Nejčastější dotazy k omezení potenciální oblasti útoku (časté otázky)

  • Platí pro: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Ignorováno

Je omezení potenciální oblasti útoku součástí Windows?

Ano. Pravidla omezení potenciální oblasti útoku (ASR) jsou funkcí Microsoft Defender Antivirové ochrany, která je součástí všech současných edic Windows. Centralizovaná správa a generování sestav pro pravidla ASR ale vyžaduje Microsoft Defender for Endpoint. Další informace najdete v tématu Přehled pravidel omezení potenciální oblasti útoku.

Potřebuji podnikovou licenci ke spouštění pravidel omezení potenciální oblasti útoku?

Ne. Pravidla ASR jsou funkcí Microsoft Defender Antivirové ochrany, takže fungují ve všech edicích Windows. Centralizovaná správa a vytváření sestav prostřednictvím Microsoft Intune nebo Microsoft Configuration Manager ale vyžaduje Microsoft Defender for Endpoint a odpovídající podnikové licencování.

Další informace o licencování Windows najdete v tématu https://www.microsoft.com/licensing/product-licensing/windows.

Jaké další možnosti omezení potenciálního útoku jsou u Microsoft Defender for Endpoint k dispozici?

Microsoft Defender for Endpoint poskytuje centralizovanou správu a monitorování pravidel ASR, včetně:

  • Centralizované nasazení a konfigurace pravidel ASR napříč zařízeními
  • Generování sestav pravidel ASR a viditelnost výstrah na portálu Microsoft Defender.
  • Rozšířené dotazy proaktivního vyhledávání pro události pravidel ASR

Tyto funkce vyžadují licenci Defenderu for Endpoint (například jako součást Microsoft 365 E3 nebo E5). Další informace najdete v tématu Metody nasazení a konfigurace pravidel ASR.

Jaká jsou aktuálně podporovaná pravidla omezení potenciální oblasti útoku?

Další informace najdete v referenčních informacích k pravidlu omezení potenciální oblasti útoku.

Musím současně zapnout všechna pravidla omezení potenciální oblasti útoku, nebo můžu zapnout jednotlivá pravidla?

Pravidla ASR můžete povolit jednotlivě. Doporučujeme, abyste nejprve povolili většinu pravidel v režimu auditování , abyste zjistili možný dopad na vaši organizaci (například na obchodní aplikace).

Jak fungují vyloučení pravidel omezení potenciální oblasti útoku?

Pravidla ASR podporují následující typy vyloučení:

  • Globální vyloučení pravidel ASR platí pro všechna pravidla ASR. Všechny metody konfigurace pravidel ASR podporují globální vyloučení.
  • Vyloučení pravidel podle ASR se vztahují na jednotlivá pravidla, takže různým pravidlům můžete přiřadit různá vyloučení. Vyloučení podle pravidel podporují jenom zásady zabezpečení Zásady skupiny a koncových bodů v Microsoft Intune.

Ne všechna pravidla ASR dodržují vyloučení Microsoft Defender antivirové ochrany. Úplný rozpis podpory vyloučení pro jednotlivá pravidla najdete v tématu Vyloučení souborů a složek pro pravidla ASR.

Návody víte, co mám vyloučit?

Různá pravidla omezení potenciální oblasti útoku mají různé toky ochrany. Vždy myslete na to, před čím pravidlo omezení prostoru útoku chrání a jak funguje tok provádění. Například čtení přímo z procesu LSASS (Local Security Authority Subsystem) může představovat bezpečnostní riziko, protože může vystavit podnikové přihlašovací údaje.

Pravidlo Blokování krádeže přihlašovacích údajů ze subsystému místní autority zabezpečení Windows (lsass.exe) brání nedůvěryhodným procesům v přímém přístupu k paměti LSASS. Když se proces s přístupovým PROCESS_VM_READ právem pokusí použít OpenProcess() funkci pro přístup k LSASS, pravidlo toto přístupová práva konkrétně zablokuje, jak je znázorněno na následujícím snímku obrazovky:

Snímek obrazovky s blokováním krádeže přihlašovacích údajů ze služby LSASS

Pokud potřebujete vytvořit výjimku pro zablokovaný proces, použijte název souboru a úplnou cestu, jak je znázorněno na následujícím snímku obrazovky:

Snímek obrazovky s vyloučením souborů z pravidel ASR

Hodnota 0 znamená, že pravidla ASR ignorují zadaný soubor nebo proces a neblokují ani ne auditují.

