Panoramica dell'implementazione delle regole di riduzione dell'impatto

Il volto dell'attacco è tutte le posizioni in cui l'organizzazione è vulnerabile alle minacce informatiche e agli attacchi. Ridurre il volto dell'attacco significa proteggere le attrezzature e le reti dell'organizzazione, in modo che gli attaccanti attaccano meno. Potrebbe essere utile configurare Microsoft Defender per le regole di riduzione del viso offensive Endpoint.

Le regole di riduzione faccia a faccia mirano a determinati comportamenti software, come ad esempio:

• File eseguibili e script per iniziare a cercare di scaricare o eseguire file
• Eseguire script vagamente elaborati o altri script sospetti
• Nel normale lavoro quotidiano, applicare il comportamento che normalmente non accade

Riducendo il numero di diversi attacchi, può aiutare a prevenirli prima.

Questo assemblaggio di distribuzione fornisce informazioni sulle seguenti regole di riduzione del terreno:

• Requisiti delle regole di riduzione faccia a faccia
• Piano di distribuzione della regola di riduzione dell'impatto
• Testare la regola di riduzione della superficie.
• Configurare e attivare le regole di riduzione del viso di attacco
• La migliore pratica della regola di riduzione della faccia d'assalto
• Stiamo cercando una ricerca carente di codice.
• Visualizzatore di eventi di riduzione del volto di impatto

Come con qualsiasi nuova implementazione su larga scala che possa influenzare il funzionamento della linea di operazioni, pianificazione e implementazione deve essere ordinato. Le regole di riduzione dell'impatto devono essere accuratamente pianificate e implementate per garantire che siano più adatte ai flussi di lavoro client unici. Lavorare nel vostro ambiente richiede un'attenta pianificazione, test, attuazione e applicazione delle regole di riduzione dell'impatto.

Si raccomanda di abilitare i tre seguentiNorme di protezione standardNon lo so. Circa due tipiRegola di riduzione del viso.Per dettagli importanti, si prega di fare riferimento alle regole di riduzione dell'impatto per tipo.

• Smettere di rubare le prove dai sottosistemi di sicurezza locali di Windows (lsass.exe)
• Prevenire l'abuso di driver firmati vulnerabili
• Stop Persistenza in abbonamento agli eventi (WMI)

Di regola, le regole di protezione standard possono essere attivate, con un impatto minimo sugli utenti finali e nessun impatto visibile. Per un semplice approccio all'uso delle norme di protezione standard, vedereOpzioni di protezione standard semplificateNon lo so.

Durante la preparazione iniziale, è essenziale capire la funzionalità del sistema in atto. La conoscenza di queste funzioni aiuta a determinare quali regole di mitigazione offensiva sono più importanti per la protezione dell'organizzazione. Inoltre, devono essere soddisfatte alcune condizioni preliminari in preparazione di una riduzione del livello di distribuzione.

Prima di iniziare, si prega di controllare.Panoramica della riduzione dell'attaccoeDecrypt Spectrum Reduction – Parte 1, ottenere informazioni di base. Per informazioni sulla copertura e le potenziali aree di impatto, si prega di familiarizzare con l'attuale Spectacular Mitigation Rulebook:Regola di riduzione del suoloNon lo so. Quando si conosce la regola di riduzione della superficie impostata, annotare ogni regola mappa GUID; vedereRegola di riduzione del viso di attacco matrice GUIDNon lo so.

Una regola di riduzione del volto di attacco è solo una funzione della funzione di riduzione del volto di impatto all'interno di Microsoft Defender per Endpoint. Questo documento fornisce informazioni più dettagliate sull'effettiva implementazione delle regole di mitigazione del volto di attacco per scoraggiare le minacce di alto livello, come il software di estorsione artificiale e altre minacce.

La tabella seguente mostra le regole di riduzione dell'impatto per categoria:

(1 membro)Prevenire l'uso improprio del driver firmatoOra.“ Sicurezza endpoint>Stiamo perdendo la faccia.E' qui sotto.

