יצירת מחוונים
חל על:
- Microsoft Defender עבור תוכנית 1 של נקודת קצה
- Microsoft Defender עבור תוכנית 2 של נקודת קצה
- Microsoft Defender XDR
עצה
רוצה להתנסות ב- Microsoft Defender עבור נקודת קצה? הירשם לקבלת גירסת ניסיון ללא תשלום.
מבט כולל על מחוון לפשרה (IoC)
מחוון לפשרה (IoC) הוא חפץ משפטי, שנצפה ברשת או במארח. IoC מציין - עם רמת מהימנות גבוהה - אירעה הפרעה במחשב או ברשת. ניתן לצפות ב- IoCs, המקשר אותם ישירות לאירועים הניתנים למדידה. חלק מהדוגמאות של IoC כוללות:
- Hashs של תוכנות זדוניות ידועות
- חתימות של תעבורת רשת זדונית
- כתובות URL או תחומים שהם מפיצי תוכנות זדוניות ידועים
כדי לעצור סכנה אחרת או למנוע הפרות של רכיבי IoC ידועים, כלי IoC מוצלחים אמורים להיות מסוגלים לזהות את כל הנתונים הזדון שנכללים בערכת הכללים של הכלי. התאמת IoC היא תכונה חיונית בכל פתרון הגנה של נקודת קצה. יכולת זו מעניקה ל- SecOps את היכולת להגדיר רשימת מחוונים לזיהוי ולחסימה (מניעה ותגובה).
ארגונים יכולים ליצור מחוונים המגדירים את הזיהוי, המניעה והמניעה של ישויות IoC. באפשרותך להגדיר את הפעולה שיש לבצע וכן את משך הזמן להחלת הפעולה ואת הטווח של קבוצת המכשירים שבהם יש להחיל אותה.
סרטון וידאו זה מציג הדרכה של יצירה והוספת מחוונים:
אודות מחוונים של Microsoft
ככלל, עליך ליצור מחוונים רק עבור מחשבי IoC פגומים ידועים, או עבור קבצים/אתרי אינטרנט שיש להתיר באופן מפורש בארגון שלך. לקבלת מידע נוסף על סוגי האתרים ש- Defender for Endpoint יכול לחסום כברירת מחדל, ראה מבט כולל Microsoft Defender SmartScreen.
False Positive (FP) מתייחס ל- SmartScreen חיובי באופן מוטעה, כך שהוא נחשב לתוכנות זדוניות או דיוג, אך למעשה אינו מהווה איום, לכן ברצונך ליצור מדיניות התרה עבורה.
באפשרותך גם לסייע בשיפורים בבינה האבטחה של Microsoft על-ידי שליחת תוצאות חיוביות מוטעות ו- IoCs חשודים או ידועים לצורך ניתוח. אם אזהרה או חסימה מוצגות באופן שגוי עבור קובץ או יישום, או אם אתה חושד שקובץ שאינו ידוע הוא תוכנה זדונית, באפשרותך לשלוח קובץ ל- Microsoft לסקירה. לקבלת מידע נוסף, ראה שליחת קבצים לניתוח.
מחווני IP/כתובת URL
באפשרותך להשתמש במחווני IP/URL כדי לבטל את החסימה של משתמשים מ- SmartScreen כתוצאה חיובית (FP) או כדי לעקוף בלוק של סינון תוכן אינטרנט (WFC).
באפשרותך להשתמש מחווני כתובת URL ו- IP כדי לנהל את הגישה לאתר. באפשרותך ליצור מחווני IP וכתובת URL זמניים כדי לבטל באופן זמני את החסימה של משתמשים מבלוק SmartScreen. ייתכן גם שיש לך מחוונים שאתה שומר לפרק זמן ארוך כדי לעקוף באופן סלקטיבי בלוקים של סינון תוכן אינטרנט.
שקול את המקרה שבו יש לך סיווג לקטגוריות של סינון תוכן אינטרנט עבור אתר מסוים הנכון. בדוגמה זו, הגדרת סינון תוכן אינטרנט לחסימת כל המדיה החברתית, נכונה למטרות הארגוניות הכוללות שלך. עם זאת, לצוות השיווק יש צורך ממשי להשתמש באתר מדיה חברתית ספציפי לצורך פרסום והכרזות. במקרה זה, באפשרותך לבטל את החסימה של אתר המדיה החברתית הספציפי באמצעות מחווני IP או כתובת URL לשימוש של הקבוצה (או הקבוצות) הספציפיות.
ראה הגנה על האינטרנט וסינון תוכן אינטרנט
מחווני IP/URL: הגנת רשת ול לחיצת יד תלת-כיוונית של TCP
עם הגנת רשת, קביעה אם לאפשר או לחסום גישה לאתר נוצרת לאחר השלמת לחיצת היד השלושה-כיוונית באמצעות TCP/IP. לכן, כאשר אתר חסום על-ידי הגנה על רשת, ConnectionSuccess
NetworkConnectionEvents
ייתכן שתראה סוג פעולה של תחת פורטל Microsoft Defender, למרות שהאתר נחסם.
