Visão geral da implantação da regra de redução do impacto

A face do ataque são todos os locais onde a organização é vulnerável a ciberameaças e ataques. Reduzir a face do ataque significa proteger os equipamentos e as redes da organização, para que os atacantes ataquem menos. Pode ser útil configurar as regras de redução de face ofensiva do Microsoft Defender para Endpoint.

As regras de redução face a face visam certos comportamentos de software, tais como:

• Arquivos e scripts executáveis para começar a tentar baixar ou executar arquivos
• Executar scripts vagamente processados ou outros scripts suspeitos
• No trabalho normal do dia-a-dia, aplicar comportamento que normalmente não acontece

Ao reduzir o número de ataques diferentes, pode ajudar a evitá-los primeiro.

Esta assembleia de implantação fornece informações sobre as seguintes regras de redução do solo:

• Requisitos das regras de redução face a face
• Plano de implantação da regra de redução de impacto
• Teste a regra de redução da superfície.
• Configurar e ativar as regras de redução de faces de ataque
• Melhor prática da regra de redução do ataque face
• Estamos à procura de uma busca deficiente.
• Visualizador de eventos de redução de faces de impacto

Tal como acontece com qualquer nova implementação em grande escala que possa afectar o funcionamento da linha de operações, o planeamento e a execução devem ser ordenados. As regras de redução de impacto precisam ser cuidadosamente planejadas e implantadas para garantir que elas sejam mais adequadas para fluxos de trabalho de clientes únicos. Trabalhar em seu ambiente requer planejamento, testes, implementação e aplicação cuidadosas de regras de redução de impacto.

Recomenda-se que os três seguintes sejam activadosRegras de protecção normalizadasNão sei. Sobre dois tiposRegra de redução.Para detalhes importantes, consulte as regras de redução de impacto por tipo.

• Pare de roubar evidências de subsistemas de segurança locais do Windows (lsass.exe)
• Evitar o uso indevido de condutores vulneráveis assinados
• Parar a Persistência por assinatura de eventos (WMI)

Em regra, as regras de proteção padrão podem ser ativadas, com impacto mínimo nos usuários finais e sem impacto visível. Para uma abordagem simples do uso de regras de proteção padrão, verOpções de proteção padrão simplificadasNão sei.

Durante a preparação inicial, é essencial compreender a funcionalidade do sistema em vigor. O conhecimento dessas funções ajuda a determinar quais regras ofensivas de mitigação são mais importantes para a proteção da organização. Além disso, há que satisfazer uma série de condições prévias para a redução do nível de implantação.

Antes de começar, por favor verifique.Visão geral da redução do ataqueeRedução do espectro de descodificação – Parte 1, obter informações básicas. Para informações sobre coberturas e potenciais áreas de impacto, por favor, familiarize-se com o atual Manual Espetacular de Mitigação:Referência da regra de redução do soloNão sei. Quando familiarizado com a regra de redução de superfície definida, anote cada regra GUID map; vejaRegra de redução da face do ataque da matriz do GUIDNão sei.

Uma regra de redução de face de ataque é apenas uma função da função de redução de face de impacto dentro do Microsoft Defender para Endpoint. Este documento fornece informações mais detalhadas sobre a implantação eficaz de regras de mitigação face ao ataque para dissuadir ameaças de alto nível, como o software de extorsão feito pelo homem e outras ameaças.

O quadro seguinte apresenta as regras de redução de impacto por categoria:

(1 membro)Evitar o uso indevido do motorista propensa ao ataqueAgora.“Segurança de ponto final>Estamos a perder a cara.É fornecido abaixo.

(2) Algumas regras de redução de superfície podem causar ruptura considerável, mas não impedir a funcionalidade. Por exemplo, se você quiser atualizar o Chrome, o Chrome acessaráNão sei.; senhas armazenadas em dispositivosNão sei.Médio. Mas...Não sei.Visite o equipamento local. Se as regras estiverem habilitadas para parar corretamenteAcesso ao lsassHá muitos incidentes. Esses eventos são bons, pois o processo de atualização de software não deve ter acesso ao lass.exe. Use esta regra para evitar atualizações do ChromeNão sei., mas não impede a atualização do Chrome. Sim.Não sei.O mesmo se aplica a outras aplicações que fizeram chamadas desnecessárias.Bloquear o acesso às regras do lsassVai parar.Não sei., mas não impede que a aplicação seja executada.

Embora existam vários métodos que podem ser utilizados para alcançar a regra de redução de impacto, o Guia baseia-se no princípio de que:

• ID da Microsoft Entra
• Microsoft Intune
• Dispositivos Windows 10 e Windows 11
• Licença Microsoft Defense for Endpoint E5 ou Windows E5

Para fazer pleno uso de regras de redução de impacto e relatórios, recomendamos o uso de licenças Microsoft Defender XDR E5 ou Windows E5 e A5. Para mais informações, consultarMicrosoft Defender para EndpointNão sei.

O anti-vírus do Microsoft Defender deve ser ativado e configurado como a solução anti-vírus principal e deve estar no seguinte modo:

• Principais soluções de software anti-vírus/anti-malárico
• Estado: Modo de actividade

Microsoft Defender não deve estar em nenhum dos seguintes padrões:

• Passivo
• Modo passivo com detecção e resposta do terminal (EDR em modo bloco)
• Varredura periódica limitada (LPS)
• Fechar

Informação pormenorizadaVeja a proteção contra nuvens e Microsoft Defender contra o vírus.Não sei.

O Microsoft Defender pode trabalhar perfeitamente com o Microsoft Cloud Services. Esses serviços de proteção em nuvem (também conhecidos como Microsoft Advanced Protection Service (MAPS)) aumentam a proteção padrão em tempo real e podem ser descritos como fornecendo a melhor defesa anti-vírus. A proteção em nuvem é essencial para evitar violações de softwares malignos e é um componente fundamental da regra de redução de ataques face.Habilitar proteção em nuvem no antivírus Microsoft DefenderNão sei.

A seguinte versão do componente anti-vírus do Microsoft Defender não deve exceder duas versões antes da versão atual disponível:

• Plataforma anti-vírus Microsoft Defender atualizada– A plataforma anti-vírus Microsoft Defender é atualizada mensalmente.
• Microsoft Defender versão do motor antivírus– Microsoft Defender motor anti-vírus é atualizado mensalmente.
• Inteligência de Segurança Anti-Virus da Microsoft Defender– A Microsoft atualiza continuamente a Microsoft Defender Security Intelligence (também conhecida como definições e assinaturas) para lidar com as últimas ameaças e otimizar a lógica de detecção.

Manter a versão anti-vírus do Microsoft Defender atualizada ajudaria a reduzir o número de erros de ataque e melhorar a função de detecção anti-vírus do Microsoft Defender. Mais informações sobre a versão atual e como atualizar os diferentes componentes antivírus Microsoft Defender está disponível.Suporte à plataforma anti-vírus Microsoft DefenderNão sei.

Algumas regras não funcionarão se aplicativos e scripts desenvolvidos internamente não assinados forem usados com mais frequência. Se as assinaturas de código não forem aplicadas, será mais difícil implantar uma regra de redução de face.

Teste a regra de redução da superfície.

Activar redução facial.

A regra da redução da face.

Referência da regra de redução do solo