攻擊面減少規則部署概述

攻擊面是組織容易受到網絡威脅和攻擊的所有位置。 減少攻擊面意味着保護組織的設備和網絡，這樣攻擊者的攻擊方式就更少了。 配置Microsoft Defender for Endpoint攻擊面減少規則可能會有所幫助。

攻擊面減少規則針對某些軟件行爲，例如：

• 啓動嘗試下載或運行文件的可執行文件和腳本
• 運行經過模糊處理的腳本或其他可疑腳本
• 在正常的日常工作中，應用通常不會發生的行爲

通過減少不同的攻擊面，可以首先幫助防止攻擊的發生。

此部署集合提供有關攻擊面減少規則的以下方面的信息：

• 攻擊面減少規則要求
• 計劃攻擊面減少規則部署
• 測試攻擊面減少規則
• 配置和啓用攻擊面減少規則
• 攻擊面減少規則最佳做法
• 攻擊面減少規則高級搜尋
• 攻擊面減少規則事件查看器

與任何可能影響業務線運營的新大規模實施一樣，在規劃和實施中必須有條不紊。 需要仔細規劃和部署攻擊面減少規則，以確保它們最適合獨特的客戶工作流。 若要在你的環境中工作，需要仔細規劃、測試、實施和實施攻擊面減少規則。

建議啓用以下三個標准保護規則。 有關兩種類型的攻擊面減少規則的重要詳細信息，請參閱按類型列出的攻擊面減少規則。

• 阻止從 Windows 本地安全機構子系統竊取憑據 (lsass.exe)
• 阻止濫用被利用的易受攻擊的已簽名驅動程序
• 通過 Windows Management Instrumentation (WMI) 事件訂閱阻止持久性

通常，可以啓用標准保護規則，對最終用戶的影響最小到沒有明顯影響。 有關啓用標准保護規則的簡單方法，請參閱簡化的標准保護選項。

在初始準備期間，瞭解所設置的系統的功能至關重要。 瞭解這些功能有助於確定哪些攻擊面減少規則對保護組織最爲重要。 此外，在準備攻擊面減少部署時，必須滿足幾個先決條件。

在開始之前，請查看攻擊面減少概述和揭祕攻擊面減少規則 – 第 1 部分，瞭解基本信息。 若要了解覆蓋範圍和潛在影響領域，請熟悉當前攻擊面減少規則集：請參閱攻擊面減少規則參考。 在熟悉攻擊面減少規則集時，請記下每個規則 GUID 映射;請參閱GUID 矩陣的攻擊面減少規則。

攻擊面減少規則只是Microsoft Defender for Endpoint內攻擊面減少功能的一項功能。 本文檔更詳細地介紹瞭如何有效地部署攻擊面減少規則，以阻止高級威脅，例如人爲作的勒索軟件和其他威脅。

下表按類別顯示了攻擊面減少規則：

(1 個)阻止濫用被攻擊的易受攻擊的已簽名驅動程序現已在“終結點安全>攻擊面減少”下提供。

(2) 某些攻擊面減少規則會產生相當大的干擾，但不會阻止功能。 例如，如果要更新 Chrome，Chrome 將訪問lsass.exe;密碼存儲在設備上的lsass中。 但是，Chrome 不應lsass.exe訪問本地設備。 如果啓用規則來阻止對lsass 的訪問，則會看到許多事件。 這些事件是很好的事件，因爲軟件更新過程不應訪問 lsass.exe。 使用此規則可阻止 Chrome 更新訪問lsass，但不會阻止 Chrome 更新。 對lsass.exe進行不必要的調用的其他應用程序也是如此。對 lsass 規則的阻止訪問會阻止對lsass的不必要的調用，但不會阻止應用程序運行。

儘管可以使用多種方法來實現攻擊面減少規則，但本指南基於由

• Microsoft Entra ID
• Microsoft Intune
• Windows 10和Windows 11設備
• Microsoft Defender for Endpoint E5 或 Windows E5 許可證

若要充分利用攻擊面減少規則和報告，我們建議使用 Microsoft Defender XDR E5 或 Windows E5 許可證和 A5。 有關詳細信息，請參閱Microsoft Defender for Endpoint的最低要求。

Microsoft Defender防病毒必須啓用並配置爲主要防病毒解決方案，並且必須處於以下模式：

• 主要防病毒/反惡意軟件解決方案
• 狀態：活動模式

Microsoft Defender防病毒不得處於以下任何模式：

• 被動
• 被動模式，具有終結點檢測和響應 (塊模式下的 EDR)
• 有限定期掃描 (LPS)
• 關閉

有關詳細信息，請參閱雲提供的保護和Microsoft Defender防病毒。

Microsoft Defender防病毒可與Microsoft雲服務無縫配合工作。 這些雲保護服務（也稱爲Microsoft高級保護服務 (MAPS) ）增強了標準實時保護，可以說是提供最佳防病毒防禦。 雲保護對於防止惡意軟件的違規至關重要，也是攻擊面減少規則的關鍵組件。在 Microsoft Defender 防病毒中啓用雲提供的保護。

以下Microsoft Defender防病毒組件版本不得超過當前可用版本之前的兩個版本：

• Microsoft Defender防病毒平臺更新版本– Microsoft Defender防病毒平臺每月更新一次。
• Microsoft Defender防病毒引擎版本– Microsoft Defender防病毒引擎每月更新一次。
• Microsoft Defender防病毒安全智能– Microsoft持續更新Microsoft Defender安全智能 (也稱爲定義和簽名) ，以解決最新威脅並優化檢測邏輯。

使Microsoft Defender防病毒版本保持最新狀態有助於減少攻擊面減少規則誤報結果，並改進Microsoft Defender防病毒檢測功能。 有關當前版本以及如何更新不同Microsoft Defender防病毒組件的詳細信息，請訪問Microsoft Defender防病毒平臺支持。

如果未簽名、內部開發的應用程序和腳本使用率較高，則某些規則將不起作用。 如果未強制實施代碼簽名，則部署攻擊面減少規則將更加困難。

測試攻擊面減少規則

啓用攻擊面減少規則

作攻擊面減少規則

攻擊面減少規則參考