraně na Windows zamčené tyto funkce:

• Ochrana před viry a hrozbami zůstává zapnutá.
• Ochrana v reálném čase a sledování chování nejdou vypnout.
• Cloudová ochrana zůstává aktivní.
• Aktualizace bezpečnostních informací (definic) dál probíhají.
• Automatické akce proti nalezeným hrozbám se provádějí.
• Kontrola archivů a oznámení v aplikaci Zabezpečení Windows zůstávají zapnuté.
• Změny přes registr jsou blokované a výjimky antiviru nelze přidávat ani měnit.

Důležitý detail: když je tamper protection zapnutá, změna přes Group Policy nebo jiný nástroj se může tvářit jako úspěšná, ale ve skutečnosti se neprovede. To je dobrá zpráva z pohledu bezpečnosti, ale je potřeba s tím počítat při řešení problémů.

Tamper protection funguje i tehdy, když Defender běží v pasivním režimu vedle jiného antiviru. Na macOS má režimy Vypnuto, Audit a Blokovat (blokuje odinstalaci agenta a zásahy do jeho souborů), na Linuxu je zatím jen v režimu Audit.

Pozor na přejmenování v konzolích

Microsoft v roce 2026 rozšiřuje tamper protection o funkci controlled configuration a stávající nastavení v konzolích postupně přejmenovává. Pokud v Intune nebo na portálu Defenderu narazíte na nový název, jde o stejnou ochranu. Samotné přejmenování ale nové rozšířené ochrany automaticky nezapne – ty se nasazují samostatnou zásadou.

Jaké licence potřebujete

Tamper protection je součástí Microsoft Defender for Business, Defender for Endpoint Plan 1 i Plan 2. Malým firmám ji tedy přináší balíček Microsoft 365 Business Premium, který obsahuje Defender for Business i Intune. Zařízení musí být zaregistrované v Defenderu (onboarding) a mít zapnutou cloudovou ochranu.

Podporované systémy jsou Windows 10 a 11, Windows Server 2016 a novější a macOS. Pokud Defender for Business teprve zavádíte, začněte naším přehledem Microsoft Defender for Business pro malé firmy.

Tamper protection přes Intune krok za krokem

U nových nasazení je tamper protection zapnutá ve výchozím stavu jako součást vestavěné ochrany. Přesto doporučujeme ji spravovat výslovně zásadou v Intune. Máte tak jistotu, že je zapnutá na všech zařízeních, a vidíte to v reportu. Postup vychází z oficiálního návodu Microsoftu.

1. Zkontrolujte stav na portálu Defenderu

Na portálu security.microsoft.com otevřete Nastavení → Koncové body → Pokročilé funkce a ověřte, že přepínač Tamper protection je zapnutý. Toto nastavení platí pro celou organizaci, ale zásada z Intune má před ním přednost.

2. Vytvořte zásadu v Intune

V Intune admin centru přejděte na Zabezpečení koncových bodů → Antivirus → Vytvořit zásadu. Zvolte platformu Windows a profil Windows Security Experience. V sekci Defender nastavte položku Tamper protection (device) na On.

3. Přiřaďte zásadu skupinám

Zásadu můžete přiřadit všem zařízením nebo jen vybraným skupinám a některé skupiny vyloučit. V malé firmě doporučujeme začít pilotní skupinou dvou až tří počítačů (typicky IT a vedení), po týdnu bez problémů rozšířit na všechna firemní zařízení. Pro dynamické přiřazení se hodí dynamické skupiny v Entra ID.

4. Ověřte stav na zařízeních

Na portálu Defenderu v inventáři zařízení vidíte stav ochrany. Na konkrétním počítači ho ověříte v PowerShellu příkazem:

Get-MpComputerStatus | Select-Object IsTamperProtected, TamperProtectionSource, RealTimeProtectionEnabled

Hodnota IsTamperProtected musí být True a TamperProtectionSource by měl ukazovat, odkud ochrana pochází (například Intune nebo ATP). Pokud vidíte False, zkontrolujte onboarding zařízení a přiřazení zásady.

Ochrana výjimek antiviru

Výjimky antiviru (cesty, procesy a přípony, které Defender nekontroluje) jsou oblíbeným cílem útočníků. Stačí přidat výjimku pro složku, kam pak uloží svůj nástroj. Tamper protection umí chránit i seznam výjimek, pokud jsou splněné podmínky:

• Výjimky spravujete centrálně přes Intune (ne ručně na počítači).
• Je nasazené nastavení DisableLocalAdminMerge, takže se nepoužijí výjimky přidané místním správcem.
• Zařízení má aktuální platformu Defender Antivirus.

Nové výjimky pak přidáváte normálně zásadou z Intune a tamper protection kvůli tomu vypínat nemusíte. Obecně ale platí: výjimek mějte co nejméně a pravidelně je procházejte.

