A támadásifelület-csökkentési képességek megismerése és használata
Érintett szolgáltatás:
- Microsoft Defender XDR
- Végponthoz készült Microsoft Defender 1. csomag
- Végponthoz készült Microsoft Defender 2. csomag
- Microsoft Defender víruskereső
Platformok
- A Windows
Tipp
Szeretné megismerni a Végponthoz készült Microsoft Defendert? Regisztráció az ingyenes próbaverzióra
A támadási felületek azok a helyek, ahol a szervezet sebezhető a kibertámadásokkal és támadásokkal szemben. A Végponthoz készült Defender számos képességet tartalmaz a támadási felületek csökkentéséhez. Az alábbi videóból többet is megtudhat a támadási felület csökkentéséről.
Támadásifelület-csökkentési képességek konfigurálása
A támadási felület csökkentésének konfigurálásához kövesse az alábbi lépéseket:
Engedélyezze a hardveralapú elkülönítést a Microsoft Edge-ben.
Alkalmazásvezérlés engedélyezése.
Tekintse át az alapszabályzatokat a Windowsban. Lásd: Példa alapszabályzatok.
Tekintse meg a Windows Defender alkalmazásvezérlés tervezési útmutatót.
Lásd: Deploying Windows Defender Application Control (WDAC) szabályzatok.
A cserélhető tárolók védelmének engedélyezése.
Webvédelem engedélyezése.
Állítsa be a hálózati tűzfalat.
A fokozott biztonságú Windows tűzfal áttekintése.
A Windows tűzfal tervezési útmutatója segítségével döntse el, hogyan szeretné megtervezni a tűzfalszabályzatokat.
A Windows tűzfal üzembe helyezési útmutatójával magas szintű biztonsággal állíthatja be a szervezet tűzfalát.
Tipp
A legtöbb esetben a támadásifelület-csökkentési képességek konfigurálásakor számos módszer közül választhat:
- Microsoft Intune
- Microsoft Configuration Manager
- Csoportházirend
- PowerShell-parancsmagok
Támadási felület csökkentésének tesztelése Végponthoz készült Microsoft Defender
A szervezet biztonsági csapatának részeként konfigurálhatja a támadásifelület-csökkentési képességeket naplózási módban való futtatáshoz, hogy lássa, hogyan működnek. Naplózási módban a következő támadásifelület-csökkentési biztonsági funkciókat engedélyezheti:
- Támadásifelület-csökkentési szabályok
- Biztonsági rés kiaknázása elleni védelem
- Hálózatvédelem
- Mappákhoz való hozzáférés szabályozása
- Eszközvezérlés
A naplózási mód lehetővé teszi annak rögzítését, hogy mi történt volna, ha a funkció engedélyezve lett volna .
A naplózási módot a funkciók működésének tesztelésekor engedélyezheti. A naplózási mód csak tesztelésre való engedélyezése segít megakadályozni, hogy a naplózási mód hatással legyen az üzletági alkalmazásokra. Azt is megtudhatja, hogy egy adott időszakban hány gyanús fájlmódosítási kísérlet történik.
A funkciók nem blokkolják és nem akadályozzák meg az alkalmazások, szkriptek és fájlok módosítását. A Windows eseménynaplója azonban úgy rögzíti az eseményeket, mintha a funkciók teljes mértékben engedélyezve lennének. A naplózási móddal áttekintheti az eseménynaplót, hogy lássa, milyen hatással lett volna a funkció, ha engedélyezve lett volna.
A naplózott bejegyzések megkereséséhez lépjen az Alkalmazások és szolgáltatások>Microsoft>Windows>Windows Defender>Operational lapra.
A Végponthoz készült Defender használatával részletesebb információkat kaphat az egyes eseményekről. Ezek a részletek különösen hasznosak a támadásifelület-csökkentési szabályok vizsgálatához. A Végponthoz készült Defender konzol használatával a riasztási idővonal és a vizsgálati forgatókönyvek részeként vizsgálhatja ki a problémákat.