NetworkConnectionEvents
מדווחים משכבת ה- TCP, ולא מהגנת רשת. לאחר השלמת לחיצת היד השלושה כיוונית, הגישה לאתר מותרת או חסומה על-ידי הגנת רשת.
להלן דוגמה לאופן הפעולה:
נניח שמשתמש מנסה לגשת לאתר אינטרנט במכשיר שלו. האתר מתארח במקרה בתחום מסוכן, והוא אמור להיחסם על-ידי הגנה על הרשת.
לחיצת היד השלושה כיוונית באמצעות TCP/IP מצוינת. לפני השלמתה,
NetworkConnectionEvents
תירשם פעולה והיאActionType
תופיע כ-ConnectionSuccess
. עם זאת, ברגע שתהליך לחיצת היד השלושה כיוונית מסתיים, הגנת הרשת חוסמת את הגישה לאתר. כל זה קורה במהירות. תהליך דומה מתרחש באמצעות Microsoft Defender SmartScreen; כאשר לחיצת היד השלושה-כיוונית מסתיימת, מתבצעת קביעה, והגישה לאתר חסומה או מותרת.בפורטל Microsoft Defender, מופיעה התראה בתור ההתראות. פרטי התראה זו כוללים הן את והן
NetworkConnectionEvents
AlertEvents
את . תוכל לראות שהאתר נחסם, למרות שיש לך גם פריטNetworkConnectionEvents
עם ה- ActionType שלConnectionSuccess
.
מחווני Hash של קובץ
במקרים מסוימים, יצירת מחוון חדש עבור קובץ חדש שזוהה IoC - כמדידת עצירה מיידית - עשויה להיות מתאימה לחסימת קבצים או אפילו ליישומים. עם זאת, ייתכן שהשימוש במחוונים כדי לנסות לחסום יישום לא יספק את התוצאות הצפויות, מאחר שהיישומים מורכבים בדרך כלל מקבצים רבים ושונים. השיטות המועדפות לחסימת אפליקציות הן להשתמש בפקד אפליקציות של Windows Defender (WDAC) או ב- AppLocker.
מאחר של כל גירסה של יישום יש קוד Hash אחר של קובץ, לא מומלץ להשתמש במחוונים לחסימת Hash.
בקרת אפליקציות של Windows Defender (WDAC)
מחווני אישור
במקרים מסוימים, אישור ספציפי המשמש להחתימה על קובץ או יישום שהארגון שלך מוגדר להתיר או לחסום. מחווני אישורים נתמכים ב- Defender for Endpoint, אם הם משתמשים ב- . CER או . תבנית קובץ PEM. ראה יצירת מחוונים בהתבסס על אישורים לקבלת פרטים נוספים.
מנועי זיהוי IoC
בשלב זה, המקורות הנתמכים של Microsoft עבור IoCs הם:
- מנגנון זיהוי הענן של Defender עבור נקודת קצה
- מנגנון חקירה ותיקון אוטומטי (AIR) Microsoft Defender עבור נקודת קצה
- מנגנון מניעת נקודות קצה (אנטי Microsoft Defender אנטי-וירוס)
מנגנון זיהוי ענן
מנגנון זיהוי הענן של Defender for Endpoint סורק באופן קבוע נתונים שנאספו ומנסה להתאים את המחוונים שאתה מגדיר. כאשר קיימת התאמה, הפעולה ננקטת בהתאם להגדרות שציינת עבור ה- IoC.
מנגנון מניעת נקודות קצה
סוכן המניעה מכבד את אותה רשימת מחוונים. כלומר, אם Microsoft Defender-וירוס הוא האנטי-וירוס הראשי שתצורתו נקבעה, המחוונים התואמים מטופלים בהתאם להגדרות. לדוגמה, אם הפעולה היא 'התראה וחסימה', Microsoft Defender Antivirus מונע ביצועי קבצים (חסימה ותיקון) ומופיעה התראה תואמת. עם זאת, אם הפעולה מוגדרת כ"אפשר", Microsoft Defender האנטי-וירוס אינו מזהה או חוסם את הקובץ.
מנגנון חקירה ותיקון אוטומטי
החקירה והתיקון האוטומטיים דומים למנגנון מניעת נקודות הקצה. אם מחוון מוגדר כ"אפשר", חקירה ותיקון אוטומטיים מתעלמים מהפסקת דין "שגויה" עבורה. אם ההגדרה היא "חסום", חקירה ותיקון אוטומטיים מתייחסים אליה כאל "פגומה".
ההגדרה EnableFileHashComputation
מחשבת את קוד ה- Hash של הקובץ עבור אישור וקובץ IoC במהלך סריקות קבצים. הוא תומך באכיפת IoC של קוד Hash ואישורים השייכים ליישומים מהימנים. היא מופעלת בו-זמנית עם הגדרת אפשר או חסימת קובץ.
EnableFileHashComputation
זמינה באופן ידני באמצעות מדיניות קבוצתית, והיא אינה זמינה כברירת מחדל.
