Eszközök védelme a biztonsági rések kiaknázása ellen
Érintett szolgáltatás:
- Végponthoz készült Microsoft Defender 1. csomag
- Végponthoz készült Microsoft Defender 2. csomag
- Microsoft Defender XDR
A biztonsági rés kiaknázása elleni védelem számos biztonsági rés kiaknázása elleni védelmet alkalmaz az operációs rendszer folyamataiban és alkalmazásaiban. A biztonsági rés kiaknázása elleni védelem a Windows 10 1709-es, Windows 11-es és Windows Server 1803-es verziójától kezdve támogatott.
A biztonsági rés kiaknázása elleni védelem a végponthoz készült Defenderrel működik a legjobban , amely részletes jelentéskészítést biztosít a biztonsági rés kiaknázása elleni védelmi eseményekről és blokkokról a szokásos riasztási vizsgálati forgatókönyvek részeként.
Engedélyezheti a biztonsági rés kiaknázása elleni védelmet egy adott eszközön, majd a Csoportházirend használatával terjesztheti az XML-fájlt egyszerre több eszközre.
Ha kockázatcsökkentést talál az eszközön, a műveletközpontban értesítés jelenik meg. Az értesítést testreszabhatja a céges adatokkal és a kapcsolattartási adatokkal. Külön-külön is engedélyezheti a szabályokat a funkciómonitorozási technikák testreszabásához.
A naplózási móddal azt is kiértékelheti, hogy a biztonsági rés kiaknázása elleni védelem milyen hatással lenne a szervezetére, ha engedélyezve lenne.
Az Enhanced Mitigation Experience Toolkit (EMET) számos funkciója megtalálható a biztonsági rés kiaknázása elleni védelemben. Sőt, a meglévő EMET-konfigurációs profilokat biztonsági rés kiaknázása elleni védelemmé alakíthatja és importálhatja. További információ: Biztonsági rés kiaknázása elleni védelmi konfigurációk importálása, exportálása és üzembe helyezése.
Fontos
Ha jelenleg az EMET-et használja, vegye figyelembe, hogy az EMET 2018. július 31-én elérte a támogatás végét. Fontolja meg az EMET cseréjét biztonsági rés kiaknázása elleni védelemmel Windows 10.
Figyelmeztetés
Egyes biztonsági kockázatcsökkentési technológiák kompatibilitási problémákat okozhatnak bizonyos alkalmazásoknál. A biztonsági rés kiaknázása elleni védelmet minden célhasználati forgatókönyvben tesztelnie kell a naplózási mód használatával, mielőtt üzembe helyezné a konfigurációt egy éles környezetben vagy a hálózat többi részén.
Biztonsági rés kiaknázása elleni védelmi események áttekintése a Microsoft Defender portálon
A Végponthoz készült Defender részletes jelentéskészítést biztosít az eseményekről és blokkokról a riasztási vizsgálati forgatókönyvek részeként.
A Végponthoz készült Defender adatait speciális veszélyforrás-kereséssel kérdezheti le. Ha naplózási módot használ, speciális veszélyforrás-kereséssel ellenőrizheti, hogy a biztonsági rés kiaknázása elleni védelmi beállítások milyen hatással lehetnek a környezetre.
Íme egy példa lekérdezésre:
DeviceEvents
| where ActionType startswith 'ExploitGuard' and ActionType !contains 'NetworkProtection'
Biztonsági rés kiaknázása elleni védelmi események áttekintése a Windows eseménymegtekintő
A Windows eseménynaplójában megtekintheti azokat az eseményeket, amelyek akkor jönnek létre, amikor biztonsági rés kiaknázása elleni védelem blokkol (vagy naplóz) egy alkalmazást:
| Szolgáltató/forrás | Eseményazonosító | Leírás |
|---|---|---|
| Security-Mitigations | 1 | ACG-naplózás |
| Security-Mitigations | 2 | ACG kényszerítése |
| Security-Mitigations | 3 | Gyermekfolyamatok naplózásának mellőzése |
| Security-Mitigations | 4 | Gyermekfolyamat-blokk tiltás letiltása |
| Security-Mitigations | 5 | Alacsony integritású rendszerképek naplózásának letiltása |
| Security-Mitigations | 6 | Alacsony integritású képek blokkolása |
| Security-Mitigations | 7 | Távoli lemezképek naplózásának blokkolása |
| Security-Mitigations | 8 | Távoli lemezképek blokkolása |
| Security-Mitigations | 9 | Win32k rendszerhívások naplózásának letiltása |
| Security-Mitigations | 10 | Win32k rendszerhívási blokk letiltása |
| Security-Mitigations | 11 | Kódintegritási védelem naplózása |
| Security-Mitigations | 12 | Kódintegritási védőblokk |
| Security-Mitigations | 13 | EAF-naplózás |
| Security-Mitigations | 14 | EAF kényszerítése |
| Security-Mitigations | 15 | EAF+ naplózás |
| Security-Mitigations | 16 | EAF+ kényszerítés |
| Security-Mitigations | 17 | IAF-naplózás |
| Security-Mitigations | 18 | IAF kényszerítése |
| Security-Mitigations | 19 | ROP StackPivot-naplózás |
| Security-Mitigations | 20 | ROP StackPivot kényszerítése |
| Security-Mitigations | 21 | ROP-hívó – Audit ellenőrzése |
| Security-Mitigations | 22 | ROP-hívó – Kényszerítés ellenőrzése |
| Security-Mitigations | 23 | ROP SimExec-naplózás |
| Security-Mitigations | 24 | ROP SimExec kényszerítése |
| WER-Diagnostics | 5 | CFG-blokk |
| Win32K | 260 | Nem megbízható betűtípus |
Kockázatcsökkentés összehasonlítása
Az EMET-ben elérhető kockázatcsökkentések natív módon szerepelnek Windows 10 (az 1709-es verziótól kezdve), a Windows 11 és a Windows Server (az 1803-es verziótól kezdődően) a Biztonsági rés kiaknázása elleni védelem területen.
