فهم واستخدام قدرات تقليل الأجزاء المعرضة للهجوم

  • مقالة

ينطبق على:

الأنظمة الأساسية

  • بالنسبة لنظام التشغيل

تلميح

هل تريد تجربة Defender لنقطة النهاية؟ التسجيل للحصول على إصدار تجريبي مجاني.

أسطح الهجوم هي جميع الأماكن التي تكون فيها مؤسستك عرضة للتهديدات الإلكترونية والهجمات. يتضمن Defender لنقطة النهاية العديد من الإمكانات للمساعدة في تقليل أسطح الهجوم. شاهد الفيديو التالي لمعرفة المزيد حول تقليل الأجزاء المعرضة للهجوم.

تكوين قدرات تقليل الأجزاء المعرضة للهجوم

لتكوين تقليل الأجزاء المعرضة للهجوم في بيئتك، اتبع الخطوات التالية:

  1. تمكين العزل المستند إلى الأجهزة ل Microsoft Edge.

  2. تمكين قواعد تقليل الأجزاء المعرضة للهجوم.

  3. تمكين التحكم في التطبيق.

    1. مراجعة النهج الأساسية في Windows. راجع مثال على النهج الأساسية.

    2. راجع دليل تصميم Windows Defender Application Control.

    3. راجع نشر نهج التحكم في تطبيق Windows Defender (WDAC).

  4. تمكين الوصول المتحكم به إلى المجلدات.

  5. تمكين حماية التخزين القابلة للإزالة.

  6. قم بتشغيل حماية الشبكة.

  7. تمكين حماية الويب.

  8. تمكين الحماية من الهجمات.

  9. إعداد جدار حماية الشبكة.

    1. احصل على نظرة عامة على جدار حماية Windows مع أمان متقدم.

    2. استخدم دليل تصميم جدار حماية Windows لتحديد الطريقة التي تريد بها تصميم نهج جدار الحماية.

    3. استخدم دليل توزيع جدار حماية Windows لإعداد جدار الحماية الخاص بمؤسستك بأمان متقدم.

تلميح

في معظم الحالات، عند تكوين قدرات تقليل الأجزاء المعرضة للهجوم، يمكنك الاختيار من بين عدة طرق:

  • Microsoft Intune
  • Microsoft Configuration Manager
  • نهج المجموعة
  • أوامر PowerShell Cmdlet

اختبار تقليل سطح الهجوم في Microsoft Defender لنقطة النهاية

كجزء من فريق الأمان في مؤسستك، يمكنك تكوين قدرات تقليل الأجزاء المعرضة للهجوم للتشغيل في وضع التدقيق لمعرفة كيفية عملها. يمكنك تمكين ميزات أمان تقليل سطح الهجوم التالية في وضع التدقيق:

  • قواعد تقليل الأجزاء المعرضة للهجوم
  • الحماية من استغلال
  • حماية الشبكة
  • الوصول إلى المجلدات الخاضعة للتحكم
  • التحكم في الجهاز

يتيح لك وضع التدقيق رؤية سجل لما كان سيحدث إذا تم تمكين الميزة.

يمكنك تمكين وضع التدقيق عند اختبار كيفية عمل الميزات. يساعد تمكين وضع التدقيق للاختبار فقط على منع وضع التدقيق من التأثير على تطبيقات خط العمل. يمكنك أيضا الحصول على فكرة عن عدد محاولات تعديل الملفات المشبوهة التي تحدث خلال فترة زمنية معينة.

لا تمنع الميزات أو تمنع تعديل التطبيقات أو البرامج النصية أو الملفات. ومع ذلك، يسجل سجل أحداث Windows الأحداث كما لو كانت الميزات ممكنة بالكامل. باستخدام وضع التدقيق، يمكنك مراجعة سجل الأحداث لمعرفة تأثير الميزة إذا تم تمكينها.

للعثور على الإدخالات التي تم تدقيقها، انتقل إلى التطبيقات والخدمات>Microsoft>Windows>Windows Defender>Operational.

استخدم Defender لنقطة النهاية للحصول على مزيد من التفاصيل لكل حدث. هذه التفاصيل مفيدة بشكل خاص للتحقيق في قواعد تقليل الأجزاء المعرضة للهجوم. يتيح لك استخدام وحدة تحكم Defender لنقطة النهاية التحقيق في المشكلات كجزء من المخطط الزمني للتنبيه وسيناريوهات التحقيق.