A naplózási módot Csoportházirend, PowerShell és konfigurációs szolgáltatók (CSP-k) használatával engedélyezheti.
| Naplózási beállítások | Naplózási mód engedélyezése | Események megtekintése |
|---|---|---|
| A naplózás az összes eseményre vonatkozik | Mappákhoz való hozzáférés szabályozásának engedélyezése | Szabályozott mappaelérési események |
| A naplózás az egyes szabályokra vonatkozik | 1. lépés: Támadásifelület-csökkentési szabályok tesztelése naplózási módban | 2. lépés: A támadásifelület-csökkentési szabályok jelentési oldalának ismertetése |
| A naplózás az összes eseményre vonatkozik | Hálózatvédelem engedélyezése | Hálózatvédelmi események |
| A naplózás az egyes kockázatcsökkentésekre vonatkozik | Biztonsági rés kiaknázása elleni védelem engedélyezése | Biztonsági rés kiaknázása elleni védelmi események |
Például tesztelheti a támadásifelület-csökkentési szabályokat naplózási módban, mielőtt letiltott módban engedélyezené őket. A támadásifelület-csökkentési szabályok előre definiálva vannak a gyakori, ismert támadási felületek megerősítéséhez. A támadásifelület-csökkentési szabályok implementálásához több módszer is használható. Az előnyben részesített módszert a következő támadásifelület-csökkentési szabályok üzembehelyezési cikkeiben dokumentáljuk:
- Támadásifelület-csökkentési szabályok üzembe helyezésének áttekintése
- Támadásifelület-csökkentési szabályok üzembe helyezésének megtervezése
- Támadásifelület-csökkentési szabályok tesztelése
- Támadásifelület-csökkentési szabályok engedélyezése
- Támadásifelület-csökkentési szabályok üzembe helyezése
Támadásifelület-csökkentési események megtekintése
Tekintse át a támadásifelület-csökkentési eseményeket eseménymegtekintő a szabályok és beállítások működésének figyeléséhez. Azt is megállapíthatja, hogy valamelyik beállítás túl zajos-e, vagy hatással van-e a napi munkafolyamatra.
Az események áttekintése hasznos a funkciók kiértékelésekor. Engedélyezheti a naplózási módot a funkciókhoz és a beállításokhoz, majd áttekintheti, hogy mi történt volna, ha teljes mértékben engedélyezve lettek volna.
Ez a szakasz felsorolja az összes eseményt, azok társított funkcióját vagy beállítását, és leírja, hogyan hozhat létre egyéni nézeteket adott eseményekre való szűréshez.
Részletes jelentéskészítést kaphat az eseményekről, blokkokról és figyelmeztetésekről az Windows biztonság részeként, ha E5-előfizetéssel rendelkezik, és Végponthoz készült Microsoft Defender használ.
Egyéni nézetek használata a támadásifelület-csökkentési képességek áttekintéséhez
Létrehozás a Windows eseménymegtekintő egyéni nézeteit, hogy csak bizonyos képességek és beállítások eseményeit láthassa. A legegyszerűbb módszer az egyéni nézet importálása XML-fájlként. Az XML-fájlt közvetlenül erről a lapról másolhatja.
Manuálisan is navigálhat a funkciónak megfelelő eseményterületre.
Meglévő egyéni XML-nézet importálása
Létrehozás egy üres .txt fájlt, és másolja a használni kívánt egyéni nézet XML-fájljának a .txt fájlba. Végezze el ezt a műveletet a használni kívánt egyéni nézetek mindegyikéhez. Nevezze át a fájlokat az alábbiak szerint (győződjön meg arról, hogy a típust .txt-ról .xml-re módosította):
- Irányított mappaelérési események egyéni nézete: cfa-events.xml
- Biztonsági rés kiaknázása elleni védelmi események egyéni nézete: ep-events.xml
- Támadásifelület-csökkentési események egyéni nézete: asr-events.xml
- Hálózati/védelmi események egyéni nézete: np-events.xml
Írja be az eseménynaplót a Start menübe, és nyissa meg a eseménymegtekintő.
Válassza azEgyéni nézet importálása művelet>... lehetőséget.
Keresse meg azt az XML-fájlt, ahová kicsomagolta a kívánt egyéni nézetet, és jelölje ki.
Válassza a Megnyitás parancsot.
Létrehoz egy egyéni nézetet, amely szűrőkkel csak az adott funkcióhoz kapcsolódó eseményeket jeleníti meg.
Az XML másolása közvetlenül
Írja be az eseménynaplót a Start menübe, és nyissa meg a Windows eseménymegtekintő.
A bal oldali panel Műveletek területén válassza Létrehozás Egyéni nézet... lehetőséget.
Lépjen az XML lapra, és válassza a Lekérdezés szerkesztése manuálisan lehetőséget. Megjelenik egy figyelmeztetés, amely szerint nem szerkesztheti a lekérdezést a Szűrő lapon, ha xml-beállítást használ. Válassza az Igen lehetőséget.
Illessze be annak a funkciónak az XML-kódját, amelyből az eseményeket szűrni szeretné az XML szakaszba.
