Przegląd wdrożenia zasady redukcji wpływu
Twarzą do ataku są wszystkie miejsca, gdzie organizacja jest podatna na cyberzagrożenia i ataki. Ograniczenie twarzy ataku oznacza ochronę sprzętu i sieci organizacji, tak aby atakujący atakują mniej. Może być pomocne skonfigurowanie Microsoft Defender dla Ofensywy Endpoint zasad redukcji twarzy.
Reguły redukcji twarzy skierowane są do pewnych zachowań oprogramowania, takich jak:
- Wykonywalne pliki i skrypty, aby rozpocząć próby pobierania lub uruchamiania plików
- Uruchom nieznacznie przetworzone skrypty lub inne podejrzane skrypty
- W normalnej pracy dzień do dnia, stosować zachowanie, które normalnie nie zdarza się
Poprzez zmniejszenie liczby różnych ataków może to pomóc w zapobieganiu im w pierwszej kolejności.
Ten zespół rozmieszczenia dostarcza informacji na temat następujących podstawowych zasad redukcji emisji:
- Wymogi dotyczące zasady redukcji twarzy
- Plan wdrożenia zasady ograniczenia wpływu
- Sprawdź zasadę redukcji powierzchni.
- Konfiguracja i aktywacja zasad redukcji ataków
- Najlepsza praktyka zasady ograniczenia napaść twarzy
- Szukamy niekompletnego przeszukania.
- Przeglądarka zdarzeń redukcji powierzchni uderzenia
Etapy wdrażania przepisów dotyczących redukcji kuli
Podobnie jak w przypadku wszelkich nowych wdrożeń na dużą skalę, które mogą mieć wpływ na działanie linii operacyjnej, planowanie i wdrażanie musi być uporządkowane. Należy starannie zaplanować i wdrożyć przepisy dotyczące redukcji wpływu, aby zapewnić ich optymalne dostosowanie do unikalnych przepływów pracy klientów. Praca w Twoim środowisku wymaga starannego planowania, testowania, wdrażania i egzekwowania zasad ograniczania wpływu.
Krytyczna opieka wstępna
Zaleca się włączenie następujących trzechStandardowe zasady ochronyNie wiem. O dwóch typachZasada redukcji twarzy.W celu uzyskania ważnych informacji należy odnieść się do zasad redukcji wpływu w zależności od rodzaju.
- Przestań kraść dowody z lokalnych podsystemów bezpieczeństwa systemu Windows (lsass.exe)
- Zapobieganie niewłaściwemu wykorzystywaniu podpisanych kierowców
- Zatrzymaj trwałość poprzez subskrypcję wydarzeń (WMI)
Z zasady można uruchomić standardowe zasady ochrony, przy minimalnym wpływie na użytkowników końcowych i bez widocznego wpływu. Proste podejście do stosowania standardowych zasad ochrony - zob.Uproszczone standardowe warianty ochronyNie wiem.
Uwagi
Dla klientów, którzy używają nie-MSC HIPS i przekształcają go na Microsoft Defender for Endpoint zasad redukcji ataków, Microsoft zaleca, aby rozwiązanie HIPS było stosowane z zasadami redukcji wpływu przed przejściem z trybu audytu do zatrzymania trybu. Należy pamiętać, że w celu uzyskania zaleceń dotyczących wykluczenia należy skontaktować się z dostawcami niebędącymi MSV.
Przed badaniem lub aktywacją zasady redukcji powierzchni
Podczas wstępnego przygotowania niezbędne jest zrozumienie funkcjonalności istniejącego systemu. Znajomość tych funkcji pomaga określić, które ofensywne przepisy łagodzące są najważniejsze dla ochrony organizacji. Ponadto należy spełnić szereg warunków wstępnych w ramach przygotowań do zmniejszenia poziomu rozmieszczenia.
Ważne
Niniejszy przewodnik zawiera obrazy i przykłady, które mogą pomóc Ci zdecydować, w jaki sposób skonfigurować zasady redukcji uderzenia; Te obrazy i przykłady mogą nie odzwierciedlać najlepszych opcji konfiguracji środowiska.
