Prezentare generală a implementării normelor de reducere a impactului
Fața atacului este toate locațiile în care organizația este vulnerabilă la amenințări cibernetice și atacuri. Reducerea feței atacului înseamnă protejarea echipamentelor și rețelelor organizației, astfel încât atacatorii să atace mai puțin. Ar putea fi util să configurați Microsoft Defender pentru reguli ofensive de reducere a feței.
Normele de reducere față în față vizează anumite comportamente software, cum ar fi:
- Fișiere și scripturi executabile pentru a începe să descărcați sau să executați fișiere
- Rulează scripturi vag prelucrate sau alte scripturi suspecte
- În munca normală de zi cu zi, aplica comportamentul care în mod normal nu se întâmplă
Prin reducerea numărului de atacuri diferite, poate ajuta la prevenirea acestora mai întâi.
Această adunare de desfășurare oferă informații cu privire la următoarele norme de reducere la sol:
- Cerințe privind regula de reducere față în față
- Planul de implementare a normelor privind reducerea impactului
- Testați regula de reducere a suprafeței.
- Configurează și activează regulile de reducere a feței de atac
- Cele mai bune practici de agresiune se confruntă cu regula de reducere
- Căutăm o căutare deficitară.
- Vizualizator eveniment de reducere a impactului
Etapele de implementare a regulii reducerii Sferei
Ca și în cazul oricărei noi implementări la scară largă care ar putea afecta funcționarea liniei de operațiuni, planificarea și punerea în aplicare trebuie să fie ordonate. Normele de reducere a impactului trebuie planificate și implementate cu atenție pentru a se asigura că acestea sunt cele mai potrivite pentru fluxurile unice de lucru ale clienților. Lucrul în mediul dumneavoastră necesită planificarea, testarea, punerea în aplicare și asigurarea respectării normelor de reducere a impactului.
Îngrijire prealabilă critică
Se recomandă ca următoarele trei să fie activateNorme standard de protecțieNu ştiu. Despre două tipuriRegula reducerii feţei.Pentru detalii importante, vă rugăm să consultați normele de reducere a impactului în funcție de tip.
- Nu mai fura probe de la subsistemele de securitate locale Windows (lsass.exe)
- Prevenirea utilizării abuzive a conducătorilor auto semnați vulnerabili
- Stop Persistență prin abonament la evenimente (WMI)
De regulă, se pot activa norme standard de protecție, cu un impact minim asupra utilizatorilor finali și fără impact vizibil. Pentru o abordare simplă a utilizării normelor standard de protecție, a se vedeaOpțiuni standard simplificate de protecțieNu ştiu.
Observații
Pentru clienții care utilizează HIPS non-MSC și îl convertesc în Microsoft Defender pentru regulile de reducere a atacurilor Endpoint, Microsoft recomandă ca soluția HIPS să fie utilizată cu normele de reducere a impactului înainte de a trece de la modul de audit la modul de oprire. Vă rugăm să reţineţi că furnizorii non-MSV trebuie contactaţi pentru a obţine recomandări de excludere.
Înainte de încercarea sau activarea regulii de reducere a suprafeței
În timpul pregătirii inițiale, este esențial să se înțeleagă funcționalitatea sistemului în vigoare. Cunoașterea acestor funcții ajută la stabilirea normelor ofensive de atenuare sunt cele mai importante pentru protecția organizației. În plus, trebuie îndeplinite o serie de condiții prealabile pentru pregătirea unei reduceri a nivelului de implementare.
Important
Acest ghid oferă imagini și exemple care vă pot ajuta să decideți cum să configurați regulile de reducere a impactului față de impact; Aceste imagini și exemple nu pot reflecta cele mai bune opțiuni de configurare pentru mediu.
Înainte de a începe, verificaţi.Prezentare generală a reducerii ataculuişiDecriptează reducerea spectrului de frecvențe, obține informații de bază. Pentru informaţii privind acoperirea şi zonele potenţiale de impact, vă rugăm să vă familiarizaţi cu actualul Regulament spectacular al Contenciosului:Trimitere la regula de reducere la solNu ştiu. Când este familiarizat cu regula de reducere a suprafeţei, scrieţi fiecare hartă GUID regulă; vedeţiRegula de reducere a feţei pentru MatrixNu ştiu.
O regulă de reducere a feței de atac este doar o funcție a funcției de reducere a feței de impact în cadrul Microsoft Defender pentru Endpoint. Acest document oferă informații mai detaliate privind desfășurarea efectivă a normelor de atenuare a atacurilor pentru a descuraja amenințările la nivel înalt, cum ar fi software-ul de extorcare de fonduri umane și alte amenințări.
Lista regulilor de reducere a numărului de atacuri pe categorii
Tabelul următor prezintă normele de reducere a impactului pe categorii:
| Amenințări multiple | Mișcare orizontală și defect de probă | Norme de aplicare a productivității | Reguli de e-mail | Reguli script | Norme diverse |
|---|---|---|---|---|---|
| Nu mai executa fișiere executabile cu excepția cazului în care îndeplinesc 1.000 de calculatoare () sau condiții de vârstă sau listă de încredere | Prevenirea creării proceselor din comenzile PSExec și WMI | Stop Aplicație de birou pentru crearea executabilului | Dezactivează clientul de e-mail și Webmail | Block Fuzzy Processing JS/VBS/PS/ Macro Code | Prevenirea utilizării abuzive a impulsurilor semnate vulnerabile care sunt exploatate [1] |
| Opriți procesele neîncredere și nesemnate care rulează de la USB | Nu mai fura documente din subsistemele de securitate locale ale Windows-ului (lsass.exe)2] | Oprește cererea de birou Creează subprocese | Prevenirea numai a subprocesului de creare a cererii de comunicare a Oficiului | Conținutul executabil care împiedică descărcarea JS/VBS | |
| Protecția avansată împotriva software-ului de extorcare | Stop Persistence by WMI Organisation | Stop Aplicație de birou pentru injectarea codului în alte procese | Stop Office Communication Application Creation Subprocess | ||
| Oprirea subprocesului de creare Adobe Reader |
(1 membru)Prevenirea utilizării abuzive a conducătorului auto cu risc de atacAcum.“Endpoint security>Ne pierdem faţa.Este furnizat mai jos.
