Ativar a implementação de regras de redução da superfície de ataque (ASR)

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Este artigo faz parte do Guia de implementação das regras de redução da superfície de ataque (ASR).

Depois de testar as regras do ASR no Modo de auditoria, faça a transição para o modo Bloquear ou Avisar , começando pela primeira cadência de implementação.

Diagrama dos passos para implementar regras ASR: transição de Auditoria para Modo de bloqueio e, em seguida, expandir para anéis adicionais.

Passo 1: Fazer a transição do ASR de Auditoria para Bloquear

  1. Depois de determinar todas as exclusões necessárias para as regras no Modo de auditoria , comece a definir algumas regras para o modo Bloquear ou Avisar . Comece com a regra com o menor número de eventos acionados. Para obter instruções, veja Configurar regras e exclusões de redução da superfície de ataque (ASR).

  2. Reveja a atividade da regra ASR. Reveja também o feedback dos seus campeões.

  3. Refine exclusões ou crie novas exclusões conforme necessário.

Dica

As exclusões de regras são melhores do que desativar as regras ou alterá-las novamente para o Modo de auditoria .

Tire partido do modo Aviso nas regras disponíveis para limitar as interrupções. O modo de aviso permite-lhe capturar eventos acionados e ver potenciais interrupções sem realmente bloquear o acesso do utilizador (podem clicar na notificação de aviso). Para obter mais informações, veja Modos de regras ASR.

Passo 2: Expandir a implementação para tocar n + 1

Quando tiver a certeza de que configurou corretamente as regras do ASR para a cadência 1, pode alargar o âmbito da implementação para a cadência seguinte (toque n + 1).

O processo de implementação para cada cadência subsequente é:

  1. Ative as regras do ASR no Modo de auditoria .

  2. Reveja a atividade da regra ASR.

  3. Crie exclusões conforme necessário.

  4. Reveja a atividade da regra ASR e refine as exclusões.

  5. Defina regras como Modo de bloqueio.

  6. Reveja a atividade da regra ASR.

  7. Crie exclusões conforme necessário.

  8. Desative as regras problemáticas ou mude-as novamente para o Modo de auditoria .

Conteúdo relacionado

  • Last updated on