Yleiskatsaus vaikutusten vähentämistä koskevien sääntöjen käyttöönottoon
Hyökkäyksen kasvot ovat kaikki paikkoja, joissa organisaatio on altis kyberuhreille ja hyökkäyksille. Hyökkäyksen vähentäminen tarkoittaa organisaation laitteiden ja verkostojen suojelua niin, että hyökkääjät hyökkäävät vähemmän. Voisi olla hyödyllistä määrittää Microsoft Defender Endpoint loukkaavaa kasvojen vähentäminen sääntöjä.
Henkilökohtaiset vähennyssäännöt kohdistuvat tiettyihin ohjelmistokäyttäytymisiin, kuten:
- Suoritettavat tiedostot ja skriptit, jotka alkavat ladata tai ajaa tiedostoja
- Suorita epämääräisesti käsitellyt skriptit tai muut epäilyttävät skriptit
- Normaalissa päivittäisessä työssä, soveltaa käyttäytymistä, joka ei normaalisti tapahdu
Vähentämällä erilaisten hyökkäysten määrää se voi auttaa ehkäisemään niitä ensin.
Tässä käyttöönottokokoonpanossa annetaan tietoa seuraavista maa-alueiden vähentämistä koskevista säännöistä:
- Kasvokkain tapahtuvaa vähentämistä koskevat säännöt
- Vaikutusten vähentämistä koskevien sääntöjen käyttöönottoa koskeva suunnitelma
- Testaa pinnan pelkistyssääntö.
- Aseta ja aktivoi hyökkäystä koskevat säännöt
- Pahoinpitelyn paras käytäntö
- Etsimme koodinpuutetta.
- Iskukasvojen vähentämistapahtuman katselin
Pallojen vähentämistä koskevien sääntöjen käyttöönottovaiheet
Kuten kaikissa uusissa laajamittaisissa toimissa, jotka voivat vaikuttaa toimintalinjan toimintaan, suunnittelun ja täytäntöönpanon on oltava hallittua. Vaikutusten vähentämistä koskevat säännöt on suunniteltava huolellisesti ja niitä on sovellettava, jotta varmistetaan, että ne soveltuvat parhaiten ainutlaatuiseen asiakastyöhön. Ympäristössä työskentely edellyttää vaikutustenvähentämissääntöjen huolellista suunnittelua, testausta, täytäntöönpanoa ja valvontaa.
Kriittinen esihoito
On suositeltavaa, että seuraavat kolmeVakiosuojasäännötEn tiedä. Noin kahdenlaisiaKasvojen vähentämissääntö.Tarkempia tietoja ovat vaikutusten vähentämistä koskevat säännöt tyypeittäin.
- Lopeta todisteiden varastaminen Windowsin paikallisista turvajärjestelmistä (lsass.exe)
- Haavoittuvassa asemassa olevien allekirjoitettujen kuljettajien väärinkäytön estäminen
- Pysäytä pysyvyys tapahtumatilauksen mukaan
Yleensä voidaan ottaa käyttöön vakiosuojasäännöt, joilla on mahdollisimman vähäinen vaikutus loppukäyttäjiin ja joilla ei ole näkyviä vaikutuksia. Yksinkertainen lähestymistapa vakiosuojasääntöjen käyttöön, ks.Yksinkertaistettu standardisuojaEn tiedä.
Huomautukset
Asiakkaille, jotka käyttävät muita kuin MSC HIPS ja muuntaa sen Microsoft Defender varten Endpoint hyökkäysten vähentäminen sääntöjä, Microsoft suosittelee, että HIPS ratkaisu otetaan käyttöön vaikutusten vähentämiseen sääntöjä ennen siirtymistä tarkastustila pysähtyä tilassa. Muista, että muihin kuin MSV-palvelujen tarjoajiin on otettava yhteyttä poissulkemissuosituksia saadakseen.
Ennen pinnanalennussäännön testausta tai aktivointia
Alkuvalmistelun aikana on tärkeää ymmärtää käytössä olevan järjestelmän toimivuutta. Näiden toimintojen tunteminen auttaa määrittämään, mitkä loukkaavat hillitsemissäännöt ovat organisaation suojelun kannalta tärkeimpiä. Lisäksi on täytettävä joukko edellytyksiä, kun valmistaudutaan vähentämään käyttöönottoastetta.
