Proteggere l'organizzazione dagli effetti della manomissione

La manomissione descrive i tentativi degli attaccanti di indebolire Microsoft Defender per endpoint. Gli attaccanti potrebbero prendere di mira i controlli di sicurezza su singoli dispositivi come parte di un obiettivo più ampio, come la distribuzione di ransomware. La resilienza alle manomissioni combina protezioni a livello di dispositivo, gestione centralizzata e rilevamento per aiutare a prevenire questi cambiamenti e ridurne l'impatto.

Per modalità di protezione antimanomissione, impostazioni protette, requisiti, esclusioni e linee guida per l'indagine, vedi Panoramica sulla protezione antimanomissione.

Crea una resilienza alle manomissioni a livello organizzativo basata su un modello Zero Trust:

• Seguire il principio del privilegio minimo. Vedere Panoramica del controllo di accesso per Windows.
• Configura le politiche di Accesso Condizionato per applicare controlli di accesso basati sui segnali di utente e dispositivo.

Mantieni i dispositivi sani e gestiti centralmente:

• Eseguire l'onboarding di dispositivi in Defender per endpoint.
• Assicurarsi che l'intelligence per la sicurezza e gli aggiornamenti antivirus siano installati.
• Gestisci i dispositivi centralmente utilizzando Microsoft Intune, Microsoft Defender per endpoint Security Settings Management o Gestione configurazione.

Nota

Sui dispositivi Windows, puoi gestire Microsoft Defender Antivirus utilizzando Group Policy, Windows Management Instrumentation (WMI) e i cmdlet PowerShell. Questi metodi sono più suscettibili a manomissioni rispetto alla gestione centralizzata tramite Intune, Gestione configurazione o Defender per la gestione delle impostazioni di sicurezza degli endpoint.

Se si utilizzano i Criteri di gruppo, si consiglia di disabilitare gli override locali per le impostazioni di Microsoft Defender Antivirus e disabilitare l'unione degli elenchi locali.

Usa i report sulla salute dei dispositivi in Microsoft Defender per endpoint per esaminare lo stato dei sensori di Microsoft Defender Antivirus e Defender for Endpoint.

Prevenire manomissioni su singoli dispositivi

Controlli diversi proteggono da diverse tecniche di manomissione:

Controllo	Platform	Tecniche di manomissione
Protezione da manomissioni	Windows	Terminare o sospendere processi, fermare servizi, modificare impostazioni o esclusioni del registro, dirottare DLL, modificare il file system o compromettere l'integrità degli agenti.
Protezione da manomissioni	macOS	Terminare o sospendere dei processi, modificare i file di Defender for Endpoint o compromettere l'integrità dell'agente.
Regole per la riduzione della superficie di attacco (RSA)	Windows	Impedire alle app di scrivere su disco driver firmati vulnerabili sfruttati. Vedi Blocco dell'abuso di driver vulnerabili firmati sfruttati (Dispositivo).
Controllo App per le Imprese, precedentemente Windows Defender Application Control (WDAC)	Windows	Impedire che i driver vulnerabili del kernel si carichino. Vedi l'elenco di blocco dei driver vulnerabili Microsoft.

Proteggersi dalle manomissioni tramite driver in Windows

Gli attaccanti possono sfruttare vulnerabilità nei driver firmati per ottenere accesso al kernel e disabilitare o bypassare i controlli di sicurezza. Utilizza la lista di blocco dei driver vulnerabili di Microsoft, una regola ASR e le policy di App Control for Business per ridurre questo rischio.

Usa la lista di blocco dei driver vulnerabili di Microsoft

Dall'aggiornamento di Windows 11 2022, la lista di blocco dei driver vulnerabili è attivata di default. Ad eccezione di Windows Server 2016, la lista di blocchi viene applicata anche quando è attiva l'integrità della memoria, nota anche come integrità del codice protetto dall'hypervisor (HVCI), Smart App Control o modalità S. La lista bloccata viene aggiornata trimestralmente e gli aggiornamenti vengono forniti tramite aggiornamenti mensili di Windows.

Vedi l'elenco di blocco dei driver vulnerabili Microsoft.

