Oversikt over impact-reduksjonsreglene
Ansiktet til angrepet er alle steder der organisasjonen er sårbar for cyber-threats og angrep. Redusere ansiktet til angrepet betyr å beskytte utstyr og nettverk av organisasjonen, slik at angriperne angriper mindre. Det kan være nyttig å konfigurere Microsoft Defender for støtende regler for ansiktsreduksjon.
Regler for å redusere ansikt til ansikt målretter seg mot visse programvareadferder, som for eksempel:
- Køyrbare filer og skript for å begynne å prøve å laste ned eller kjøre filer
- Kjør vage prosesserte skript eller andre mistenkelige skript
- I normalt daglig arbeid, bruk atferd som vanligvis ikke skjer
Ved å redusere antall forskjellige angrep, kan det bidra til å hindre dem først.
Denne utplasseringsenheten gir informasjon om følgende regler for jordreduksjon:
- Krav til reduksjon fra ansikt til ansikt
- Plan for utplassering av nedslagsreglene
- Test overflatereduksjonsregelen.
- Konfigurere og aktivere angrepsangrepsregulasjonsregler
- Beste praksis i angrepet ansiktsreduksjon regel
- Vi leter etter et kodeforsvarlig søk.
- Impact Face Reduction Event Viewer
Skulen reduksjon regel implementering trinn
Som med enhver ny storskala implementering som kan påvirke driften av driftslinjen, planleggingen og gjennomføringen skal være ordnet. Konsekvensreduksjonsreglene må være nøye planlagt og implementert for å sikre at de passer best til unike klientarbeidsflyter. Arbeid i miljøet krever nøye planlegging, testing, implementering og håndheving av regler for reduksjon av virkningen.
Kritisk predistribusjonshjelp
Det anbefales at følgende tre aktiveresStandard beskyttelsesreglerJeg vet ikke. Om to typerAnsiktsreduksjonsregel.For viktige detaljer, vennligst se innslagsreduksjonsreglene etter type.
- Stopp å stjele bevis fra Windows lokale sikkerhetsdelsystemer (lass.exe)
- Forhindre misbruk av sårbare signerte sjåfører
- Stopp varighet ved abonnement på hendelser (WMI)
Som regel kan standard beskyttelsesregler aktiveres, med minimal innvirkning på sluttbrukere og ingen synlig effekt. For en enkel tilnærming til bruk av standard beskyttelsesregler, seForenklede standardbeskyttelsesalternativerJeg vet ikke.
Kommentarer
For kunder som bruker ikke-MSC HIPS og konverterer det til Microsoft Defender for å redusere angrepsregler, anbefaler Microsoft at HIPS-løsningen blir implementert med reglene for nedslagsreduksjon før du bytter fra revisjonsmodus til stoppmodus. Husk at ikke-MSV-leverandører må kontaktes for å få ekskluderingsanbefalinger.
Før testing eller aktivering av overflatereduksjonsregelen
Under første forberedelse er det viktig å forstå funksjonaliteten til systemet på plass. Kunnskap om disse funksjonene bidrar til å bestemme hvilke offensive regler som er viktigst for å beskytte organisasjonen. I tillegg må det oppfylles en rekke forutsetninger i forberedelsen for en reduksjon i nivået for utplassering.
Viktig
Denne guiden gir bilder og eksempler som kan hjelpe deg å bestemme hvordan du konfigurerer reduksjonsreglene; Disse bildene og eksemplene kan ikke gjenspeile de beste konfigurasjonsalternativene for miljøet.
Før du starter, vennligst sjekk.Oversikt over reduksjon av angrepogDekryptering Spektrum Reduksjon – Del 1Få grunnleggende informasjon. For informasjon om dekning og potensielle innvirkningsområder, vennligst benytt deg av den nåværende Spectacular Mitigation regelboken:Grunnreduksjonsregelens referanseJeg vet ikke. Når du kjenner til regelen for overflatereduksjon, skriver du ned hver regel GID-kart; seGUID Matrix angrep ansiktsreduksjon regelJeg vet ikke.
En angrepsansiktsreduksjonsregel er bare én funksjon av slagflatereduksjonsfunksjonen i Microsoft Defender for sluttpunkt. Dette dokumentet gir mer detaljert informasjon om effektiv distribusjon av angrep ansiktsreduserende regler for å avskrekke høy nivå trusler, som menneskeskapt utpressing programvare og andre trusler.
Liste over angrep mot reduksjonsregler etter kategori
Følgende tabell viser regler for nedslagsreduksjon etter kategori:
| Flere trusler | horisontal bevegelse og bevisstandard | Produktivitetsregler | E-postregler | Skriptregler | Diverse regler |
|---|---|---|---|---|---|
| Slutt å kjøre kjørbare filer med mindre de oppfyller 1000 datamaskiner () eller alder eller pålitelige listeforhold | Forhindre prosessens opprettelse fra PSExec- og WMI-kommandoer | Stopp Kontorprogram for å opprette kjørbar | Deaktiver fra e-postklient og Webmail | Blokk Fuzzy prosessering JS/VBS/PS/ Macro Code | Forhindrer misbruk av sårbare signerte enheter som utnyttes [1] |
| Stopp upålitelige og upålitelige prosesser som kjører fra USB | Slutt å stjele dokumenter fra Windows’ lokale sikkerhetsdelsystem (lass.exe)2] | Stopp kontorapplikasjonen Opprett underprosesser | Bare hindre opprettelsen av underprosessen for opprettelse av kontorkommunikasjon | Rundt innhold som hindrer JS/VBS fra å starte nedlastinger | |
| Avansert beskyttelse mot utpressing programvare | Stopp utholdenhet av WMI organisasjon | Stopp Kontorsøknad for å injisere kode i andre prosesser | Stopp kontorkommunikasjon søknad opprettelse underprosess | ||
| Stopp underprosessen for opprettelse av Adobe Reader |
(1 medlem)Forhindre misbruk av angrep-prone signert driverNå.«Endepunktsikkerhet>Vi mister ansiktet.Den er gitt nedenfor.
