Influence-reduction rule deployment
Saldırının yüzü, organizasyonun siber tehditlere ve saldırılara karşı savunmasız olduğu tüm yerlerdir. Saldırının yüzünü azaltmak, organizasyonun ekipman ve ağlarını korumak anlamına gelir, böylece saldırganlar daha az saldırıya uğrar. Microsoft Defender'ı Endpoint saldırgan yüz azaltma kuralları için yapılandırmak yardımcı olabilir.
Yüz yüzen azaltma kuralları, gibi bazı yazılım davranışları hedef alır:
- Executable dosyaları ve dosyaları indirmeye veya çalıştırmaya çalışmaya başlamak için senaryolar
- Belirsiz işlenmiş senaryoları veya diğer şüpheli senaryoları çalıştırın
- Normal günlük çalışmada, normalde gerçekleşmeyen davranışları uygulayın.
Farklı saldırıların sayısını azaltarak, ilk önce onları önlemeye yardımcı olabilir.
Bu dağıtım meclisi aşağıdaki zemin azaltma kuralları hakkında bilgi sağlar:
- Face-to-face azaltma kuralı gereksinimleri
- Etki azaltma kuralı dağıtım planı
- Yüzey azaltımı kuralı test edin.
- Configure ve saldırı yüze azaltma kuralları
- Saldırının en iyi uygulaması azaltımı kuralı
- Bir code-deficient arama arıyoruz.
- Face Reduce Event Viewer
Sphere azaltma kuralı dağıtım adımları
Operasyonların hattının çalışmasını etkileyebilecek yeni büyük ölçekli uygulamalarla, planlama ve uygulama sipariş edilmelidir. Etkileme kuralları dikkatli bir şekilde planlanmalı ve eşsiz müşteri iş akışlarına en uygun olduklarından emin olmak gerekir. Çevrenizde çalışmak dikkatli planlama, test, uygulama ve etki azaltma kurallarının uygulanması gerektirir.
Eleştirel predeployment care
Aşağıdaki üçünün etkinleştirilmesi önerilirStandart koruma kurallarıBilmiyorum. Yaklaşık iki tipYüz azaltma kuralı.Önemli detaylar için, lütfen etki azaltımı kuralları türü ile belirtin.
- Windows yerel güvenlik alt sistemlerinden kanıtları çalmayı bırakın (ls.exe)
- Hassas imzalanmış sürücülerin kötüye kullanılmasının önlenmesi
- Etkinliğe abonelik yoluyla sürekliliği durdurun (WMI)
Kural olarak, standart koruma kuralları etkinleştirilebilir, son kullanıcılar üzerinde minimum etki ve görünür bir etki yoktur. Standart koruma kurallarının kullanımına basit bir yaklaşım için, bakınızBasitleştirilmiş standart koruma seçenekleriBilmiyorum.
Remarks
ADC HIPS kullanan müşteriler için ve onu Endpoint saldırı azaltma kuralları için Microsoft Defender'a dönüştürmek için, Microsoft HIPS çözümünin, denetim modundan ayrılmadan önce etki azaltma kurallarıyla dağıtılmasını önerir. Lütfen unutmayın ki, non-MSV sağlayıcıları dışlama önerileri elde etmek için temasa geçilmelidir.
Yüzey azaltımı kuralının test veya aktivasyonundan önce
İlk hazırlık sırasında, sistemin işlevlerini yerinde anlamak önemlidir. Bu işlevlerin bilgisi, organizasyonun korunması için hangi saldırı kurallarının en önemli olduğunu belirlemeye yardımcı olur. Ayrıca, bir dizi ön koşul, dağıtım seviyesindeki bir azalma için hazırlanmalıdır.
Önemli Önemli Önemli Önemli Önemli Önemli
Bu kılavuz, etki yüz azaltma kurallarını nasıl yapılandırmanıza karar vermenize yardımcı olabilecek görüntüler ve örnekler sunar; Bu görüntüler ve örnekler çevre için en iyi yapılandırma seçeneklerini yansıtmayabilir.
