Informe de reglas de reducción de superficie expuesta a ataques
Se aplica a:
- Microsoft Defender para punto de conexión Plan 1
- Microsoft Defender para punto de conexión Plan 2
- Microsoft Defender XDR
Plataformas:
- Windows
El informe de reglas de reducción de superficie expuesta a ataques proporciona información sobre las reglas de reducción de superficie expuesta a ataques que se aplican a los dispositivos de la organización. Este informe también proporciona información sobre:
- amenazas detectadas
- amenazas bloqueadas
- dispositivos que no están configurados para usar las reglas de protección estándar para bloquear amenazas
Además, este informe proporciona una interfaz fácil de usar que le permite:
- Visualización de detecciones de amenazas
- Visualización de la configuración de las reglas de ASR
- Configurar exclusiones (agregar)
- Explorar en profundidad para recopilar información detallada
Para obtener más información sobre las reglas de reducción de superficie expuesta a ataques individuales, consulte Referencia de reglas de reducción de superficie expuesta a ataques.
Requisitos previos
Importante
Para acceder al informe de reglas de reducción de superficie expuesta a ataques, se necesitan permisos de lectura para el portal de Microsoft Defender. Para que Windows Server 2012 R2 y Windows Server 2016 aparezcan en el informe de reglas de reducción de superficie expuesta a ataques, estos dispositivos deben incorporarse mediante el paquete de solución unificada moderno. Para obtener más información, consulta Nueva funcionalidad en la solución unificada moderna para Windows Server 2012 R2 y 2016.
Permisos de acceso de informes
Para acceder al informe de reglas de reducción de superficie expuesta a ataques en el portal de Microsoft Defender, se requieren los permisos siguientes:
| Tipo de permiso | Permiso | Nombre para mostrar del permiso |
|---|---|---|
| Aplicación | Machine.Read.All |
Read all machine profiles |
| Delegado (cuenta profesional o educativa) | Machine.Read |
Read machine information |
Puede asignar permisos mediante el identificador de Microsoft Entra o el portal de Microsoft Defender.
- Para usar el identificador de Microsoft Entra, consulte Asignación de roles de Microsoft Entra a los usuarios
- Para usar el portal de Microsoft Defender, consulte Asignación de acceso de usuario.
Vaya al informe de reglas de reducción de superficie expuesta a ataques.
Para ir a las tarjetas de resumen del informe de reglas de reducción de superficie expuesta a ataques
- Abra el portal XDR de Microsoft Defender .
- En el panel izquierdo, haga clic enInformes y, en la sección principal, en Informes , seleccione Informe de seguridad.
- Desplácese hacia abajo hasta Dispositivos para buscar las tarjetas de resumen de las reglas de reducción de superficie expuesta a ataques .
Las tarjetas de informe de resumen para las reglas asr se muestran en la siguiente ilustración.
Tarjetas de resumen del informe de reglas de ASR
El resumen del informe de reglas de ASR se divide en dos tarjetas:
- Tarjeta de resumen de detecciones de reglas de ASR
- Tarjeta de resumen de configuración de reglas ASR
Tarjeta de resumen de detecciones de reglas de ASR
Muestra un resumen del número de amenazas detectadas bloqueadas por las reglas de ASR.
Proporciona dos botones de "acción":
- Visualización de detecciones: abre la pestaña Detecciones principal de las reglas> de reducción de superficie expuesta a ataques
- Agregar exclusiones: abre la pestaña Exclusiones principal de las reglas> de reducción de superficie expuesta a ataques
Al hacer clic en el vínculo Detecciones de reglas de ASR en la parte superior de la tarjeta también se abre la pestaña Detecciones de reglas de reducción de superficie expuesta a ataques.
Tarjeta de resumen de configuración de reglas de ASR
La sección superior se centra en tres reglas recomendadas, que protegen contra técnicas de ataque comunes. Esta tarjeta muestra información de estado actual sobre los equipos de la organización que tienen las siguientes reglas de protección estándar de tres (ASR) establecidas en modo de bloque, modo auditoría o desactivadas (no configuradas). El botón Proteger dispositivos mostrará detalles de configuración completos solo para las tres reglas; los clientes pueden tomar medidas rápidamente para habilitar estas reglas.
La sección inferior expone seis reglas en función del número de dispositivos no protegidos por regla. El botón "Ver configuración" muestra todos los detalles de configuración de todas las reglas de ASR. El botón "Agregar exclusión" muestra la página agregar exclusión con todos los nombres de archivo o proceso detectados enumerados para que Security Operation Center (SOC) se evalúe. La página Agregar exclusión está vinculada a Microsoft Intune.
Proporciona dos botones de "acción":
- Ver configuración: abre la pestaña Detecciones principal de las reglas> de reducción de superficie expuesta a ataques
- Agregar exclusiones: abre la pestaña Exclusiones principal de las reglas> de reducción de superficie expuesta a ataques
Al hacer clic en el vínculo de configuración de reglas de ASR en la parte superior de la tarjeta también se abre la pestaña Configuración de las reglas de reducción de superficie expuesta a ataques.