Tärkeää
Tässä oppaassa on kuvia ja esimerkkejä, joiden avulla voit päättää, miten vaikutusten vähentämistä koskevat säännöt määritetään. Nämä kuvat ja esimerkit eivät ehkä vastaa ympäristön parhaita konfiguraatiovaihtoehtoja.
Tarkista ennen aloitusta.Yleiskatsaus hyökkäysten vähentämiseensekäSalauksen purkaminen Taajuuksien vähentäminenHanki perustietoa. Tietoa kattavuudesta ja mahdollisista vaikutusalueista saat tutustumalla nykyiseen Spectacular Mitigation Rulebookiin:Maanvähennyssäännön viiteEn tiedä. Kun olet tutustunut pinnan vähennyssääntöön, kirjoita jokainen sääntö GUID-kartta; ks.GUID Matrix Attack Face vähennyssääntöEn tiedä.
Hyökkäys kasvojen vähentäminen sääntö on vain yksi toiminto isku kasvojen vähentäminen toiminto Microsoft Defender varten Endpoint. Tässä asiakirjassa annetaan yksityiskohtaisempia tietoja hyökkäysten torjuntaa koskevien sääntöjen tehokkaasta käyttöönotosta korkean tason uhkien, kuten ihmisten tekemien kiristysohjelmien ja muiden uhkien torjumiseksi.
Luettelo hyökkäysten vähentämistä koskevista säännöistä luokittain
Seuraavassa taulukossa esitetään vaikutusten vähentämistä koskevat säännöt luokittain:
| Useita uhkia | Vaakasuuntainen liike- ja näyttövirhe | Tuottavuuden soveltamista koskevat säännöt | Sähköpostisäännöt | Skriptisäännöt | Sekalaiset säännöt |
|---|---|---|---|---|---|
| Lopeta suoritustiedostojen käyttö, elleivät ne täytä 1000 tietokonetta () tai ikää tai luotettua listaa | Estä prosessien luomista PSExecin ja WMI:n komennoilta | Lopeta Toimistosovellus suoritettavan tiedoston luomiseksi | Estä sähköpostiohjelma ja Webmail | Block Fuzzy Processing JS/VBS/PS/ Makrokoodi | Estetään hyväksikäytettävien haavoittuvien allekirjoitettujen ajojen väärinkäyttö [1] |
| Pysäytä USB:stä lähtevät luottamattomat ja allekirjoittamattomat prosessit | Lopeta asiakirjojen varastaminen Windowsin paikallisista turvajärjestelmistä (lsass.exe)2] | Pysäytä Office-sovellus Luo alaprosesseja | Ainoastaan viraston viestintäsovelluksen luomista koskevan alaprosessin estäminen | Suoritettava sisältö, joka estää JS/VBS:ää aloittamasta latauksia | |
| Kehittynyt suoja kiristysohjelmia vastaan | WMI:n toiminnan lopettaminen | Lopeta Toimistosovellus koodin syöttämiseksi muihin prosesseihin | Pysäytä toimiston viestintäsovellus Alaprosessi | ||
| Pysäytä Adobe Reader -luonnin alaprosessi |
(1 jäsen)Estetään hyökkäykselle alttiin kuljettajan väärinkäyttöNyt.Loppupisteen turvallisuus>Menetämme kasvomme.Se on alla.
(2) Jotkut pinnan pienentämissäännöt voivat aiheuttaa huomattavia häiriöitä, mutta eivät estä toiminnallisuutta. Esimerkiksi, jos haluat päivittää Chrome, Chrome käyttääEn tiedä.; laitteisiin tallennetut salasanatEn tiedä.Keskikokoinen. Mutta...En tiedä.Käykää paikallisissa laitteissa. Jos säännöt voidaan pysäyttää oikeinPääsy IssassiinOn monia välikohtauksia. Nämä tapahtumat ovat hyvä, koska ohjelmistopäivitysprosessin ei pitäisi olla saatavilla lass.exe. Käytä tätä sääntöä estääksesi Chrome-päivityksetEn tiedä., mutta ei estä Chrome päivittää. Niin.En tiedä.Sama koskee muita turhia puheluja tehneitä sovelluksia.Estetään pääsy Issassin sääntöihinSe loppuu.En tiedä., mutta ei estä sovellusta toimimasta.
