Aperçu du déploiement des règles de réduction des effets
Le visage de l'attaque est tous les endroits où l'organisation est vulnérable aux cybermenaces et aux attaques. Réduire le visage de l'attaque signifie protéger l'équipement et les réseaux de l'organisation, de sorte que les attaquants attaquent moins. Il pourrait être utile de configurer Microsoft Defender pour les règles offensives de réduction du visage Endpoint.
Les règles de réduction en face à face ciblent certains comportements logiciels, comme :
- Fichiers et scripts exécutables pour commencer à essayer de télécharger ou exécuter des fichiers
- Exécuter des scripts vaguement traités ou d'autres scripts suspects
- Dans le travail quotidien normal, appliquer un comportement qui ne se produit normalement pas
En réduisant le nombre d'attaques différentes, il peut aider à les prévenir d'abord.
Cet ensemble de déploiement fournit des informations sur les règles de réduction au sol suivantes:
- Règles de réduction en personne
- Plan de déploiement des règles de réduction d ' impact
- Testez la règle de réduction de surface.
- Configurer et activer les règles de réduction du visage d'attaque
- Meilleure pratique de la règle de réduction du visage d'agression
- Nous cherchons un code de recherche insuffisant.
- Visionneuse d'événements de réduction de visage d'impact
Étapes de déploiement de la règle de réduction des sphères
Comme pour toute nouvelle mise en œuvre à grande échelle susceptible d'affecter le fonctionnement de la ligne d'opérations, la planification et la mise en œuvre doivent être ordonnées. Les règles de réduction de l'impact doivent être soigneusement planifiées et déployées pour s'assurer qu'elles sont les mieux adaptées aux flux de travail uniques des clients. Travailler dans votre environnement exige une planification, des essais, la mise en oeuvre et l'application prudentes des règles de réduction des impacts.
Soins essentiels avant déploiement
Il est recommandé que les trois suivants soient activésRègles types de protectionJe ne sais pas. Environ deux typesRègle de réduction du visage.Pour plus de détails, veuillez consulter les règles de réduction d'impact par type.
- Arrêtez de voler des preuves des sous-systèmes de sécurité locaux de Windows (lsass.exe)
- Prévenir l'utilisation abusive de conducteurs vulnérables signés
- Stop Persistance par abonnement aux événements (WMI)
En règle générale, les règles de protection standard peuvent être activées, avec un impact minimal sur les utilisateurs finaux et aucun impact visible. Pour une approche simple de l'utilisation des règles de protection standard, voirOptions de protection standard simplifiéesJe ne sais pas.
Commentaires
Pour les clients qui utilisent des HIPS non-MSC et les convertissent en règles de réduction d'attaque de Microsoft Defender for Endpoint, Microsoft recommande que la solution HIPS soit déployée avec les règles de réduction d'impact avant de passer du mode audit au mode stop. N'oubliez pas qu'il faut communiquer avec les fournisseurs qui ne sont pas des VSM pour obtenir des recommandations d'exclusion.
Avant l'essai ou l'activation de la règle de réduction de surface
Lors de la préparation initiale, il est essentiel de comprendre la fonctionnalité du système en place. La connaissance de ces fonctions aide à déterminer quelles règles d'atténuation offensives sont les plus importantes pour la protection de l'organisation. En outre, un certain nombre de conditions préalables doivent être remplies en vue de la réduction du niveau de déploiement.
Important
Ce guide fournit des images et des exemples qui peuvent vous aider à décider comment configurer les règles de réduction du visage d'impact; Ces images et exemples peuvent ne pas refléter les meilleures options de configuration pour l'environnement.
Avant de commencer, vérifiez.Aperçu de la réduction des attaquesetDéchiffrer la réduction du spectre – Partie 1, obtenir des informations de base. Pour obtenir de l'information sur la couverture et les domaines d'impact potentiels, veuillez vous familiariser avec l'actuelle règle d'atténuation spectaculaire :Référence de la règle de réduction au solJe ne sais pas. Lorsque vous connaissez la règle de réduction de surface définie, écrivez chaque règle carte GUID; voirRègle de réduction du visage d'attaque de la matrice GUIDJe ne sais pas.
Une règle de réduction du visage d'attaque n'est qu'une fonction de la fonction de réduction du visage d'impact au sein de Microsoft Defender for Endpoint. Le présent document fournit des renseignements plus détaillés sur le déploiement efficace des règles d'atténuation des attaques face à des menaces de haut niveau, comme les logiciels d'extorsion artificielle et d'autres menaces.
Liste des règles de réduction du visage d'attaque par catégorie
Le tableau suivant présente les règles de réduction d'impact par catégorie:
| Menaces multiples | Mouvement horizontal & Evidencefault | Règles d'application de la productivité | Règles concernant les courriels | Règles de script | Règles diverses |
|---|---|---|---|---|---|
| Arrêtez d'exécuter des fichiers exécutables à moins qu'ils ne répondent à 1 000 ordinateurs () ou à des conditions d'âge ou de liste de confiance | Empêcher la création de processus à partir des commandes PSExec et WMI | Arrête Application Office pour créer exécutable | Désactiver de courriel client et Webmail | Traitement par blocs de flou JS/VBS/PS/ Code macro | Prévient l'utilisation abusive de lecteurs vulnérables signés qui sont exploités [1] |
| Arrêtez les processus non fiables et non signés à partir d'USB | Arrêtez de voler des documents des sous-systèmes de sécurité locaux de Windows (lsass.exe)2] | Arrêter l'application Office Créer des sous-processus | Empêcher uniquement le sous-processus de création d'une demande de communication Office | Contenu exécutable qui empêche JS/VBS de démarrer les téléchargements | |
| Protection avancée contre les logiciels d'extorsion | Arrêter la persistance par l'organisation WMI | Arrête Application Office pour injecter du code dans d'autres processus | Sous-processus de création d'applications de communication de bureau stop | ||
| Arrêtez le sous-processus de création Adobe Reader |
(1 membre)Prévenir l'utilisation abusive d'un conducteur qualifié d'attaqueTout de suite.Endpoint sécurité>On perd la face.Il est fourni ci-dessous.