Başlamadan önce lütfen kontrol edin.Saldırının azaltılmasına Genel BakışveDecrypt Spectrum Azımı - Bölüm 1Temel bilgi alın. Çalışma ve potansiyel etki alanları hakkında bilgi için lütfen mevcut Spectacular Mitigation Rulebook ile kendinizi tanıdık:Yeraltı azaltımı kuralı referansBilmiyorum. Yüzey azaltımı kuralına aşina olduğunda, her kural GUID haritasını yazın; bakınızGUID Matrix Attack Face Az RuleBilmiyorum.
Bir saldırı yüz azaltma kuralı, Endpoint için Microsoft Defender içindeki etki yüz azaltma fonksiyonunun sadece bir fonksiyonudur. Bu belge, saldırının etkili dağıtımı hakkında daha ayrıntılı bilgi sağlar, yüksek seviyeli tehditler, insan yapımı extortion software ve diğer tehditler gibi.
Saldırı listesi kategori kategorisine göre azaltma kuralları
Aşağıdaki tablo, kategori tarafından etki azaltma kurallarını gösterir:
| Birden çok tehdit | Yatay Hareket ve Kanıtfault | Verimlilik uygulama kuralları kuralları | E-posta Kuralları | Senaryo Kuralları | Miscellane kuralları |
|---|---|---|---|---|---|
| 1000 bilgisayar () veya yaş veya güvenilir liste koşullarını karşılarken executable dosyaları çalıştırmayı bırakın | PSExec ve WMI komutlarından süreç oluşturulması | Dur Dur Dur Dur Dur Office application to create executable | e-posta istemcisinden ve Webmailinden ayırt edilebilir | Block Fuzzy Processing JS/VBS/PS/ Macro Code | Yararlı imzalanmış sürücülerin kötüye kullanılmasının önlenmesi [kullanılanlar)1] |
| USB'den çalışan güvenilir ve imzalanmamış süreçleri durdurun | Windows'un yerel güvenlik alt sistemlerinden belgeleri çalmayı bırakın (lsass.exe)2] | Office Application Create Subprocesses | Sadece Office iletişim uygulamasının alt işlemesini engeller | JS / VBS'yi başlangıç indirmelerinden engelleyen uygulanabilir içerik | |
| Eski yazılımlara karşı gelişmiş koruma | WMI Organizasyonu Tarafından Persistence | Dur Dur Dur Dur Dur Office uygulaması kodu diğer süreçlere enjekte etmek için | Office Communication Application Creation Subprocess | ||
| Adobe Reader oluşturma alt işlemeyi durdurun |
(1 üye)Saldırı ilan edilen sürücünün kötüye kullanılmasının önlenmesiŞimdi."Bitki güvenlik>Yüzümüzü kaybediyoruz.Aşağıda sağlanır.
(2) Bazı yüzey azaltımı kuralları önemli bir kesintiye neden olabilir, ancak işlevselliği engellemez. Örneğin, Chrome'u güncellemek istiyorsanız, Chrome'a erişecektir.Bilmiyorum.; cihazlarda saklanan şifrelerBilmiyorum.Medium. Ama...Bilmiyorum.Yerel ekipman ziyaret edin. Kurallar doğru durdurmak için etkinleştirilirselsass'lara erişimBirçok olay var. Bu olaylar iyi bir şeydir, çünkü yazılım güncelleştirme süreci lass.exe'ye erişime sahip olmamalıdır. Chrome güncellemelerini önlemek için bu kuralı kullanınBilmiyorum.Ancak Chrome'un güncellemesini engellemez. Evet.Bilmiyorum.Aynısı, gereksiz çağrılar yapan diğer uygulamaların gerçek.lsass kurallarına erişimDuracaktır.Bilmiyorum.Ancak uygulamanın çalışmasını engellemez.
Saldırı karşısında altyapı gereksinimlerinin azaltılması
Etki azaltma kuralı elde etmek için kullanılan bir dizi yöntem olmasına rağmen, Kılavuz ilkeye dayanmaktadır:
- Microsoft Entra ID
- Microsoft Intune
- Windows 10 ve Windows 11 cihazları
- Microsoft Savunma Endpoint E5 veya Windows E5 lisansı için
Etki azaltma kuralları ve raporları tam olarak kullanmak için, Microsoft Defender XDR E5 veya Windows E5 lisans ve A5 kullanımını tavsiye ederiz. Daha fazla bilgi için, bakınızMicrosoft Defender for EndpointBilmiyorum.