يمكنك تمكين وضع التدقيق باستخدام موفري خدمة نهج المجموعة وPowerShell والتكوين (CSPs).

خيارات التدقيق كيفية تمكين وضع التدقيق كيفية عرض الأحداث
ينطبق التدقيق على جميع الأحداث تمكين الوصول إلى المجلدات الخاضعة للتحكم أحداث الوصول إلى المجلدات الخاضعة للرقابة
ينطبق التدقيق على القواعد الفردية الخطوة 1: اختبار قواعد تقليل الأجزاء المعرضة للهجوم باستخدام وضع التدقيق الخطوة 2: فهم صفحة إعداد تقارير قواعد تقليل الأجزاء المعرضة للهجوم
ينطبق التدقيق على جميع الأحداث تمكين حماية الشبكة أحداث حماية الشبكة
ينطبق التدقيق على عوامل التخفيف الفردية تمكين الحماية من استغلال أحداث الحماية من الهجمات

على سبيل المثال، يمكنك اختبار قواعد تقليل الأجزاء المعرضة للهجوم في وضع التدقيق قبل تمكينها في وضع الحظر. قواعد تقليل الأجزاء المعرضة للهجوم محددة مسبقا لتقوية أسطح الهجوم الشائعة والمعروفة. هناك العديد من الطرق التي يمكنك استخدامها لتنفيذ قواعد تقليل الأجزاء المعرضة للهجوم. يتم توثيق الأسلوب المفضل في مقالات نشر قواعد تقليل الأجزاء المعرضة للهجوم التالية:

عرض أحداث تقليل الأجزاء المعرضة للهجوم

راجع أحداث تقليل الأجزاء المعرضة للهجوم في عارض الأحداث لمراقبة القواعد أو الإعدادات التي تعمل. يمكنك أيضا تحديد ما إذا كانت أي إعدادات "مزعجة" جدا أو تؤثر على سير العمل اليومي.

تعد مراجعة الأحداث مفيدة عند تقييم الميزات. يمكنك تمكين وضع التدقيق للميزات أو الإعدادات، ثم مراجعة ما كان سيحدث إذا تم تمكينها بالكامل.

يسرد هذا القسم جميع الأحداث أو الميزة أو الإعداد المقترن بها، ويصف كيفية إنشاء طرق عرض مخصصة للتصفية لأحداث معينة.

احصل على تقارير مفصلة حول الأحداث والكتل والتحذيرات كجزء من أمن Windows إذا كان لديك اشتراك E5 واستخدم Microsoft Defender لنقطة النهاية.

استخدام طرق العرض المخصصة لمراجعة قدرات تقليل الأجزاء المعرضة للهجوم

الإنشاء طرق العرض المخصصة في عارض الأحداث Windows لمشاهدة الأحداث لإمكانيات وإعدادات معينة فقط. أسهل طريقة هي استيراد طريقة عرض مخصصة كملف XML. يمكنك نسخ XML مباشرة من هذه الصفحة.

يمكنك أيضا الانتقال يدويا إلى منطقة الحدث التي تتوافق مع الميزة.

استيراد طريقة عرض XML مخصصة موجودة

  1. الإنشاء ملف .txt فارغ وانسخ XML للعرض المخصص الذي تريد استخدامه في ملف .txt. قم بذلك لكل طريقة عرض مخصصة تريد استخدامها. أعد تسمية الملفات كما يلي (تأكد من تغيير النوع من .txt إلى .xml):

    • طريقة عرض مخصصة لأحداث الوصول إلى المجلدات المتحكم بها: cfa-events.xml
    • طريقة عرض مخصصة لأحداث الحماية من الهجمات: ep-events.xml
    • عرض مخصص لأحداث تقليل الأجزاء المعرضة للهجوم: asr-events.xml
    • عرض مخصص لأحداث الشبكة/ الحماية: np-events.xml

  2. اكتب عارض الأحداث في قائمة البدء وافتح عارض الأحداث.

  3. حدد إجراء>استيراد طريقة عرض مخصصة...

    رسم متحرك يسلط الضوء على استيراد طريقة عرض مخصصة على يسار نافذة عارض زوجي.

  4. انتقل إلى المكان الذي استخرجت فيه ملف XML للعرض المخصص الذي تريده وحدده.

  5. حدد فتح.