Návody nakonfigurovat vyloučení pro jednotlivá pravidla?

Vyloučení pravidel podle ASR se podporují jenom v zásadách zabezpečení Zásady skupiny a koncových bodů v Microsoft Intune. Pokyny ke konfiguraci najdete v tématu Povolení pravidel omezení potenciální oblasti útoku. Informace o různých typech vyloučení najdete v tématu Vyloučení souborů a složek pro pravidla ASR.

Jaká pravidla omezení potenciální oblasti útoku microsoft doporučuje?

Obecně doporučujeme povolit všechna pravidla, ale s následujícími aspekty:

Jaká jsou některá doporučení, jak začít s omezováním potenciální oblasti útoku?

Otestujte pravidla omezení potenciální oblasti útoku v režimu auditování a identifikujte všechny obchodní aplikace, které potřebujete vyloučit z omezení potenciální oblasti útoku.

Velké organizace by měly zvážit zavádění pravidel omezení potenciální oblasti útoku při rozšiřování "okruhů", kde auditujete a povolíte pravidla pro více zařízení. Zařízení můžete uspořádat do okruhů pomocí Microsoft Intune nebo nástroje pro správu Zásady skupiny.

Pokyny najdete v tématu Přehled nasazení pravidel omezení potenciální oblasti útoku.

Jak dlouho mám otestovat pravidlo omezení potenciální oblasti útoku v režimu auditu, než ho povolím?

Pravidlo v režimu auditování po dobu přibližně 30 dnů by mělo poskytovat dobrý směrný plán pro fungování pravidla. Můžete identifikovat všechny obchodní aplikace, které vyžadují vyloučení.

Přecházím z řešení zabezpečení jiného než Microsoftu na Microsoft Defender for Endpoint. Existuje snadný způsob, jak importovat stará pravidla, aby se snížila plocha útoku?

Ve většině případů je jednodušší a lepší začít se standardními doporučeními, která navrhuje Defender for Endpoint , než se pokusit importovat pravidla z jiného řešení zabezpečení. Ke konfiguraci Defenderu for Endpoint použijte režim auditování , monitorování a analýzu.

Výchozí konfigurace pro většinu pravidel omezení potenciální oblasti útoku v kombinaci s ochranou defenderu for Endpoint v reálném čase chrání před velkým počtem zneužití a ohrožení zabezpečení.

V Defenderu for Endpoint můžete svou obranu aktualizovat pomocí vlastních indikátorů, které umožňují a blokují konkrétní chování softwaru. Pravidla ASR také podporují vyloučení souborů a složek. Obecně platí, že otestujte pravidlo v režimu auditování , abyste identifikovali vyloučení, která by se mohla vyžadovat pro obchodní aplikace.

Podporuje omezení potenciálních oblastí útoku vyloučení souborů nebo složek, které v cestě zahrnují systémové proměnné a zástupné é znakůchmum

Ano. Další informace najdete v následujících článcích:

Vztahují se pravidla omezení potenciální oblasti útoku na všechny aplikace?

Záleží na pravidle. Většina pravidel se vztahuje na chování produktů a služeb systém Microsoft Office, například Word, Excelu, PowerPointu, OneNotu nebo Outlooku. Některá pravidla (například Blokovat spouštění potenciálně obfuskovaných skriptů) jsou obecnější.

Podporuje omezení potenciálních oblastí útoku řešení zabezpečení jiných společností než Microsoft?

Ne. Omezení potenciální oblasti útoku používá k blokování aplikací Microsoft Defender Antivirovou ochranu. Omezení potenciální oblasti útoku není možné nakonfigurovat tak, aby používalo jiné řešení zabezpečení.

Mám licenci Windows Enterprise E5 a povolil(a) jsem v Programu Defender for Endpoint některá pravidla omezení potenciálního útoku. Je možné, že se na časové ose události v Defenderu for Endpoint nezobrazí událost omezení potenciální oblasti útoku?

Když pravidlo omezení potenciální oblasti útoku místně aktivuje oznámení, odešle se na portál Defenderu for Endpoint také zpráva o události. Pokud máte potíže najít událost, můžete časovou osu událostí filtrovat pomocí vyhledávacího pole.