Remarks
Saldırı yüz azaltma kurallarının yapılandırılabileceği birçok yol var. Saldırı yüz azaltma kuralları aşağıdaki şekillerde yapılandırılabilir: Microsoft Intune, PowerShell, Group Strategy, Microsoft Construction Manager (ConfigMgr) Intune OMA-URI. Kullanılan altyapı yapılandırması altyapı yapılandırması altyapı konfigürasyonundan farklı iseTalep İsteBurada listelenen yapılandırma bize diğer yapılandırmaları kullanarak saldırıyı nasıl dağıtılacağı konusunda ayrıntılı bir fikir veriyor.Yüz azaltma kuralları: saldırgan yüz azaltma kurallarının kullanımıBilmiyorum.
Yüz kuralının Declining Face kuralı buna bağlıdır.
Microsoft Defender ‘Arap karşıtıvirüs ana antivirüs çözümü olarak aktive edilmeli ve yapılandırılmalıdır ve aşağıdaki modunda olmalıdır:
- Main anti-virüs/anti-malarial software solutions
- Durum: Aktivite modu
Microsoft Defender aşağıdaki kalıpların herhangi birinde olmamalıdır:
- Pasif
- terminal algılama ve yanıt ile transkript modu (blo modunda)
- Sınırlı periyodik tarama (LPS)
- Close Close Close Close Close
Detaylı bilgiBulutlardan ve Microsoft Defenderdan virüse karşı korumayı görün.Bilmiyorum.
Bulut koruması (MAPS) etki azaltımı sağlamak için etkinleştirilmelidir.
Microsoft Defender Microsoft Cloud Services ile sorunsuz bir şekilde çalışabilir. Bu bulut koruma hizmetleri (ayrıca Microsoft Advanced Protection Service (MAPS) standart gerçek zamanlı korumayı geliştirir ve en iyi antivirüs savunmasını sağlayarak tanımlanabilir. Bulut koruması, kötü yazılım ihlallerini önlemek ve saldırı yüz azaltma kuralının önemli bir bileşenidir.Microsoft Defender antivirüs korumasıBilmiyorum.
Microsoft Defender antivirüs bileşenleri, etki yüz azaltma kuralının mevcut versiyonu olmalıdır.
Microsoft Defender'ın aşağıdaki versiyonu “ anti-virüs bileşeni mevcut sürümden önce iki versiyonu geçmemelidir:
- Güncelleme Microsoft Defender anti-virüs platformuMicrosoft Defender antivirüs platformu aylık olarak güncellenmektedir.
- Microsoft Defender antivirüs motoru versiyonuMicrosoft Defender antivirüs motoru aylık olarak güncellenmektedir.
- Microsoft Defender Anti-Virus Güvenlik İstihbaratıMicrosoft, Microsoft Defender Güvenlik Zekasını sürekli olarak günceller (aynı zamanda tanımlar ve imzalar olarak da bilinir) en son tehditleri ele almak ve algılama mantığını optimize etmek.
Microsoft Defender'ı korumak için 'bugüne kadar anti-virüs versiyonunu tutmak, saldırıya maruz kalan hataları azaltmaya ve Microsoft Defender'ın antivirüs algılama fonksiyonunu geliştirmeye yardımcı olacaktır. Mevcut sürüm hakkında daha fazla bilgi ve farklı Microsoft Defender antivirüs bileşenleri nasıl güncellenir.Microsoft Defender anti-virüs platformu desteğiBilmiyorum.
Uyarı Uyarı Uyarı Uyarı
Bazı kurallar imzalanmamışsa çalışmayacaktır, içsel olarak gelişmiş uygulamalar ve senaryolar daha sık kullanılır. Kod imzaları uygulanmazsa, yüz azaltma kuralı dağıtmak daha zor olacaktır.