  6. يقوم بإنشاء طريقة عرض مخصصة تقوم بالتصفية لإظهار الأحداث المتعلقة بتلك الميزة فقط.

نسخ XML مباشرة

  1. اكتب عارض الأحداث في قائمة البدء وافتح عارض الأحداث Windows.

  2. في اللوحة اليسرى، ضمن Actions، حدد الإنشاء Custom View...

    رسم متحرك يسلط الضوء على خيار إنشاء طريقة عرض مخصصة في نافذة عارض الأحداث.

  3. انتقل إلى علامة التبويب XML وحدد تحرير الاستعلام يدويا. ترى تحذيرا بأنه لا يمكنك تحرير الاستعلام باستخدام علامة التبويب تصفية إذا كنت تستخدم خيار XML. حدد نعم.

  4. الصق رمز XML للميزة التي تريد تصفية الأحداث منها في قسم XML.

  5. حدد موافق. حدد اسما لعامل التصفية الخاص بك. ينشئ هذا الإجراء طريقة عرض مخصصة تقوم بالتصفية لإظهار الأحداث المتعلقة بتلك الميزة فقط.

XML لأحداث قاعدة تقليل الأجزاء المعرضة للهجوم

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML لأحداث الوصول إلى المجلدات الخاضعة للرقابة

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML لأحداث الحماية من الهجمات

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

XML لأحداث حماية الشبكة

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

قائمة بأحداث تقليل الأجزاء المعرضة للهجوم

تقع جميع أحداث تقليل الأجزاء المعرضة للهجوم ضمن سجلات التطبيقات والخدمات > Microsoft > Windows ثم المجلد أو الموفر كما هو مدرج في الجدول التالي.

يمكنك الوصول إلى هذه الأحداث في عارض أحداث Windows:

  1. افتح قائمة البدء واكتب عارض الأحداث، ثم حدد النتيجة عارض الأحداث.

  2. قم بتوسيع سجلات > التطبيقات والخدمات Microsoft > Windows ثم انتقل إلى المجلد المدرج ضمن Provider/source في الجدول أدناه.

  3. انقر نقرا مزدوجا فوق العنصر الفرعي لمشاهدة الأحداث. قم بالتمرير عبر الأحداث للعثور على الحدث الذي تبحث عنه.

    رسم متحرك يظهر باستخدام عارض الأحداث.

الميزة موفّر/مصدر معرف الحدث الوصف
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 1 تدقيق ACG
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 2 فرض ACG
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 3 عدم السماح بمراجعة العمليات التابعة
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 4 عدم السماح بحظر العمليات التابعة
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 5 حظر تدقيق الصور منخفضة التكامل
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 6 حظر كتلة صور التكامل المنخفض
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 7 حظر تدقيق الصور البعيدة
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 8 حظر كتلة الصور البعيدة
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 9 تعطيل تدقيق مكالمات نظام Win32k
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 10 تعطيل كتلة مكالمات نظام win32k
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 11 حماية تكامل التعليمات البرمجية
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 12 كتلة حماية تكامل التعليمات البرمجية
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 13 تدقيق EAF
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 14 فرض EAF
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 15 تدقيق EAF+
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 16 فرض EAF+
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 17 تدقيق IAF
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 18 فرض IAF
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 19 تدقيق ROP StackPivot
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 20 فرض ROP StackPivot
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 21 تدقيق ROP CallerCheck
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 22 فرض ROP CallerCheck
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 23 تدقيق ROP SimExec
الحماية من استغلال التخفيفات الأمنية (وضع Kernel / وضع المستخدم) 24 فرض ROP SimExec
الحماية من استغلال WER-Diagnostics 5 كتلة CFG
الحماية من استغلال Win32K (تشغيلي) 260 خط غير موثوق به
حماية الشبكة Windows Defender (تشغيلي) 5007 حدث عند تغيير الإعدادات
حماية الشبكة Windows Defender (تشغيلي) 1125 حدث عندما يتم تشغيل حماية الشبكة في وضع التدقيق
حماية الشبكة Windows Defender (تشغيلي) 1126 حدث عندما يتم تشغيل حماية الشبكة في وضع الحظر
الوصول إلى المجلدات الخاضعة للتحكم Windows Defender (تشغيلي) 5007 حدث عند تغيير الإعدادات
الوصول إلى المجلدات الخاضعة للتحكم Windows Defender (تشغيلي) 1124 حدث الوصول إلى المجلد المتحكم فيه المدقق
الوصول إلى المجلدات الخاضعة للتحكم Windows Defender (تشغيلي) 1123 حدث الوصول إلى المجلد المتحكم به المحظور
الوصول إلى المجلدات الخاضعة للتحكم Windows Defender (تشغيلي) 1127 حدث كتلة كتابة قطاع الوصول إلى المجلدات المحظورة
الوصول إلى المجلدات الخاضعة للتحكم Windows Defender (تشغيلي) 1128 حدث كتلة كتابة قطاع الوصول إلى المجلدات المتحكم فيه المدقق
قواعد تقليل الأجزاء المعرضة للهجوم Windows Defender (تشغيلي) 5007 حدث عند تغيير الإعدادات
قواعد تقليل الأجزاء المعرضة للهجوم Windows Defender (تشغيلي) 1122 حدث عندما يتم تشغيل القاعدة في وضع التدقيق
قواعد تقليل الأجزاء المعرضة للهجوم Windows Defender (تشغيلي) 1121 حدث عندما يتم تشغيل القاعدة في وضع الحظر