(2) Alcune regole di riduzione della superficie possono causare notevoli interruzioni, ma non impediscono la funzionalità. Ad esempio, se si desidera aggiornare Chrome, Chrome accederàNon lo so.; password memorizzate su dispositiviNon lo so.Medio. Ma...Non lo so.Visita le attrezzature locali. Se le regole sono abilitate per fermare a destraAccesso alla sassaCi sono molti incidenti. Questi eventi sono buoni, in quanto il processo di aggiornamento software non dovrebbe avere accesso a lass.exe. Utilizzare questa regola per prevenire gli aggiornamenti di ChromeNon lo so., ma non impedisce Chrome di aggiornare. Si'.Non lo so.Lo stesso vale per altre applicazioni che hanno fatto chiamate inutili.Bloccare l'accesso alle regole del lsassSi fermera'.Non lo so., ma non impedisce l'esecuzione dell'applicazione.

Anche se ci sono diversi metodi che possono essere utilizzati per raggiungere la regola di riduzione dell'impatto, la Guida si basa sul principio che:

• Microsoft Entra ID
• Microsoft Intune
• Windows 10 e Windows 11 dispositivi
• Microsoft Defense per la licenza Endpoint E5 o Windows E5

Al fine di utilizzare pienamente le regole di riduzione dell'impatto e le relazioni, si consiglia l'uso di licenze Microsoft Defender XDR E5 o Windows E5 e A5. Per ulteriori informazioni, vedereMicrosoft Defender per EndpointNon lo so.

Microsoft Defender ' s anti-virus deve essere attivato e configurato come la soluzione principale anti-virus e deve essere nella seguente modalità:

• Principali soluzioni software anti-virus/anti-malaria
• Stato: Modalità attività

Microsoft Defender non dovrebbe essere in uno dei seguenti modelli:

• Passivo
• Modalità passiva con rilevamento e risposta del terminale (EDR in modalità blocco)
• Scansione periodica limitata (LPS)
• Chiudi

Informazioni dettagliateVedere la protezione da nuvole e Microsoft Defender contro il virus.Non lo so.

Microsoft Defender può funzionare senza soluzione di continuità con Microsoft Cloud Services. Questi servizi di protezione cloud (conosciuto anche come Microsoft Advanced Protection Service (MAPS)) migliorano la protezione in tempo reale standard e possono essere descritti come fornire la migliore difesa anti-virus. La protezione del cloud è essenziale per prevenire le violazioni del software maligno ed è un componente chiave della regola di riduzione del volto di assalto.Abilitare la protezione cloud in Microsoft Defender antivirusNon lo so.

La seguente versione del componente anti-virus di Microsoft Defender non deve superare due versioni prima della versione attuale disponibile:

• Piattaforma antivirus Microsoft Defender aggiornata– La piattaforma anti-virus Microsoft Defender viene aggiornata mensilmente.
• Microsoft Defender antivirus versione del motore– Microsoft Defender anti-virus motore è aggiornato mensile.
• Microsoft Defender Anti-Virus Security Intelligence– Microsoft aggiorna continuamente Microsoft Defender Security Intelligence (noto anche come definizioni e firme) per affrontare le minacce più recenti e ottimizzare la logica di rilevamento.

Mantenere la versione anti-virus di Microsoft Defender fino ad oggi aiuterebbe a ridurre il numero di errori redotti dalla faccia di attacco e migliorare la funzione di rilevamento anti-virus di Microsoft Defender. Sono disponibili ulteriori informazioni sulla versione corrente e su come aggiornare i diversi componenti antivirus Microsoft Defender.Supporto della piattaforma antivirus Microsoft DefenderNon lo so.

Alcune regole non funzioneranno se le applicazioni e gli script non firmati vengono utilizzati più frequentemente. Se le firme di codice non sono applicate, sarà più difficile distribuire una regola di riduzione del volto.

Testare la regola di riduzione della superficie.

Attivare la riduzione del viso.

La regola della riduzione del viso.

Regola di riduzione del suolo