Opción de protección estándar simplificada
La tarjeta de resumen de configuración proporciona un botón para proteger dispositivos con las tres reglas de protección estándar. Como mínimo, Microsoft recomienda habilitar estas tres reglas de protección estándar de reducción de superficie expuesta a ataques:
- Bloquear el robo de credenciales del subsistema de autoridad de seguridad local de Windows (lsass.exe)
- Bloquear el abuso de controladores firmados vulnerables explotados
- Bloquear la persistencia a través de la suscripción de eventos de Instrumental de administración de Windows (WMI)
Para habilitar las tres reglas de protección estándar:
- Seleccione Proteger dispositivos. Se abre la pestaña Configuración principal.
- En la pestaña Configuración , las reglas básicas alternan automáticamente de Todas las reglas a Reglas de protección estándar habilitadas.
- En la lista Dispositivos , seleccione los dispositivos para los que desea que se apliquen las reglas de protección estándar y, a continuación, seleccione Guardar.
Esta tarjeta tiene otros dos botones de navegación:
- Ver configuración: abre la pestaña Configuración de las reglas > de reducción de superficie expuesta a ataques.
- Agregar exclusiones : abre la pestaña Exclusiones principal de las reglas> de reducción de superficie expuesta a ataques .
Al hacer clic en el vínculo de configuración de reglas de ASR en la parte superior de la tarjeta también se abre la pestaña Configuración de las reglas de reducción de superficie expuesta a ataques.
Pestañas principales de las reglas de reducción de superficie expuesta a ataques
Aunque las tarjetas de resumen del informe de reglas de ASR son útiles para obtener un resumen rápido del estado de las reglas de ASR, las pestañas principales proporcionan información más detallada con funcionalidades de filtrado y configuración:
Funciones de búsqueda
La funcionalidad de búsqueda se agrega a las pestañas principales Detección, Configuración y Agregar exclusión . Con esta funcionalidad, puede buscar mediante el identificador de dispositivo, el nombre de archivo o el nombre del proceso.
Filtrado
El filtrado proporciona una manera de especificar qué resultados se devuelven:
- Date permite especificar un intervalo de fechas para los resultados de los datos.
- Filters
Nota:
Al filtrar por regla, el número de elementos detectados individualmente que aparecen en la mitad inferior del informe se limita actualmente a 200 reglas. Puede usar Exportar para guardar la lista completa de detecciones en Excel.
Sugerencia
Como el filtro funciona actualmente en esta versión, cada vez que quiera "agrupar por", primero debe desplazarse hacia abajo hasta la última detección de la lista para cargar el conjunto de datos completo. Después de cargar el conjunto de datos completo, puede iniciar el filtrado "ordenar por". Si no se desplaza hacia abajo hasta la última detección que aparece en cada uso o al cambiar las opciones de filtrado (por ejemplo, las reglas de ASR aplicadas a la ejecución del filtro actual), los resultados serán incorrectos para cualquier resultado que tenga más de una página visible de detecciones enumeradas.
Pestaña de detecciones principales de las reglas de reducción de superficie expuesta a ataques
- Detecciones de auditoría Muestra cuántas detecciones de amenazas se capturaron mediante reglas establecidas en el modo auditoría .
- Detecciones bloqueadas Muestra cuántas detecciones de amenazas se bloquearon mediante reglas establecidas en modo de bloque .
- Gráfico grande y consolidado Muestra las detecciones bloqueadas y auditadas.
Los gráficos proporcionan datos de detección sobre el intervalo de fechas mostrado, con la capacidad de mantener el puntero sobre una ubicación específica para recopilar información específica de la fecha.
En la sección inferior del informe se enumeran las amenazas detectadas ,por dispositivo, con los campos siguientes:
| Nombre del campo | Definición |
|---|---|
| Archivo detectado | El archivo determinado para contener una amenaza posible o conocida |
| Detectado en | La fecha en que se detectó la amenaza |
| ¿Bloqueado o auditado? | Si la regla de detección para el evento específico estaba en modo de bloque o auditoría |
| Rule | ¿Qué regla detectó la amenaza? |
| Aplicación de origen | La aplicación que realizó la llamada al "archivo detectado" infractor |
| Dispositivo | Nombre del dispositivo en el que se produjo el evento Audit o Block |
| Grupo de dispositivos | Grupo de Active Directory al que pertenece el dispositivo |
| Usuario | La cuenta de equipo responsable de la llamada |
| Publisher | La empresa que publicó el .exe o la aplicación en particular |
Para obtener más información sobre los modos de bloque y auditoría de reglas ASR, consulte Modos de regla de reducción de superficie expuesta a ataques.
Control flotante accionable
La página principal "Detección" tiene una lista de todas las detecciones (archivos o procesos) en los últimos 30 días. Seleccione cualquiera de las detecciones para abrir con funcionalidades de exploración en profundidad.
