Overzicht van de inzet van de impactreductieregel
Het gezicht van de aanval is alle locaties waar de organisatie kwetsbaar is voor cyber-dreigingen en aanvallen. Het verminderen van het gezicht van de aanval betekent bescherming van de apparatuur en netwerken van de organisatie, zodat de aanvallers minder aanvallen. Het kan nuttig zijn om Microsoft Defender voor Endpoint offensief gezicht reductie regels configureren.
De face-to-face reductieregels zijn gericht op bepaalde softwaregedragen, zoals:
- Uitvoerbare bestanden en scripts om te beginnen proberen om bestanden te downloaden of uit te voeren
- Voer vaag verwerkte scripts of andere verdachte scripts
- In normaal dag-tot-dag werk, toepassing gedrag dat normaal niet gebeurt
Door het aantal verschillende aanvallen te verminderen, kan het helpen om ze eerst te voorkomen.
Deze implementatieassemblage geeft informatie over de volgende grondreductieregels:
- Vereisten voor directe reductie
- Plan voor de invoering van impactreductieregel
- Test de oppervlaktereductieregel.
- Reductieregels voor aanvalsgezicht instellen en activeren
- Best practice of the attack face reduction rule
- We zoeken naar een code-deficiënte zoektocht.
- Impact Face Reduction Event Viewer
Bolreductieregelinzetstappen
Zoals bij elke nieuwe grootschalige uitvoering die van invloed kan zijn op de werking van de lijn van concrete acties, moet de planning en uitvoering ordelijk zijn. De impactreductieregels moeten zorgvuldig worden gepland en ingezet om ervoor te zorgen dat zij het best geschikt zijn voor unieke client-workflows. Werken in uw omgeving vereist zorgvuldige planning, testen, implementatie en handhaving van impactreductieregels.
Kritieke zorg vóór de inzet
Het wordt aanbevolen om de volgende drieStandaardbeschermingsregelsIk weet het niet. Ongeveer twee soortenGezichtsreductie regel.Voor belangrijke details verwijzen wij u naar de regels voor effectvermindering per type.
- Stop met het stelen van bewijs van Windows lokale beveiligingssubsystemen (lsass.exe)
- Voorkomen van misbruik van kwetsbare ondertekende bestuurders
- Stop Persistence door een abonnement op evenementen (WMI)
In de regel kunnen standaardbeschermingsregels worden geactiveerd, met minimale impact op eindgebruikers en geen zichtbare impact. Voor een eenvoudige benadering van het gebruik van standaardbeschermingsregels, zieVereenvoudigde standaardbeschermingsoptiesIk weet het niet.
Toelichting
Voor klanten die niet-MSC HIPS gebruiken en deze omzetten naar Microsoft Defender for Endpoint attack reduction rules, adviseert Microsoft om de HIPS-oplossing in te zetten met de impactreductieregels voordat van auditmodus naar stopmodus wordt overgeschakeld. Vergeet niet dat niet-MSV-aanbieders moeten worden gecontacteerd om uitsluitingsaanbevelingen te krijgen.
Vóór het testen of activeren van de oppervlaktereductieregel
Tijdens de eerste voorbereiding is het essentieel om de functionaliteit van het systeem te begrijpen. Kennis van deze functies helpt om te bepalen welke offensieve mitigatieregels het belangrijkst zijn voor de bescherming van de organisatie. Daarnaast moet aan een aantal voorwaarden worden voldaan ter voorbereiding van een vermindering van de inzet.
Belangrijk
Deze gids biedt afbeeldingen en voorbeelden die u kunnen helpen om te beslissen hoe u de impact face reductie regels te configureren; Deze afbeeldingen en voorbeelden geven mogelijk niet de beste configuratieopties voor de omgeving weer.
