Davranışsal engelleme ve kapsama

Şunlara uygulanır: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Davranış engelleme ve kapsama nedir?

Günümüzün tehdit ortamı, arazide yaşayan dosyasız kötü amaçlı yazılımlar , geleneksel çözümlerin ayak uyduramadan daha hızlı mutasyona uğrayan yüksek oranda polimorfik tehditler ve saldırganların güvenliği aşılmış cihazlarda bulduklarına uyum sağlayan insan tarafından çalıştırılan saldırılar tarafından aşılıyor. Geleneksel güvenlik çözümleri bu tür saldırıları durdurmak için yeterli değildir; Uç Nokta için Defender'a dahil edilen davranış engelleme ve kapsama gibi yapay zeka (AI) ve makine öğrenmesi (ML) destekli özelliklere ihtiyacınız vardır.

Davranış engelleme ve kapsama özellikleri, tehdit başlamış olsa bile davranışlarına ve işlem ağaçlarına göre tehditleri tanımlamaya ve durdurmaya yardımcı olabilir. Yeni nesil koruma, EDR ve Uç Nokta için Defender bileşenleri ve özellikleri davranış engelleme ve kapsama özelliklerinde birlikte çalışır.

Davranış engelleme ve kapsama özellikleri, saldırıları hemen durdurmak ve saldırıların ilerlemesini önlemek için Uç Nokta için Defender'ın birden çok bileşeni ve özelliğiyle çalışır.

Yeni nesil koruma (Microsoft Defender Virüsten Koruma içerir) davranışları analiz ederek tehditleri algılayabilir ve tehditleri çalıştırmayı durdurabilir.
Uç nokta algılama ve yanıt (EDR), ağınız, cihazlarınız ve çekirdek davranışınız genelinde güvenlik sinyalleri alır. Tehditler algılandıktan sonra uyarılar oluşturulur. Aynı türde birden çok uyarı olaylar halinde toplanır ve bu da güvenlik operasyonları ekibinizin araştırmasını ve yanıtlamasını kolaylaştırır.
Uç Nokta için Defender , EDR aracılığıyla alınan ağ, uç nokta ve çekirdek davranışı sinyallerine ek olarak kimlikler, e-posta, veriler ve uygulamalar arasında çok çeşitli optiklere sahiptir. Microsoft Defender XDR bileşeni olan Uç Nokta için Defender bu sinyalleri işler ve ilişkilendirir, algılama uyarıları oluşturur ve olaylardaki ilgili uyarıları bağlar.

Bu özelliklerle, çalışmaya başlasalar bile daha fazla tehdit önlenebilir veya engellenebilir. Şüpheli davranış algılandığında, tehdit kapsanıyor, uyarılar oluşturuluyor ve tehditler kendi izlerinde durdurulur.

Aşağıdaki görüntüde bir uyarıyı tetikleyen davranış engelleme ve kapsama özellikleri örneği gösterilmektedir:

Önkoşullar

Desteklenen işletim sistemleri

Windows

Davranış engelleme ve kapsama bileşenleri

İstemci içi, ilke temelli saldırı yüzeyini azaltma (ASR) kuralları Uygulamalardan önceden tanımlanmış ve yaygın saldırı davranışını önleyin. ASR kuralı algılamalarını izlemek için bkz. Saldırı yüzeyini azaltma (ASR) kuralı etkinliğini izleme.
İstemci davranış engellemesi Uç noktalardaki tehditler makine öğrenmesi aracılığıyla algılanıp engellenir ve otomatik olarak düzeltilir. (İstemci davranış engellemesi varsayılan olarak etkindir.)
Geri bildirim döngüsü engelleme (hızlı koruma olarak da adlandırılır) Tehdit algılamaları davranış zekası aracılığıyla gözlemlenir. Tehditler durdurulur ve diğer uç noktalarda çalıştırılması engellenir. (Geri bildirim döngüsü engelleme varsayılan olarak etkindir.)
Blok modunda uç nokta algılama ve yanıt (EDR) İhlal sonrası koruma aracılığıyla gözlemlenen kötü amaçlı yapıtlar veya davranışlar engellenir ve kapsanmaktadır. Blok modundaki EDR, Microsoft Defender Virüsten Koruma birincil virüsten koruma çözümü olmasa bile çalışır. (Blok modunda EDR varsayılan olarak etkin değildir; Microsoft Defender XDR'de açarsınız.)

Microsoft tehdit koruma özelliklerini ve özelliklerini geliştirmeye devam ettiğinden davranış engelleme ve kapsama alanında daha fazlasının gelmesini bekleyin. Planlanan ve kullanıma sunulanları görmek için Microsoft 365 yol haritasını ziyaret edin.