ملاحظة

من منظور المستخدم، يتم إجراء إعلامات وضع التحذير لتقليل الأجزاء المعرضة للهجوم كإخطار منبثق ل Windows لقواعد تقليل الأجزاء المعرضة للهجوم.

في تقليل الأجزاء المعرضة للهجوم، توفر حماية الشبكة أوضاع التدقيق والكتلة فقط.

موارد لمعرفة المزيد حول تقليل الأجزاء المعرضة للهجوم

كما هو مذكور في الفيديو، يتضمن Defender لنقطة النهاية العديد من قدرات تقليل الأجزاء المعرضة للهجوم. استخدم الموارد التالية لمعرفة المزيد:

مقالة الوصف
التحكم في التطبيق استخدم التحكم في التطبيق بحيث يجب أن تكتسب تطبيقاتك الثقة من أجل التشغيل.
مرجع قواعد تقليل الأجزاء المعرضة للهجوم يوفر تفاصيل حول كل قاعدة تقليل الأجزاء المعرضة للهجوم.
دليل توزيع قواعد تقليل الأجزاء المعرضة للهجوم يقدم معلومات النظرة العامة والمتطلبات الأساسية لتوزيع قواعد تقليل الأجزاء المعرضة للهجوم، متبوعة بإرشادات خطوة بخطوة للاختبار (وضع التدقيق)، وتمكين (وضع الحظر) والمراقبة.
الوصول إلى المجلدات الخاضعة للتحكم المساعدة في منع التطبيقات الضارة أو المشبوهة (بما في ذلك البرامج الضارة لتشفير الملفات) من إجراء تغييرات على الملفات الموجودة في مجلدات النظام الرئيسية (يتطلب Microsoft Defender مكافحة الفيروسات).
عنصر تحكم الجهاز يحمي من فقدان البيانات من خلال مراقبة الوسائط المستخدمة على الأجهزة والتحكم فيها، مثل التخزين القابل للإزالة ومحركات أقراص USB، في مؤسستك.
الحماية من استغلال المساعدة في حماية أنظمة التشغيل والتطبيقات التي تستخدمها مؤسستك من الاستغلال. تعمل الحماية من الهجمات أيضا مع حلول مكافحة الفيروسات التابعة لجهة خارجية.
العزل المستند إلى الأجهزة حماية وصيانة تكامل النظام عند بدء تشغيله وأثناء تشغيله. التحقق من سلامة النظام من خلال الإثبات المحلي والنائية. استخدم عزل الحاوية ل Microsoft Edge للمساعدة في الحماية من مواقع الويب الضارة.
حماية الشبكة قم بتوسيع الحماية لحركة مرور الشبكة والاتصال على أجهزة مؤسستك. (يتطلب Microsoft Defender مكافحة الفيروسات).
اختبار قواعد تقليل الأجزاء المعرضة للهجوم يوفر خطوات لاستخدام وضع التدقيق لاختبار قواعد تقليل الأجزاء المعرضة للهجوم.
حماية ويب تتيح لك حماية الويب تأمين أجهزتك من تهديدات الويب وتساعدك على تنظيم المحتوى غير المرغوب فيه.

تلميح

هل تريد معرفة المزيد؟ Engage مع مجتمع أمان Microsoft في مجتمعنا التقني: Microsoft Defender لنقطة النهاية Tech Community.