Voordat u begint, kijk even.Overzicht van vermindering van de aanvalenDecoderen Spectrum Reductie Deel 1Zoek basisinformatie. Voor informatie over dekking en mogelijke impactgebieden, kunt u zich vertrouwd maken met de huidige Spectacular Mitigation Rulebook:Referentie grondreductieregelIk weet het niet. Schrijf, indien bekend met de ingestelde oppervlaktereductieregel, elke regel GUID-kaart op; zieGUID Matrix Aanval Gezichtsvermindering RegelIk weet het niet.
Een aanval gezicht reductie regel is slechts één functie van de impact gezicht reductie functie binnen Microsoft Defender voor Endpoint. Dit document biedt meer gedetailleerde informatie over de effectieve invoering van regels voor het beperken van aanvallen om dreigingen op hoog niveau af te schrikken, zoals door de mens veroorzaakte afpersingssoftware en andere bedreigingen.
Lijst van regels voor de vermindering van het aanvalsgezicht per categorie
De volgende tabel geeft een overzicht van de regels voor effectvermindering per categorie:
| Meerdere dreiging | Horizontale verplaatsing & bewijsfout | Voorschriften voor de toepassing van productiviteit | E-mailregels | Scriptregels | Diverse regels |
|---|---|---|---|---|---|
| Stop met het uitvoeren van uitvoerbare bestanden tenzij ze voldoen aan 1000 computers () of leeftijd of vertrouwde lijst voorwaarden | Procescreatie voorkomen van PSExec- en WMI-commando's | Stoppen Kantoortoepassing om uitvoerbaar bestand aan te maken | Uitschakelen van e-mailclient en Webmail | Block Fuzzy Processing JS/VBS/PS/ Macro Code | Voorkomt misbruik van kwetsbare ondertekende aandrijvingen die worden geëxploiteerd [1] |
| Niet-vertrouwde en niet-gesigneerde processen van USB stoppen | Stop met het stelen van documenten van de lokale beveiligingssubsystemen van Windows (lsass.exe)2] | Kantoortoepassing stoppen Subprocessen aanmaken | Alleen voorkomen dat het subproces voor het creëren van communicatieapplicaties van het Bureau | Uitvoerbare inhoud die voorkomt dat JS/VBS downloads start | |
| Geavanceerde bescherming tegen afpersingssoftware | Stop Persistentie door WMI-organisatie | Stoppen Toepassing van het kantoor om code in andere processen te injecteren | Subproces voor het aanmaken van toepassingen stoppen met Office Communication | ||
| Het aanmaken van Adobe Reader-subproces stoppen |
(1 lid)Voorkomen van misbruik van aanval-gevoelig ondertekend bestuurderNu.Endpoint beveiliging>We verliezen gezicht.Het wordt hieronder geleverd.
(2) Sommige oppervlaktereductieregels kunnen aanzienlijke verstoringen veroorzaken, maar verhinderen de functionaliteit niet. Als je bijvoorbeeld Chrome wilt bijwerken, zal Chrome toegang krijgen totIk weet het niet.; wachtwoorden opgeslagen op apparatenIk weet het niet.Medium. Maar...Ik weet het niet.Bezoek lokale apparatuur. Als de regels zijn ingeschakeld om rechts te stoppenToegang tot lassassEr zijn veel incidenten. Deze gebeurtenissen zijn een goede, omdat de software-update proces zou geen toegang tot lass.exe. Gebruik deze regel om Chrome-updates te voorkomenIk weet het niet., maar voorkomt niet dat Chrome updaten. Ja.Ik weet het niet.Hetzelfde geldt voor andere toepassingen die onnodige oproepen hebben gedaan.Blokkeren van de toegang tot liss regelsHet houdt wel op.Ik weet het niet., maar belet niet dat de toepassing draait.
