Überblick über den Einsatz von Wirkungsminderungsregeln

Das Gesicht des Angriffs sind alle Orte, an denen die Organisation anfällig für Cyber-Bedrohungen und Angriffe ist. Das Gesicht des Angriffs zu reduzieren bedeutet, die Ausrüstung und Netzwerke der Organisation zu schützen, so dass die Angreifer weniger angreifen. Es kann hilfreich sein, Microsoft Defender for Endpoint offensive Gesichtsreduzierungsregeln zu konfigurieren.

Die direkten Reduktionsregeln zielen auf bestimmte Software-Verhalten ab, wie zum Beispiel:

Ausführbare Dateien und Skripte, um zu versuchen, Dateien herunterzuladen oder auszuführen
Führen Sie vage verarbeitete Skripte oder andere verdächtige Skripte aus
Wenden Sie in der normalen täglichen Arbeit ein Verhalten an, das normalerweise nicht auftritt

Indem es die Anzahl der verschiedenen Angriffe reduziert, kann es helfen, sie zuerst zu verhindern.

Diese Bereitstellungsanordnung enthält Informationen zu den folgenden Bodenreduzierungsregeln:

Anforderungen an die Reduktionsregeln von Angesicht zu Angesicht
Plan zur Einführung von Regelwerken zur Verringerung der Auswirkungen
Testen Sie die Regel zur Oberflächenreduktion.
Konfigurieren und Aktivieren von Regeln zur Reduzierung des Angriffsgesichts
Best Practice der Regel zur Reduzierung des Angriffsgesichts
Wir suchen nach einer Code-defizienten Suche.
Impact Face Reduction Event Viewer

Sphere Reduction Rule Deployment Schritte

Wie bei jeder neuen groß angelegten Implementierung, die den Betrieb der Operationslinie beeinflussen kann, muss die Planung und Implementierung geordnet sein. Die Regeln zur Reduzierung der Auswirkungen müssen sorgfältig geplant und implementiert werden, um sicherzustellen, dass sie am besten für einzigartige Client-Workflows geeignet sind. Die Arbeit in Ihrer Umgebung erfordert eine sorgfältige Planung, Erprobung, Umsetzung und Durchsetzung von Regeln zur Reduzierung der Auswirkungen.

Kritische Predeployment Pflege

Es wird empfohlen, die folgenden drei zu aktivieren:StandardschutzvorschriftenIch weiß es nicht. Über zwei TypenGesichtsreduktionsregel.Für wichtige Details beachten Sie bitte die Regeln zur Verringerung der Auswirkungen nach Typ.

In der Regel können Standardschutzregeln aktiviert werden, mit minimalen Auswirkungen auf die Endnutzer und ohne sichtbare Auswirkungen. Für einen einfachen Ansatz zur Verwendung von Standard-Schutzregeln, sieheVereinfachte StandardschutzoptionenIch weiß es nicht.

Bemerkungen

Für Kunden, die Nicht-MSC-HIPS verwenden und es in Microsoft Defender for Endpoint-Regeln zur Reduzierung von Angriffen konvertieren, empfiehlt Microsoft, die HIPS-Lösung mit den Regeln zur Reduzierung der Auswirkungen bereitzustellen, bevor sie vom Audit-Modus in den Stopp-Modus wechselt. Bitte denken Sie daran, dass Nicht-MSV-Anbieter kontaktiert werden müssen, um Ausschlussempfehlungen zu erhalten.

Vor dem Testen oder Aktivieren der Regel zur Oberflächenreduktion

Während der ersten Vorbereitung ist es wichtig, die Funktionalität des vorhandenen Systems zu verstehen. Die Kenntnis dieser Funktionen hilft zu bestimmen, welche offensiven Minderungsregeln für den Schutz der Organisation am wichtigsten sind. Darüber hinaus müssen eine Reihe von Voraussetzungen erfüllt werden, um eine Verringerung des Einsatzniveaus vorzubereiten.

Wichtig

Dieses Handbuch enthält Bilder und Beispiele, die Ihnen bei der Entscheidung helfen können, wie Sie die Regeln zur Reduzierung des Aufprallgesichts konfigurieren; Diese Bilder und Beispiele spiegeln möglicherweise nicht die besten Konfigurationsoptionen für die Umgebung wider.