Per distribuire l'ultima lista di blocco consigliata tramite una policy App Control for Business, vedi XML per la lista di blocco dei driver vulnerabili.

Usa la regola ASR relativa ai driver firmati vulnerabili

La regola ASR Blocca l'abuso di driver firmati vulnerabili sfruttati impedisce alle app di salvare driver firmati vulnerabili in un dispositivo. Non impedisce il caricamento di un driver esistente. Esegui la regola in modalità Audit per valutarne l'effetto prima di usare la modalità Block . Per altre informazioni, vedere Impedire l'abuso di driver firmati vulnerabili sfruttati (dispositivo).

Usa App Control for Business per bloccare i driver

Le linee guida operative App Control for Business spiegano come creare politiche che controllano quali driver possono eseguire. Usa la modalità audit per valutare la compatibilità prima di applicare una policy di Controllo dell'App.

Proteggi le esclusioni antivirus Microsoft Defender su Windows

Gli attaccanti potrebbero aggiungere o modificare esclusioni di Microsoft Defender Antivirus per evitare la scansione. La protezione anti-manomissione può proteggere le liste di esclusione gestite dall'organizzazione quando i dispositivi soddisfano i requisiti di piattaforma, gestione, sensori e politiche. Per i requisiti completi e i passaggi di verifica, vedi Proteggi le esclusioni antivirus Microsoft Defender con protezione antimanomissione.

L'impostazione DisableLocalAdminMerge è uno dei requisiti della protezione dalle esclusioni. Per informazioni sulla configurazione, vedi Disabilita la fusione delle liste locali.

Come protezione separata, abilita HideExclusionsFromLocalAdmin per impedire agli amministratori locali di visualizzare le esclusioni esistenti tramite Registry Editor o il cmdlet PowerShell Get-MpPreference . Questa impostazione non rimuove le esclusioni.

Rilevamento di potenziali attività di manomissione nel portale di Microsoft Defender

Alcune potenziali attività di manomissione generano un allarme nel portale Microsoft Defender. Per ridurre i rumori di allarme inutili, attività non correlate a comportamenti sospetti potrebbe non generare un avviso autonomo. L'attività rimane disponibile nella sequenza temporale del dispositivo e nella ricerca avanzata. Per indicazioni sull'indagine, vedi Visualizza informazioni sui tentativi di manomissione.

I titoli di avviso di manomissione possono includere:

• Tentativo di aggirare la protezione del client di Microsoft Defender per endpoint
• Tentativo di arresto del sensore di Microsoft Defender per endpoint
• Tentativo di manomissione di Microsoft Defender in più dispositivi
• Tentativo di disattivare Microsoft Defender protezione antivirus
• Bypass del rilevamento di Defender
• Tentativo di manomissione tramite driver bloccato
• Opzioni di esecuzione del file di immagine impostate a scopo di manomissione
• protezione antivirus Microsoft Defender disattivata
• Microsoft Defender manomissione dell'antivirus
• Tentativo di modifica nell’elenco delle esclusioni di Microsoft Defender Antivirus
• Meccanismo di operazioni sui file in sospeso sfruttato impropriamente per finalità di manomissione
• Possibile manomissione dell'interfaccia di analisi antimalware (AMSI)
• Possibile manomissione remota
• Possibile manomissione del sensore nella memoria
• Potenziale tentativo di manomissione di MDE tramite driver
• Manomissione del software di sicurezza
• Esclusione sospetta di Microsoft Defender Antivirus
• Bypass della protezione antimanomissione
• Attività di manomissione tipica degli attacchi ransomware
• Manomissione delle comunicazioni del sensore di Microsoft Defender per Endpoint
• Manomissione delle impostazioni del sensore di Microsoft Defender per endpoint
• Manomissione del sensore di Microsoft Defender per endpoint

Se viene attivata la regola ASR Blocca l'abuso di driver firmati vulnerabili sfruttati (Dispositivo), visualizza l'evento nel rapporto sulle regole di riduzione della superficie di attacco o nella ricerca avanzata.

Se App Control for Business è abilitato, puoi visualizzare le attività di blocco e controllo in Advanced hunting.