Přehled zavedení pravidel pro snížení dopadu
Tváří útoku jsou všechna místa, kde je organizace zranitelná vůči kybernetickým hrozbám a útokům. Snížení obličeje útoku znamená ochranu zařízení a sítí organizace, takže útočníci útočí méně. Mohlo by být užitečné nastavit Microsoft Defender pro Endpoint útočná pravidla snížení obličeje.
Pravidla snižování tváří a tváří se zaměřují na určité softwarové chování, jako jsou:
- Spustitelné soubory a skripty pro zahájení stahování nebo spuštění souborů
- Spustit nejasně zpracované skripty nebo jiné podezřelé skripty
- V normální denní práci, aplikujte chování, které se obvykle nestane
Snížením počtu různých útoků může pomoci předcházet jim jako první.
Tato montážní sestava poskytuje informace o následujících pravidlech pro redukci půdy:
- Požadavky na pravidla snižování obličeje a obličeje
- Plán zavedení pravidel snížení dopadu
- Otestujte pravidlo redukce povrchu.
- Nastavit a aktivovat pravidla pro redukci obličeje
- Nejlepší praxe pravidla o omezení obličeje při napadení
- Hledáme Code- nedostatečné vyhledávání.
- Name
Kroky k zavedení pravidel snížení koule
Stejně jako při každé nové implementaci ve velkém rozsahu, která může ovlivnit fungování provozní linie, musí být plánování a provádění řádné. Pravidla pro snížení dopadu je třeba pečlivě naplánovat a zavést tak, aby byla co nejlépe přizpůsobena jedinečným pracovním tokům klienta. Práce ve Vašem prostředí vyžaduje pečlivé plánování, testování, provádění a prosazování pravidel snižování dopadů.
Kritická předvstupní péče
Doporučuje se povolit následující třiStandardní ochranná pravidlaNevím. Asi dva typy.Pravidlo snížení obličeje.Pro důležité podrobnosti viz pravidla pro snížení dopadu podle typu.
- Přestaňte krást důkazy z místních bezpečnostních subsystémů Windows (Isass.exe)
- Zabránit zneužívání zranitelných podepsaných řidičů
- Zastavit perzistenci předplacením událostí (WMI)
Standardní pravidla ochrany lze zpravidla aktivovat s minimálním dopadem na koncové uživatele a bez viditelného dopadu. Pro jednoduchý přístup k používání standardních ochranných pravidel, vizZjednodušené standardní možnosti ochranyNevím.
Poznámky
Pro zákazníky, kteří používají non-MSC HIPS a konvertují jej do Microsoft Defender pro pravidla pro snížení koncového útoku, Microsoft doporučuje, aby řešení HIPS být nasazen s pravidly snížení dopadu před přechodem z režimu auditu do režimu stop. Upozorňujeme, že pro získání doporučení pro vyloučení musí být kontaktováni poskytovatelé mimo MSV.
Před zkouškou nebo aktivací pravidla redukce povrchu
Při počáteční přípravě je nezbytné pochopit funkčnost zavedeného systému. Znalost těchto funkcí pomáhá určit, která pravidla pro potlačení útoku jsou nejdůležitější pro ochranu organizace. Kromě toho musí být při přípravě na snížení úrovně nasazení splněna řada předpokladů.
Důležité
Tato příručka poskytuje obrázky a příklady, které vám pomohou rozhodnout se, jak nakonfigurovat pravidla pro zmenšování obličeje; Tyto obrázky a příklady nemusí odrážet nejlepší konfigurační možnosti pro životní prostředí.
Před startem, prosím zkontrolujte.Přehled omezení útokuaDešifrování snížení spektra - část 1, získat základní informace. Pro informace o pokrytí a možných oblastech dopadu se prosím seznamte s aktuálním Spektacular Mitigation Rulebook:Odkaz na pravidlo redukce půdyNevím. Pokud znáte nastavené pravidlo redukce povrchu, zapište si každou mapu pravidla GUID; vizGUID Matrix Attack Face Reduction ArticleNevím.
Pravidlo redukce obličeje při útoku je pouze jedna funkce funkce redukce obličeje v Microsoft Defender pro Endpoint. Tento dokument poskytuje podrobnější informace o účinném zavádění pravidel pro zmírňování útoků, aby se zabránilo hrozbám na vysoké úrovni, jako je například vydírání lidí software a další hrozby.
Seznam pravidel pro snížení počtu útočníků podle kategorií
Následující tabulka uvádí pravidla pro snížení dopadu podle kategorie:
| Vícenásobná hrozba | Vodorovný pohyb a závada na viditelnosti | Pravidla pro uplatňování produktivity | Pravidla e-mailu | Pravidla skriptu | Různá pravidla |
|---|---|---|---|---|---|
| Zastavit spuštění spustitelných souborů, pokud nesplňují 1000 počítačů () nebo věkové nebo důvěryhodné podmínky seznamu | Zabránit vzniku procesu z příkazů PSExec a WMI | Přestaň. Kancelářská aplikace pro vytvoření spustitelné | Zakázat z e-mailového klienta a Webmail | Block Fuzzy processing JS / VBS / PS / Makro kód | zabraňuje zneužití nechráněných podepsaných pohonů, které jsou využívány [1] |
| Zastavit nedůvěryhodné a nepodepsané procesy běží z USB | Přestaňte krást dokumenty z místních bezpečnostních subsystémů Windows (Isas.exe)2] | Stop Office Application Vytvořit podprocesy | Pouze zabránit vzniku podprocesu aplikace pro komunikaci Úřadu | Spustitelný obsah, který zabraňuje spuštění stahování JS / VBS | |
| Pokročilá ochrana proti softwaru pro vydírání | Zastavit perzistenci organizací WMI | Přestaň. Žádost úřadu o vložení kódu do jiných procesů | Stop Office Communication Application Creating Subprocess | ||
| Zastavit subproces vytváření Adobe Reader |
(1 člen)Zabraňte zneužití podepsaného řidiče s nebezpečím útokuHned."Bezpečnost konce>Ztrácíme tvář.Je to pod ním.
