A támadásifelület-csökkentési (ASR) szabályok üzembe helyezésének engedélyezése

  • A következőre érvényes:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Ez a cikk a Támadásifelület-csökkentési (ASR) szabályok üzembehelyezési útmutatójának része.

Miután auditálási módban tesztelte az ASR-szabályokat, váltsa át őket Blokkolás vagy Figyelmeztetés módba, az első üzembe helyezési körtől kezdve. Ez a cikk bemutatja, hogyan helyezheti át az ASR-szabályokat az auditálásról a blokkolási vagy figyelmeztetési módra az első üzembe helyezési körben, majd hogyan bővítheti biztonságosan az üzembe helyezést további gyűrűk között.

Az ASR-szabályok bevezetésének lépéseit bemutató ábra: átmenet Audit módról Block módra, majd kiterjesztés további körökre.

1. lépés: Váltsa át az ASR-t naplózás módból blokkolás módba

Hajtsa végre az alábbi lépéseket az ASR-szabályok naplózási módról Blokk vagy Figyelmeztetés módra való váltásához az első üzembehelyezési körhöz.

  1. Miután meghatározta a naplózási módban lévő szabályokhoz szükséges összes kizárást, kezdjen el letiltási vagyfigyelmeztetési módba állítani néhány szabályt. Kezdje a szabályt a legkevesebb aktivált eseménysel. Útmutatásért lásd: Támadásifelület-csökkentési (ASR) szabályok és kizárások konfigurálása.

  2. Tekintse át az ASR-szabálytevékenységet. Tekintse át a bajnokok visszajelzéseit is.

  3. Pontosítsa a kizárásokat, vagy szükség szerint hozzon létre új kizárásokat.

Tipp

A szabálykizárások jobbak, mint kikapcsolni a szabályokat, vagy visszakapcsolni őket naplózási módba.

Használja ki a Figyelmeztetés módot a rendelkezésre álló szabályokban a fennakadások korlátozásához. A Figyelmeztetés mód lehetővé teszi az aktivált események rögzítését és a lehetséges fennakadások megtekintését anélkül, hogy ténylegesen blokkolnák a felhasználói hozzáférést (a figyelmeztető értesítésen keresztül kattinthatnak). További információ: ASR-szabálymódok.

2. lépés: Az üzembe helyezés kiterjesztése az n + 1. gyűrűre

Ha biztos abban, hogy megfelelően konfigurálta az ASR-szabályokat az 1. körhöz, kibővítheti az üzembe helyezés hatókörét a következő körre (n + 1 gyűrű).

A következő körök üzembehelyezési folyamata a következő:

  1. ASR-szabályok engedélyezése Audit módban.

  2. Tekintse át az ASR-szabálytevékenységet.

  3. Szükség szerint hozzon létre kizárásokat.

  4. Tekintse át az ASR-szabálytevékenységet, és pontosítsa a kizárásokat.

  5. Állítsa a szabályokat Letiltás módra.

  6. Tekintse át az ASR-szabálytevékenységet.

  7. Szükség szerint hozzon létre kizárásokat.

  8. Tiltsa le a problémás szabályokat, vagy állítsa vissza őket Audit módba.

Kapcsolódó tartalom

  • Last updated on