Kattintson az OK gombra. Adja meg a szűrő nevét. Ez a művelet létrehoz egy egyéni nézetet, amely szűrőkkel csak az adott funkcióhoz kapcsolódó eseményeket jeleníti meg.
XML támadásifelület-csökkentési szabályeseményekhez
<QueryList>
<Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
<Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
<Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
</Query>
</QueryList>
XML szabályozott mappaelérési eseményekhez
<QueryList>
<Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
<Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
<Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
</Query>
</QueryList>
XML biztonsági rés kiaknázása elleni védelmi eseményekhez
<QueryList>
<Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
<Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID >= 1 and EventID <= 24) or EventID=5 or EventID=260)]]</Select>
<Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID >= 1 and EventID <= 24) or EventID=5 or EventID=260)]]</Select>
<Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID >= 1 and EventID <= 24) or EventID=5 or EventID=260)]]</Select>
<Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID >= 1 and EventID <= 24) or EventID=5 or EventID=260)]]</Select>
<Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID >= 1 and EventID <= 24) or EventID=5 or EventID=260)]]</Select>
<Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID >= 1 and EventID <= 24) or EventID=5 or EventID=260)]]</Select>
<Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID >= 1 and EventID <= 24) or EventID=5 or EventID=260)]]</Select>
<Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID >= 1 and EventID <= 24) or EventID=5 or EventID=260)]]</Select>
<Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID >= 1 and EventID <= 24) or EventID=5 or EventID=260)]]</Select>
<Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID >= 1 and EventID <= 24) or EventID=5 or EventID=260)]]</Select>
<Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID >= 1 and EventID <= 24) or EventID=5 or EventID=260)]]</Select>
</Query>
</QueryList>
XML hálózati védelmi eseményekhez
<QueryList>
<Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
<Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
<Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
</Query>
</QueryList>
Támadásifelület-csökkentési események listája
A támadásifelület-csökkentési események a Microsoft > Windows Alkalmazás- és szolgáltatásnaplók > területén, majd az alábbi táblázatban felsorolt mappában vagy szolgáltatóban találhatók.
Ezeket az eseményeket a Windows Eseménynaplóban érheti el:
Nyissa meg a Start menüt, írja be az eseménynapló kifejezést, majd válassza ki a eseménymegtekintő eredményt.
Bontsa ki az Alkalmazások és szolgáltatások naplói > Microsoft > Windows elemet, majd lépjen az alábbi táblázatban a Szolgáltató/forrás területen felsorolt mappára.
Az események megtekintéséhez kattintson duplán az alelemre. Görgessen végig az eseményeken, és keresse meg a keresett eseményt.
| Funkció | Szolgáltató/forrás | Eseményazonosító | Leírás |
|---|---|---|---|
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 1 | ACG-naplózás |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 2 | ACG kényszerítése |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 3 | Gyermekfolyamatok naplózásának mellőzése |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 4 | Gyermekfolyamat-blokk tiltás letiltása |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 5 | Alacsony integritású rendszerképek naplózásának letiltása |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 6 | Alacsony integritású képek blokkolása |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 7 | Távoli lemezképek naplózásának blokkolása |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 8 | Távoli lemezképek blokkolása |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 9 | Win32k rendszerhívások naplózásának letiltása |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 10 | Win32k rendszerhívási blokk letiltása |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 11 | Kódintegritási védelem naplózása |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 12 | Kódintegritási védőblokk |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 13 | EAF-naplózás |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 14 | EAF kényszerítése |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 15 | EAF+ naplózás |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 16 | EAF+ kényszerítés |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 17 | IAF-naplózás |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 18 | IAF kényszerítése |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 19 | ROP StackPivot-naplózás |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 20 | ROP StackPivot kényszerítése |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 21 | ROP-hívó – Audit ellenőrzése |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 22 | ROP-hívó – Kényszerítés ellenőrzése |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 23 | ROP SimExec-naplózás |