Davranış engelleme ve kapsamanın eyleme geçme örnekleri

Davranış engelleme ve kapsama özellikleri aşağıdaki saldırgan tekniklerini engelledi:

LSASS'den kimlik bilgisi dökümü
İşlemler arası ekleme
İşlem içi boşlama
Kullanıcı Hesabı Denetimi atlama
Virüsten koruma ile oynama (devre dışı bırakma veya kötü amaçlı yazılımı dışlama olarak ekleme gibi)
Yükleri indirmek için Komut ve Denetim 'e (C&C) başvurma
Madeni para madenciliği
Önyükleme kaydı değişikliği
Karmayı geçirme saldırıları
Kök sertifika yükleme
Çeşitli güvenlik açıkları için yararlanma girişimi

Aşağıda, davranış engelleme ve önlemenin gerçek hayattaki iki örneği verilmiştir.

Örnek 1: 100 kuruluşa yönelik kimlik bilgisi hırsızlığı saldırısı

Zor tehditlerin sık takip edilmesinde açıklandığı gibi: Yapay zeka temelli davranış tabanlı engelleme, saldırıları kendi izlerinde durdurur, davranış engelleme ve kapsama özellikleri dünya çapında 100 kuruluşa yönelik kimlik bilgisi hırsızlığı saldırısını durdurdu. Hedeflenen kuruluşlara yem belgesi içeren zıpkınla kimlik avı e-posta iletileri gönderildi. Bir alıcı eki açtıysa, ilgili bir uzak belge kullanıcının cihazında kod yürütebildi ve kimlik bilgilerini çalan, çalınan verileri silen ve bir komut ve denetim sunucusundan daha fazla yönerge bekleyen Lokibot kötü amaçlı yazılımını yükleyebildi.

Uç Nokta için Defender'daki davranış tabanlı makine öğrenmesi modelleri, saldırı zincirinin iki noktasında saldırganın tekniklerini yakaladı ve durdurdu:

İlk koruma katmanı, yararlanma davranışını algılamıştı. Buluttaki makine öğrenmesi sınıflandırıcıları tehdidi doğru şekilde tanımladı ve istemci cihaza saldırıyı engellemesi için hemen talimat verdi.
Saldırının ilk katmanı geçtiği, işlem boşlama algıladığı, bu işlemi durdurduğu ve karşılık gelen dosyaları (Lokibot gibi) kaldırdığı durumları durdurmaya yardımcı olan ikinci koruma katmanı.

Saldırı algılanıp durdurulurken, "ilk erişim uyarısı" gibi uyarılar tetiklendi ve Microsoft Defender portalında göründü.

Bu örnekte, buluttaki davranış tabanlı makine öğrenmesi modellerinin, zaten çalıştırıldıktan sonra bile saldırılara karşı nasıl yeni koruma katmanları ekledikleri gösterilmektedir.

Örnek 2: NTLM geçişi - Sulu Patates kötü amaçlı yazılım değişkeni

Son blog gönderisinde açıklandığı gibi Davranış engelleme ve kapsama: Optikleri korumaya dönüştürme, Ocak 2020'de Uç Nokta için Defender kuruluştaki bir cihazda ayrıcalık yükseltme etkinliği algılamıştı. "NTLM geçişi kullanılarak olası ayrıcalık yükseltme" adlı bir uyarı tetiklendi.

Tehdit kötü amaçlı yazılım olduğu ortaya çıktı; saldırganlar tarafından bir cihazda ayrıcalık yükseltmesi almak için kullanılan, Sulu Patates adlı kötü bilinen bir hack aracının yeni, daha önce görülmemiş bir çeşidiydi.

Uyarı tetiklendikten dakikalar sonra dosya analiz edildi ve kötü amaçlı olduğu onaylandı. Aşağıdaki görüntüde gösterildiği gibi işlemi durduruldu ve engellendi:

Yapıt engellendikten birkaç dakika sonra, aynı dosyanın birden çok örneği aynı cihazda engellendi ve daha fazla saldırganın veya diğer kötü amaçlı yazılımların cihaza dağıtılmasını engelledi.

Bu örnek, davranış engelleme ve kapsama özellikleriyle tehditlerin otomatik olarak algılandığını, kapsandığını ve engellendiğini gösterir.

İpucu

Diğer platformlar için Virüsten Koruma ile ilgili bilgileri arıyorsanız aşağıdaki makalelere bakın:

Geri Bildirim

Bu sayfayı yararlı buldunuz mu?

Last updated on 2026-05-23