Omówienie reguł zmniejszania obszaru podatnego na ataki

  • Artykuł

Dotyczy:

Platformy

  • System Windows

Dlaczego reguły zmniejszania obszaru podatnego na ataki są ważne

Obszar ataków organizacji obejmuje wszystkie miejsca, w których osoba atakująca może naruszyć bezpieczeństwo urządzeń lub sieci organizacji. Zmniejszenie obszaru ataków oznacza ochronę urządzeń i sieci organizacji, co sprawia, że osoby atakujące mają mniej sposobów przeprowadzania ataków. Konfigurowanie reguł zmniejszania obszaru ataków w Ochrona punktu końcowego w usłudze Microsoft Defender może pomóc!

Reguły zmniejszania obszaru ataków dotyczą pewnych zachowań oprogramowania, takich jak:

  • Uruchamianie plików wykonywalnych i skryptów, które próbują pobrać lub uruchomić pliki
  • Uruchamianie zaciemnionych lub w inny sposób podejrzanych skryptów
  • Wykonywanie zachowań, których aplikacje zwykle nie inicjują podczas normalnej codziennej pracy

Takie zachowania oprogramowania są czasami widoczne w legalnych aplikacjach. Jednak te zachowania są często uważane za ryzykowne, ponieważ są często nadużywane przez osoby atakujące przez złośliwe oprogramowanie. Reguły zmniejszania obszaru podatnego na ataki mogą ograniczać ryzykowne zachowania oparte na oprogramowaniu i pomagać w zachowaniu bezpieczeństwa organizacji.

Aby zapoznać się z sekwencyjnym, kompleksowym procesem zarządzania regułami zmniejszania obszaru ataków, zobacz:

Ocena reguł przed wdrożeniem

Możesz ocenić, w jaki sposób reguła zmniejszania obszaru ataków może wpłynąć na sieć, otwierając zalecenie dotyczące zabezpieczeń dla tej reguły w Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender.

Zalecenie dotyczące redukcji obszaru ataków

W okienku szczegółów rekomendacji sprawdź wpływ na użytkownika, aby określić, jaki procent urządzeń może zaakceptować nowe zasady umożliwiające regułę w trybie blokowania bez negatywnego wpływu na produktywność.

Aby uzyskać informacje o obsługiwanych systemach operacyjnych i innych informacjach dotyczących wymagań, zobacz Artykuł " Włączanie reguł zmniejszania obszaru podatnego na ataki".

Tryb inspekcji na potrzeby oceny

Tryb inspekcji

Użyj trybu inspekcji , aby ocenić, w jaki sposób reguły zmniejszania obszaru ataków wpłyną na organizację, jeśli zostaną włączone. Najpierw uruchom wszystkie reguły w trybie inspekcji, aby zrozumieć, jak wpływają one na aplikacje biznesowe. Wiele aplikacji biznesowych jest pisanych z ograniczonymi problemami dotyczącymi zabezpieczeń i mogą wykonywać zadania w sposób podobny do złośliwego oprogramowania.

Wykluczenia

Dzięki monitorowaniu danych inspekcji i dodawaniu wykluczeń dla niezbędnych aplikacji można wdrożyć reguły zmniejszania obszaru ataków bez obniżania produktywności.

Wykluczenia dla reguł

Aby uzyskać informacje na temat konfigurowania wykluczeń dla reguł, zobacz sekcję Zatytułowaną Konfigurowanie reguł zmniejszania obszaru ataków dla wykluczeń reguł w artykule Testowanie reguł zmniejszania obszaru podatnego na ataki.

Tryb ostrzeżenia dla użytkowników

(NOWY!) Przed rozpoczęciem działania trybu ostrzegania reguły zmniejszania obszaru ataków, które są włączone, można ustawić na tryb inspekcji lub tryb blokady. W nowym trybie ostrzegania za każdym razem, gdy zawartość jest blokowana przez regułę zmniejszania obszaru ataków, użytkownicy widzą okno dialogowe wskazujące, że zawartość jest zablokowana. W oknie dialogowym jest również dostępna opcja odblokowania zawartości. Następnie użytkownik może ponowić próbę wykonania akcji i zakończyć operację. Gdy użytkownik odblokuje zawartość, zawartość pozostaje odblokowana przez 24 godziny, a następnie blokuje wznowienie.

Tryb ostrzeżenia pomaga organizacji mieć reguły zmniejszania obszaru ataków bez uniemożliwiania użytkownikom dostępu do zawartości potrzebnej do wykonywania zadań.

Wymagania dotyczące trybu ostrzegania do działania

Tryb ostrzeżenia jest obsługiwany na urządzeniach z następującymi wersjami systemu Windows:

Microsoft Defender program antywirusowy musi być uruchomiony z ochroną w czasie rzeczywistym w trybie aktywnym.

Upewnij się również, Microsoft Defender zainstalowano aktualizacje oprogramowania antywirusowego i oprogramowania chroniącego przed złośliwym kodem.

  • Minimalne wymagania dotyczące wydania platformy: 4.18.2008.9
  • Minimalne wymagania dotyczące wydania aparatu: 1.1.17400.5

Aby uzyskać więcej informacji i uzyskać aktualizacje, zobacz Update for Microsoft Defender antimalware platform (Aktualizacja dla platformy ochrony przed złośliwym kodem).

Przypadki, w których tryb ostrzeżenia nie jest obsługiwany

Tryb ostrzegania nie jest obsługiwany w przypadku trzech reguł zmniejszania obszaru ataków podczas konfigurowania ich w Microsoft Intune. (Jeśli używasz zasady grupy do konfigurowania reguł zmniejszania obszaru ataków, tryb ostrzegania jest obsługiwany). Trzy reguły, które nie obsługują trybu ostrzeżenia podczas konfigurowania ich w Microsoft Intune, są następujące:

Ponadto tryb ostrzegania nie jest obsługiwany na urządzeniach ze starszymi wersjami systemu Windows. W takich przypadkach reguły zmniejszania obszaru ataków skonfigurowane do uruchamiania w trybie ostrzeżenia są uruchamiane w trybie bloku.