| Biztonsági rés kiaknázása elleni védelem | Kockázatcsökkentő intézkedések (rendszermag mód/felhasználói mód) | 24 | ROP SimExec kényszerítése |
| Biztonsági rés kiaknázása elleni védelem | WER-Diagnostics | 5 | CFG-blokk |
| Biztonsági rés kiaknázása elleni védelem | Win32K (működési) | 260 | Nem megbízható betűtípus |
| Hálózatvédelem | Windows Defender (működési) | 5007 | A beállítások módosításának eseménye |
| Hálózatvédelem | Windows Defender (működési) | 1125 | Esemény, amikor a hálózatvédelem naplózási módban aktiválódik |
| Hálózatvédelem | Windows Defender (működési) | 1126 | Esemény, amikor a hálózatvédelem blokk módban aktiválódik |
| Mappákhoz való hozzáférés szabályozása | Windows Defender (működési) | 5007 | A beállítások módosításának eseménye |
| Mappákhoz való hozzáférés szabályozása | Windows Defender (működési) | 1124 | Ellenőrzött mappahozzáférési esemény naplózása |
| Mappákhoz való hozzáférés szabályozása | Windows Defender (működési) | 1123 | Letiltott mappahozzáférési esemény |
| Mappákhoz való hozzáférés szabályozása | Windows Defender (működési) | 1127 | Letiltott szabályozott mappahozzáférési szektor írási blokkeseménye |
| Mappákhoz való hozzáférés szabályozása | Windows Defender (működési) | 1128 | Naplózott ellenőrzött mappahozzáférési szektor írási blokkeseménye |
| Támadásifelület-csökkentés | Windows Defender (működési) | 5007 | A beállítások módosításának eseménye |
| Támadásifelület-csökkentés | Windows Defender (működési) | 1122 | Esemény, amikor a szabály naplózási módban aktiválódik |
| Támadásifelület-csökkentés | Windows Defender (működési) | 1121 | Esemény, amikor a szabály blokk módban aktiválódik |
Megjegyzés:
A felhasználó szempontjából a támadási felület csökkentése A figyelmeztetési mód értesítései Windows bejelentési értesítésként jelennek meg a támadásifelület-csökkentési szabályokhoz.
A támadási felület csökkentése esetén a Network Protection csak naplózási és blokkolási módokat biztosít.
Forrásanyagok a támadási felület csökkentéséről
Ahogy a videóban is említettük, a Végponthoz készült Defender számos támadásifelület-csökkentési képességet tartalmaz. További információért használja az alábbi forrásanyagokat:
| Cikk | Leírás |
|---|---|
| Alkalmazásvezérlő | Az alkalmazásvezérlés használatával az alkalmazásoknak megbízhatónak kell lenniük a futtatáshoz. |
| Támadásifelület-csökkentési szabályok referenciája | Az egyes támadásifelület-csökkentési szabályok részletei. |
| Támadásifelület-csökkentési szabályok üzembehelyezési útmutatója | Áttekintő információkat és előfeltételeket mutat be a támadásifelület-csökkentési szabályok üzembe helyezéséhez, majd részletes útmutatást nyújt a teszteléshez (naplózási mód), az engedélyezéshez (blokk mód) és a monitorozáshoz. |
| Mappákhoz való hozzáférés szabályozása | Segítsen megakadályozni, hogy a kártékony vagy gyanús alkalmazások (beleértve a fájltitkosítást végző zsaroló kártevőket) módosításokat végezhessenek a kulcsfontosságú rendszermappákban lévő fájlokon (ehhez Microsoft Defender víruskereső szükséges). |
| Eszközvezérlés | Az adatvesztés elleni védelmet az eszközök, például cserélhető tárolók és USB-meghajtók adathordozóinak monitorozásával és szabályozásával biztosíthatja a szervezetben. |
| Biztonsági rés kiaknázása elleni védelem | Segít megvédeni a szervezet által használt operációs rendszereket és alkalmazásokat a kihasználtságtól. A biztonsági rés kiaknázása elleni védelem külső víruskereső megoldásokkal is működik. |
| Hardveralapú elkülönítés | A rendszer integritásának védelme és fenntartása a rendszer indításakor és futása közben. Ellenőrizze a rendszer integritását helyi és távoli igazolással. Használjon tárolóelkülönítést a Microsoft Edge-hez a rosszindulatú webhelyek elleni védelem érdekében. |
| Hálózatvédelem | A védelem kiterjesztése a hálózati forgalomra és a kapcsolatra a szervezet eszközein. (Ehhez Microsoft Defender víruskereső szükséges). |
| Támadásifelület-csökkentési szabályok tesztelése | A támadásifelület-csökkentési szabályok teszteléséhez a naplózási mód használatának lépéseit ismerteti. |
| Webes védelem | A webvédelem lehetővé teszi az eszközök védelmét a webes fenyegetések ellen, és segít szabályozni a nemkívánatos tartalmakat. |
Tipp
Szeretne többet megtudni? Engage a Microsoft biztonsági közösségével a technikai közösségünkben: Végponthoz készült Microsoft Defender Tech Community.