הבנת יכולות ההקטנת פני השטח של ההתקפה והשימוש בהן

  • מאמר

חל על:

פלטפורמות

  • Windows

עצה

רוצה להתנסות ב- Microsoft Defender עבור נקודת קצה? הירשם לקבלת גירסת ניסיון ללא תשלום.

משטחי תקיפה הם כל המקומות שבהם הארגון שלך פגיע לאיומי סייבר ולתקיפות סייבר. Defender for Endpoint כולל כמה יכולות שיעזרו לך לצמצם את משטחי ההתקפה שלך. צפה בסרטון הווידאו הבא לקבלת מידע נוסף על הפחתת פני השטח של ההתקפה.

קביעת תצורה של יכולות הפחתת פני השטח של ההתקפה

כדי לקבוע את התצורה של צמצום שטח התקיפה בסביבה שלך, בצע את הפעולות הבאות:

  1. הפוך בידוד מבוסס חומרה לזמין עבור Microsoft Edge.

  2. אפשרו כללי הפחתת פני השטח של ההתקפה.

  3. הפוך פקד יישום לזמין.

    1. סקור מדיניות בסיס ב- Windows. ראה מדיניות בסיס לדוגמה.

    2. עיין במדריך Windows Defender העיצוב של בקרת אפליקציות.

    3. עיין בנושא פריסת פריטי Windows Defender Application Control (WDAC).

  4. הפוך גישה מבוקרת לתיקיה לזמינה.

  5. הפוך הגנה על אחסון נשלף לזמינה.

  6. הפעל הגנת רשת.

  7. הפוך הגנה באינטרנט לזמינה.

  8. הפוך הגנה מפני ניצול לרעה לזמינה.

  9. הגדר את חומת האש של הרשת שלך.

    1. קבל מבט כולל על חומת האש של Windows עם אבטחה מתקדמת.

    2. השתמש במדריך העיצוב של חומת האש של Windows כדי להחליט כיצד ברצונך לעצב את מדיניות חומת האש שלך.

    3. השתמש במדריך הפריסה של חומת האש של Windows כדי להגדיר את חומת האש של הארגון שלך עם אבטחה מתקדמת.

עצה

ברוב המקרים, כאשר אתה קובע את התצורה של יכולות הפחתת פני השטח של ההתקפה, באפשרותך לבחור מבין כמה שיטות:

  • Microsoft Intune
  • Microsoft Configuration Manager
  • מדיניות קבוצתית
  • רכיבי cmdlet של PowerShell

הפחתת פני השטח של ההתקפה בבדיקה Microsoft Defender עבור נקודת קצה

כחלק מצוות האבטחה של הארגון שלך, באפשרותך לקבוע את התצורה של יכולות ההפחתה של משטח התקיפה כך שיפעלו במצב ביקורת כדי לראות כיצד הם פועלים. באפשרותך להפעיל את תכונות האבטחה הבאות של צמצום השטח של ההתקפה במצב ביקורת:

  • כללים לצמצום שטח תקיפה
  • הגנה מפני ניצול לרעה
  • הגנה על הרשת
  • גישה מבוקרת לתיקיה
  • בקרת מכשיר

מצב ביקורת מאפשר לך לראות תיעוד של מה היה קורה אם התכונה היתה זמינה.

באפשרותך להפוך מצב ביקורת לזמין בעת בדיקת האופן שבו התכונות פועלות. הפיכת מצב ביקורת לזמין רק לצורך בדיקה מסייעת למנוע ממצב ביקורת להשפיע על אפליקציות קו פעולה עסקי. תוכל גם לקבל מושג כמה ניסיונות לשינוי קובץ חשודים מתרחשים לאורך פרק זמן מסוים.

התכונות אינן חוסמיות או מונעות שינוי של אפליקציות, קבצי Script או קבצים. עם זאת, יומן האירועים של Windows מתעד אירועים כאילו התכונות הופעלו באופן מלא. במצב ביקורת, באפשרותך לסקור את יומן האירועים כדי לראות איזה אפקט היה לתכונה אם היא היתה זמינה.

כדי למצוא את הערכים המביקורות, עבור אל Applications and Services>Microsoft>Windows>Windows Defender>Operational.

