Ochrana důležitých složek pomocí řízeného přístupu ke složkám

Platí pro:

• Plán 1 pro Microsoft Defender for Endpoint
• Plán 2 pro Microsoft Defender pro koncový bod
• Microsoft Defender XDR
• Antivirová ochrana v Microsoft Defenderu

Platí pro

• Windows

Chcete používat Defender pro Endpoint? Zaregistrujte se a získejte bezplatnou zkušební verzi,

Co je řízený přístup ke složkům?

Řízený přístup ke složkám pomáhá chránit vaše cenná data před škodlivými aplikacemi a hrozbami, jako je ransomware. Řízený přístup ke složkám chrání vaše data tím, že kontroluje aplikace před seznamem známých a důvěryhodných aplikací. Podporovaný pro klienty Windows Server 2012 R2, Windows Server 2016, Windows Server 2019, Windows Server 2022, Windows 10 a Windows 11. Řízený přístup ke složkům je možné zapnout pomocí aplikace Zabezpečení Windows a Microsoft Endpoint. Configuration Manager nebo Intune (pro spravovaná zařízení).

Poznámka

Skriptovací stroje nejsou důvěryhodné a nemůžete jim povolit přístup k řízeným chráněným složkám. Například PowerShell není důvěryhodný řízeným přístupem ke složkám, a to ani v případě, že povolíte indikátory certifikátů a souborů.

Řízený přístup ke složkám funguje nejlépe s Microsoft Defender for Endpoint, která poskytuje podrobné sestavy o událostech řízeného přístupu ke složkám a bloky v rámci obvyklých scénářů šetření výstrah.

Tip

Bloky řízeného přístupu ke složkům negenerují výstrahy ve frontě výstrah. Informace o blokech řízeného přístupu ke složkům ale můžete zobrazit v zobrazení časové osy zařízení při použití rozšířeného proaktivního vyhledávání nebo pomocí vlastních pravidel detekce.

Jak funguje řízený přístup ke složkům?

Řízený přístup ke složkám funguje tak, že umožňuje přístup k chráněným složkám jenom důvěryhodným aplikacím. Chráněné složky se zadají při konfiguraci řízeného přístupu ke složkám. V seznamu řízených složek jsou obvykle zahrnuté běžně používané složky, například složky používané pro dokumenty, obrázky, soubory ke stažení atd.

Řízený přístup ke složkům funguje se seznamem důvěryhodných aplikací. Aplikace, které jsou zahrnuté v seznamu důvěryhodného softwaru, fungují podle očekávání. Aplikace, které nejsou zahrnuté v seznamu, nebudou moct provádět žádné změny v souborech v chráněných složkách.

Aplikace se do seznamu přidají na základě jejich rozšíření a reputace. Aplikace, které jsou ve vaší organizaci velmi rozšířené a nikdy se nezobrazovat žádné chování považované za škodlivé, jsou považovány za důvěryhodné. Tyto aplikace se do seznamu přidají automaticky.

Aplikace je také možné přidat do seznamu důvěryhodných ručně pomocí Configuration Manager nebo Intune. Další akce je možné provádět na portálu Microsoft Defender.

Proč je řízený přístup ke složkě důležitý

Řízený přístup ke složkům je zvlášť užitečný při ochraně dokumentů a informací před ransomwarem. Při útoku ransomwarem se vaše soubory můžou šifrovat a držet je jako rukojmí. Při řízeném přístupu ke složce se na počítači, kde se aplikace pokusila provést změny souboru v chráněné složce, zobrazí oznámení. Oznámení můžete přizpůsobit podrobnostmi o vaší společnosti a kontaktními informacemi. Pravidla můžete také povolit jednotlivě a přizpůsobit techniky, které funkce monitoruje.

Chráněné složky zahrnují běžné systémové složky (včetně spouštěcích sektorů) a můžete přidat další složky. Můžete také aplikacím povolit přístup k chráněným složkám.

Režim auditování můžete použít k vyhodnocení, jak by řízený přístup ke složkům ovlivnil vaši organizaci, pokud by byl povolený.

