Povolte nasazení pravidel pro omezení prostoru pro útok (ASR)

  • Platí pro: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Tento článek je součástí průvodce nasazením pravidel omezení potenciální oblasti útoku (ASR).

Po otestování pravidel ASR v režimu auditování je přepojíte do režimu blokování nebo upozornění a začněte prvním okruhem nasazení. Tento článek popisuje, jak přesunout pravidla ASR z auditování do režimu Blokování nebo upozornění v prvním okruhu nasazení a pak bezpečně rozšířit nasazení napříč dalšími okruhy.

Diagram kroků pro implementaci pravidel ASR: přechod z režimu auditování do režimu blokování a pak rozbalení na další okruhy

Krok 1: Změna režimu ASR z auditu na blokování

Při přechodu pravidel ASR z režimu auditování na režim blokování nebo upozornění u prvního okruhu nasazení proveďte následující kroky.

  1. Jakmile určíte všechna požadovaná vyloučení pravidel v režimu auditování , začněte některá pravidla nastavovat na režim blokování nebo upozornění . Začněte pravidlem s nejmenším aktivovanými událostmi. Pokyny najdete v tématu Konfigurace pravidel a vyloučení oblasti útoku (ASR).

  2. Zkontrolujte aktivitu pravidel ASR. Přečtěte si také zpětnou vazbu od svých šampionů.

  3. Podle potřeby upřesněte vyloučení nebo vytvořte nová vyloučení.

Tip

Vyloučení pravidel jsou lepší než vypnutí pravidel nebo jejich přepnutí zpět do režimu auditování .

Využijte režim Upozornění v dostupných pravidlech k omezení přerušení. Režim upozornění umožňuje zachytit aktivované události a zobrazit potenciální přerušení, aniž by ve skutečnosti blokoval přístup uživatelů (mohou kliknout na upozornění). Další informace najdete v tématu Režimy pravidel ASR.

Krok 2: Rozšiřte nasazení do okruhu n + 1

Pokud jste si jistí, že jste správně nakonfigurovali pravidla ASR pro okruh 1, můžete rozšířit rozsah nasazení na další okruh (okruh n + 1).

Proces nasazení každého dalšího okruhu je následující:

  1. Povolte pravidla ASR v režimu auditování .

  2. Zkontrolujte aktivitu pravidel ASR.

  3. Podle potřeby vytvořte vyloučení.

  4. Zkontrolujte aktivitu pravidel ASR a upřesněte vyloučení.

  5. Nastavte pravidla na Režim blokování .

  6. Zkontrolujte aktivitu pravidel ASR.

  7. Podle potřeby vytvořte vyloučení.

  8. Zakažte problematická pravidla nebo je přepněte zpět do režimu auditování .

Související obsah

  • Last updated on