Powiadomienia i alerty

Za każdym razem, gdy zostanie wyzwolona reguła zmniejszania obszaru podatnego na ataki, na urządzeniu jest wyświetlane powiadomienie. Powiadomienie można dostosować przy użyciu danych firmy i informacji kontaktowych.

Ponadto po wyzwoleniu niektórych reguł zmniejszania obszaru ataków są generowane alerty.

Powiadomienia i wszystkie wygenerowane alerty można wyświetlić w portalu Microsoft Defender.

Aby uzyskać szczegółowe informacje na temat funkcji powiadomień i alertów, zobacz: Alert dla reguły i szczegóły powiadomień w artykule Informacje o regułach zmniejszania obszaru podatnego na ataki.

Zaawansowane zdarzenia zmniejszania obszaru zagrożeń i ataków

Możesz użyć zaawansowanego wyszukiwania zagrożeń, aby wyświetlić zdarzenia redukcji obszaru ataków. Aby usprawnić ilość danych przychodzących, tylko unikatowe procesy dla każdej godziny są widoczne w przypadku zaawansowanego wyszukiwania zagrożeń. Czas zdarzenia redukcji powierzchni ataku to pierwszy raz, gdy zdarzenie jest widoczne w ciągu godziny.

Załóżmy na przykład, że zdarzenie redukcji obszaru ataków występuje na 10 urządzeniach w godzinie 14:00. Załóżmy, że pierwsze zdarzenie miało miejsce o godzinie 2:15, a ostatnie o 2:45. W przypadku zaawansowanego wyszukiwania zagrożeń zobaczysz jedno wystąpienie tego zdarzenia (nawet jeśli faktycznie miało miejsce na 10 urządzeniach), a jego sygnatura czasowa będzie wynosić 14:15.

Aby uzyskać więcej informacji na temat zaawansowanego wyszukiwania zagrożeń, zobacz Proaktywne wyszukiwanie zagrożeń z zaawansowanym wyszukiwaniem zagrożeń.

Funkcje zmniejszania obszaru ataków w wersjach systemu Windows

Możesz ustawić reguły zmniejszania obszaru podatnego na ataki dla urządzeń, na których działa dowolna z następujących wersji i wersji systemu Windows:

Mimo że reguły zmniejszania obszaru ataków nie wymagają licencji systemu Windows E5, jeśli masz system Windows E5, uzyskasz zaawansowane możliwości zarządzania. Zaawansowane możliwości — dostępne tylko w systemie Windows E5 — obejmują:

Te zaawansowane możliwości nie są dostępne z licencją windows professional lub Windows E3. Jeśli jednak masz te licencje, możesz użyć dzienników programu antywirusowego Podgląd zdarzeń i Microsoft Defender, aby przejrzeć zdarzenia reguły zmniejszania obszaru ataków.

Przejrzyj zdarzenia zmniejszania obszaru ataków w portalu Microsoft Defender

Usługa Defender for Endpoint udostępnia szczegółowe raportowanie zdarzeń i bloków w ramach scenariuszy badania alertów.

Możesz wykonywać zapytania dotyczące usługi Defender pod kątem danych punktu końcowego w Microsoft Defender XDR przy użyciu zaawansowanego wyszukiwania zagrożeń.

Oto przykładowe zapytanie:

DeviceEvents
| where ActionType startswith 'Asr'

Przejrzyj zdarzenia redukcji obszaru ataków w systemie Windows Podgląd zdarzeń

Możesz przejrzeć dziennik zdarzeń systemu Windows, aby wyświetlić zdarzenia generowane przez reguły zmniejszania obszaru ataków:

  1. Pobierz pakiet ewaluacyjny i wyodrębnij plik cfa-events.xml do łatwo dostępnej lokalizacji na urządzeniu.

  2. Wprowadź wyrazy Podgląd zdarzeń w menu Start, aby otworzyć Podgląd zdarzeń systemu Windows.

  3. W obszarze Akcje wybierz pozycję Importuj widok niestandardowy....

  4. Wybierz plik cfa-events.xml , z którego został wyodrębniony. Alternatywnie skopiuj plik XML bezpośrednio.

  5. Wybierz przycisk OK.

Można utworzyć widok niestandardowy, który filtruje zdarzenia w celu wyświetlenia tylko następujących zdarzeń, z których wszystkie są związane z kontrolowanym dostępem do folderów:

Identyfikator zdarzenia Opis
5007 Zdarzenie po zmianie ustawień
1121 Zdarzenie, gdy reguła jest uruchamiana w trybie bloku
1122 Zdarzenie, gdy reguła jest uruchamiana w trybie inspekcji

"Wersja aparatu" wymieniona dla zdarzeń redukcji obszaru ataków w dzienniku zdarzeń jest generowana przez usługę Defender for Endpoint, a nie przez system operacyjny. Usługa Defender for Endpoint jest zintegrowana z Windows 10 i Windows 11, więc ta funkcja działa na wszystkich urządzeniach z zainstalowanymi Windows 10 lub Windows 11.

Zobacz też

Porada

Jeśli szukasz informacji dotyczących programu antywirusowego dla innych platform, zobacz:

Porada

Chcesz dowiedzieć się więcej? Engage ze społecznością microsoft security w naszej społeczności technicznej: Ochrona punktu końcowego w usłudze Microsoft Defender Tech Community.