Przed rozpoczęciem, proszę sprawdzić.Przegląd ograniczenia atakuorazRedukcja widma odszyfrowanego - część 1, uzyskać podstawowe informacje. W celu uzyskania informacji na temat zasięgu i potencjalnych obszarów oddziaływania należy zapoznać się z aktualnym Spectacular Litigation Rulebook:Odniesienie do zasady redukcji gruntuNie wiem. Zapoznawszy się z ustawioną regułą redukcji powierzchni, zapisz każdą regułę GUID; patrzGUID Matrix Attack Zasada redukcji twarzyNie wiem.
Reguła redukcji twarzy ataku jest tylko jedną funkcją funkcji redukcji twarzy uderzenia w Microsoft Defender for Endpoint. Niniejszy dokument zawiera bardziej szczegółowe informacje na temat skutecznego wdrażania przepisów dotyczących przeciwdziałania atakom w celu zapobiegania zagrożeniom na wysokim szczeblu, takim jak oprogramowanie wymuszenia wykonane przez człowieka i inne zagrożenia.
Lista przepisów dotyczących ograniczenia ataku z podziałem na kategorie
Poniższa tabela przedstawia zasady ograniczania wpływu w podziale na kategorie:
| Wielokrotne zagrożenie | Ruch poziomy i awaria | Zasady stosowania produktywności | Zasady e-mail | Zasady skryptu | Przepisy różne |
|---|---|---|---|---|---|
| Przestać uruchamiać pliki wykonywalne, chyba że spełniają 1.000 komputerów () lub wiek lub zaufanych warunków listy | Zapobieganie tworzeniu procesu z poleceń PSExec i WMI | Stop Aplikacja biurowa do tworzenia wykonywalnych | Wyłącz z klienta e-mail i Webmail | Przetwarzanie bloku rozmytego JS / VBS / PS / kod makro | Zapobiega nadużyciom w wykorzystywaniu napędów o słabej pozycji [1] |
| Zatrzymaj niezaufane i niepodpisane procesy uruchamiane z USB | Przestań kraść dokumenty z lokalnych podsystemów bezpieczeństwa systemu Windows (lsass.exe)2] | Zatrzymaj aplikację Office Utwórz podprocesy | Tylko zapobiec tworzeniu aplikacji komunikacyjnej Office sub- process | Zawartość wykonywalna, która zapobiega pobieraniu plików JS / VBS | |
| Zaawansowana ochrona przed oprogramowaniem do wymuszeń | Zatrzymanie trwałości przez organizację WMI | Stop Aplikacja biurowa do wprowadzania kodu do innych procesów | Stop Office Communication Application Creation Subprocess | ||
| Zatrzymaj proces tworzenia programu Adobe Reader |
(1 członek)Zapobieganie nadużyciom maszynisty poddanego atakowiTeraz."Zabezpieczenie punktu końcowego>Tracimy twarz.Jest pod spodem.
(2) Niektóre przepisy dotyczące redukcji powierzchni mogą powodować znaczne zakłócenia, ale nie uniemożliwiają funkcjonalności. Na przykład, jeśli chcesz zaktualizować Chrome, Chrome będzie dostępNie wiem.; hasła przechowywane na urządzeniachNie wiem.Średnio. Ale...Nie wiem.Odwiedź lokalny sprzęt. Jeśli zasady są włączone, aby zatrzymać się w prawoDostęp do lsassJest wiele incydentów. Wydarzenia te są dobre, ponieważ proces aktualizacji oprogramowania nie powinien mieć dostępu do lass.exe. Użyj tej zasady, aby zapobiec aktualizacjom ChromeNie wiem., ale nie uniemożliwia Chrome aktualizacji. Tak.Nie wiem.To samo dotyczy innych aplikacji, które wykonały niepotrzebne połączenia.Zablokowany dostęp do przepisów dotyczących pomocy państwaTo się skończy.Nie wiem., ale nie uniemożliwia biegu aplikacji.
