Översikt över reduktionsregelutplacering
Anfallet är alla platser där organisationen är sårbar för cyberhot och attacker. Att minska attackens ansikte innebär att man skyddar organisationens utrustning och nätverk, så att angriparna attackerar mindre. Det kan vara till hjälp att konfigurera Microsoft Defender för Endpoint offensiva regler för minskning av ansiktet.
Reglerna för minskning av ansikte mot ansikte riktar sig mot vissa programvarubeteenden, till exempel:
- Körbara filer och skript för att börja försöka ladda ner eller köra filer
- Kör vagt bearbetade skript eller andra misstänkta skript
- I normalt dagligt arbete, tillämpa beteende som normalt inte händer
Genom att minska antalet olika attacker kan det hjälpa till att förhindra dem först.
Denna utplaceringsförsamling ger information om följande regler för minskning av marken:
- Face-to-face reduktion regelkrav
- Plan för reduktionsregelutplacering
- Testa ytreduktionsregeln.
- Konfigurera och aktivera angreppsreduktionsregler
- Bästa praxis av överfallet ansikte reduktion regel
- Vi letar efter en code-deficient sökning.
- Impact Face Reduction Event Viewer
Sfärre reduktion regel utplacering steg
Som med alla nya storskaliga implementeringar som kan påverka driften av verksamhetslinjen måste planering och genomförande vara ordnad. Konsekvensreduceringsreglerna måste noggrant planeras och distribueras för att säkerställa att de passar bäst för unika klientflöden. Att arbeta i din miljö kräver noggrann planering, testning, implementering och verkställighet av regler för minskning av effekter.
Kritisk förberedelse vård
Det rekommenderas att följande tre aktiverasStandardskyddsreglerJag vet inte. Om två typerFace reduktion regel.För viktiga detaljer, vänligen se effekterna reduktion regler efter typ.
- Sluta stjäla bevis från Windows lokala säkerhetsdelsystem (lsass.exe)
- Förhindra missbruk av sårbara signerade förare
- Stoppa uthållighet genom abonnemang till händelser (WMI)
Standardskyddsreglerna kan i regel aktiveras, med minimal inverkan på slutanvändarna och ingen synlig inverkan. För en enkel strategi för användning av standardskyddsregler, seFörenklade standardskyddsalternativJag vet inte.
Anmärkningar
För kunder som använder icke-MSC HIPS och konverterar den till Microsoft Defender för Endpoint-attackreduceringsregler rekommenderar Microsoft att HIPS-lösningen distribueras med effektreduceringsreglerna innan du byter från revisionsläge till stoppläge. Kom ihåg att icke-MSV-leverantörer måste kontaktas för att få undantagsrekommendationer.
Innan testning eller aktivering av ytreduktionsregeln
Under den första förberedelsen är det viktigt att förstå systemets funktionalitet på plats. Kunskap om dessa funktioner hjälper till att avgöra vilka offensiva begränsningsregler som är viktigast för organisationens skydd. Dessutom måste ett antal förutsättningar uppfyllas för att förbereda en minskning av utplaceringsnivån.
Viktigt
Den här guiden ger bilder och exempel som kan hjälpa dig att bestämma hur du konfigurerar effekten av reglerna för minskning av ansiktet. Dessa bilder och exempel kan inte återspegla de bästa konfigurationsalternativen för miljön.
Innan du börjar, kolla.Översikt över minskning av attackochDecrypt Spectrum Reduction – Del 1Få grundläggande information. För information om täckning och potentiella effekter, vänligen bekanta dig med den nuvarande Spektakulära Mitigation Rulebook:Ground reduktion regel referensJag vet inte. När du känner till ytreduktionsregeln, skriv ner varje regel GUID-karta; seGUID Matrix Attack Face Reduction RuleJag vet inte.
En attack ansikte reduktion regel är bara en funktion av effekten ansikte reduktion funktion inom Microsoft Defender för Endpoint. Detta dokument ger mer detaljerad information om den effektiva utplaceringen av angreppsregler för att avskräcka hot på hög nivå, till exempel mänskligt tillverkade utpressningsprogram och andra hot.
Lista över regler för angreppsförminskning efter kategori
Följande tabell visar reglerna för minskning av effekter efter kategori:
| Flera hot | Horisontell rörelse och bevisfel | Produktivitetsansökningsregler | E-postregler | Skriptregler | Miscellaneous regler |
|---|---|---|---|---|---|
| Sluta köra körbara filer om de inte uppfyller 1000 datorer () eller ålder eller betrodda listförhållanden | Förhindra processskapande från PSExec och WMI kommandon | Stoppa Office-applikation för att skapa körbar | Inaktivera från e-postklient och Webmail | Block Fuzzy Processing JS/VBS/PS/ Macro Code | Förhindrar missbruk av sårbara signerade enheter som utnyttjas1] |
| Sluta opålitliga och osignerade processer som körs från USB | Sluta stjäla dokument från Windows lokala säkerhetsdelsystem (lsass.exe)2] | Stop Office Application Skapa underprocesser | Endast förhindra Office-kommunikationsapplikationens underprocess | Exekverbart innehåll som förhindrar att JS/VBS startar nedladdningar | |
| Avancerat skydd mot utpressningsprogram | Stoppa uthållighet av WMI Organisation | Stoppa Office-applikation för att injicera kod i andra processer | Stop Office Communication Application Creation Subprocess | ||
| Stoppa underprocessen Adobe Reader skapelse |
(1 medlem)Förhindra missbruk av attack-benägen signerad förareNu.Utnämna säkerhet>Vi förlorar ansiktet.Den tillhandahålls nedan.
