Tinjauan penyebaran aturan impact- reduksi
Wajah serangan itu adalah semua lokasi di mana organisasi rentan terhadap ancaman cyber dan serangan. Mengurangi wajah serangan berarti melindungi peralatan dan jaringan organisasi, sehingga penyerang menyerang kurang. Mungkin membantu mengkonfigurasi Microsoft Defender untuk aturan pengurangan wajah endpoint ofensif.
Peraturan pengurangan wajah menargetkan perilaku perangkat lunak tertentu, seperti:
- Berkas dan skrip yang dapat dieksekusi untuk mulai mencoba mengunduh atau menjalankan berkas
- Jalankan skrip secara samar atau skrip yang mencurigakan lainnya
- Dalam pekerjaan sehari-hari normal, menerapkan perilaku yang biasanya tidak terjadi
Dengan mengurangi jumlah serangan yang berbeda, dapat membantu mencegah mereka terlebih dahulu.
Perakitan penyebaran ini menyediakan informasi pada aturan pengurangan dasar berikut:
- Aturan pengurangan wajah untuk wajah
- Rencana penyebaran aturan pengurangan dampak
- Uji aturan pengurangan permukaan.
- Atur dan aktifkan aturan pengurangan wajah serangan
- Praktek terbaik dari aturan pengurangan wajah serbu
- Kami sedang mencari kode-kekurangan pencarian.
- Penilik Pengintip Reduksi Wajah Dampak
Langkah penyebaran aturan pengurangan sphere
Seperti implementasi skala-baru yang mungkin mempengaruhi operasi baris operasi, perencanaan dan implementasi harus tertib. Aturan impact- reduksi perlu direncanakan dengan hati-hati dan dikerahkan untuk memastikan bahwa mereka paling cocok untuk arus kerja klien unik. Bekerja di lingkungan Anda memerlukan perencanaan hati-hati, pengujian, implementasi dan penegakan aturan pengurangan dampak.
Perawatan prepenyebaran kritis
Disarankan bahwa tiga berikut diaktifkanAturan perlindungan standarAku tidak tahu. Tentang dua jenisAturan pengurangan wajah.Untuk rincian penting, mohon mengacu pada aturan pengurangan dampak berdasarkan tipe.
- Berhenti mencuri bukti dari Windows subsistem keamanan lokal (lsass.exe)
- Mencegah penyalahgunaan driver yang ditandatangani rentan
- Hentikan ketekunan dengan berlangganan ke peristiwa (WMI)
Sebagai aturan, aturan perlindungan standar dapat diaktifkan, dengan dampak minimal pada pengguna akhir dan tidak ada dampak terlihat. Untuk pendekatan sederhana untuk menggunakan standar aturan perlindungan, lihatOpsi perlindungan standar sederhanaAku tidak tahu.
Remarks
Bagi pelanggan yang menggunakan non-MSC HIPS dan mengubahnya menjadi Microsoft Defender untuk aturan pengurangan serangan Endpoint, Microsoft merekomendasikan bahwa solusi HIPS akan dikerahkan dengan aturan pengurangan dampak sebelum beralih dari mode audit untuk menghentikan mode. Harap diingat bahwa penyedia non- MSV harus dihubungi untuk memperoleh rekomendasi exclusion.
Sebelum pengujian atau aktivasi aturan pengurangan permukaan
Selama persiapan awal, sangat penting untuk memahami fungsionalitas sistem di tempat. Pengetahuan tentang fungsi ini membantu untuk menentukan aturan mitigasi ofensif mana yang paling penting untuk perlindungan organisasi. Sebagai tambahan, sejumlah kondisi harus dipenuhi dalam persiapan untuk pengurangan tingkat penyebaran.
Penting
Panduan ini menyediakan gambar dan contoh yang dapat membantu Anda memutuskan bagaimana mengatur aturan pengurangan wajah; Gambar dan contoh ini mungkin tidak mencerminkan pilihan konfigurasi terbaik bagi lingkungan.