Zmniejszenie wymogów infrastrukturalnych w obliczu ataku
Chociaż istnieje szereg metod, które mogą być wykorzystane do osiągnięcia zasady redukcji wpływu, Przewodnik opiera się na zasadzie, że:
- Microsoft Entra ID
- Microsoft Intune
- Urządzenia Windows 10 i Windows 11
- Microsoft Defense for Endpoint E5 lub licencja Windows E5
Aby w pełni wykorzystać zasady i raporty dotyczące redukcji wpływu, zalecamy korzystanie z licencji Microsoft Defender XDR E5 lub Windows E5 i A5. Więcej informacji na ten temat:Microsoft Defender for EndpointNie wiem.
Uwagi
Istnieje wiele sposobów konfigurowania zasad redukcji ataków. Zasady redukcji twarzy ataku można skonfigurować w następujący sposób: Microsoft Intune, PowerShell, Group Strategy, Microsoft Construction Manager (ConfigMgr) Intune OMA- URI. Jeżeli zastosowana konfiguracja infrastruktury różni się od konfiguracji infrastrukturyWniosekWymieniona tutaj konfiguracja daje nam szczegółowy pomysł jak przeprowadzić atak przy użyciu innych konfiguracji.Przepisy dotyczące redukcji twarzy: stosowanie ofensywnych przepisów dotyczących redukcji twarzyNie wiem.
Od tego zależy zasada Declining Face.
Antywirus Microsoft Defender musi być aktywowany i skonfigurowany jako główne rozwiązanie antywirusa i musi być w następującym trybie:
- Główne rozwiązania antywirusowe / antymalaryczne
- Status: tryb aktywności
Microsoft Defender nie powinien być w żadnym z następujących wzorów:
- Pasywny
- Tryb pasywny z wykrywaniem i odpowiedzią terminala (EDR w trybie blokowym)
- Ograniczone skanowanie okresowe (LPS)
- Zamknij
Szczegółowe informacjeZobacz ochronę przed chmurami i Microsoft Defender przed wirusem.Nie wiem.
Ochrona przed chmurą (MAPS) musi zostać aktywowana w celu umożliwienia zmniejszenia uderzenia.
Microsoft Defender może bezproblemowo współpracować z Microsoft Cloud Services. Te usługi ochrony w chmurze (znane również jako Microsoft Advanced Protection Service (MAPS)) zwiększają standardową ochronę w czasie rzeczywistym i mogą być opisane jako zapewnienie najlepszej ochrony przed wirusami. Ochrona przed chmurami ma zasadnicze znaczenie dla zapobiegania łamaniu oprogramowania złośliwego i jest kluczowym elementem zasady ograniczania natarcia.Włącz ochronę chmur w programie antywirusowym Microsoft DefenderNie wiem.
Komponenty antywirusowe Microsoft Defender muszą być bieżącą wersją zasady redukcji uderzenia twarzy.
Poniższa wersja komponentu Microsoft Defender 's anti- virus nie powinna przekraczać dwóch wersji przed aktualną dostępną wersją:
- Aktualizacja platformy Microsoft Defender przeciwko wirusowi- Platforma Microsoft Defender jest aktualizowana co miesiąc.
- Microsoft Defender wersja antywirusowa silnika- Microsoft Defender Anti-virus jest aktualizowany co miesiąc.
- Microsoft Defender Anti- Virus Security Intelligence- Microsoft stale aktualizuje Microsoft Defender Security Intelligence (znane również jako definicje i podpisy), aby zająć się najnowszymi zagrożeniami i zoptymalizować logikę wykrywania.
Utrzymanie aktualnej wersji programu Microsoft Defender przeciwko wirusowi przyczyniłoby się do zmniejszenia liczby błędów związanych z atakiem oraz do poprawy funkcji wykrywania antywirusów przez Microsoft Defender. Więcej informacji na temat aktualnej wersji i jak zaktualizować różne komponenty antywirusowe Microsoft Defender jest dostępna.Wsparcie platformy Microsoft DefenderNie wiem.
Ostrzeżenie
Niektóre zasady nie będą działać, jeśli programy i skrypty będą częściej używane. Jeżeli podpisy kodowe nie zostaną wprowadzone w życie, trudniej będzie wprowadzić zasadę redukcji twarzy.