La sección Posible exclusión e impacto proporciona el impacto del archivo o proceso seleccionado. Puede:
- Seleccione Ir a la búsqueda , que abre la página de consulta búsqueda avanzada.
- La página Abrir archivo abre La detección de Microsoft Defender para punto de conexión
- El botón Agregar exclusión está vinculado a la página principal agregar exclusión.
En la imagen siguiente se muestra cómo se abre la página de consulta búsqueda avanzada desde el vínculo del control flotante accionable:
Para obtener más información sobre la búsqueda avanzada, consulte Búsqueda proactiva de amenazas con búsqueda avanzada en XDR de Microsoft Defender.
Reglas de reducción de superficie expuesta a ataques pestaña configuración principal
La pestaña configuración principal de reglas de ASR proporciona detalles de configuración de reglas ASR de resumen y por dispositivo. Hay tres aspectos principales en la pestaña Configuración:
Reglas básicas Proporciona un método para alternar los resultados entre reglas básicas y todas las reglas. De forma predeterminada, se selecciona Reglas básicas .
Introducción a la configuración del dispositivo Proporciona una instantánea actual de los dispositivos en uno de los siguientes estados:
- Todos los dispositivos expuestos (dispositivos con requisitos previos que faltan, reglas en modo auditoría, reglas mal configuradas o reglas no configuradas)
- Dispositivos con reglas no configuradas
- Dispositivos con reglas en modo de auditoría
- Dispositivos con reglas en modo de bloque
La sección inferior sin nombre de la pestaña Configuración proporciona una lista del estado actual de los dispositivos (por dispositivo):
- Dispositivo (nombre)
- Configuración general (independientemente de si hay reglas activadas o todas desactivadas)
- Reglas en modo de bloque (número de reglas por dispositivo establecidas para bloquear)
- Reglas en modo de auditoría (número de reglas en modo de auditoría)
- Reglas desactivadas (reglas que están desactivadas o no están habilitadas)
- Id. de dispositivo (GUID del dispositivo)
Estos elementos se muestran en la ilustración siguiente.
Para habilitar las reglas de ASR:
- En Dispositivo, seleccione el dispositivo o los dispositivos para los que desea aplicar las reglas de ASR.
- En la ventana flotante, compruebe las selecciones y, a continuación, seleccione Agregar a la directiva.
La pestaña Configuración y el control flotante Agregar regla se muestran en la siguiente imagen.
[NOTA] Si tiene dispositivos que requieren que se apliquen reglas ASR diferentes, debe configurarlos individualmente.
Reglas de reducción de superficie expuesta a ataques Pestaña Agregar exclusiones
La pestaña Agregar exclusiones presenta una lista clasificada de detecciones por nombre de archivo y proporciona un método para configurar exclusiones. De forma predeterminada, se muestra la información agregar exclusiones para tres campos:
- Nombre de archivo Nombre del archivo que desencadenó el evento de reglas de ASR.
- Detecciones Número total de eventos detectados para el archivo con nombre. Los dispositivos individuales pueden desencadenar varios eventos de reglas de ASR.
- Dispositivos Número de dispositivos en los que se produjo la detección.
Importante
La exclusión de archivos o carpetas puede reducir considerablemente la protección proporcionada por las reglas de ASR. Los archivos excluidos pueden ejecutarse y no se registrará ningún informe o evento. Si las reglas de ASR detectan archivos que cree que no deben detectarse, primero debe usar el modo de auditoría para probar la regla.
Al seleccionar un archivo, se abre un resumen & impacto esperado y se presentan los siguientes tipos de información:
- Archivos seleccionados Número de archivos seleccionados para la exclusión
- (número de) detecciones Indica la reducción esperada en las detecciones después de agregar las exclusiones seleccionadas. La reducción de las detecciones se representa gráficamente para las detecciones y detecciones realesdespués de las exclusiones.
- (número de) dispositivos afectados Indica la reducción esperada en los dispositivos que notifican las detecciones de las exclusiones seleccionadas.
La página Agregar exclusión tiene dos botones para las acciones que se pueden usar en los archivos detectados (después de la selección). Puede:
- Agregue la exclusión , que abrirá la página de directiva de ASR de Microsoft Intune. Para obtener más información, vea: Intune en "Habilitar métodos de configuración alternativos de reglas ASR".
- Obtener rutas de exclusión que descargarán rutas de acceso de archivo en formato csv
Vea también
- Introducción a la implementación de reglas de reducción de superficie expuesta a ataques
- Planeación de la implementación de reglas de reducción de superficie expuesta a ataques
- Reglas de reducción de superficie expuesta a ataques de prueba
- Habilitar las reglas de la reducción de superficie expuesta a ataques
- Operacionalización de las reglas de reducción de superficie expuesta a ataques
- Informe de reglas de reducción de superficie expuesta a ataques (ASR)
- Referencia de reglas de reducción de superficie expuesta a ataques
Sugerencia
¿Desea obtener más información? Interactúe con la comunidad de seguridad de Microsoft en nuestra comunidad tecnológica: Microsoft Defender para punto de conexión Tech Community.