Infrastruktuurivaatimusten vähentäminen hyökkäyksen aikana
Vaikka vaikutusten vähentämistä koskevan säännön saavuttamiseksi voidaan käyttää useita menetelmiä, opas perustuu periaatteeseen, jonka mukaan
- Microsoft Entra ID
- Microsoft Intune
- Windows 10 ja Windows 11 laitteet
- Microsoft Defense Endpoint E5- tai Windows E5-lisenssille
Suosittelemme Microsoft Defender XDR E5 - tai Windows E5 -lisenssien ja A5 -lisenssien käyttöä vaikutusten vähentämistä koskevien sääntöjen ja raporttien hyödyntämiseksi täysimääräisesti. Lisätietoja:Microsoft Defender for EndpointEn tiedä.
Huomautukset
On olemassa useita tapoja, joilla hyökkäys kasvot vähentää sääntöjä voidaan määrittää. Hyökkäyskasvojen vähentämissäännöt voidaan määrittää seuraavilla tavoilla: Microsoft Intune, PowerShell, Group Strategy, Microsoft Construction Manager (ConfigMgr) Intune OMA-URI. Jos käytetty infrastruktuuri on erilainen kuin infrastruktuuriPyyntöTässä lueteltu konfiguraatio antaa meille yksityiskohtaisen käsityksen siitä, miten hyökkäys toteutetaan käyttämällä muita konfiguraatioita.Kasvojen vähentämistä koskevat säännöt: hyökkäävien kasvojen vähentämistä koskevien sääntöjen käyttöEn tiedä.
Decliningin naama -sääntö riippuu siitä.
Microsoft Defenderin anti-virus on aktivoitava ja konfiguroitava pääasiallinen anti- virus ratkaisu ja sen on oltava seuraavassa tilassa:
- Tärkeimmät virus- ja malariantorjuntaohjelmistot
- Tila: Toimintatila
Microsoft Defender ei saa olla missään seuraavista kuvioista:
- Passiivinen
- Passiivinen tila, jossa on päätetunnistus ja vaste (EDR lohkotilassa)
- Rajoitettu säännöllinen skannaus (LPS)
- Sulje
Yksityiskohtaiset tiedotKatso suojaus pilviä ja Microsoft Defender vastaan virus.En tiedä.
Pilvisuoja (MAPS) on aktivoitava vaikutusten vähentämiseksi.
Microsoft Defender voi työskennellä saumattomasti Microsoft Cloud Services. Nämä pilvipalvelut (tunnetaan myös nimellä Microsoft Advanced Protection Service (MAPS)) parantavat standardia reaaliaikaista suojaa ja niitä voidaan kuvata parhaana virustorjuntana. Pilvisuojaus on olennaisen tärkeää, jotta voidaan estää pahanlaatuiset ohjelmistorikkomukset, ja se on keskeinen osa pahoinpitelyn torjuntaa koskevaa sääntöä.Ota pilvisuoja käyttöön Microsoft Defender antivirusEn tiedä.
Microsoft Defender antivirus komponenttien on oltava nykyisen version vaikutus kasvojen vähentäminen sääntö.
Seuraava Microsoft Defenderin virustorjuntakomponentti ei saa ylittää kahta versiota ennen nykyistä versiota:
- Päivitetty Microsoft Defender anti-virus alustaMicrosoft Defender anti-virus alusta päivitetään kuukausittain.
- Microsoft Defender antivirus moottoriversioMicrosoft Defender anti-virus moottori päivitetään kuukausittain.
- Microsoft Defender Anti Virus Security Intelligence– Microsoft continuously updates Microsoft Defender Security Intelligence (also known as definitions and signatures) to address the latest threats and optimize detection logic.
Microsoft Defenderin anti-virusversion pitäminen ajan tasalla auttaisi vähentämään hyökkäyskasvojen lievennettyjen virheiden määrää ja parantamaan Microsoft Defenderin virustorjuntaa. Lisätietoja nykyisestä versiosta ja siitä, miten päivittää eri Microsoft Defender antivirus komponentit on saatavilla.Microsoft Defender anti-virus alustatukiEn tiedä.
Varoitus
Jotkut säännöt eivät toimi, jos signeeraamattomia, sisäisesti kehitettyjä sovelluksia ja skriptejä käytetään useammin. Jos koodien allekirjoituksia ei panna täytäntöön, on vaikeampaa ottaa käyttöön kasvoja vähentävää sääntöä.