操作攻击面减少规则

项目
04/26/2024

适用于：

完全部署攻击面减少规则后，必须有流程来监视和响应与 ASR 相关的活动。活动包括：

管理 ASR 规则误报

任何威胁防护解决方案都可能发生误报/负值。误报是指实体 (（如文件或进程) ）被检测为恶意，但该实体实际上不是威胁。相比之下，假负是一个实体，它未被检测为威胁，但是恶意的。有关误报和误报的详细信息，请参阅：解决Microsoft Defender for Endpoint中的误报/负数

跟上 ASR 规则报告

一致、定期查看报告是维护攻击面减少规则部署和及时了解新出现威胁的重要方面。你的组织应按与攻击面减少规则报告事件保持同步的节奏，安排对攻击面减少规则事件的评审。根据组织的规模，评审可能是每日、每小时或持续监视。

ASR 规则高级搜寻

Microsoft Defender XDR最强大的功能之一是高级搜寻。如果不熟悉高级搜寻，请参阅：使用高级搜寻主动搜寻威胁。

高级搜寻是一种基于查询 (Kusto 查询语言) 威胁搜寻工具，可让你浏览长达 30 天的捕获数据。通过高级搜寻，可以主动检查事件，以查找感兴趣的指标和实体。灵活访问数据有助于无约束搜寻已知威胁和潜在威胁。

通过高级搜寻，可以提取攻击面减少规则信息、创建报告，并获取有关给定攻击面减少规则审核或阻止事件的上下文的深入信息。

可以从Microsoft Defender门户的高级搜寻部分中的 DeviceEvents 表查询攻击面减少规则事件。例如，以下查询显示如何将过去 30 天内具有攻击面减少规则的所有事件报告为数据源。然后，该查询将按 ActionType 计数汇总，其中包含攻击面减少规则的名称。

在前进搜寻门户中显示的攻击面减少事件被限制为每小时看到的唯一进程。攻击面减少事件的时间是在该小时内首次看到该事件的时间。

DeviceEvents
| where Timestamp > ago(30d)
| where ActionType startswith "Asr"
| summarize EventCount=count() by ActionType

以上显示已为 AsrLsassCredentialTheft 注册了 187 个事件：

102（已阻止）
85（已审核）
AsrOfficeChildProcess 的两个事件 (1 个用于审核，1 个事件用于块)
AsrPsexecWmiChildProcessAudited 的八个事件

如果要专注于 AsrOfficeChildProcess 规则并获取有关实际文件和所涉及的进程的详细信息，请更改 ActionType 的筛选器，并将汇总行替换为所需字段的投影 (在本例中为 DeviceName、FileName、FolderPath 等 ) 。

DeviceEvents
| where (Actiontype startswith "AsrOfficechild")
| extend RuleId=extractjson("$Ruleid", AdditionalFields, typeof(string))
| project DeviceName, FileName, FolderPath, ProcessCommandLine, InitiatingProcessFileName, InitiatingProcessCommandLine