Události omezení potenciální oblasti útoku můžete zobrazit také tak, že na hlavním panelu Microsoft Defender pro cloud vyberete Přejít na správu oblastí útoku v části Správa konfigurace. Stránka pro správu prostoru pro útoky obsahuje kartu pro zjišťování sestav, která obsahuje úplný seznam událostí pravidel omezení potenciální oblasti útoku hlášených do Defenderu for Endpoint.

Použil(a) jsem pravidlo pomocí Zásady skupiny. Když se pokusím zkontrolovat možnosti indexování pravidla v Microsoft Outlooku, zobrazí se chyba Přístup odepřen.

Zkuste otevřít možnosti indexování přímo z Windows 10 nebo novější zadáním možností indexování do vyhledávacího pole.

Pro pravidlo s názvem Blokovat spuštění spustitelných souborů, pokud nesplňují kritérium výskytu, věku nebo důvěryhodného seznamu, můžu kritéria nakonfigurovat ručně?

Ne. Microsoft Cloud Protection udržuje kritéria pomocí dat shromážděných z celého světa. Pravidlo můžete přizpůsobit přidáním aplikací do seznamu vyloučení, aby se pravidlo neaktivovalo.

Pravidlo s názvem Blokovat spuštění spustitelných souborů, pokud nesplňují kritérium výskytu, věku nebo důvěryhodného seznamu, je v mé organizaci v režimu blokování. Pravidlo začalo blokovat dříve odblokovanou aplikaci po aktualizaci aplikace. Je něco špatně?

Toto pravidlo určuje reputaci aplikace využívající rozšíření, stáří nebo zahrnutí do seznamu důvěryhodných aplikací. Posouzení těchto kritérií cloudovou ochranou Microsoftu nakonec určuje rozhodnutí o blokování nebo povolení aplikace.

Cloudová ochrana obvykle dokáže zjistit, že nová verze aplikace je dostatečně podobná předchozím verzím aplikace, takže není potřeba zdlouhavé přehodnocování aplikace. Může ale nějakou dobu trvat, než si nová verze aplikace vytvoří reputaci, zejména po významné aktualizaci. Mezitím můžete aplikaci přidat do seznamu vyloučení. Pokud často aktualizujete a pracujete s novými verzemi aplikací, můžete zvážit konfiguraci tohoto pravidla v režimu auditování .

Nedávno jsem povolil(a) pravidlo omezení potenciální oblasti útoku s názvem Blokovat krádež přihlašovacích údajů ze subsystému místní autority zabezpečení Windows a dostávám velký počet oznámení. Co se děje?

Oznámení vygenerované tímto pravidlem nemusí nutně označovat škodlivou aktivitu. Toto pravidlo je ale stále užitečné pro blokování škodlivých aktivit. Malware často cílí na lsass.exe, aby získal neoprávněný přístup k účtům. Proces lsass.exe ukládá přihlašovací údaje uživatele do paměti po přihlášení uživatele. Systém Windows používá tyto přihlašovací údaje k ověření uživatelů a použití místních zásad zabezpečení.

Vzhledem k tomu, že mnoho legitimních procesů volá lsass.exe přihlašovací údaje, může být toto pravidlo obzvláště hlučné. Pokud známá legitimní aplikace způsobí, že toto pravidlo generuje nadměrný počet oznámení, můžete ji přidat do seznamu vyloučení. Většina ostatních pravidel omezení potenciální oblasti útoku generuje relativně menší počet oznámení.

Je vhodné povolit pravidlo s názvem Blokovat krádež přihlašovacích údajů ze subsystému místní autority zabezpečení Windows společně s ochranou LSA?

Ne. Pokud jste povolili ochranu místní autority zabezpečení (LSA) (kterou doporučujeme společně s ochranou Credential Guard):

  • Toto pravidlo není povinné.
  • Toto pravidlo neposkytuje dodatečnou ochranu (pravidlo a ochrana LSA fungují podobně).
  • Toto pravidlo se klasifikuje jako nepoužitelné v nastavení správy defenderu for Endpoint na portálu Microsoft Defender.

Pokud nemůžete povolit ochranu LSA nebo Ochranu Credential Guard, můžete toto pravidlo nakonfigurovat tak, aby poskytovalo ekvivalentní ochranu proti malwaru, který cílí na lsass.exe.

Související obsah

Kde najdu další informace o pravidlech omezení potenciální oblasti útoku?

  • Last updated on