(2) Unele reguli de reducere a suprafeței pot provoca perturbări considerabile, dar nu împiedică funcționalitatea. De exemplu, dacă doriți să actualizați Chrome, Chrome va accesaNu ştiu.; parole stocate pe dispozitiveNu ştiu.Mediu. Dar...Nu ştiu.Vizitaţi echipamentul local. În cazul în care regulile sunt autorizate să se oprească dreaptaAccesul la IsassSunt multe incidente. Aceste evenimente sunt unul bun, deoarece procesul de actualizare software nu ar trebui să aibă acces la Lass.exe. Utilizați această regulă pentru a preveni actualizările ChromeNu ştiu., dar nu împiedică Chrome de la actualizarea. Da.Nu ştiu.Acelaşi lucru este valabil şi în cazul altor aplicaţii care au făcut apeluri inutile.Blocarea accesului la regulile IsassSe va opri.Nu ştiu., dar nu împiedică aplicarea.
Reducerea cerințelor de infrastructură în fața atacului
Deși există o serie de metode care pot fi utilizate pentru a atinge regula de reducere a impactului, Ghidul se bazează pe principiul că:
- Microsoft Entra ID
- Microsoft Intune
- Dispozitive Windows 10 și Windows 11
- Microsoft Defense pentru licență E5 sau Windows E5
Pentru a utiliza pe deplin normele de reducere a impactului și rapoartele, recomandăm utilizarea licențelor Microsoft Defender XDR E5 sau Windows E5 și A5. Pentru mai multe informații, a se vedeaMicrosoft Defender for EndpointNu ştiu.
Observații
Există o serie de moduri în care regulile de reducere a numărului de atacuri pot fi configurate. Regulile de reducere a feţei de atac pot fi configurate în următoarele moduri: Microsoft Intune, PowerShell, Strategie de grup, Microsoft Construction Manager (ConfigMgr) Intune OMA-URI. Dacă configurația infrastructurii utilizată este diferită de cea a infrastructuriiCerereConfiguraţia menţionată aici ne oferă o idee detaliată despre modul în care putem desfăşura atacul folosind alte configuraţii.Norme de reducere a feţei: utilizarea normelor ofensive de reducere a feţeiNu ştiu.
Regula Declining Face depinde de asta.
Antivirusul Microsoft Defender trebuie activat şi configurat ca soluţie antivirus principală şi trebuie să fie în modul următor:
- Principalele soluții software antivirus/anti-malarie
- Stare: Modul de activitate
Microsoft Defender nu trebuie să fie în niciunul dintre următoarele modele:
- Pasiv
- Modul pasiv cu detectare terminală și răspuns (EDR în modul bloc)
- Scanare periodică limitată (LPS)
- Închide
Informaţii detaliateA se vedea protecția împotriva norilor și Microsoft Defender împotriva virusului.Nu ştiu.
Protecția în cloud (MAPS) trebuie activată pentru a permite reducerea impactului.
Microsoft Defender poate lucra fără probleme cu Microsoft Cloud Services. Aceste servicii de protecție în cloud (cunoscute și sub denumirea de Microsoft Advanced Protection Service (MAPS)) sporesc protecția standard în timp real și pot fi descrise ca oferind cea mai bună apărare antivirus. Protecţia norilor este esenţială pentru prevenirea încălcării programelor informatice maligne şi reprezintă o componentă esenţială a regulii de reducere a numărului de atacuri.Activează protecția norilor în antivirusul Microsoft DefenderNu ştiu.
Componentele antivirus Microsoft Defender trebuie să fie versiunea actuală a regulii de reducere a feţei de impact.
Următoarea versiune a componentei antivirus Microsoft Defender nu trebuie să depăşească două versiuni înainte de versiunea actuală disponibilă:
- Platforma Microsoft Defender antivirus actualizatăPlatforma Microsoft Defender anti-virus este actualizată lunar.
- Microsoft Defender versiunea motorului antivirusMotorul Microsoft Defender antivirus este actualizat lunar.
- Microsoft Defender Anti-Virus Securitate IntelligenceMicrosoft actualizează continuu Microsoft Defender Security Intelligence (cunoscut și sub numele de definiții și semnături) pentru a aborda cele mai recente amenințări și a optimiza logica de detectare.
Menţinerea versiunii antivirus a Microsoft Defender până în prezent ar ajuta la reducerea numărului de erori de atac-faţă redusă şi la îmbunătăţirea funcţiei de detectare antivirus a Microsoft Defender. Mai multe informații despre versiunea curentă și modul de actualizare a diferitelor componente antivirus Microsoft Defender sunt disponibile.Suport platforma Microsoft Defender antivirusNu ştiu.
Avertisment
Unele reguli nu vor funcționa dacă aplicațiile și scripturile nesemnate, dezvoltate intern sunt utilizate mai frecvent. Dacă semnăturile de cod nu sunt aplicate, va fi mai dificil să se aplice o regulă de reducere a feţei.