(2) Vissa regler för minskning av ytan kan orsaka betydande störningar, men förhindra inte funktionalitet. Om du till exempel vill uppdatera Chrome kommer Chrome att komma åtJag vet inte.; lösenord lagrade på enheterJag vet inte.Medium. Men...Jag vet inte.Besök lokal utrustning. Om reglerna är aktiverade för att stoppa rättTillgång till LsassDet finns många incidenter. Dessa händelser är en bra, eftersom programuppdateringsprocessen inte bör ha tillgång till lass.exe. Använd denna regel för att förhindra Chrome-uppdateringarJag vet inte.Men hindrar inte Chrome från att uppdatera. Ja.Jag vet inte.Detsamma gäller för andra applikationer som har gjort onödiga samtal.Blockera tillgång till lsass reglerDet kommer att sluta.Jag vet inte.Men hindrar inte ansökan från att köra.
Minskning av infrastrukturkrav inför attack
Även om det finns ett antal metoder som kan användas för att uppnå effektreduktionsregeln, bygger guiden på principen att:
- Microsoft Entra ID
- Microsoft Intune
- Windows 10 och Windows 11 enheter
- Microsoft Defense för Endpoint E5 eller Windows E5 licens
För att fullt ut kunna använda reglerna för minskning av effekter och rapporter rekommenderar vi användningen av Microsoft Defender XDR E5- eller Windows E5-licenser och A5. För mer information, seMicrosoft Defender för EndpointJag vet inte.
Anmärkningar
Det finns ett antal sätt på vilka angreppsreglerna kan konfigureras. Reglerna för reduktion av attacker kan konfigureras på följande sätt: Microsoft Intune, PowerShell, Group Strategy, Microsoft Construction Manager (ConfigMgr) Intune OMA-URI. Om den infrastrukturkonfiguration som används skiljer sig från infrastrukturenBegäranKonfigurationen som anges här ger oss en detaljerad bild av hur man distribuerar attacken med andra konfigurationer.Regler för minskning av ansiktet: användning av regler för offensiv minskning av ansiktetJag vet inte.
Den minskande ansiktet regel beror på det.
Microsoft Defenders antivirusprogram måste aktiveras och konfigureras som den huvudsakliga antiviruslösningen och måste vara i följande läge:
- Huvud antivirus/anti-malarial mjukvarulösningar
- Status: aktivitetsläge
Microsoft Defender ska inte vara i något av följande mönster:
- Passiv
- Passivt läge med terminaldetektering och svar (EDR i blockläge)
- Begränsad periodisk skanning (LPS)
- Nära
Detaljerad informationSe skyddet från moln och Microsoft Defender mot viruset.Jag vet inte.
Molnskyddet (MAPS) måste aktiveras för att möjliggöra effektminskning.
Microsoft Defender kan arbeta smidigt med Microsoft Cloud Services. Dessa molnskyddstjänster (även känd som Microsoft Advanced Protection Service (MAPS)) förbättrar standardskydd i realtid och kan beskrivas som att ge det bästa antivirusförsvaret. Molnskydd är avgörande för att förhindra malign mjukvaruöverträdelser och är en nyckelkomponent i överfallsregeln.Aktivera molnskydd i Microsoft Defender antivirusJag vet inte.
Microsoft Defender antiviruskomponenter måste vara den aktuella versionen av effekten av reduktionsregeln.
Följande version av Microsoft Defenders antiviruskomponent bör inte överstiga två versioner innan den aktuella versionen:
- Uppdaterad Microsoft Defender antivirusplattformMicrosoft Defenders antivirusplattform uppdateras varje månad.
- Microsoft Defender antivirusversionMicrosoft Defender antivirusmotor uppdateras varje månad.
- Microsoft Defender Anti-Virus Security Intelligence– Microsoft uppdaterar kontinuerligt Microsoft Defender Security Intelligence (även känd som definitioner och signaturer) för att hantera de senaste hoten och optimera detekteringslogiken.
Att hålla Microsoft Defenders antivirusversion hittills skulle bidra till att minska antalet attack-ansikte-reducerade fel och förbättra Microsoft Defenders antivirusdetekteringsfunktion. Mer information om den aktuella versionen och hur du uppdaterar de olika Microsoft Defender antiviruskomponenterna finns tillgänglig.Microsoft Defender antivirus plattform stödJag vet inte.
Varning
Vissa regler fungerar inte om osignerade, internt utvecklade applikationer och skript används oftare. Om kodsignaturer inte verkställs kommer det att vara svårare att distribuera en regel för minskning av ansiktet.