啟用攻擊面縮小 (ASR) 規則部署

  • 適用於: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

本文是《 攻擊面減少 (ASR) 規則部署指南》的一部分。

在審核模式下測試 ASR 規則後，從第一個部署環開始，將其切換到 Block 或 Warn 模式。 本文將說明如何在第一個部署環中將 ASR 規則從審計模式移至封鎖或警告模式，然後安全地將部署範圍擴展到更多環。

ASR 規則實作步驟示意圖：從審計模式轉換到 區塊模式，然後擴展到更多環路。

步驟 1：將 ASR 從稽核切換為封鎖

請執行以下步驟，將 ASR 規則從稽核模式轉換為阻擋或警告模式，適用於您的第一個部署環。

  1. 在 稽核 模式下確認所有必要的規則排除項目後，開始將部分規則設為 封鎖 或 警告 模式。 先從觸發事件最少的規則開始。 相關說明請參見 「配置攻擊面減少 (ASR) 規則與排除事項」。

  2. 檢閱 ASR 規則活動。 也請檢視你的倡導者所提供的回饋。

  3. 必要時細化排除條款或新增排除條款。

提示

規則排除比關閉規則或切回 審核 模式要好。

利用現有規則中的 警告 模式來減少干擾。 警告模式可讓你擷取已觸發的事件，並查看可能造成的干擾，而不會實際封鎖使用者存取（他們可以點擊警告通知後繼續存取）。 欲了解更多資訊，請參閱 ASR 規則模式。

步驟 2：將部署擴展到第 n + 1 環

當你確信自己正確設定了環 1 的 ASR 規則後，就可以擴大部署範圍到下一個環 n + 1 () 。

每個後續環圈的部署流程如下：

  1. 在 稽核 模式下啟用 ASR 規則。

  2. 檢閱 ASR 規則活動。

  3. 視需要建立排除項目。

  4. 檢視 ASR 規則活動情形，並調整排除項目。

  5. 將規則設為 封鎖 模式。

  6. 檢閱 ASR 規則活動。

  7. 視需要建立排除項目。

  8. 關閉有問題的規則或切回 審計 模式。

相關內容

  • Last updated on