Migreren van een niet-Microsoft HIPS naar regels voor het verminderen van kwetsbaarheid voor aanvallen

  • Van toepassing op: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Dit artikel helpt u bij het toewijzen van algemene regels aan Microsoft Defender voor Eindpunt. Zie Overzicht van ASR-regels (Attack Surface Reduction) voor meer informatie over ASR-regels.

Scenario's bij het migreren van een niet-Microsoft HIPS-product naar regels voor het verminderen van kwetsbaarheid voor aanvallen

Het maken van specifieke bestanden blokkeren

  • Van toepassing op: Alle processen
  • Processen: N.b.
  • Bewerking: bestand maken
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
    • .jaff
    • .krab
    • .locky
    • .lukitus
    • .odin
    • .wnry
    • .zepto
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen:
    • ASR-regels blokkeren aanvalstechnieken, geen indicatoren van inbreuk (IOC).
    • Het blokkeren van een specifieke bestandsextensie is niet altijd nuttig, omdat dit niet voorkomt dat een apparaat inbreuk maakt. Een aanval wordt slechts gedeeltelijk gedwarsboomd totdat aanvallers een nieuw type extensie voor de nettolading maken.
  • Andere aanbevolen functies:
    • Microsoft raadt ten zeerste aan Microsoft Defender Antivirus, cloudbeveiliging en gedragsblokkering in te schakelen.
    • Microsoft raadt andere preventiemaatregelen aan, zoals de ASR-regel Geavanceerde beveiliging tegen ransomware gebruiken (c1db55ab-c21a-4637-bb3f-a12568109d35), die een hoger niveau van bescherming biedt tegen ransomware-aanvallen.
    • Microsoft Defender voor Eindpunt bewaakt veel van deze registersleutels, zoals ASEP-technieken (Autostart Extension Points), waarmee specifieke waarschuwingen worden geactiveerd. Voor de gebruikte registersleutels is een minimum aan lokale Beheer of vertrouwde installatieprogrammabevoegdheden vereist. Microsoft raadt aan een vergrendelde omgeving te gebruiken met minimale beheerdersaccounts of -rechten. U kunt andere systeemconfiguraties inschakelen, waaronder het SeDebugPrivilege uitschakelen als onderdeel van bredere beveiligingsaanbevelingen.

Het maken van specifieke registersleutels blokkeren

  • Van toepassing op: Alle processen
  • Processen: N.b.
  • Bewerking: Registerwijzigingen
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
    • HKCU\Environment\UserInitMprLogonScript
    • HKCU\Software\Microsoft\HtmlHelp Author\location
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs*\StartExe
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*\Debugger
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit*\MonitorProcess
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen:
    • ASR-regels blokkeren aanvalstechnieken, geen indicatoren van inbreuk (IOC).
    • Het blokkeren van een specifieke bestandsextensie is niet altijd nuttig, omdat dit niet voorkomt dat een apparaat inbreuk maakt. Een aanval wordt slechts gedeeltelijk gedwarsboomd totdat aanvallers een nieuw type extensie voor de nettolading maken.
  • Andere aanbevolen functies:
    • Microsoft raadt ten zeerste aan Microsoft Defender Antivirus, cloudbeveiliging en gedragsblokkering in te schakelen.
    • Microsoft raadt andere preventiemaatregelen aan, waaronder de ASR-regel Geavanceerde beveiliging tegen ransomware gebruiken (c1db55ab-c21a-4637-bb3f-a12568109d35), die een hoger niveau van bescherming tegen ransomware-aanvallen biedt.
    • Microsoft Defender voor Eindpunt bewaakt veel van deze registersleutels, zoals ASEP-technieken (Autostart Extension Points), waarmee specifieke waarschuwingen worden geactiveerd. Voor de gebruikte registersleutels is een minimum aan lokale Beheer of vertrouwde installatieprogrammabevoegdheden vereist. Microsoft raadt aan een vergrendelde omgeving te gebruiken met minimale beheerdersaccounts of -rechten. U kunt andere systeemconfiguraties inschakelen, waaronder het SeDebugPrivilege uitschakelen als onderdeel van bredere beveiligingsaanbevelingen.

