Обзор применения правил уменьшения воздействия

Лицом атаки являются все места, где организация уязвима к киберугрозам и атакам. Уменьшение лица атаки означает защиту оборудования и сетей организации, чтобы злоумышленники атаковали меньше. Возможно, было бы полезно настроить Microsoft Defender для правил сокращения наступательных лиц Endpoint.

Правила прямого сокращения нацелены на определенные виды программного обеспечения, такие как:

• Исполняемые файлы и скрипты, чтобы начать пытаться загрузить или запустить файлы
• Запускать неопределенно обработанные скрипты или другие подозрительные скрипты
• В обычной повседневной работе применяйте поведение, которое обычно не происходит.

Сокращение числа различных атак может помочь предотвратить их в первую очередь.

Эта сборка для развертывания содержит информацию о следующих правилах сокращения численности на местах:

• Потребности в правилах сокращения численности населения
• План развертывания правил сокращения воздействия
• Проверьте правило уменьшения поверхности.
• Настройка и активация правил снижения лица атаки
• Наилучшая практика применения правила сокращения лиц, подвергшихся нападению
• Мы ищем код-дефицитный поиск.
• Уменьшение воздействия Face Event Viewer

Как и в случае любой новой крупномасштабной реализации, которая может повлиять на работу линии операций, планирование и реализация должны быть упорядоченными. Правила снижения воздействия должны быть тщательно спланированы и развернуты, чтобы гарантировать, что они лучше всего подходят для уникальных рабочих процессов клиентов. Работа в вашей среде требует тщательного планирования, тестирования, внедрения и соблюдения правил снижения воздействия.

Рекомендуется включить следующие триСтандартные правила защитыЯ не знаю. О двух типахПравило сокращения лица.Для получения более подробной информации, пожалуйста, обратитесь к правилам снижения воздействия по типу.

• Прекратить кражу доказательств из локальных подсистем безопасности Windows (lsass.exe)
• Предотвращение злоупотребления уязвимыми подписанными водителями
• Stop Persistence по подписке на мероприятия (WMI)

Как правило, можно активировать стандартные правила защиты, с минимальным воздействием на конечных пользователей и без видимого воздействия. Для простого подхода к использованию стандартных правил защиты см.Упрощенные стандартные варианты защитыЯ не знаю.

Во время начальной подготовки важно понимать функциональность системы на месте. Знание этих функций помогает определить, какие правила наиболее важны для защиты организации. Кроме того, необходимо выполнить ряд предварительных условий при подготовке к сокращению масштабов развертывания.

Прежде чем начать, пожалуйста, проверьте.Обзор сокращения атакиДешифрование уменьшения спектра — часть 1Получите основную информацию. Для получения информации об охвате и потенциальных областях воздействия, пожалуйста, ознакомьтесь с текущим Справочником Spectacular Mitigation:Ссылка на правило сокращения площадиЯ не знаю. При ознакомлении с набором правил уменьшения поверхности запишите каждую карту GUID; см.Правило уменьшения лица при атаке MatrixЯ не знаю.

Правило уменьшения лица атаки является лишь одной из функций функции уменьшения лица воздействия в Microsoft Defender for Endpoint. В этом документе содержится более подробная информация об эффективном развертывании правил предотвращения атак для сдерживания угроз высокого уровня, таких как программное обеспечение для вымогательства и другие угрозы.

В нижеследующей таблице приведены правила уменьшения воздействия по категориям:

(1 член)Предотвратить неправомерное использование подписанного водителя, подверженного атакеСейчас."Конечная безопасность>Мы теряем лицо.Он представлен ниже.

(2) Некоторые правила уменьшения поверхности могут привести к значительным нарушениям, но не препятствуют функциональности. Например, если вы хотите обновить Chrome, Chrome будет доступен.Я не знаю.Пароли, хранящиеся на устройствахЯ не знаю.Средний. Но...Я не знаю.Посетите местное оборудование. Если правила позволяют остановиться правильноДоступ к lsassПроисходит много инцидентов. Эти события хороши, так как процесс обновления программного обеспечения не должен иметь доступа к lass.exe. Используйте это правило для предотвращения обновлений Chrome.Я не знаю.Но это не мешает Chrome обновляться. Ага.Я не знаю.То же самое относится и к другим приложениям, которые делали ненужные звонки.Блокировать доступ к правилам lsassЭто прекратится.Я не знаю.Но это не мешает приложению работать.

Хотя существует ряд методов, которые могут быть использованы для достижения правила сокращения воздействия, Руководство основано на принципе, что:

• Microsoft Entra ID
• Microsoft Intune
• Windows 10 и Windows 11 устройства
• Microsoft Defense для Endpoint E5 или Windows E5

Чтобы в полной мере использовать правила и отчеты по снижению воздействия, мы рекомендуем использовать лицензии Microsoft Defender XDR E5 или Windows E5 и A5. Для получения дополнительной информации см.Microsoft Defender для конечной точкиЯ не знаю.

Антивирус Microsoft Defender должен быть активирован и настроен как основное антивирусное решение и должен быть в следующем режиме:

• Основные антивирусные/противомалярийные программные решения
• Статус: режим деятельности

Microsoft Defender не должен быть ни в одном из следующих шаблонов:

• пассивный
• Пассивный режим с обнаружением терминала и ответом (EDR в блочном режиме)
• Ограниченное периодическое сканирование (LPS)
• Закрыть

Подробная информацияСм. защиту от облаков и Microsoft Defender от вируса.Я не знаю.

Microsoft Defender может работать с Microsoft Cloud Services. Эти облачные службы защиты (также известные как Microsoft Advanced Protection Service (MAPS)) улучшают стандартную защиту в режиме реального времени и могут быть описаны как обеспечивающие лучшую антивирусную защиту. Защита от облачных вычислений имеет важное значение для предотвращения вредоносных нарушений программного обеспечения и является ключевым компонентом правила снижения риска нападения.Защита облака в антивирусе Microsoft DefenderЯ не знаю.

Следующая версия антивирусного компонента Microsoft Defender не должна превышать две версии до текущей доступной версии:

• Обновленная антивирусная платформа Microsoft DefenderАнтивирусная платформа Microsoft Defender обновляется ежемесячно.
• Microsoft Defender Антивирусная версияАнтивирусный движок Microsoft Defender обновляется ежемесячно.
• Microsoft защитит антивирусную разведкуMicrosoft постоянно обновляет Microsoft Defender Security Intelligence (также известный как определения и подписи) для устранения последних угроз и оптимизации логики обнаружения.

Сохранение антивирусной версии Microsoft Defender в актуальном состоянии поможет уменьшить количество ошибок, уменьшающих количество атак, и улучшить функцию обнаружения антивируса Microsoft Defender. Более подробная информация о текущей версии и о том, как обновить различные компоненты антивируса Microsoft Defender.Поддержка антивирусной платформы Microsoft DefenderЯ не знаю.

Некоторые правила не будут работать, если неподписанные, внутренне разработанные приложения и скрипты используются чаще. Если кодовые подписи не соблюдаются, будет сложнее внедрить правило сокращения лица.

Проверьте правило уменьшения поверхности.

Активировать редукцию лица.

Правило сокращения лица.

Ссылка на правило сокращения площади