Sebelum mulai, tolong periksa.Overview dari pengurangan serangandanDekripsi Reduksi Spectrum - Bagian 1, mendapatkan informasi dasar. Untuk informasi tentang cakupan dan potensi area dampak, silahkan membiasakan diri dengan saat ini Spectacular Mitigation Rulebook:Referensi aturan pengurangan tanahAku tidak tahu. Ketika akrab dengan aturan pengurangan permukaan, tulis setiap aturan peta GUID; lihatAturan Reduksi Wajah GUID Matrix AttackAku tidak tahu.
Aturan pengurangan wajah serangan hanya satu fungsi dari fungsi pengurangan wajah dampak dalam Microsoft Defender untuk Endpoint. Dokumen ini menyediakan informasi lebih rinci tentang penyebaran efektif dari aturan mitigasi wajah serangan untuk mencegah ancaman tingkat tinggi, seperti man-membuat perangkat lunak pemerasan dan ancaman lainnya.
Daftar aturan pengurangan wajah serangan berdasarkan kategori
Tabel berikut menunjukkan aturan pengurangan dampak berdasarkan kategori:
| Ancaman ganda | Gerakan Horisontal & Evidencefault | Aturan aplikasi produktivitas | Aturan Surel | Aturan Skrip | Aturan lain |
|---|---|---|---|---|---|
| Berhenti menjalankan berkas yang dapat dieksekusi kecuali mereka bertemu 1.000 komputer () atau kondisi daftar usia atau terpercaya | Mencegah pembuatan proses dari perintah PSExec dan WMI | Berhenti Aplikasi kantor untuk membuat executable | Nonaktifkan dari klien surel dan Webmail | Blok Fuzzy Proses JS / VBS / PS / Macro Code | Mencegah penyalahgunaan perangkat yang mudah ditandatangani yang dieksploitasi [1] |
| Hentikan proses tak terpercaya dan tak ditandatangani yang berjalan dari USB | Stop mencuri dokumen dari Windows 'subsistem keamanan lokal (lsass.exe)2] | Stop Aplikasi Kantor Membuat Subproses | Hanya mencegah proses pembuatan aplikasi komunikasi Office | Isi eksekusi yang mencegah JS / VBS dari memulai pengunduhan | |
| Perlindungan tingkat lanjut terhadap perangkat lunak pemerasan | Hentikan ketekunan oleh Organisasi WMI | Berhenti Aplikasi kantor untuk menyuntikkan kode ke proses lain | Menghentikan Pembuatan Aplikasi Komunikasi Kantor | ||
| Hentikan proses pembuatan Adobe Reader |
(1 anggota)Mencegah penyalahgunaan serangan-rawan driver ditandatanganiSekarang."Endpoint keamanan>Kita kehilangan muka.Ini disediakan di bawah ini.
(2) Beberapa aturan pengurangan permukaan dapat menyebabkan gangguan yang cukup, tetapi tidak mencegah fungsi. Sebagai contoh, jika Anda ingin memperbarui Chrome, Chrome akan mengaksesAku tidak tahu.; sandi disimpan pada perangkatAku tidak tahu.Sedang. Tapi...Aku tidak tahu.Kunjungi peralatan lokal. Jika aturan diaktifkan untuk berhenti kananAkses ke lsassAda banyak insiden. Peristiwa ini adalah salah satu yang baik, sebagai proses pemutakhiran perangkat lunak seharusnya tidak memiliki akses ke lass.exe. Gunakan aturan ini untuk mencegah pemutakhiran ChromeAku tidak tahu., tetapi tidak mencegah Chrome dari memperbarui. Ya.Aku tidak tahu.Hal yang sama berlaku untuk aplikasi lain yang telah membuat panggilan yang tidak perlu.Blok akses ke aturan lsassIni akan berhenti.Aku tidak tahu., tetapi tidak mencegah aplikasi dari berjalan.
