Wyjątki izolacji sieciowej

  • Dotyczy: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Wykluczenia izolacji umożliwiają wykluczenie określonych procesów, adresów IP lub usług z izolacji sieciowej przez zastosowanie akcji selektywnej odpowiedzi izolacji na urządzeniach.

Izolacja sieci w Ochrona punktu końcowego w usłudze Microsoft Defender ogranicza komunikację urządzenia z naruszonymi zabezpieczeniami, aby zapobiec rozprzestrzenianiu się zagrożeń. Jednak niektóre krytyczne usługi, takie jak narzędzia do zarządzania lub rozwiązania zabezpieczeń, mogą wymagać utrzymania działania.

Wykluczenia izolacji umożliwiają wyznaczonym procesom lub punktom końcowym pomijanie ograniczeń izolacji sieci, zapewniając, że podstawowe funkcje (na przykład zdalne korygowanie lub monitorowanie) będą kontynuowane przy jednoczesnym ograniczeniu szerszego narażenia sieci.

Wymagania wstępne

Przed użyciem wykluczeń izolacji upewnij się, że zostały spełnione następujące wymagania wstępne:

  • Wykluczenie izolacji musi być włączone.
  • Włączenie wykluczenia izolacji wymaga uprawnień Administracja zabezpieczeń lub zarządzania ustawieniami zabezpieczeń lub nowszych.

Obsługiwane systemy operacyjne

Wykluczenie izolacji jest obsługiwane w następujących systemach operacyjnych:

  • Wykluczenie izolacji jest dostępne w Windows 11, Windows 10 w wersji 1703 lub nowszej, Windows Server 2016 i nowszych, Windows Server 2012 R2, macOS i Azure Stack HCI OS, wersja 23H2 i nowsze.

Warning

Każde wykluczenie osłabia izolację urządzeń i zwiększa ryzyko bezpieczeństwa. Aby zminimalizować ryzyko, skonfiguruj wykluczenia tylko wtedy, gdy jest to absolutnie konieczne.

Regularnie przeglądaj i aktualizuj wykluczenia, aby były zgodne z zasadami zabezpieczeń.

Tryby izolacji

Istnieją dwa tryby izolacji: pełna izolacja i selektywna izolacja.

  • Pełna izolacja: w trybie pełnej izolacji urządzenie jest całkowicie odizolowane od sieci i nie są dozwolone żadne wyjątki. Cały ruch jest blokowany, z wyjątkiem podstawowej komunikacji z agentem usługi Defender. Wykluczenia nie są stosowane w trybie pełnej izolacji.

    Tryb pełnej izolacji to najbezpieczniejsza opcja, odpowiednia w scenariuszach, w których wymagany jest wysoki poziom hermetyzacji. Aby uzyskać więcej informacji na temat trybu pełnej izolacji, zobacz Izolowanie urządzeń od sieci.

  • Selektywna izolacja: Tryb selektywnej izolacji umożliwia administratorom stosowanie wykluczeń w celu zapewnienia, że narzędzia krytyczne i komunikacja sieciowa mogą nadal działać przy zachowaniu stanu izolowanego urządzenia.

Jak używać funkcji wykluczenia izolacji

Istnieją dwa kroki korzystania z wykluczenia izolacji: definiowanie reguł wykluczania izolacji i stosowanie wykluczenia izolacji na urządzeniu.

Zrzut ekranu przedstawiający sposób włączania wykluczeń izolacji.

Note

Po włączeniu funkcji wyjątków odizolowania wcześniej wbudowane wyjątki dla aplikacji Microsoft Teams, Outlook i Skype przestają obowiązywać, a lista wyjątków jest początkowo pusta na wszystkich platformach. Jeśli aplikacje Microsoft Teams, Outlook i Skype nadal wymagają dostępu podczas izolacji, należy ręcznie zdefiniować dla nich nowe reguły wykluczeń.

Skype została przestarzała i nie jest już uwzględniana w żadnych wykluczeniach domyślnych.