Az ebben a szakaszban található táblázat az EMET és a biztonsági rés kiaknázása elleni védelem közötti natív kockázatcsökkentések rendelkezésre állását és támogatását mutatja.
| Kockázatcsökkentés | Biztonsági rés kiaknázása elleni védelem alatt áll | Elérhető az EMET-ben |
|---|---|---|
| Tetszőleges programkód futtatása elleni védelem (ACG) | Igen | Igen "Memóriavédelem ellenőrzése" |
| Távoli lemezképek blokkolása | Igen | Igen "Kódtár-ellenőrzés betöltése" |
| Nem megbízható betűkészletek blokkolása | Igen | Igen |
| Adatvégrehajtás megakadályozása (DEP) | Igen | Igen |
| Exportcímszűrés (EAF) | Igen | Igen |
| Véletlenszerűsítés kényszerítése a lemezképeknél (kötelező ASLR) | Igen | Igen |
| NullPage biztonsági kockázatcsökkentés | Igen Natív módon szerepel a Windows 10 és a Windows 11 További információ: Fenyegetések elhárítása Windows 10 biztonsági funkciókkal |
Igen |
| Véletlenszerű memóriafoglalás (ASLR alulról felfelé) | Igen | Igen |
| Végrehajtás szimulálása (SimExec) | Igen | Igen |
| API-meghívás ellenőrzése (CallerCheck) | Igen | Igen |
| Kivételláncok ellenőrzése (SEHOP) | Igen | Igen |
| Halomintegritás ellenőrzése (StackPivot) | Igen | Igen |
| Tanúsítványmegbízhatóság (konfigurálható tanúsítványrögzítés) | Windows 10 és Windows 11 vállalati tanúsítványok rögzítésének biztosítása | Igen |
| Halompermet-kiosztás | Hatástalan az újabb böngészőalapú biztonsági résekkel szemben; az újabb kockázatcsökkentések jobb védelmet biztosítanak További információ: Fenyegetések elhárítása Windows 10 biztonsági funkciókkal |
Igen |
| Alacsony integritású lemezképek blokkolása | Igen | Nem |
| Kódintegritás-védelem | Igen | Nem |
| Hosszabbítópontok letiltása | Igen | Nem |
| Win32k rendszerhívások letiltása | Igen | Nem |
| Gyermekfolyamatok tiltása | Igen | Nem |
| Importcímszűrés (IAF) | Igen | Nem |
| Leírókezelés ellenőrzése | Igen | Nem |
| Halommemória-integritás ellenőrzése | Igen | Nem |
| Lemezképfüggőség-integritás ellenőrzése | Igen | Nem |
Megjegyzés:
Az EMET-ben elérhető Speciális ROP-kockázatcsökkentéseket az ACG felülírja Windows 10 és Windows 11, amelyek alapértelmezés szerint más EMET speciális beállításokat is engedélyeznek, az ROP-ellenes kockázatcsökkentések engedélyezésének részeként. A Windows 10 meglévő EMET-technológiájának alkalmazásával kapcsolatos további információkért lásd: Fenyegetések elhárítása Windows 10 biztonsági funkciók használatával.
Lásd még
- Biztonsági rés kiaknázása elleni védelem kockázatcsökkentéseinek konfigurálása és naplózása
- Biztonsági rés kiaknázása elleni védelem hibaelhárítása
- AZ ASR-szabályok üzembe helyezésének és észlelésének optimalizálása
Tipp
Szeretne többet megtudni? Engage a Microsoft biztonsági közösségével a technikai közösségünkben: Végponthoz készült Microsoft Defender Tech Community.