保护组织免受篡改的影响

2025-03-26

篡改是用于描述攻击者试图损害Microsoft Defender for Endpoint有效性的一般术语。攻击者的最终目标是不只是影响一台设备，而是实现其目标，例如发动勒索软件攻击。因此，Microsoft Defender for Endpoint的防篡改功能超越了防止单个设备的篡改来检测攻击并将其影响降到最低。

适用于：

组织范围的篡改复原能力建立在零信任

防御篡改的基础是遵循零信任模型。

遵循最小特权的最佳做法。请参阅 Windows 的访问控制概述。
配置条件访问策略，使不受信任的用户和设备保持隔离。

为了提供有效的防篡改防护，设备必须正常运行。

将设备载入到 Defender for Endpoint。
确保已安装安全智能和防病毒更新。
集中管理设备，例如通过Microsoft Intune、Microsoft Defender for Endpoint安全配置管理或Configuration Manager。

注意

在 Windows 设备上，可以使用组策略、Windows Management Instrumentation (WMI) 和 PowerShell cmdlet 来管理Microsoft Defender防病毒。但是，与使用Microsoft Intune、Configuration Manager或Microsoft Defender for Endpoint安全配置管理相比，这些方法更容易受到篡改。如果使用组策略，我们建议禁用Microsoft Defender防病毒设置的本地替代，并禁用本地列表合并。

可以在 Microsoft Defender for Endpoint 的设备运行状况报告中查看Microsoft Defender防病毒运行状况和传感器的运行状况。

防止在单个设备上篡改

攻击者使用各种篡改技术在单个设备上禁用Microsoft Defender for Endpoint。在不同操作系统上以不同的方式阻止这些技术。

控制	操作系统	技术系列
篡改防护	Windows	- 终止/挂起进程 - 停止/暂停/暂停服务 - 修改注册表设置，包括排除项 - 操作/劫持 DLL - 文件系统的操作/修改 - 代理完整性
篡改防护	Mac	- 终止/挂起进程 - 文件系统的操作/修改 - 代理完整性
攻击面减少规则	Windows	内核驱动程序 (请参阅阻止滥用被攻击的易受攻击的已签名驱动程序)
Windows Defender应用程序控制 (WDAC)	Windows	内核驱动程序 (请参阅 Microsoft 易受攻击的驱动程序阻止列表)

了解防止 Windows 上基于驱动程序的篡改的不同方法

最常见的篡改技术之一是使用易受攻击的驱动程序来获取对内核的访问权限。此驱动程序通常包装在易于部署的工具中，但基础技术是相同的。

为了防止基于驱动程序的篡改在单个设备上，需要将设备配置为在攻击之前阻止加载该驱动程序。

Microsoft 提供了多种方法来使设备受到良好保护，并使其保持最新状态，防止基于驱动程序的篡改。

最广泛的保护 - Microsoft 易受攻击的驱动程序阻止列表

阻止列表随 Windows 的每个新主要版本一起更新，通常每年更新 1-2 次。 Microsoft 偶尔会通过常规 Windows 服务发布将来的更新。借助 Windows 11 2022 更新，易受攻击的驱动程序阻止列表默认为所有设备启用，但需要内存完整性 (也称为虚拟机监控程序保护的代码完整性或 HVCI) 、智能应用控制或 S 模式才能处于活动状态。

请参阅 Microsoft 易受攻击的驱动程序阻止列表。

对于不符合这些要求的设备，可以使用Windows Defender应用程序控制策略阻止此驱动程序列表。

请参阅易受攻击的驱动程序阻止列表 XML。