סוגי אכיפה עבור מחוונים
כאשר צוות האבטחה שלך יוצר מחוון חדש (IoC), הפעולות הבאות זמינות:
- Allow – ה- IoC מורשה לפעול במכשירים שלך.
- Audit – מופעלת התראה בעת הפעלת ה- IoC.
- אזהרה – ה- IoC מבקש אזהרה שהמשתמש יכול לעקוף
- ביצוע בלוק - ה- IoC לא יורשו לפעול.
- חסימה ותיקון - IoC לא יורשו לפעול, ותחול פעולת תיקון על ה- IoC.
הערה
שימוש במצב אזהרה יבקש מהמשתמשים שלך אזהרה אם הם יפתחו יישום או אתר אינטרנט מסוכן. הבקשה לא תחסום את הפעלת היישום או אתר האינטרנט, אך באפשרותך לספק הודעה מותאמת אישית וקישורים לדף חברה המתאר את השימוש המתאים ביישום. המשתמשים עדיין יכולים לעקוף את האזהרה ולהמשיך להשתמש ביישום במידת הצורך. לקבלת מידע נוסף, ראה פיקוח על אפליקציות שהתגלו על-ידי Microsoft Defender עבור נקודת קצה.
באפשרותך ליצור מחוון עבור:
הטבלה שלהלן מציגה בדיוק אילו פעולות זמינות לכל סוג מחוון (IoC):
סוג IoC | פעולות זמינות |
---|---|
קבצים | אפשר ביקורת להזהיר ביצוע בלוק חסימה ותיקון |
כתובות IP | אפשר ביקורת להזהיר ביצוע בלוק |
כתובות URL ותחום | אפשר ביקורת להזהיר ביצוע בלוק |
אישורים | אפשר חסימה ותיקון |
הפונקציונליות של רכיבי IoC קיימים מראש לא תהשתנות. עם זאת, שמם של המחוונים השתנה כך שיתאים לפעולות התגובה הנתמכות הנוכחיות:
- שם פעולת התגובה "התראה בלבד" השתנה ל"ביקורת" כאשר הגדרת ההתראה שנוצרה זמינה.
- השם של תגובת "התראה וחסום" השתנה ל"חסום ובצע תיקון" בהגדרת ההתראה האופציונלית 'צור'.
סכימת ה- API של IoC ומעודכנים מראש את זהות האיומים כדי להתיישר עם שינוי השם של פעולות התגובה של IoC. השינויים בערכת ה- API חלים על כל סוגי IoC.
הערה
קיימת מגבלה של 15,000 מחוונים לכל דייר. הגדלות למגבלה זו אינן נתמכות.
מחווני קבצים ואישורים אינם חוסמים אי-הכללות שהוגדרו עבור Microsoft Defender אנטי-וירוס. מחוונים אינם נתמכים Microsoft Defender אנטי-וירוס כאשר הוא במצב פאסיבי.
התבנית לייבוא מחוונים חדשים (IoCs) השתנתה בהתאם להגדרות החדשות של הפעולות המעודכנת וההתראות. אנו ממליצים להוריד את תבנית ה- CSV החדשה שניתן למצוא בחלק התחתון של לוח הייבוא.
בעיות ומגבלות ידועות
הלקוחות עשויים להיתקל בבעיות עם התראות לגבי מחווני פשרה. התרחישים הבאים הם מצבים שבהם התראות אינן נוצרות או נוצרות עם מידע לא מדויק. כל בעיה נחקרת על-ידי צוות ההנדסה שלנו.
- מחווני בלוק – התראות כלליות עם חומרת מידע בלבד יופעלו. התראות מותאמות אישית (לדוגמה, כותרת וחומרה מותאמות אישית) אינן מופעלות במקרים אלה.
- אזהרה מחוונים – התראות כלליות והתראות מותאמות אישית אפשריות בתרחיש זה, עם זאת, התוצאות אינן דטרמיניסטיות עקב בעיה עם לוגיקת זיהוי ההתראות. במקרים מסוימים, לקוחות עשויים לראות התראה כללית, בעוד שהתראה מותאמת אישית עשויה להופיע במקרים אחרים.
- Allow ( No alerts are generated (by design).
- Audit - התראות נוצרות בהתבסס על החומרה שסופקה על-ידי הלקוח.
- במקרים מסוימים, התראות שמגיעות מזיהוי EDR עשויות לקבל קדימות על פני התראות הנובעות מבלוקי אנטי-וירוס, במקרה זה תפיק התראת מידע.
Defender לא יכול לחסום אפליקציות של Microsoft Store מאחר שהן חתומות על-ידי Microsoft.
מאמרים קשורים
- פריטים שאינם נכללים Microsoft Defender עבור נקודת קצה אנטי Microsoft Defender וירוסים
- יצירת IoC הקשרי
- השתמש ב- API Microsoft Defender עבור נקודת קצה מחווני ה- API
- השתמש בפתרונות משולבים של שותפים
עצה
האם ברצונך לקבל מידע נוסף? Engage עם קהילת האבטחה של Microsoft בקהילת הטכנולוגיה שלנו: Microsoft Defender עבור נקודת קצה Tech Community.