Přehled pravidel omezení potenciální oblasti útoku (ASR)

  • Platí pro: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Tip

Jako doplněk k tomuto článku si projděte našeho průvodce nastavením analyzátoru zabezpečení , kde si projděte osvědčené postupy a naučte se posílit ochranu, zlepšit dodržování předpisů a s důvěrou se pohybovat v oblasti kybernetické bezpečnosti. Pokud chcete mít přizpůsobené prostředí založené na vašem prostředí, můžete získat přístup k průvodci automatizovaným nastavením analyzátoru zabezpečení v Centrum pro správu Microsoftu 365.

Prostor pro útoky vaší organizace zahrnuje všechna místa, kde by útočník mohl získat přístup. Další informace najdete v tématu Omezení prostoru útoku v Microsoft Defender for Endpoint.

Pravidla omezení potenciální oblasti útoku (ASR) v Microsoft Defender Antivirus cílí na rizikové chování softwaru na zařízeních s Windows, která útočníci běžně zneužívají prostřednictvím malwaru. Příklady:

  • Spouštění spustitelných souborů a skriptů, které se pokoušejí stáhnout nebo spustit soubory
  • Spouštění obfuskovaných nebo jinak nedůvěryhodných skriptů
  • Vytváření podřízených procesů z potenciálně ohrožených aplikací (například aplikací Office)
  • Vkládání kódu do jiných procesů

I když to můžou dělat i legitimní aplikace, útočníci běžně používají malware, který se chová stejně.

Projděte si následující sérii článků o plánování, testování, implementaci a monitorování pravidel ASR:

Tip

Pokud hledáte informace související s antivirovou ochranou pro jiné platformy, podívejte se na:

Pravidla ASR

Pravidla ASR se seskupují do následujících kategorií:

Dostupná pravidla ASR, jejich odpovídající hodnoty GUID a jejich kategorie jsou popsány v následující tabulce:

  • Odkazy v názvech pravidel vás převezmou na podrobné popisy pravidel v článku s referenčními informacemi o pravidlech ASR .

  • Kromě zásad zabezpečení koncových bodů v Microsoft Intune a Microsoft Configuration Manager identifikují všechny ostatní metody konfigurace pravidel ASR pravidla podle hodnoty GUID.

    Všechny rozdíly v názvu pravidla ASR mezi Microsoft Intune a Microsoft Configuration Manager jsou popsané v tabulce.

    Tip

    Microsoft Configuration Manager byl dříve znám pod jinými názvy:

    • Microsoft System Center Configuration Manager: verze 1511 až 1906 (listopad 2015 až červenec 2019)
    • Microsoft Endpoint Configuration Manager: verze 1910 až 2211 (od prosince 2019 do prosince 2022)
    • Microsoft Configuration Manager: verze 2303 (duben 2023) nebo novější

    Informace o podpoře a aktualizacích najdete v tématu Aktualizace a servis pro Správce konfigurace.

