Capacidades de redução da superfície de ataque no Microsoft Defender para Ponto de Extremidade

A redução da superfície de ataque é um conjunto de capacidades no Microsoft Defender para Ponto de Extremidade que eliminam comportamentos de risco ou desnecessários em dispositivos e redes, reduzindo as oportunidades que os atacantes têm de comprometer a sua organização. As superfícies de ataque são todos os locais onde a sua organização está vulnerável a ameaças cibernéticas. Ao proteger estas superfícies, pode impedir que os ataques ocorram em primeiro lugar.

Estas capacidades bloqueiam comportamentos de software de risco, impedem ligações a sites maliciosos e protegem os dados contra acessos não autorizados ou transferências não autorizadas. Em conjunto, formam uma defesa em camadas que complementa as funcionalidades de deteção e resposta no Defender para Endpoint.

Recursos de redução da superfície de ataque

A redução da superfície de ataque no Defender para Endpoint inclui as seguintes capacidades:

• As regras de redução da superfície de ataque (ASR) restringem comportamentos de software de risco que os atacantes exploram, como iniciar executáveis que tentam transferir ficheiros, executar scripts ocultados ou executar ações que as aplicações normalmente não iniciam durante o trabalho diário. Para obter mais informações, veja Descrição geral das regras de redução da superfície de ataque (ASR).

• O acesso controlado a pastas protege dados valiosos de aplicações maliciosas e ameaças, como ransomware. Verifica as aplicações relativamente a uma lista de aplicações conhecidas e fidedignas e impede que aplicações não fidedignas modifiquem ficheiros em pastas protegidas. Para obter mais informações, veja Proteger pastas importantes com acesso controlado a pastas.

• A Proteção contra exploits aplica técnicas de mitigação de exploits a aplicações e processos do sistema operativo automaticamente. Baseia-se nas proteções que estavam disponíveis no Enhanced Mitigation Experience Toolkit (EMET) e integra-se com o Defender para Endpoint para relatórios e alertas. Para obter mais informações, veja Proteger dispositivos contra exploits.

• A proteção de rede impede ligações a domínios maliciosos ou suspeitos e endereços IP. Expande Microsoft Defender proteção SmartScreen para bloquear todo o tráfego HTTP(S) de saída que tenta ligar a origens de baixa reputação. Para obter mais informações, veja Proteção de rede.

• A proteção Web protege os dispositivos contra ameaças à Web e ajuda a regular conteúdo indesejado. A proteção Web inclui proteção contra ameaças na Web, filtragem de conteúdo Web e indicadores personalizados. Para obter mais informações, consulte Proteção web.

• A filtragem de conteúdos Web controla e regula o acesso a sites com base nas respetivas categorias de conteúdo, permitindo-lhe bloquear categorias que violem regulamentos de conformidade ou políticas organizacionais. Para obter mais informações, veja Filtragem de conteúdo Web.

• O controlo do dispositivo determina se os utilizadores podem instalar e utilizar dispositivos periféricos, como pen USB, impressoras e dispositivos Bluetooth nos respetivos computadores. O controlo de dispositivos ajuda a evitar a perda de dados e software maligno de suportes de dados amovíveis. Para obter mais informações, veja Controlo de dispositivos no Microsoft Defender para Ponto de Extremidade.

• Os relatórios de firewall de rede integram-se com a Firewall do Windows para fornecer visibilidade centralizada sobre eventos de firewall no portal do Microsoft Defender. Para obter mais informações, veja Relatórios de firewall do anfitrião.

A disponibilidade destas funcionalidades está resumida na tabela seguinte:

Recurso	Windows	macOS	Linux
Regras do ASR	Y	N	N
Acesso a pastas controladas	Y	N	N
Proteção de exploração	Y	N	N
Proteção de rede	S	S	S*
Proteção da Web	S	S	S*
Filtragem de conteúdo da Web	S	S	S
Controle de dispositivos	S	S	N
Relatórios de firewall	Y	N	N

^* Atualmente em Pré-visualização.