Bevor Sie beginnen, überprüfen Sie bitte.Überblick über die Reduzierung des AngriffsundDecrypt Spectrum Reduction – Teil 1Holen Sie sich grundlegende Informationen. Für Informationen über die Abdeckung und mögliche Wirkungsbereiche machen Sie sich bitte mit dem aktuellen Spectacular Mitigation Rulebook vertraut:BodenreduktionsregelIch weiß es nicht. Wenn Sie mit der Regel zur Oberflächenreduktion vertraut sind, notieren Sie jede Regel GUID-Karte; sieheGUID Matrix Attack Face ReduktionsregelIch weiß es nicht.

Eine Regel zur Reduzierung des Angriffsgesichts ist nur eine Funktion der Funktion zur Reduzierung des Aufprallgesichts in Microsoft Defender for Endpoint. Dieses Dokument enthält detailliertere Informationen über den effektiven Einsatz von Angriffsgesichtsminderungsregeln zur Abschreckung von Bedrohungen auf hoher Ebene, wie z. B. von Menschen gemachte Erpressungssoftware und andere Bedrohungen.

Liste der Regeln zur Reduzierung des Angriffsgesichts nach Kategorie

Die folgende Tabelle zeigt die Wirkungsminderungsregeln nach Kategorien:

Mehrfache Bedrohung	Horizontale Bewegung und Evidenz	Vorschriften für die Anwendung der Produktivität	E-Mail-Regeln	Skriptregeln	Verschiedene Vorschriften
Stoppen Sie die Ausführung ausführbarer Dateien, es sei denn, sie erfüllen 1.000 Computer (oder Alter oder vertrauenswürdige Listenbedingungen)	Verhindern der Prozesserstellung durch PSExec- und WMI-Befehle	Stopp Office-Anwendung zum Erstellen von ausführbaren Dateien	Deaktivieren von E-Mail-Client und Webmail	Block Fuzzy Processing JS/VBS/PS/Makrocode	Verhindert den Missbrauch von anfälligen signierten Laufwerken, die ausgenutzt werden [1]
Stoppen Sie nicht vertrauenswürdige und nicht signierte Prozesse, die von USB ausgeführt werden	Stoppen Sie den Diebstahl von Dokumenten aus den lokalen Sicherheits-Subsystemen von Windows (lsass.exe)2]	Stop Office Application Erstellen von Subprozessen	Verhindern Sie nur den Office Communication Application Creation Subprozess	Ausführbare Inhalte, die verhindern, dass JS/VBS Downloads startet
Erweiterter Schutz vor Erpressungssoftware	Stop Persistenz durch WMI Organisation	Stopp Office-Anwendung zum Einfügen von Code in andere Prozesse	Stop Office Communication Application Creation Subprocess
		Beenden des Adobe Reader-Erstellungs-Subprozesses

(1 MitgliedVerhindern Sie den Missbrauch eines angriffsanfälligen signierten FahrersJetzt.„Endpunktsicherheit>Wir verlieren das Gesicht.Es ist unten angegeben.

((2) Einige Regeln zur Oberflächenreduzierung können erhebliche Störungen verursachen, verhindern jedoch nicht die Funktionalität. Wenn Sie beispielsweise Chrome aktualisieren möchten, wird Chrome darauf zugreifenIch weiß es nicht.; Passwörter, die auf Geräten gespeichert sindIch weiß es nicht.Medium. Aber...Ich weiß es nicht.Besuchen Sie lokale Ausrüstung. Wenn die Regeln aktiviert sind, um rechts zu stoppenZugang zu lsassEs gibt viele Zwischenfälle. Diese Ereignisse sind gut, da der Software-Update-Prozess keinen Zugriff auf lass.exe haben sollte. Verwenden Sie diese Regel, um Chrome-Updates zu verhindernIch weiß es nicht.Dies verhindert jedoch nicht, dass Chrome aktualisiert wird. Ja.Ich weiß es nicht.Dasselbe gilt für andere Anwendungen, die unnötige Anrufe getätigt haben.Zugriff auf lsass-Regeln blockierenEs wird aufhören.Ich weiß es nicht., aber nicht verhindert, dass die Anwendung läuft.