Název pravidla v Microsoft Intune Název pravidla v Microsoft Configuration Manager Identifikátor guid Kategorie
Standardní pravidla ochrany
Blokování zneužití zneužít ohrožených podepsaných ovladačů (zařízení) Není k dispozici 56a863a9-875e-4185-98a7-b882c64b5ce5 Vedlejší
Blokování krádeže přihlašovacích údajů ze subsystému místní autority zabezpečení Windows Stejné 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2 Laterální pohyb & krádež přihlašovacích údajů
Blokování trvalosti prostřednictvím odběru událostí WMI Není k dispozici e6db77e5-3df2-4cf1-b95a-636979351e5b Laterální pohyb & krádež přihlašovacích údajů
Další pravidla ASR
Blokovat Adobe Readeru vytváření podřízených procesů Není k dispozici 7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c Aplikace pro zvýšení produktivity
Blokovat vytváření podřízených procesů všem aplikacím Office Blokovat aplikaci Office ve vytváření podřízených procesů d4f940ab-401b-4efc-aadc-ad5f3c50688a Aplikace pro zvýšení produktivity
Blokování spustitelného obsahu z e-mailového klienta a webové pošty Stejné be9ba2d9-53ea-4cdc-84e5-9b1eeee46550 E-mail
Blokovat spuštění spustitelných souborů, pokud nesplňují kritérium výskytu, věku nebo důvěryhodného seznamu Blokovat spuštění spustitelných souborů, pokud nesplňují kritéria pro rozšíření, věk nebo seznam důvěryhodných souborů 01443614-cd74-433a-b99e-2ecdc07bfc25 Polymorfní hrozby
Blokování spouštění potenciálně obfuskovaných skriptů Stejné 5beb7efe-fd9a-4556-801d-275e5ffc04cc Skript
Blokování spouštění staženého spustitelného obsahu v JavaScriptu nebo VBScriptu Stejné d3e037e1-3eb8-44c8-a917-57927947596d Skript
Blokování aplikací Office ve vytváření spustitelného obsahu Stejné 3b576869-a4ec-4529-8536-b80a7769e899 Aplikace pro zvýšení produktivity
Blokování vkládání kódu do jiných procesů aplikací Office Stejné 75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84 Aplikace pro zvýšení produktivity
Blokovat komunikační aplikaci Office ve vytváření podřízených procesů Není k dispozici 26190899-1602-49e8-8b27-eb1d0a1ce869 Email, aplikace pro produktivitu
Blokování vytváření procesů pocházejících z příkazů PSExec a WMI Není k dispozici d1e49aac-8f56-4280-b9ba-993a6d77406c Laterální pohyb & krádež přihlašovacích údajů
Blokovat restartování počítače v nouzovém režimu Není k dispozici 33ddedf1-c6e0-47cb-833e-de6133960387 Vedlejší
Blokování nedůvěryhodných a nepodepsaných procesů spuštěných z USB Stejné b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4 Polymorfní hrozby
Blokování použití zkopírovaných nebo zosobněných systémových nástrojů Není k dispozici c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb Vedlejší
Blokování vytváření webového prostředí pro servery Není k dispozici a8f5898e-1dc8-49a9-9878-85004b8a61e6 Vedlejší
Blokování volání rozhraní API Win32 z maker Office Stejné 92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b Aplikace pro zvýšení produktivity
Použití pokročilé ochrany proti ransomwaru Stejné c1db55ab-c21a-4637-bb3f-a12568109d35 Polymorfní hrozby

Požadavky na pravidla ASR

Pravidla ASR vyžadují Microsoft Defender Antivirus jako primární antivirovou aplikaci na zařízeních s Windows:

  • Microsoft Defender Antivirová ochrana musí být povolená a v aktivním režimu. Konkrétně Microsoft Defender Antivirus nemůže být v žádném z následujících režimů:

    • Pasivní
    • Pasivní režim s detekcí a odezvou koncového bodu (EDR) v režimu blokování
    • Omezená pravidelná kontrola (LPS)
    • Vypnuto

    Další informace o režimech v Microsoft Defender Antivirus najdete v tématu Jak Microsoft Defender Antivirová ochrana ovlivňuje funkce programu Defender for Endpoint.

  • Ochrana v reálném čase v Microsoft Defender Antivirus musí být zapnutá.

  • Cloudová ochrana (označovaná také jako služba Microsoft Advanced Protection Service nebo MAPS) je pro funkce pravidel ASR zásadní. Cloudová ochrana vylepšuje standardní ochranu v reálném čase a je důležitou součástí prevence porušení malwaru. Některá pravidla ASR mají konkrétně požadavky služby Cloud-Delivery Protection pro upozornění detekce a odezvy koncového bodu (EDR) v Defenderu for Endpoint a automaticky otevíraných otevíraných oznámení uživatelů. Podrobnosti najdete v tématu Upozornění a oznámení z akcí pravidel ASR.

    Ze stejného důvodu musí vaše prostředí umožňovat připojení ke cloudové službě Microsoft Defender Antivirus.

  • Microsoft Defender verze součástí antivirového programu nesmí být starší než dvě verze, než je aktuálně dostupná verze:

    • Verze aktualizace platformy: Aktualizováno měsíčně.
    • Verze MEngine: Aktualizováno měsíčně.
    • Bezpečnostní informace: Microsoft průběžně aktualizuje bezpečnostní informace (označované také jako definice a podpisy), aby řešil nejnovější hrozby a upřesňující logiku detekce.

    Udržování aktuálních verzí antivirové ochrany Microsoft Defender pomáhá omezit počet falešně pozitivních pravidel ASR a zlepšuje možnosti zjišťování Microsoft Defender antivirové ochrany. Další informace o aktuálních verzích a o tom, jak aktualizovat různé součásti Microsoft Defender Antivirus, najdete v tématu podpora platformy Microsoft Defender Antivirus.