Funcionalidades de segurança relacionadas do Windows

As seguintes funcionalidades de segurança do Windows complementam a redução da superfície de ataque no Defender para Endpoint, mas são configuradas e geridas separadamente:

• Microsoft Defender Application Guard fornece isolamento baseado em hardware para o Microsoft Edge, abrindo sites não fidedignos num contentor para proteger a sua organização. Para obter mais informações, veja Microsoft Defender Application Guard descrição geral.
• O Controlo de Aplicações do Windows Defender (WDAC) garante que apenas as aplicações fidedignas são executadas nos seus dispositivos. Para obter mais informações, veja Controlo de aplicações para Windows.
• A Firewall do Windows controla o tráfego de rede de entrada e saída nos dispositivos. Para obter mais informações, veja Firewall do Windows com segurança avançada.

Como a redução da superfície de ataque se encaixa no Defender para Endpoint

A redução da superfície de ataque complementa outras capacidades do Defender para Endpoint que detetam e respondem a ameaças após a respetiva ocorrência. Embora a proteção de próxima geração e a deteção de pontos finais e a resposta se concentrem na identificação e remediação de ameaças ativas, a redução da superfície de ataque impede que as ameaças ganhem posição de pé.

Cada capacidade aborda uma parte diferente da superfície de ataque:

• Comportamento de software de risco: as regras do ASR limitam a forma como as aplicações e os scripts se podem comportar, bloqueando técnicas comuns que os atacantes utilizam para fornecer software maligno ou roubar credenciais.
• Ligações de rede: a proteção de rede e a proteção web bloqueiam o acesso a sites maliciosos ou inadequados conhecidos antes de o conteúdo chegar ao dispositivo.
• Acesso a dados e ficheiros: o acesso controlado a pastas e o controlo de dispositivos limitam as aplicações e o hardware que podem aceder ou modificar ficheiros confidenciais.
• Vulnerabilidades da aplicação: a Proteção contra exploits aplica mitigações que dificultam aos atacantes explorar vulnerabilidades em processos e aplicações do sistema operativo.

Modo de auditoria

O modo de auditoria ajuda-o a avaliar o impacto das funcionalidades de redução da superfície de ataque no seu ambiente sem afetar a produtividade. As seguintes capacidades suportam o modo de auditoria:

• Regras e exclusões de redução da superfície de ataque (ASR)
• Acesso controlado a pastas
• Proteção contra exploração
• Proteção de rede

No modo de auditoria, as funcionalidades não bloqueiam aplicações, scripts ou ligações. Em vez disso, o Registo de Eventos do Windows regista eventos como se as funcionalidades estivessem ativas. Pode rever os registos de eventos e utilizar a investigação avançada no portal do Microsoft Defender para compreender como cada funcionalidade afetaria as suas aplicações de linha de negócio. Para obter mais informações sobre os dados no Windows Visualizador de Eventos, consulte Ver eventos de redução da superfície de ataque no Windows Visualizador de Eventos.

Ferramentas de gerenciamento

Pode configurar capacidades de redução da superfície de ataque com várias ferramentas de gestão. As seguintes ferramentas são frequentemente utilizadas:

• Microsoft Intune
• Microsoft Configuration Manager
• Política de grupo
• Cmdlets do PowerShell

A ferramenta certa depende das preferências de gestão e infraestrutura da sua organização. Para obter orientações de configuração detalhadas, veja os artigos de funcionalidades individuais ligados na secção Capacidades de redução da superfície de ataque .

Conteúdo relacionado

• Descrição geral das regras de redução da superfície de ataque (ASR)
• Guia de implantação de regras de redução de superfície de ataque (ASR)
• Eventos de redução da superfície de ataque no Windows Visualizador de Eventos
• Proteja pastas importantes com acesso controlado a pastas
• Proteger dispositivos contra abusos
• Proteção de rede
• Proteção na web
• Controlo do dispositivo no Microsoft Defender para Ponto de Extremidade