Sinopsis del despliegue de normas de reducción de los efectos

La cara del ataque es todos los lugares donde la organización es vulnerable a ataques y amenazas cibernéticas. Reducir la cara del ataque significa proteger el equipo y las redes de la organización, para que los atacantes ataquen menos. Puede ser útil configurar Microsoft Defender para Endpoint reglas ofensivas de reducción facial.

Las normas de reducción de la cara a cara se refieren a ciertos comportamientos de software, como:

• Archivos ejecutables y scripts para empezar a intentar descargar o ejecutar archivos
• Ejecute scripts vagamente procesados u otros scripts sospechosos
• En el trabajo diario normal, aplicar comportamiento que normalmente no sucede

Al reducir el número de ataques diferentes, puede ayudar a prevenirlos primero.

Esta asamblea de despliegue proporciona información sobre las siguientes normas de reducción de terreno:

• Requisitos de reglas de reducción de la cara a cara
• Plan para la reducción de los efectos
• Prueba la regla de reducción de superficie.
• Configurar y activar reglas de reducción de la cara de ataque
• Mejor práctica de la regla de reducción de la cara de asalto
• Buscamos una búsqueda deficiente.
• Impacto del evento de reducción de la cara

Al igual que con cualquier nueva aplicación a gran escala que pueda afectar el funcionamiento de la línea de operaciones, la planificación y la ejecución debe ser ordenada. Las reglas de reducción de impacto deben ser cuidadosamente planificadas y desplegadas para asegurar que sean las más adecuadas a los flujos de trabajo únicos de los clientes. Trabajar en su entorno requiere una planificación cuidadosa, pruebas, implementación y aplicación de reglas de reducción de impacto.

Se recomienda habilitar los tres siguientesNormas de protección estándarNo lo sé. Acerca de dos tiposRegla de reducción facial.Para detalles importantes, consulte las reglas de reducción de impacto por tipo.

• Deja de robar evidencia de los subsistemas de seguridad locales de Windows (lsass.exe)
• Evitar el uso indebido de conductores firmados vulnerables
• Stop Persistence por suscripción a eventos (WMI)

Por regla general, se pueden activar reglas de protección estándar, con un impacto mínimo en los usuarios finales y sin impacto visible. Para un enfoque simple del uso de reglas de protección estándar, veaOpciones simplificadas de protección estándarNo lo sé.

Durante la preparación inicial, es esencial comprender la funcionalidad del sistema existente. El conocimiento de estas funciones ayuda a determinar qué reglas ofensivas de mitigación son más importantes para la protección de la organización. Además, deben cumplirse varias condiciones previas en preparación para reducir el nivel de despliegue.

Antes de empezar, por favor, compruebe.Panorama general de la reducción del ataqueyReducción del espectro de descifrado – Parte 1, obtener información básica. Para información sobre cobertura y áreas potenciales de impacto, por favor familiaricese con la actual Regla de Mitigación Espectacular:Referencia de la regla de reducción del sueloNo lo sé. Cuando se familiariza con el conjunto de reglas de reducción de superficie, escriba cada regla GUID mapa; veaGUID Matrix Attack Face Reduction RuleNo lo sé.

Una regla de reducción de la cara de ataque es sólo una función de la función de reducción de la cara de impacto dentro de Microsoft Defender para Endpoint. Este documento proporciona información más detallada sobre el despliegue efectivo de las reglas de mitigación de los ataques para disuadir las amenazas de alto nivel, como el software de extorsión hecha por el hombre y otras amenazas.

En el cuadro siguiente se indican las normas de reducción de impacto por categoría:

(1 miembro)Evitar el uso indebido del conductor firmado por el prono de ataqueAhora.“Endpoint security>Estamos perdiendo la cara.Se proporciona abajo.

(2) Algunas reglas de reducción de superficie pueden causar trastornos considerables, pero no previenen la funcionalidad. Por ejemplo, si desea actualizar Chrome, Chrome tendrá accesoNo lo sé.; contraseñas almacenadas en dispositivosNo lo sé.Medio. Pero...No lo sé.Visita el equipo local. Si las reglas están habilitadas para detener la derechaAcceso a lsassHay muchos incidentes. Estos eventos son buenos, ya que el proceso de actualización de software no debe tener acceso a lass.exe. Utilice esta regla para prevenir actualizaciones de ChromeNo lo sé., pero no impide que Chrome de actualización. Sí.No lo sé.Lo mismo ocurre con otras aplicaciones que han hecho llamadas innecesarias.Acceso de bloque a las reglas de lsassParará.No lo sé., pero no impide que la aplicación se ejecute.

Aunque existen varios métodos que pueden utilizarse para lograr la norma de reducción de los efectos, la Guía se basa en el principio de que:

• Microsoft Entra ID
• Microsoft Intune
• Windows 10 y Windows 11 dispositivos
• Microsoft Defense para Endpoint E5 o Windows E5 licencia

Para utilizar plenamente las reglas e informes de reducción de impacto, recomendamos el uso de licencias de Microsoft Defender XDR E5 o Windows E5 y A5. Para más información, consulteMicrosoft Defender for EndpointNo lo sé.

Microsoft Defender ' s anti-virus debe activarse y configurarse como la principal solución anti-virus y debe estar en el siguiente modo:

• Principales soluciones de software antivirus/antimalarial
• Estado: Modo de actividad

Microsoft Defender no debe estar en ninguno de los siguientes patrones:

• Pasivo
• Modo pasivo con detección y respuesta terminal (EDR en modo bloque)
• Escaneo periódico limitado (LPS)
• Cerca

Información detalladaVea la protección contra las nubes y Microsoft Defender contra el virus.No lo sé.

Microsoft Defender puede trabajar sin problemas con Microsoft Cloud Services. Estos servicios de protección de la nube (también conocido como Microsoft Advanced Protection Service (MAPS)) mejoran la protección estándar en tiempo real y pueden describirse como la mejor defensa anti-virus. La protección de la nube es esencial para prevenir las violaciones del software maligno y es un componente clave de la regla de reducción de la cara de asalto.Activar la protección de la nube en Microsoft Defender antivirusNo lo sé.

La siguiente versión de Microsoft Defender ' s componente antivirus no debe exceder dos versiones antes de la versión actual disponible:

• Actualización de la plataforma antivirus de Microsoft Defender– La plataforma antivirus de Microsoft Defender se actualiza mensualmente.
• Microsoft Defender versión del motor antivirus– El motor antivirus de Microsoft Defender se actualiza mensualmente.
• Microsoft Defender Anti-Virus Security Intelligence– Microsoft actualiza continuamente Microsoft Defender Security Intelligence (también conocido como definiciones y firmas) para abordar las últimas amenazas y optimizar la lógica de detección.

Mantener la versión antivirus de Microsoft Defender hasta la fecha ayudaría a reducir el número de errores de reducción de la cara de ataque y mejorar la función de detección de antivirus de Microsoft Defender. Más información sobre la versión actual y cómo actualizar los diferentes componentes antivirus de Microsoft Defender está disponible.Soporte de plataforma antivirus de Microsoft DefenderNo lo sé.

Algunas reglas no funcionarán si las aplicaciones y scripts no firmados y desarrollados internamente se utilizan con más frecuencia. Si las firmas de código no se aplican, será más difícil desplegar una regla de reducción de la cara.

Prueba la regla de reducción de superficie.

Activar la reducción facial.

La regla de reducción de la cara.

Referencia de la regla de reducción del suelo