  • I když pravidla ASR nevyžadují Microsoft 365 E5, Microsoft doporučuje možnosti zabezpečení E5 nebo ekvivalentních předplatných, aby bylo možné využít následující pokročilé možnosti správy:

    • Monitorování, analýzy a pracovní postupy v Defenderu for Endpoint
    • Možnosti vytváření sestav a konfigurace na portálu Microsoft Defender XDR.

    Pokročilé možnosti správy nejsou k dispozici u jiných licencí (například Windows Professional nebo Microsoft 365 E3). Můžete ale vyvíjet vlastní nástroje pro monitorování a vytváření sestav nad událostmi pravidel ASR, které se vygenerují ve Windows Prohlížeč událostí na každém zařízení (například předávání událostí Windows).

    Další informace o licencování Windows najdete v tématu Licencování Systému Windows a referenční příručce microsoftu k multilicenčním programům.

Podporované operační systémy pro pravidla ASR

Pravidla ASR jsou funkce Microsoft Defender Antivirus, která se nachází v libovolné edici Windows, která obsahuje Microsoft Defender Antivirus (například Windows 11 Home). Pravidla ASR můžete nakonfigurovat místně na zařízeních pomocí PowerShellu nebo Zásady skupiny.

Centralizovaná správa, vytváření sestav a upozorňování pro pravidla ASR v Microsoft Defender for Endpoint jsou k dispozici v následujících edicích a verzích Windows:

  • Edice Pro a Enterprise Windows 10 nebo novější.
  • Windows Server 2012 R2 nebo novější.
  • Lokální Azure (dříve označovaná jako Azure Stack HCI) verze 23H2 nebo novější.

Další informace o podpoře operačních systémů najdete v tématu Podpora operačního systému pro pravidla ASR.

Režimy pravidel ASR

Pravidlo ASR může být v jednom z následujících režimů, jak je popsáno v následující tabulce:

Režim pravidla Kód Popis
Vypnuto nebo
Zakázáno		 0 Pravidlo ASR je explicitně zakázáno.

Tato hodnota může způsobit konflikty, když je stejnému zařízení přiřazeno stejné pravidlo ASR v různých režimech pomocí různých zásad.
Blokovat nebo
Aktivován		 1 Pravidlo ASR je povolené v režimu blokování .
Audit nebo
Režim auditování		 2 Pravidlo ASR je povolené, jako by bylo v režimu blokování , ale bez provedení akce.

Detekce pravidel ASR v režimu auditování jsou k dispozici v následujících umístěních:
Nenakonfigurováno 5 Pravidlo ASR není explicitně povolené.

Tato hodnota je funkčně ekvivalentní zakázané nebo vypnuté, ale bez potenciálního konfliktu pravidel.
Upozornit nebo
Upozornění		 6 Pravidlo ASR je povolené, jako by bylo v režimu blokování , ale uživatelé můžou v automaticky otevíraných oznámeních s upozorněním vybrat možnost Odblokovat a blokovat ho po dobu 24 hodin. Po 24 hodinách musí uživatel blok znovu obejít.

Režim upozornění se podporuje ve verzi Windows 10 1809 (listopad 2018) nebo novější. Pravidla ASR v režimu upozornění v nepodporovaných verzích Windows jsou v podstatě v režimu blokování (není k dispozici obejití).

Režim upozornění není v Microsoft Configuration Manager dostupný.

Režim upozornění má následující Microsoft Defender požadavky na verzi antivirové ochrany:
  • Vydání platformy: 4.18.2008.9 (srpen 2020) nebo novější.
  • Verze motoru: 1.1.17400.5 (srpen 2020) nebo novější.

Následující pravidla ASR nepodporují režim Upozornění :

Microsoft doporučuje režim blokování pro standardní pravidla ochrany a počáteční testování ostatních pravidel ASR v režimu auditování před jejich aktivací v režimu blokování nebo upozornění .

Řada obchodních aplikací je napsána s omezenými bezpečnostními aspekty a můžou se chovat podobným způsobem jako malware. Monitorováním dat z pravidel ASR v režimu auditování a přidáním vyloučení pro požadované aplikace můžete nasadit pravidla ASR bez snížení produktivity.

Před povolením pravidel ASR v režimu blokování vyhodnoťte jejich účinky v režimu auditování a doporučeních zabezpečení. Další informace najdete v tématu Testování pravidel ASR.

Metody nasazení a konfigurace pro pravidla ASR

Microsoft Defender for Endpoint podporuje pravidla ASR, ale neobsahuje integrovanou metodu pro nasazení nastavení pravidel ASR do zařízení. Místo toho použijete samostatný nástroj pro nasazení nebo správu k vytvoření a distribuci zásad pravidel ASR do zařízení. Ne všechny metody nasazení podporují každé pravidlo ASR. Podrobnosti o jednotlivých pravidlech najdete v tématu Podpora metod nasazení pro pravidla ASR.