(2) Některá pravidla pro redukci povrchu mohou způsobit značné narušení, ale nebrání funkčnosti. Například, pokud chcete aktualizovat Chrome, Chrome bude přístupNevím.; hesla uložená na zařízeníchNevím.Střední. Ale...Nevím.Navštivte místní vybavení. Pokud jsou pravidla povolena správně zastavitPřístup k IsassJe tu mnoho incidentů. Tyto události jsou dobré, protože proces aktualizace softwaru by neměl mít přístup k Lass.ex. Použijte toto pravidlo, abyste zabránili aktualizacím ChromeNevím., ale nebrání Chrome v aktualizaci. Jo.Nevím.Totéž platí i pro ostatní aplikace, které učinily zbytečné výzvy.Blokovat přístup k pravidlům IsassPřestane to.Nevím., ale nebrání spuštění aplikace.
Snížení požadavků na infrastrukturu při útoku
Ačkoli existuje řada metod, které mohou být použity k dosažení pravidla snížení dopadu, Příručka je založena na zásadě, že:
- Microsoft Entra ID
- Microsoft Intune
- Zařízení Windows 10 a Windows 11
- Microsoft Defense pro endpoint E5 nebo Windows E5 licence
Pro plné využití pravidel a reportů snížení dopadu doporučujeme používat licence Microsoft Defender XDR E5 nebo Windows E5 a A5. Více informací vizMicrosoft Defender pro koncový bodNevím.
Poznámky
Existuje celá řada způsobů, jak nakonfigurovat pravidla pro redukci obličeje. Pravidla redukce obličeje lze nastavit následovně: Microsoft Intune, PowerShell, Group Strategy, Microsoft Construction Manager (ConfigMgr) Intune OMA-URI. Pokud je použitá konfigurace infrastruktury jiná než infrastrukturaŽádostKonfigurace zde uvedená nám dává detailní představu, jak spustit útok pomocí jiných konfigurací.Pravidla pro snížení obličeje: použití pravidel pro snížení obličejeNevím.
Závisí na tom pravidlo sestupující tváře.
Antivirus Microsoft Defender musí být aktivován a nakonfigurován jako hlavní antivirové řešení a musí být v následujícím režimu:
- Hlavní anti- virová / anti- malarická softwarová řešení
- Stav: režim činnosti
Microsoft Defender by neměl být v žádném z následujících vzorců:
- Pasivní
- Pasivní režim s detekcí a odezvou terminálu (EDR v blokovém režimu)
- Omezené pravidelné skenování (LPS)
- Zavřít
Podrobné informaceViz ochrana před mraky a Microsoft Defender proti viru.Nevím.
Musí se aktivovat ochrana mraků (MAPS), aby se umožnilo snížení dopadu.
Microsoft Defender může hladce pracovat s Microsoft Cloud Services. Tyto služby ochrany cloud (také známé jako Microsoft Advanced Protection Service (MAPS)) zvyšují standardní ochranu v reálném čase a lze je popsat jako zajištění nejlepší protivirové obrany. Ochrana mraků je nezbytná pro předcházení porušování škodlivého softwaru a je klíčovou složkou pravidla omezení obličeje.Povolit ochranu cloud v antiviru Microsoft DefenderNevím.
Antivirové komponenty Microsoft Defender musí být aktuální verzí pravidla snížení obličeje.
Následující verze antivirové složky Microsoft Defender by neměla před aktuální dostupnou verzí překročit dvě verze:
- Aktualizováno Microsoft Defender antivirová platforma- Microsoft Defender antivirus platforma je aktualizována měsíčně.
- Microsoft Defender antivirová verze motoru- Microsoft Defender antivirový motor je aktualizován měsíčně.
- Microsoft Defender Anti- Virus Security Intelligence- Microsoft neustále aktualizuje Microsoft Defender Security Intelligence (také známý jako definice a podpisy), aby řešil nejnovější hrozby a optimalizoval detekční logiku.
Udržení anti- virové verze Microsoft Defender v aktuálním stavu by pomohlo snížit počet chyb snížených na rozhraní a zlepšit funkci detekce anti- virů Microsoft Defender. Více informací o aktuální verzi a jak aktualizovat různé antivirové komponenty Microsoft Defender je k dispozici.Podpora antivirové platformy Microsoft DefenderNevím.
Varování
Některá pravidla nebudou fungovat, pokud budou nepodepsané, interně vyvinuté aplikace a skripty používány častěji. Pokud nebudou vynucovány kódové podpisy, bude obtížnější zavést pravidlo snížení obličeje.