Reduzierung der Infrastrukturanforderungen angesichts von Angriffen

Obwohl es eine Reihe von Methoden gibt, mit denen die Regel zur Verringerung der Auswirkungen erreicht werden kann, basiert der Leitfaden auf dem Grundsatz:

Microsoft Entra ID
Microsoft Intune
Windows 10 und Windows 11 Geräte
Microsoft Defense für Endpoint E5 oder Windows E5 Lizenz

Um die Regeln und Berichte zur Reduzierung der Auswirkungen in vollem Umfang nutzen zu können, empfehlen wir die Verwendung von Microsoft Defender XDR E5 oder Windows E5 Lizenzen und A5. Für weitere Informationen, sieheMicrosoft Defender für EndpointIch weiß es nicht.

Bemerkungen

Es gibt eine Reihe von Möglichkeiten, wie die Regeln zur Reduzierung des Angriffsgesichts konfiguriert werden können. Die Regeln zur Reduzierung des Angriffsgesichts können wie folgt konfiguriert werden: Microsoft Intune, PowerShell, Group Strategy, Microsoft Construction Manager (ConfigMgr) Intune OMA-URI. Wenn die verwendete Infrastrukturkonfiguration von der Infrastruktur abweichtAntragDie hier aufgeführte Konfiguration gibt uns eine detaillierte Vorstellung davon, wie der Angriff mit anderen Konfigurationen eingesetzt werden kann.Gesichtsreduktionsregeln: Verwendung von beleidigenden GesichtsreduktionsregelnIch weiß es nicht.

Die Declining Face Regel hängt davon ab.

Der Antivirus von Microsoft Defender muss als Haupt-Antiviruslösung aktiviert und konfiguriert sein und sich im folgenden Modus befinden:

Wichtigste Antivirus-/Antimalaria-Softwarelösungen
Status: Aktivitätsmodus

Microsoft Defender sollte sich nicht in einem der folgenden Muster befinden:

Passiv
Passivmodus mit Terminalerkennung und -antwort (EDR im Blockmodus)
Begrenztes periodisches Scannen (LPS)
Schließen

Detaillierte InformationenSehen Sie den Schutz vor Clouds und Microsoft Defender gegen den Virus.Ich weiß es nicht.

Der Cloud Protection (MAPS) muss aktiviert werden, um eine Wirkungsreduzierung zu ermöglichen.

Microsoft Defender kann nahtlos mit Microsoft Cloud Services arbeiten. Diese Cloud-Schutzdienste (auch bekannt als Microsoft Advanced Protection Service (MAPS)) verbessern den Standard-Echtzeitschutz und können als die beste Antivirenabwehr bezeichnet werden. Cloud-Schutz ist wichtig, um schädliche Software-Verstöße zu verhindern und ist eine Schlüsselkomponente der Regel zur Reduzierung des Angriffsgesichts.Cloud-Schutz in Microsoft Defender Antivirus aktivierenIch weiß es nicht.

Microsoft Defender-Antivirenkomponenten müssen die aktuelle Version der Regel zur Reduzierung der Auswirkungen sein.

Die folgende Version der Antivirenkomponente von Microsoft Defender sollte zwei Versionen vor der aktuellen verfügbaren Version nicht überschreiten:

Aktualisierte Microsoft Defender AntivirenplattformDie Microsoft Defender Antivirenplattform wird monatlich aktualisiert.
Microsoft Defender Antivirus Engine VersionMicrosoft Defender Antiviren-Engine wird monatlich aktualisiert.
Microsoft Defender Antivirus Security IntelligenceMicrosoft aktualisiert Microsoft Defender Security Intelligence (auch als Definitionen und Signaturen bekannt) kontinuierlich, um die neuesten Bedrohungen zu beheben und die Erkennungslogik zu optimieren.

Die Antivirenversion von Microsoft Defender auf dem neuesten Stand zu halten, würde dazu beitragen, die Anzahl der durch Angriffe reduzierten Fehler zu reduzieren und die Antivirenerkennungsfunktion von Microsoft Defender zu verbessern. Weitere Informationen zur aktuellen Version und zur Aktualisierung der verschiedenen Microsoft Defender Antivirenkomponenten sind verfügbar.Unterstützung der Microsoft Defender AntivirenplattformIch weiß es nicht.

Warnung

Einige Regeln funktionieren nicht, wenn nicht signierte, intern entwickelte Anwendungen und Skripte häufiger verwendet werden. Wenn Codesignaturen nicht durchgesetzt werden, wird es schwieriger, eine Gesichtsreduktionsregel zu implementieren.