Co když potřebujete nastavení změnit: režim řešení potíží

Občas se stane, že Defender koliduje s účetním programem nebo starším ovladačem a technik potřebuje dočasně změnit nastavení antiviru. Tamper protection kvůli tomu nevypínejte pro celou firmu. Microsoft na to má režim řešení potíží (troubleshooting mode):

• Zapíná se na portálu Defenderu na stránce konkrétního zařízení.
• Spuštění trvá až 15 minut a režim se automaticky vypne po čtyřech hodinách.
• Na jedno zařízení lze režim využít maximálně osm hodin během 24 hodin.
• Místní správce v něm může změnit nastavení antiviru, ale Defender nemůže vypnout ani odinstalovat.
• Po skončení se všechna nastavení vrátí do stavu podle zásad.

Zapnout režim může jen účet s rolí Security Administrator. Každé použití se zaznamená, takže máte přehled, kdo a proč ochranu dočasně otevřel.

Modelová situace: stejný útok s ochranou a bez ní

Představte si účetní kancelář s deseti počítači. Zaměstnankyně otevře přílohu falešné faktury a na pozadí se spustí skript, který získá práva správce.

Bez tamper protection skript příkazem PowerShellu vypne ochranu v reálném čase a přidá výjimku pro složku s dočasnými soubory. Defender dál ukazuje zelenou ikonu, ale nic nekontroluje. Za pár hodin se spustí šifrování sdíleného disku.

S tamper protection se příkaz na vypnutí ochrany tváří jako provedený, ale nastavení se nezmění. Defender stažený nástroj zachytí, zablokuje a na portálu vznikne výstraha. Správce ji ráno najde a počítač izoluje dřív, než se útok rozšíří.

Některé pokusy o manipulaci s Defenderem generují výstrahy přímo na portálu. Proto je dobré mít zapnuté e-mailové notifikace na výstrahy s vysokou závažností, aby se o nich dozvěděl správce nebo váš IT partner.

Nejčastější chyby při nasazení

• Ochrana jen na portálu, bez zásady. Funguje, ale nemáte přehled o jednotlivých zařízeních. Zásada v Intune dává jasný report.
• Zařízení mimo Defender. Počítače, které nejsou zaregistrované v Defenderu, ochranu z portálu nedostanou. Proto kontrolujte inventář a zásady dodržování předpisů.
• Ladění přes Group Policy. Změny se tváří jako úspěšné, ale neprovedou se. Místo hodin hledání chyby použijte režim řešení potíží.
• Uživatelé s právy správce. Tamper protection je pojistka, ne náhrada za odebrání administrátorských práv. Doporučujeme kombinovat s odebráním admin práv přes Intune.
• Chybějící další vrstvy. Tamper protection doplňují pravidla ASR a bezpečnostní standardy Intune. Teprve dohromady tvoří ucelenou ochranu.

Checklist pro malou firmu

1. Ověřit licence (Business Premium nebo Defender for Business).
2. Zkontrolovat, že všechna zařízení jsou zaregistrovaná v Defenderu.
3. Zapnout tamper protection na portálu Defenderu.
4. Vytvořit zásadu Antivirus → Windows Security Experience v Intune.
5. Nasadit na pilotní skupinu, po týdnu na všechna zařízení.
6. Ověřit IsTamperProtected = True na vzorku počítačů.
7. Přesunout výjimky antiviru do Intune a nasadit DisableLocalAdminMerge.
8. Domluvit postup pro režim řešení potíží (kdo ho smí zapnout a kdy).

Časté otázky

Je tamper protection zapnutá automaticky?

U nových nasazení Defenderu ano, jako součást vestavěné ochrany. Doporučujeme ji přesto spravovat zásadou v Intune, abyste měli jistotu a přehled na všech zařízeních.

Zabrání tamper protection i místnímu správci vypnout antivirus?

Ano. Na zařízeních spravovaných firmou mají zásada z Intune i nastavení z portálu Defenderu přednost před změnami, které místní správce udělá v aplikaci Zabezpečení Windows.

Funguje tamper protection s jiným antivirem?

Ano. Jiný antivirus se do Zabezpečení Windows registruje normálně a tamper protection dál chrání Defender, i když běží v pasivním režimu.

Jak dočasně změnit chráněné nastavení?

Použijte režim řešení potíží na portálu Defenderu. Zapne se pro jedno zařízení, automaticky skončí po čtyřech hodinách a nastavení se pak vrátí podle zásad.

Funguje tamper protection i na Macu?

Ano. Na macOS má režimy Audit a Blokovat. V režimu Blokovat brání odinstalaci agenta Defenderu a změnám jeho souborů.

Shrnutí: tamper protection v Defenderu jako levná pojistka

Tamper protection v Microsoft Defenderu je jedno z nejjednodušších bezpečnostních opatření, které malá firma s Microsoft 365 Business Premium může nasadit. Nic nestojí navíc, uživatele neomezuje a útočníkovi bere jeho oblíbený první krok – vypnutí antiviru. Stačí zapnout ochranu na portálu, potvrdit ji zásadou v Intune a ověřit stav na zařízeních.

Chcete mít jistotu, že je Defender na všech firemních počítačích nastavený správně? V IT Doma tamper protection, ASR pravidla i další zásady nasazujeme v rámci správy IT pro firmy. Ozvěte se nám a domluvíme nezávaznou konzultaci.