Řízený přístup ke složkům je podporován v následujících verzích Windows:

• Windows 10 verze 1709 a novější
• Windows 11
• Windows 2012 R2
• Windows 2016
• Windows Server 2019
• Windows Server 2022

Systémové složky Windows jsou ve výchozím nastavení chráněné

Systémové složky Windows jsou ve výchozím nastavení chráněné společně s několika dalšími složkami:

Chráněné složky zahrnují běžné systémové složky (včetně spouštěcích sektorů) a můžete přidat další složky. Můžete také aplikacím povolit přístup k chráněným složkám. Složky systémů Windows, které jsou ve výchozím nastavení chráněné, jsou:

• c:\Users\<username>\Documents
• c:\Users\Public\Documents
• c:\Users\<username>\Pictures
• c:\Users\Public\Pictures
• c:\Users\Public\Videos
• c:\Users\<username>\Videos
• c:\Users\<username>\Music
• c:\Users\Public\Music
• c:\Users\<username>\Favorites

Výchozí složky se zobrazí v profilu uživatele v části Tento počítač.

Poznámka

Další složky můžete nakonfigurovat jako chráněné, ale nemůžete odebrat složky systému Windows, které jsou ve výchozím nastavení chráněné.

Požadavky na řízený přístup ke složkům

Řízený přístup ke složkům vyžaduje povolení Microsoft Defender antivirové ochrany v reálném čase.

Kontrola událostí řízeného přístupu ke složkě na portálu Microsoft Defender

Defender for Endpoint poskytuje podrobné sestavy událostí a bloků v rámci scénářů šetření výstrah na portálu Microsoft Defender. Viz Microsoft Defender for Endpoint v Microsoft Defender XDR.

Data Microsoft Defender for Endpoint můžete dotazovat pomocí rozšířeného proaktivního vyhledávání. Pokud používáte režim auditování, můžete pomocí rozšířeného proaktivního vyhledávání zjistit, jak by řízené nastavení přístupu ke složkům ovlivnilo vaše prostředí, pokud by bylo povolené.

Příklad dotazu:

DeviceEvents
| where ActionType in ('ControlledFolderAccessViolationAudited','ControlledFolderAccessViolationBlocked')

Kontrola událostí řízeného přístupu ke složkách ve Windows Prohlížeč událostí

Můžete zkontrolovat protokol událostí Windows a zobrazit události, které se vytvářejí při blokování (auditování) řízeného přístupu ke složkě aplikace:

1. Stáhněte zkušební balíček a extrahujte souborcfa-events.xml do snadno přístupného umístění v zařízení.
2. Zadáním příkazu Prohlížeč událostí v nabídce Start otevřete Prohlížeč událostí Windows.
3. Na levém panelu v části Akce vyberte Importovat vlastní zobrazení....
4. Přejděte do umístění, kam jste extrahovalicfa-events.xml , a vyberte ho. Případně zkopírujte kód XML přímo.
5. Vyberte OK.

Následující tabulka obsahuje události související s řízeným přístupem ke složkům:

ID události	Popis
5007	Událost při změně nastavení
1124	Událost auditovaného řízeného přístupu ke složkě
1123	Událost zablokovaného řízeného přístupu ke složkě
1127	Událost bloku zápisu blokovaného přístupového sektoru řízeného přístupu ke složkě
1128	Auditovaná událost bloku zápisu do sektoru řízeného přístupu ke složkě

Zobrazení nebo změna seznamu chráněných složek

Aplikaci Zabezpečení Windows můžete použít k zobrazení seznamu složek, které jsou chráněné řízeným přístupem ke složkám.

1. Na Windows 10 nebo Windows 11 zařízení otevřete aplikaci Zabezpečení Windows.
2. Vyberte Ochrana před viry a hrozbami.
3. V části Ochrana před ransomwarem vyberte Spravovat ochranu před ransomwarem.
4. Pokud je kontrolovaný přístup ke složkám vypnutý, budete ho muset zapnout. Vyberte chráněné složky.
5. Udělejte jednu z těchto věcí:
   • Pokud chcete přidat složku, vyberte + Přidat chráněnou složku.
   • Pokud chcete odebrat složku, vyberte ji a pak vyberte Odebrat.

Poznámka

Systémové složky Windows jsou ve výchozím nastavení chráněné a nemůžete je ze seznamu odebrat. Podsložky jsou také součástí ochrany, když do seznamu přidáte novou složku.

Tip

Chcete se dozvědět více? Engage s komunitou Microsoft Security v naší technické komunitě: Microsoft Defender for Endpoint Tech Community.