השתמש ב- Defender for Endpoint כדי לקבל פרטים גדולים יותר עבור כל אירוע. פרטים אלה מועילים במיוחד לתיחקור כללי הפחתת פני השטח של ההתקפה. השימוש במסוף Defender for Endpoint מאפשר לך לחקור בעיות כחלק מתרחישי ציר הזמן והחקירה של ההתראה.

באפשרותך להפוך מצב ביקורת לזמין באמצעות מדיניות קבוצתית, PowerShell וספקי שירותי תצורה (CSPs).

אפשרויות ביקורת כיצד להפוך מצב ביקורת לזמין כיצד להציג אירועים
ביקורת חלה על כל האירועים הפוך גישה מבוקרת לתיקיה לזמינה אירועי גישה מבוקרים לתיקיה
ביקורת חלה על כללים בודדים שלב 1: בדיקת כללי הפחתת השטח של ההתקפה באמצעות מצב ביקורת שלב 2: הבנת דף הדיווח של כללי ההפחתה של פני השטח של ההתקפה
ביקורת חלה על כל האירועים הפוך הגנת רשת לזמינה אירועי הגנת רשת
ביקורת חלה על צמצום סיכונים בודדים הפוך הגנה מפני ניצול לרעה לזמינה אירועי הגנה מפני ניצול לרעה

לדוגמה, באפשרותך לבדוק את כללי ההפחתה של משטח התקיפה במצב ביקורת לפני הפיכתם לזמינים במצב חסימה. כללי הפחתת פני השטח של ההתקפה מוגדרים מראש כדי הקשיים על משטחי התקפה נפוצים ידועים. קיימות כמה שיטות שניתן להשתמש בהן כדי ליישם כללי הפחתת פני השטח של ההתקפה. השיטה המועדפת מתעדת במאמרי הפריסה הבאים של כללי הפחתת פני השטח של ההתקפה:

הצג אירועי צמצום פני השטח של ההתקפה

סקור אירועי צמצום שטח תקיפה מציג האירועים כדי לנטר אילו כללים או הגדרות פועלים. באפשרותך גם לקבוע אם הגדרות כלשהן "משמיעות" מדי או משפיעות על זרימת העבודה של היום שלך.

סקירת אירועים שימושית כאשר אתה מבצע הערכה של התכונות. באפשרותך להפוך מצב ביקורת לזמין עבור תכונות או הגדרות, ולאחר מכן לבדוק מה היה קורה אם הן היו זמינות באופן מלא.

סעיף זה מפרט את כל האירועים, את התכונה או ההגדרה המשויכים להם ומתאר כיצד ליצור תצוגות מותאמות אישית לסינון לאירועים ספציפיים.

קבל דיווח מפורט על אירועים, בלוקים ואזהרות כחלק אבטחת Windows אם יש לך מנוי E5 והשתמש ב- Microsoft Defender עבור נקודת קצה.

השתמש בתצוגות מותאמות אישית כדי לסקור יכולות של צמצום פני השטח של ההתקפה

צור תצוגות מותאמות אישית ב- Windows מציג האירועים כדי לראות אירועים רק עבור יכולות והגדרות ספציפיות. הדרך הקלה ביותר היא לייבא תצוגה מותאמת אישית כקובץ XML. באפשרותך להעתיק את ה- XML ישירות מתוך דף זה.

באפשרותך גם לנווט באופן ידני לאזור האירוע המתאים לתכונה.

ייבוא תצוגה מותאמת אישית קיימת של XML

  1. צור קובץ .txt ריק והעתק את ה- XML עבור התצוגה המותאמת אישית שבה ברצונך להשתמש בקובץ .txt זה. בצע פעולה זו עבור כל אחת מהתצוגות המותאמות אישית שבהן ברצונך להשתמש. שנה את שמות הקבצים באופן הבא (הקפד לשנות את הסוג .txt ל- .xml):

    • תצוגה מותאמת אישית של אירועי גישה לתיקיה מבוקרים:cfa-events.xml
    • תצוגה מותאמת אישית של אירועי הגנה מפני ניצולep-events.xml
    • תצוגה מותאמת אישית של אירועי צמצום פני השטח של ההתקפה:asr-events.xml
    • תצוגה מותאמת אישית של אירועי רשת/הגנה: np-events.xml

  2. הקלד מציג האירועים בתפריט התחלה ופתח את מציג האירועים.

  3. בחירת תצוגה מותאמת>אישית של ייבוא פעולה...

    סימון הנפשה יבא תצוגה מותאמת אישית מימין לחלון מציג זוגי.