Následující tabulka shrnuje dostupné metody. Podrobné pokyny ke konfiguraci najdete v tématu Konfigurace pravidel a vyloučení oblasti útoku (ASR).

Metoda Popis
zásady zabezpečení koncových bodů Microsoft Intune Doporučená metoda konfigurace a distribuce zásad pravidel ASR do zařízení. Vyžaduje Microsoft Intune – plán 1 (zahrnuté v předplatných, jako je Microsoft 365 E3 nebo dostupné jako samostatný doplněk).
Microsoft Intune vlastních profilů pomocí OMA-URI Alternativní metoda pro konfiguraci pravidel ASR v Intune pomocí profilů OMA-URI (Open Mobile Alliance – Uniform Resource).
Jakékoli řešení MDM využívající poskytovatele CSP zásad Použijte poskytovatele konfigurační služby (CSP) pro Windows s jakýmkoli řešením MDM.
Microsoft Configuration Manager Používá zásady Microsoft Defender Antivirus v pracovním prostoru Prostředky a kompatibilita.
Zásady skupiny Ke konfiguraci a distribuci pravidel ASR do zařízení připojených k doméně použijte Centralizované Zásady skupiny. Nebo můžete nakonfigurovat Zásady skupiny místně na jednotlivých zařízeních.
PowerShell Nakonfigurujte pravidla ASR místně na jednotlivých zařízeních. PowerShell podporuje všechna pravidla ASR.

Vyloučení souborů a složek pro pravidla ASR

Důležité

Vyloučení souborů nebo složek může výrazně snížit ochranu pravidel ASR. Vyloučené soubory se můžou spouštět a nezaznamenávají se žádné sestavy ani události týkající se souboru. Pokud pravidla ASR detekují soubory, které by se neměly detekovat, použijte k otestování pravidla režim auditování.

Z vyhodnocování pomocí pravidel ASR můžete vyloučit konkrétní soubory a složky . I když pravidlo ASR určí, že soubor nebo složka obsahují škodlivé chování, nezablokuje spuštění vyloučených souborů.

K vyloučení souborů a složek z pravidel ASR můžete použít následující metody:

  • vyloučení Microsoft Defender Antivirus: Ne všechna pravidla ASR tato vyloučení respektují. Další informace o vyloučeních Microsoft Defender Antivirové ochrany najdete v tématu Konfigurace vlastních vyloučení pro Microsoft Defender Antivirus.

    Tip

    Všechna pravidla ASR dodržují vyloučení procesů v Microsoft Defender Antivirus.

  • Globální vyloučení pravidel ASR: Tato vyloučení platí pro všechna pravidla ASR. Všechny metody konfigurace pravidel ASR také podporují konfiguraci globálních vyloučení pravidel ASR.

  • Vyloučení pravidel podle ASR: Přiřaďte různá vyloučení selektivně různým pravidlům ASR. Konfiguraci vyloučení pravidel ASR podporují také následující metody konfigurace pravidel ASR:

  • Indikátory ohrožení zabezpečení (IoC): Většina pravidel ASR respektuje služby IoCs pro blokované soubory a blokované certifikáty. Další informace o ioC najdete v tématu Přehled indikátorů v Microsoft Defender for Endpoint.

Vynucování různých typů vyloučení pro pravidla ASR je shrnuto v následující tabulce:

Název pravidla Respektuje soubor MDAV a
vyloučení složek		 Respektuje globální ASR.
Vyloučení		 Dodržuje pravidlo podle ASR
Vyloučení		 Ctí IoCs pro
Soubory		 Ctí IoCs pro
Certifikáty
Standardní pravidla ochrany
Blokování zneužití zneužít ohrožených podepsaných ovladačů (zařízení) A A A A A
Blokování krádeže přihlašovacích údajů ze subsystému místní autority zabezpečení Windows N A A N N
Blokování trvalosti prostřednictvím odběru událostí WMI N A A N N
Další pravidla ASR
Blokovat Adobe Readeru vytváření podřízených procesů N A A A A
Blokovat vytváření podřízených procesů všem aplikacím Office A A A A A
Blokování spustitelného obsahu z e-mailového klienta a webové pošty A A A A A
Blokovat spuštění spustitelných souborů, pokud nesplňují kritérium výskytu, věku nebo důvěryhodného seznamu A A A A A
Blokování spouštění potenciálně obfuskovaných skriptů A A A A A
Blokování spouštění staženého spustitelného obsahu v JavaScriptu nebo VBScriptu A A A A A
Blokování aplikací Office ve vytváření spustitelného obsahu N A A A A
Blokování vkládání kódu do jiných procesů aplikací Office N A A N N
Blokovat komunikační aplikaci Office ve vytváření podřízených procesů N A A A A
Blokování vytváření procesů pocházejících z příkazů PSExec a WMI N A A A A
Blokovat restartování počítače v nouzovém režimu A A A A A
Blokování nedůvěryhodných a nepodepsaných procesů spuštěných z USB A A A A A
Blokování použití zkopírovaných nebo zosobněných systémových nástrojů A A A A A
Blokování vytváření webového prostředí pro servery A A A A A
Blokování volání rozhraní API Win32 z maker Office A A A A N
Použití pokročilé ochrany proti ransomwaru A A A A A

Při přidávání vyloučení mějte na paměti tyto body:

  • Cesty vyloučení můžou používat proměnné prostředí a zástupné znaků. Další informace najdete v tématu Použití zástupných znaků v seznamech názvů souborů a cest ke složce nebo v seznamech vyloučení přípon.

    Tip

    Nepoužívejte proměnné uživatelského prostředí jako zástupné cardy ve vyloučeních složek a procesů. Jako zástupné cardy používejte pouze následující typy proměnných prostředí:

    • Systémové proměnné prostředí.
    • Proměnné prostředí, které se vztahují na procesy spuštěné jako účet NT AUTHORITY\SYSTEM.

    Seznam systémových proměnných prostředí najdete v tématu Systémové proměnné prostředí.

    • Zástupné znamény nemůžou definovat písmeno jednotky.
    • Pokud chcete v cestě vyloučit více než jednu složku, použijte k označení více vnořených složek několik instancí \*\ . Například: c:\Folder\*\*\Test.
    • Microsoft Configuration Manager podporuje zástupné cardy (*nebo ?).
    • Pokud chcete vyloučit soubor, který obsahuje náhodné znaky (například z automatizovaného generování souborů), použijte ? symbol. Například: C:\Folder\fileversion?.docx.

  • Vyloučení platí pouze při spuštění aplikace nebo služby. Pokud například přidáte vyloučení pro již spuštěnou aktualizační službu, služba aktualizace bude dál spouštět detekce pravidel ASR, dokud službu nerestartujete.

Konflikty zásad v pravidlech ASR

Pokud je stejnému zařízení přiřazené dvě různé zásady pravidel ASR, může dojít k potenciálním konfliktům na základě následujících prvků:

  • Určuje, jestli jsou stejná pravidla ASR přiřazena v různých režimech.
  • Určuje, jestli je zavedeno řízení konfliktů.
  • Jestli je výsledkem chyba.

Nekonfliktní pravidla ASR nevedou k chybám. Použije se první pravidlo a následná nekonfliktní pravidla se sloučí se zásadou.

Pokud řešení správy mobilních zařízení (MDM) a Zásady skupiny použít pro stejné zařízení různá nastavení pravidel ASR, budou mít přednost nastavení Zásady skupiny.

Informace o tom, jak se zpracovávají konflikty nastavení pravidel ASR pro dostupné metody nasazení v Microsoft Intune, najdete v tématu Zařízení spravovaná službou Intune.

Oznámení a upozornění pro pravidla ASR

Když se na zařízení aktivuje pravidlo ASR v režimu blokování nebo upozornění , zobrazí se na zařízení oznámení. Informace v oznámeních můžete přizpůsobit. Další informace najdete v tématu Přizpůsobení kontaktních informací v Zabezpečení Windows.

Upozornění detekce a odezvy koncových bodů (EDR) v Defenderu for Endpoint se generují při aktivaci podporovaných pravidel ASR.

Konkrétní podrobnosti o funkcích oznámení a upozornění najdete v tématu Výstrahy a oznámení z akcí pravidel ASR.

Pokud chcete zobrazit aktivitu upozornění ASR na portálu Microsoft Defender a na zařízeních s Windows Prohlížeč událostí, přečtěte si téma Monitorování aktivity pravidel omezení potenciální oblasti útoku (ASR).

Monitorování aktivity pravidel ASR

Úplné informace najdete v tématu Monitorování aktivity pravidel omezení potenciální oblasti útoku (ASR).

Související obsah

  • Last updated on