(2) Certaines règles de réduction de surface peuvent causer des perturbations considérables, mais n'empêchent pas la fonctionnalité. Par exemple , si vous voulez mettre à jour Chrome , Chrome accéderaJe ne sais pas.; mots de passe stockés sur les appareilsJe ne sais pas.Moyenne. Mais...Je ne sais pas.Visitez le matériel local. Si les règles sont autorisées à arrêter à droiteAccès à l'escrocIl y a de nombreux incidents. Ces événements sont bons, car le processus de mise à jour du logiciel ne devrait pas avoir accès à lass.exe. Utilisez cette règle pour empêcher les mises à jour ChromeJe ne sais pas., mais n'empêche pas Chrome de mettre à jour . Oui.Je ne sais pas.Il en va de même des autres applications qui ont fait des appels inutiles.Block access to lsass rulesÇa va s'arrêter.Je ne sais pas., mais n'empêche pas l'application de fonctionner.
Réduction des besoins en infrastructures face aux attaques
Bien qu'un certain nombre de méthodes puissent être utilisées pour atteindre la règle de réduction de l'impact, le Guide repose sur le principe suivant :
- Microsoft Entra ID
- Microsoft Intune
- Appareils Windows 10 et Windows 11
- Microsoft Defense pour la licence Endpoint E5 ou Windows E5
Afin d'utiliser pleinement les règles et rapports de réduction d'impact, nous recommandons l'utilisation des licences Microsoft Defender XDR E5 ou Windows E5 et A5. Pour plus d'informations, voirMicrosoft Defender pour EndpointJe ne sais pas.
Commentaires
Il existe plusieurs façons de configurer les règles de réduction du visage d'attaque. Les règles de réduction du visage d'attaque peuvent être configurées de la manière suivante : Microsoft Intune, PowerShell, Group Strategy, Microsoft Construction Manager (ConfigMgr) Intune OMA-URI. Si la configuration de l'infrastructure utilisée est différente de l'infrastructureDemandeLa configuration listée ici nous donne une idée détaillée de la façon de déployer l'attaque en utilisant d'autres configurations.Règles de réduction du visage : utilisation de règles offensives de réduction du visageJe ne sais pas.
La règle du visage en déclin en dépend.
L ' antivirus de Microsoft Defender doit être activé et configuré comme solution antivirus principale et doit être en mode suivant:
- Principales solutions logicielles antivirus/antipaludiques
- État: Mode activité
Microsoft Defender ne devrait être dans aucun des modèles suivants:
- Passif
- Mode passif avec détection terminale et réponse (EDR en mode bloc)
- Balayage périodique limité (LPS)
- Fermer
Informations détailléesVoir la protection contre les nuages et Microsoft Defender contre le virus.Je ne sais pas.
La protection contre les nuages (MAPS) doit être activée afin de permettre une réduction de l'impact.
Microsoft Defender peut travailler en toute transparence avec Microsoft Cloud Services. Ces services de protection en nuage (également connus sous le nom de Microsoft Advanced Protection Service (MAPS)) améliorent la protection en temps réel standard et peuvent être décrits comme fournissant la meilleure défense anti-virus. La protection des nuages est essentielle pour prévenir les violations de logiciels malveillants et est un élément clé de la règle de réduction du visage d'assaut.Activer la protection cloud dans l'antivirus Microsoft DefenderJe ne sais pas.
Les composants antivirus de Microsoft Defender doivent être la version actuelle de la règle de réduction du visage d'impact.
La version suivante du composant antivirus de Microsoft Defender ne doit pas dépasser deux versions avant la version actuelle disponible:
- Mise à jour de la plate-forme antivirus Microsoft Defender– La plate-forme antivirus de Microsoft Defender est mise à jour mensuellement.
- Version du moteur antivirus Microsoft Defender– Microsoft Defender moteur anti-virus est mis à jour mensuellement.
- Microsoft Defender Anti-Virus Security Intelligence– Microsoft met à jour en permanence Microsoft Defender Security Intelligence (aussi connu sous le nom de définitions et signatures) pour répondre aux dernières menaces et optimiser la logique de détection.
La mise à jour de la version antivirus de Microsoft Defender permettrait de réduire le nombre d ' erreurs réduites en fonction des attaques et d ' améliorer la fonction de détection antivirus de Microsoft Defender. Plus d'informations sur la version actuelle et comment mettre à jour les différents composants antivirus de Microsoft Defender est disponible.Support de plate-forme anti-virus de Microsoft DefenderJe ne sais pas.
Avertissement
Certaines règles ne fonctionneront pas si des applications et des scripts non signés sont utilisés plus fréquemment. Si les signatures de code ne sont pas appliquées, il sera plus difficile de déployer une règle de réduction du visage.
Autres articles de cet ensemble de déploiement
Testez la règle de réduction de surface.
Activer la réduction du visage.