  4. נווט אל המקום שבו חילצת את קובץ ה- XML עבור התצוגה המותאמת אישית הרצויה ובחר אותו.

  5. בחר באפשרות פתח.

  6. היא יוצרת תצוגה מותאמת אישית המסוננים כדי להציג רק את האירועים הקשורים לתכונה זו.

העתקת ה- XML ישירות

  1. הקלד מציג האירועים בתפריט התחלה ופתח את חלון מציג האירועים.

  2. בחלונית הימנית, תחת פעולות, בחר יצירת תצוגה מותאמת אישית...

    הנפשה המסמנת את האפשרות 'צור תצוגה מותאמת אישית' בחלון מציג האירועים.

  3. עבור אל הכרטיסיה XML ובחר ערוך שאילתה באופן ידני. תראה אזהרה שלפיה לא ניתן לערוך את השאילתה באמצעות הכרטיסיה מסנן אם אתה משתמש באפשרות XML. בחר כן.

  4. הדבק את קוד ה- XML עבור התכונה שברצונך לסנן אירועים מתוך במקטע ה- XML.

  5. בחר אישור. ציין שם עבור המסנן. פעולה זו יוצרת תצוגה מותאמת אישית שמסנן כדי להציג רק את האירועים הקשורים לתכונה זו.

XML עבור אירועי כלל הפחתת פני השטח של התקיפה

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML עבור אירועים מבוקרים של גישה לתיקיה

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML עבור אירועי הגנה מפני ניצול לרעה

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

XML עבור אירועי הגנת רשת

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

רשימה של אירועי צמצום פני השטח של ההתקפה

כל האירועים להפחתת פני השטח של ההתקפה ממוקמים תחת Applications and Services Logs > Microsoft > Windows ולאחר מכן התיקיה או הספק כמפורט בטבלה הבאה.

באפשרותך לגשת לאירועים אלה במציג האירועים של Windows:

  1. פתח את תפריט התחלה והקלד מציג האירועים ולאחר מכן בחר את מציג האירועים התוצאה.

  2. הרחב את Applications and Services Logs > Microsoft > Windows ולאחר מכן עבור אל התיקיה המופיעה תחת ספק/מקור בטבלה שלהלן.

  3. לחץ פעמיים על פריט המשנה כדי לראות אירועים. גלול בין האירועים כדי למצוא את זה שאתה מחפש.

    הנפשה המציגה באמצעות מציג האירועים.

תכונה ספק/מקור מזהה אירוע תיאור
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 1 ביקורת ACG
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 2 אכיפת ACG
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 3 אל תאפשר ביקורת של תהליכי צאצא
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 4 אל תאפשר חסימת תהליכי צאצא
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 5 ביקורת של חסימת תמונות בעלות תקינות נמוכה
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 6 חסימת חסימת תמונות תקינות נמוכה
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 7 ביקורת של חסימת תמונות מרוחקות
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 8 חסימת תמונות מרוחקות
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 9 ביקורת של ביטול שיחות מערכת win32k
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 10 בטל חסימת שיחות מערכת של win32k
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 11 ביקורת של מגן תקינות קוד
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 12 בלוק שומר תקינות קוד
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 13 ביקורת EAF
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 14 אכיפת EAF
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 15 ביקורת EAF+
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 16 EAF+ אכיפת
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 17 ביקורת IAF
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 18 אכיפת IAF
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 19 ביקורת ROP StackPivot
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 20 אכיפת ROP StackPivot
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 21 מתקשר ROP בדוק ביקורת
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 22 הפונקציה ROP CallerCheck אוכפת
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 23 ביקורת ROP SimExec
הגנה מפני ניצול לרעה צמצום אבטחה (מצב ליבה/מצב משתמש) 24 אכיפת ROP SimExec
הגנה מפני ניצול לרעה WER-Diagnostics 5 בלוק CFG
הגנה מפני ניצול לרעה Win32K (תפעולי) 260 גופן לא מהימן
הגנה על הרשת Windows Defender (תפעולי) 5007 אירוע בעת שינוי ההגדרות
הגנה על הרשת Windows Defender (תפעולי) 1125 אירוע שבו הגנה על הרשת מופעלת במצב ביקורת
הגנה על הרשת Windows Defender (תפעולי) 1126 אירוע שבו הגנה על הרשת מופעלת במצב חסימה
גישה מבוקרת לתיקיה Windows Defender (תפעולי) 5007 אירוע בעת שינוי ההגדרות
גישה מבוקרת לתיקיה Windows Defender (תפעולי) 1124 אירוע גישה מבוקרת לתיקיה
גישה מבוקרת לתיקיה Windows Defender (תפעולי) 1123 אירוע גישה לתיקיה מבוקרת חסומה
גישה מבוקרת לתיקיה Windows Defender (תפעולי) 1127 אירוע חסימת כתיבה של סקטור גישה לתיקיה שנחסם
גישה מבוקרת לתיקיה Windows Defender (תפעולי) 1128 אירוע בלוק כתיבה של סקטור גישה לתיקיה מבוקרת
צמצום שטח תקיפה Windows Defender (תפעולי) 5007 אירוע בעת שינוי ההגדרות
צמצום שטח תקיפה Windows Defender (תפעולי) 1122 אירוע שבו כלל פועל במצב ביקורת
צמצום שטח תקיפה Windows Defender (תפעולי) 1121 אירוע שבו הכלל פועל במצב חסימה