(2) Noen regler for overflatereduksjon kan forårsake betydelig forstyrrelse, men ikke hindre funksjonalitet. Hvis du for eksempel vil oppdatere Chrome, vil Chrome få tilgang tilJeg vet ikke.; passord lagret på enheterJeg vet ikke.Medium. Men...Jeg vet ikke.Besøk lokalt utstyr. Hvis reglene er i stand til å stoppe høyreTilgang til lsassDet er mange hendelser. Disse hendelsene er en god en, som programvareoppdateringsprosessen bør ikke ha tilgang til lass.exe. Bruk denne regelen til å forhindre Chrome-oppdateringerJeg vet ikke., men hindrer ikke Chrome i å oppdatere. Ja.Jeg vet ikke.Det samme gjelder andre programmer som har gjort unødvendige samtaler.Blokker tilgang til lsass reglerDet vil slutte.Jeg vet ikke., men hindrer ikke søknaden i å kjøre.
Reduksjon av infrastrukturkrav i møte med angrep
Selv om det finnes en rekke metoder som kan brukes til å oppnå nedslagsreduksjonsregelen, er guiden basert på prinsippet som:
- Microsoft Entra ID
- Microsoft Intune
- Windows 10 og Windows 11 enheter
- Microsoft Defense for sluttpunkt E5 eller Windows E5-lisens
For å gjøre full bruk av innvirkningsreduksjonsregler og rapporter, anbefaler vi bruk av Microsoft Defender XDR E5 eller Windows E5 lisenser og A5. For mer informasjon, seMicrosoft Defender for sluttpunktJeg vet ikke.
Kommentarer
Det er en rekke måter å konfigurere regler for reduksjon av angrepet på. Regler for reduksjon av angrepsansikt kan konfigureres på følgende måter: Microsoft Intune, PowerShell, Group Strategy, Microsoft Construction Manager (ConfigMgr) Intune OMA-URI. Hvis infrastrukturkonfigurasjonen som brukes er forskjellig fra infrastrukturenForespørselKonfigurasjonen som er oppført her gir oss en detaljert ide om hvordan å distribuere angrepet ved hjelp av andre konfigurasjoner.Regler for reduksjon i ansiktet: bruk av offensive regler for ansiktsreduksjonJeg vet ikke.
Den nedleggende ansiktsregelen avhenger av det.
Microsoft Defenders anti-virus må aktiveres og konfigureres som den viktigste anti-virusløsningen og må være i følgende modus:
- Hovedløsninger for anti-virus/anti-malariale programvare
- Status: Aktivitetsmodus
Microsoft Defender bør ikke være i noen av følgende mønstre:
- Passiv
- Passiv modus med terminaldeteksjon og respons (EDR i blokkmodus)
- Begrenset periodisk skanning (LPS)
- Lukk
Detaljert informasjonSe beskyttelsen mot skyer og Microsoft Defender mot viruset.Jeg vet ikke.
Skybeskyttelse (MAPS) må aktiveres for å muliggjøre slagreduksjon.
Microsoft Defender kan fungere sømløst med Microsoft Cloud Services. Disse skybeskyttelsestjenestene (også kjent som Microsoft Advanced Protection Service (MAPS)) forbedrer standard beskyttelse i sanntid og kan beskrives som å gi det beste virusforsvaret. Skybeskyttelse er viktig for å forhindre brudd på malign programvare og er en sentral komponent i angrepets ansiktsreduksjonsregel.Aktiver skybeskyttelse i Microsoft Defender antivirusJeg vet ikke.
Microsoft Defenders antiviruskomponenter må være den aktuelle versjonen av reduksjonsregelen.
Følgende versjon av Microsoft Defenders antiviruskomponent bør ikke overstige to versjoner før den gjeldende tilgjengelige versjonen:
- Oppdatert Microsoft Defender-plattformMicrosoft Defenders antivirusplattform oppdateres månedlig.
- Microsoft Defenders versjon av antivirusmotorenMicrosoft Microsoft Defenders anti-virusmotor oppdateres månedlig.
- Microsoft Defender Anti-Virus Security IntelligenceMicrosoft oppdaterer Microsoft Defender Security Intelligence (også kjent som definisjoner og signaturer) for å håndtere de nyeste truslene og optimalisere deteksjonslogikken.
Å holde Microsoft Defender ' s anti-virus versjon oppdatert vil bidra til å redusere antall angrep-face-reduserte feil og forbedre Microsoft Defender ' s anti-virus deteksjonsfunksjon. Mer informasjon om gjeldende versjon og hvordan du oppdaterer de forskjellige Microsoft Defender-antiviruskomponentene er tilgjengelig.Microsoft Defender støtte for anti-virus plattformJeg vet ikke.
Advarsel
Noen regler vil ikke fungere hvis uopplyste, internt utviklede programmer og skript brukes oftere. Hvis kodesignaturer ikke håndheves, vil det være vanskeligere å distribuere en ansiktsreduksjonsregel.