Activer le déploiement de règles de réduction de la surface d’attaque (ASR)

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Cet article fait partie du guide de déploiement des règles de réduction de la surface d’attaque (ASR).

Après avoir testé les règles ASR en mode Audit, passez-les en mode Bloquer ou Avertir , en commençant par votre premier anneau de déploiement.

Diagramme des étapes d’implémentation des règles ASR : passer du mode Audit au mode Bloquer, puis développer des anneaux supplémentaires.

Étape 1 : Transition d’ASR de l’audit à l’étape bloquer

  1. Après avoir déterminé toutes les exclusions requises pour les règles en mode Audit , commencez à définir certaines règles en mode Bloquer ou Avertir . Commencez par la règle avec le moins d’événements déclenchés. Pour obtenir des instructions, consultez Configurer les règles et exclusions de réduction de la surface d’attaque (ASR).

  2. Passez en revue l’activité des règles ASR. Passez également en revue les commentaires de vos champions.

  3. Affinez les exclusions ou créez des exclusions si nécessaire.

Conseil

Les exclusions de règles sont préférables à la désactivation des règles ou au retour en mode Audit .

Tirez parti du mode Avertir dans les règles disponibles pour limiter les interruptions. Le mode Avertissement vous permet de capturer les événements déclenchés et d’afficher les interruptions potentielles sans réellement bloquer l’accès utilisateur (ils peuvent cliquer sur la notification d’avertissement). Pour plus d’informations, consultez Modes de règle ASR.

Étape 2 : Développer le déploiement pour sonner n + 1

Lorsque vous êtes certain que vous avez correctement configuré des règles ASR pour l’anneau 1, vous pouvez élargir l’étendue de votre déploiement à l’anneau suivant (anneau n + 1).

Le processus de déploiement pour chaque anneau suivant est le suivant :

  1. Activez les règles ASR en mode Audit .

  2. Passez en revue l’activité des règles ASR.

  3. Créez des exclusions si nécessaire.

  4. Passez en revue l’activité des règles ASR et affinez les exclusions.

  5. Définissez les règles sur Mode bloc .

  6. Passez en revue l’activité des règles ASR.

  7. Créez des exclusions si nécessaire.

  8. Désactivez les règles problématiques ou revenez en mode Audit .

Contenu connexe

  • Last updated on