Krok 1. Definiowanie wykluczeń globalnych w ustawieniach

Aby zdefiniować globalne reguły wykluczania izolacji, wykonaj następujące kroki:

  1. W portalu Microsoft Defender przejdź do pozycji Ustawienia>Punkty końcowe>Funkcje zaawansowane>Reguły wykluczania izolacji.

  2. Wybierz odpowiednią kartę systemu operacyjnego (reguły systemu Windows lub reguły dla komputerów Mac).

  3. Wybierz + Dodaj regułę wykluczenia

    Zrzut ekranu przedstawiający sposób dodawania nowej reguły wykluczania izolacji.

  4. Zostanie wyświetlone okno dialogowe Dodawanie nowej reguły wykluczania :

    Zrzut ekranu przedstawiający pola wymagane do zdefiniowania reguły wykluczenia izolacji.

    Wypełnij parametry wykluczenia izolacji. Gwiazdki oznaczają wymagane parametry. Parametry i ich prawidłowe wartości to:

    • Nazwa reguły: podaj nazwę reguły.

    • Opis reguły: Opisz przeznaczenie reguły.

    • Ścieżka procesu (tylko Windows): ścieżka pliku wykonywalnego to jego lokalizacja w punkcie końcowym. Można zdefiniować jeden plik wykonywalny do użycia w każdej regule.

      Przykłady:

      • C:\Windows\System\Notepad.exe
      • %WINDIR%\Notepad.exe

      Uwagi:

      • Plik wykonywalny musi istnieć po zastosowaniu izolacji. W przeciwnym razie reguła wykluczania jest ignorowana.
      • Wykluczenie nie ma zastosowania do żadnych procesów podrzędnych utworzonych przez określony proces.

    • Nazwa usługi (tylko w systemie Windows): krótkich nazw usług systemu Windows można używać, gdy chcesz wykluczyć usługę (a nie aplikację), która wysyła lub odbiera ruch sieciowy. Krótkie nazwy usługi można pobrać, uruchamiając polecenie Get-Service z programu PowerShell. Można zdefiniować jedną usługę do użycia w każdej regule.

      Przykład: termservice

    • Nazwa rodziny pakietów (tylko Windows): Nazwa rodziny pakietów (PFN) jest unikatowym identyfikatorem przypisanym do pakietów aplikacji Windows. Format PFN ma następującą strukturę: <Name>_<PublisherId>.

      Nazwy rodzin pakietów można pobrać, uruchamiając polecenie Get-AppxPackage z programu PowerShell. Aby na przykład uzyskać nową nazwę PFN usługi Microsoft Teams, uruchom polecenie Get-AppxPackage MSTeamsi poszukaj wartości właściwości PackageFamilyName .

      Obsługiwane w:

      • Windows 11, wersja 22H2 lub nowsza (wersja 23H2 wymaga KB5050092)
      • Windows 10, wersja 22H2 lub nowsza (wymaga KB5050081)
      • Windows Server 2025 lub nowszy
      • Windows Server, wersja 23H2 lub nowsza
      • system operacyjny Azure Stack HCI w wersji 23H2 lub nowszej

    • Kierunek: Kierunek połączenia (ruch przychodzący/wychodzący). Przykłady:

      • Połączenie wychodzące: jeśli urządzenie inicjuje połączenie, na przykład połączenie HTTPS z zdalnym serwerem zaplecza, zdefiniuj tylko regułę ruchu wychodzącego. Przykład: urządzenie wysyła żądanie do wersji 1.1.1.1 (wychodzącej). W takim przypadku nie jest wymagana reguła ruchu przychodzącego, ponieważ odpowiedź z serwera jest automatycznie akceptowana jako część połączenia.
      • Połączenie przychodzące: jeśli urządzenie nasłuchuje połączeń przychodzących, zdefiniuj regułę ruchu przychodzącego.