Vermindering van de infrastructuurbehoeften in geval van een aanval
Hoewel er een aantal methoden zijn die kunnen worden gebruikt om de impactreductieregel te bereiken, is de gids gebaseerd op het beginsel dat:
- Microsoft Entra ID
- Microsoft Intune
- Windows 10 en Windows 11 apparaten
- Microsoft Defense voor Endpoint E5 of Windows E5 licentie
Om optimaal gebruik te kunnen maken van impactreductieregels en -rapporten, raden wij het gebruik aan van Microsoft Defender XDR E5 of Windows E5-licenties en A5. Voor meer informatie, zieMicrosoft Defender voor EndpointIk weet het niet.
Toelichting
Er zijn een aantal manieren waarop de aanval face reductie regels kunnen worden geconfigureerd. De aanval face reductie regels kunnen worden geconfigureerd op de volgende manieren: Microsoft Intune, PowerShell, Group Strategy, Microsoft Construction Manager (ConfigMgr) Intuine OMA-URI. Indien de gebruikte infrastructuurconfiguratie verschilt van de infrastructuurVerzoekDe hier vermelde configuratie geeft ons een gedetailleerd idee hoe we de aanval met andere configuraties kunnen inzetten.Face reduction regels: gebruik van offensieve face reduction regelsIk weet het niet.
De Declining Face regel hangt ervan af.
Microsoft Defender ' s anti-virus moet worden geactiveerd en geconfigureerd als de belangrijkste anti-virus oplossing en moet in de volgende modus:
- Belangrijkste antivirus-/antimalariasoftwareoplossingen
- Status: Activiteitenmodus
Microsoft Defender mag niet in een van de volgende patronen:
- Passief
- Passieve modus met terminaldetectie en -respons (EDR in blokmodus)
- Beperkt periodiek scannen (LPS)
- Sluiten
Gedetailleerde informatieZie de bescherming tegen wolken en Microsoft Defender tegen het virus.Ik weet het niet.
De cloudbeveiliging (MAPS) moet worden geactiveerd om impactreductie mogelijk te maken.
Microsoft Defender kan naadloos werken met Microsoft Cloud Services. Deze cloudbeschermingsdiensten (ook bekend als de Microsoft Advanced Protection Service (MAPS)) verbeteren standaard real-time bescherming en kunnen worden beschreven als het leveren van de beste anti-virus verdediging. Cloud bescherming is essentieel om kwaadaardige software schendingen te voorkomen en is een belangrijk onderdeel van de aanval gezicht reductie regel.Cloudbescherming inschakelen in Microsoft Defender antivirusIk weet het niet.
Microsoft Defender antivirus componenten moet de huidige versie van de impact gezicht reductie regel.
De volgende versie van Microsoft Defender ' s anti-virus component mag niet hoger zijn dan twee versies voor de huidige beschikbare versie:
- Bijgewerkt Microsoft Defender anti-virus platformHet Microsoft Defender anti-virus platform wordt maandelijks bijgewerkt.
- Microsoft Defender antivirus engine versieMicrosoft Defender anti-virus engine wordt maandelijks bijgewerkt.
- Microsoft Defender Anti-Virus Security IntelligenceMicrosoft update voortdurend Microsoft Defender Security Intelligence (ook bekend als definities en handtekeningen) om de nieuwste bedreigingen aan te pakken en detectielogica te optimaliseren.
Het houden van Microsoft Defender ' s anti-virus versie up to date zou helpen om het aantal aanval-gezicht verminderd fouten te verminderen en het verbeteren van Microsoft Defender ' s anti-virus detectie functie. Meer informatie over de huidige versie en hoe u de verschillende Microsoft Defender antivirus componenten kunt bijwerken is beschikbaar.Microsoft Defender anti-virus platform ondersteuningIk weet het niet.
Waarschuwing
Sommige regels zullen niet werken als niet ondertekende, intern ontwikkelde toepassingen en scripts vaker worden gebruikt. Als de handtekening van de code niet wordt afgedwongen, zal het moeilijker zijn om een gezichtsreductieregel in te voeren.
Andere artikelen in deze installatie
Test de oppervlaktereductieregel.
Activeer gezichtsvermindering.