הערה

מנקודת המבט של המשתמש, הודעות מצב אזהרה של הפחתת פני השטח של ההתקפה נוצרות כהודעה מוערכת של Windows עבור כללי הפחתת פני השטח של ההתקפה.

בהפחתת פני השטח של ההתקפה, Network Protection מספקת רק מצבי ביקורת וחסימה.

משאבים למידע נוסף על הפחתת פני השטח של ההתקפה

כפי שצוין בסרטון, Defender for Endpoint כולל כמה יכולות של צמצום פני השטח של ההתקפה. השתמש במשאבים הבאים לקבלת מידע נוסף:

המאמר תיאור
בקרת יישום השתמש בפקד יישום כך שהיישומים שלך חייבים להרוויח אמון כדי לפעול.
חומר עזר לכללי הפחתת פני השטח של ההתקפה מספק פרטים על כל כלל הפחתת פני השטח של ההתקפה.
מדריך הפריסה של כללי הפחתת פני השטח של ההתקפה מציג מידע מבט כולל ודרישות מוקדמות לפריסת כללי צמצום השטח של ההתקפה, ואחריו הדרכה שלב אחר שלב לבדיקה (מצב ביקורת), הפעלה (מצב חסימה) וניטור.
גישה מבוקרת לתיקיה עזור למנוע מאפליקציות זדוניות או חשודות (כולל תוכנות זדוניות של תוכנות כופר המצפין קבצים) לבצע שינויים בקבצים בתיקיות המערכת העיקריות שלך (נדרשת Microsoft Defender אנטי-וירוס).
בקרת מכשיר הגנה מפני אובדן נתונים על-ידי ניטור ושליטה במדיה המשמשת במכשירים, כגון אחסון נשלף וכוננים מסוג USB, בארגון שלך.
הגנה מפני ניצול לרעה עזור להגן על מערכות ההפעלה והאפליקציות שהארגון שלך משתמש אותן מפני ניצול לרעה. הגנה מפני ניצול לרעה פועלת גם עם פתרונות אנטי-וירוס של ספקים חיצוניים.
בידוד מבוסס חומרה הגנה ושמירה על תקינות המערכת בזמן שהיא מתחילה ו בזמן שהיא פועלת. אמת תקינות מערכת באמצעות אימות מקומי ומרוחקת. השתמש בבידוד הגורם המכיל עבור Microsoft Edge כדי לסייע בהגנה מפני אתרי אינטרנט זדוניים.
הגנה על הרשת הרחב את ההגנה על תעבורת הרשת והקישוריות שלך במכשירים של הארגון שלך. (נדרשת Microsoft Defender אנטי-וירוס).
כללים להקטנת פני השטח של ההתקפה בבדיקה מספק שלבים לשימוש במצב ביקורת לבדיקת כללי הפחתת פני השטח של ההתקפה.
הגנה באינטרנט הגנה באינטרנט מאפשרת לך לאבטח את המכשירים שלך מפני איומי אינטרנט, והיא עוזרת לך להסדיר תוכן לא רצוי.

עצה

האם ברצונך לקבל מידע נוסף? Engage עם קהילת האבטחה של Microsoft בקהילת הטכנולוגיה שלנו: Microsoft Defender עבור נקודת קצה Tech Community.