    • Zdalny adres IP: adres IP (lub adresy IP), z którym komunikacja jest dozwolona, gdy urządzenie jest odizolowane od sieci.

      Obsługiwane formaty adresów IP:

      • Protokół IPv4/IPv6 z opcjonalną notacją CIDR
      • Rozdzielona przecinkami lista prawidłowych adresów IP

      Dla każdej reguły można zdefiniować maksymalnie 20 adresów IP.

      Prawidłowe przykłady wejściowe:

      • Pojedynczy adres IP: 1.1.1.1
      • Adres IPV6: 2001:db8:85a3::8a2e:370:7334
      • Adres IP z notacją CIDR (IPv4 lub IPv6): 1.1.1.1/24. W tym przykładzie zdefiniowano zakres adresów IP. W tym przypadku obejmuje ona wszystkie adresy IP od 1.1.1.0 do 1.1.1.255. /24 reprezentuje maskę podsieci, która określa, że pierwsze 24 bity adresu są stałe, a pozostałe 8 bitów definiuje zakres adresów.

  5. Zapisz i zastosuj zmiany.

Globalne reguły wykluczania izolacji zdefiniowane w portalu mają zastosowanie zawsze, gdy dla urządzenia jest włączona selektywna izolacja.

Krok 2. Stosowanie selektywnej izolacji do określonego urządzenia

  1. Przejdź do strony urządzenia w portalu.

  2. Wybierz pozycję Izolowanie urządzenia i wybierz pozycję Selektywna izolacja.

  3. Zaznacz opcję Użyj wykluczeń izolacji, aby zezwolić na określoną komunikację, gdy urządzenie jest izolowane , i wprowadź komentarz.

    Zrzut ekranu przedstawiający sposób stosowania reguły wykluczania do urządzenia.

  4. Wybierz Potwierdź.

Wykluczenia zastosowane do określonego urządzenia można przejrzeć w historii Centrum akcji.

Zrzut ekranu przedstawiający wykluczenia w historii Centrum akcji.

Stosowanie izolacji selektywnej za pośrednictwem interfejsu API

Alternatywnie można zastosować selektywną izolację za pośrednictwem interfejsu API. W tym celu ustaw parametr IsolationType na Selective. Aby uzyskać więcej informacji, zobacz Interfejs API maszyny izolowanej.

Logika wykluczania

Wykluczenia izolacji są oceniane zgodnie z następującą logiką:

  • Wszystkie reguły, które są zgodne, są stosowane.
  • W ramach jednej reguły warunki używają logiki AND (wszystkie muszą być zgodne).
  • Niezdefiniowane warunki w regule są traktowane jako "dowolne" (czyli nieograniczone dla tego parametru).

Jeśli na przykład zdefiniowano następujące reguły:

Rule 1:

   Process path = c:\example.exe
   Remote IP = 1.1.1.1
   Direction = Outbound

Rule 2:

   Process path = c:\example_2.exe
   Direction = Outbound

Rule 3:

   Remote IP = 18.18.18.18
   Direction = Inbound
  • example.exe mogą inicjować połączenia sieciowe tylko ze zdalnym adresem IP 1.1.1.1.
  • example_2.exe może inicjować połączenia sieciowe z każdym adresem IP.
  • Urządzenie może odbierać połączenie przychodzące z adresu IP 18.18.18.18.

Uwagi i ograniczenia

Zmiany reguł wykluczeń mają wpływ tylko na nowe żądania izolacji. Urządzenia, które zostały już odizolowane, pozostają z wykluczeniami, które zostały zdefiniowane podczas ich stosowania. Aby zastosować zaktualizowane reguły wykluczeń do izolowanych urządzeń, wyłącz izolację tych urządzeń, a następnie ponownie włącz ich izolację.

Utrzymywanie istniejących wykluczeń bez zmian dla już izolowanych urządzeń gwarantuje, że reguły izolacji pozostaną spójne przez cały czas trwania aktywnej sesji izolacji.

Treści powiązane

  • Last updated on