Reduksi persyaratan infrastruktur dalam menghadapi serangan
Meskipun ada sejumlah metode yang dapat digunakan untuk mencapai aturan pengurangan dampak, Panduan didasarkan pada prinsip bahwa:
- ID Microsoft Entra
- Microsoft Intune
- Windows 10 dan Windows 11 perangkat
- Microsoft Defense untuk Endpoint E5 atau lisensi Windows E5
Untuk membuat penggunaan penuh aturan pengurangan dampak dan laporan, kami merekomendasikan penggunaan Microsoft Defender XDR E5 atau lisensi E5 Windows dan A5. Untuk informasi lebih lanjut, lihatMicrosoft Defender untuk EndpointAku tidak tahu.
Remarks
Ada beberapa cara di mana aturan pengurangan wajah serangan dapat dikonfigurasi. Aturan pengurangan wajah serangan dapat dikonfigurasi dengan cara berikut: Microsoft Intune, PowerShell, Strategi Grup, Manajer Konstruksi Microsoft (Configr Mgr) Intune OMA- URI. Jika konfigurasi infrastruktur yang digunakan berbeda dengan infrastrukturPermintaanKonfigurasi terdaftar di sini memberi kita ide rinci bagaimana untuk menyebarkan serangan menggunakan konfigurasi lain.Aturan pengurangan wajah: penggunaan aturan pengurangan wajah ofensifAku tidak tahu.
Aturan Wajah Penurunan tergantung padanya.
Microsoft Defender anti virus harus diaktifkan dan dikonfigurasi sebagai solusi anti- virus utama dan harus dalam mode berikut:
- Resolusi perangkat lunak antivirus / anti- malaria utama
- Status: Mode aktivitas
Microsoft Defender seharusnya tidak berada dalam pola berikut:
- Passive
- Mode pasif dengan deteksi terminal dan respon (EDR dalam mode blok)
- Pemindaian periodik terbatas (LPS)
- Tutup
Informasi rinciLihat perlindungan dari awan dan Microsoft Defender melawan virus.Aku tidak tahu.
Perlindungan awan (MAPS) harus diaktifkan untuk mengaktifkan pengurangan dampak.
Microsoft Defender dapat bekerja sama dengan Microsoft Cloud Services. Layanan perlindungan awan ini (juga dikenal sebagai Microsoft Advanced Protection Service (MAPS)) meningkatkan standar perlindungan real time dan dapat digambarkan sebagai menyediakan pertahanan antivirus terbaik. Perlindungan awan sangat penting untuk mencegah pelanggaran perangkat lunak ganas dan merupakan komponen utama dari aturan pengurangan wajah penyerangan.Aktifkan perlindungan awan dalam Antivirus Microsoft DefenderAku tidak tahu.
Komponen antivirus Microsoft Defener harus versi saat ini dari aturan pengurangan wajah.
Versi berikut dari komponen antivirus Microsoft Defender seharusnya tidak melebihi dua versi sebelum versi yang tersedia:
- Diperbarui Microsoft Defender anti- virus platform- The Microsoft Defender anti- virus platform diperbarui bulanan.
- Microsoft Defender versi mesin antivirus- Microsoft Defender mesin antivirus diperbarui bulanan.
- Microsoft Defender Anti- Virus Intelijen Keamanan- Microsoft terus update Microsoft Defender Security Intelligence (juga dikenal sebagai definisi dan tanda tangan) untuk mengatasi ancaman dan optimasi logika deteksi.
Menjaga versi Microsoft Defender anti- virus sampai saat ini akan membantu untuk mengurangi jumlah serangan-wajah-berkurang kesalahan dan meningkatkan fungsi pendeteksi Microsoft Defender anti- virus. Informasi lebih lanjut tentang versi saat ini dan bagaimana memperbarui komponen antivirus Microsoft Defender yang berbeda tersedia.Dukungan platform Microsoft Defender anti- virusAku tidak tahu.
Peringatan
Beberapa aturan tidak akan berhasil jika aplikasi dan skrip yang belum ditandatangani dan dikembangkan secara internal digunakan lebih sering. Jika kode tanda tangan tidak dipaksakan, akan lebih sulit untuk menyebarkan aturan pengurangan wajah.