Niet-vertrouwde programma's niet uitvoeren vanaf verwisselbare stations

Voorkomen dat Mshta bepaalde onderliggende processen start

  • Van toepassing op: Mshta
  • Processen:
    • mshta.exe
  • Bewerking: Procesuitvoering
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
    • cmd.exe
    • powershell.exe
    • regsvr32.exe
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen: er zijn geen specifieke ASR-regels om te voorkomen dat onderliggende processen mshta.exe. Dit type besturingselement is beschikbaar in exploit protection of Application Control voor Windows.
  • Andere aanbevolen functies:
    • Schakel toepassingsbeheer in om te voorkomen dat mshta.exe wordt uitgevoerd. Als uw organisatie mshta.exe vereist voor Line-Of-Business-apps, configureert u een specifieke beveiligingsregel voor misbruik om te voorkomen dat mshta.exe onderliggende processen starten.

Outlook blokkeren voor het starten van onderliggende processen

  • Van toepassing op: Outlook
  • Processen:
    • outlook.exe
  • Bewerking: Procesuitvoering
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
    • powershell.exe
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen:
  • Andere aanbevolen functies:

Voorkomen dat Office-apps onderliggende processen starten

  • Van toepassing op: Office
  • Processen:
    • excel.exe
    • powerpnt.exe
    • winword.exe
  • Bewerking: Procesuitvoering
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
    • EQNEDT32.EXE
    • cmd.exe
    • mshta.exe
    • powershell.exe
    • regsrv32.exe
    • wscript.exe
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen:
  • Andere aanbevolen functies: N.b.

Office-apps blokkeren voor het maken van uitvoerbare inhoud

  • Van toepassing op: Office
  • Processen:
    • winword.exe
    • powerpnt.exe
    • excel.exe
  • Bewerking: bestand maken
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
    • C:\ProgramData**.com
    • C:\ProgramData**.exe
    • C:\ProgramData**.scf
    • C:\Users*AppData\Local\Temp**.com
    • C:\Users*\AppData**.exe
    • C:\Users*\AppData**.scf
    • C:\Users*\Desktop**.exe
    • C:\Users*\Downloads**.exe
    • C:\Users\Public**.exe
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen:

Wscript blokkeren voor het lezen van bepaalde typen bestanden

  • Van toepassing op: Wscript
  • Processen:
    • wscript.exe
  • Bewerking: Bestand lezen
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
  • C:\Users*\AppData**.js
  • C:\Users*\Downloads**.js
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen:
  • Andere aanbevolen functies:
    • Standaard kan de Antimalware Scan Interface (AMSI) verschillende scripts in realtime inspecteren (bijvoorbeeld PowerShell, Windows Script Host, JavaScript, VBScript en meer). Zie Antimalware Scan Interface (AMSI) voor meer informatie.

Start van onderliggende processen blokkeren

  • Van toepassing op: Adobe Acrobat
  • Processen:
    • AcroRd32.exe
    • Acrobat.exe
  • Bewerking: Procesuitvoering
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
    • cmd.exe
    • powershell.exe
    • wscript.exe
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen:
  • Andere aanbevolen functies: N.b.

Downloaden of maken van uitvoerbare inhoud blokkeren

  • Van toepassing op: CertUtil
  • Processen:
    • certutil.exe
  • Bewerking: bestand maken
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
    • *.exe
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen:
    • ASR-regels ondersteunen deze scenario's niet omdat ze zijn opgenomen in Microsoft Defender Antivirusbeveiliging.
  • Andere aanbevolen functies:
    • Microsoft Defender Antivirus voorkomt dat CertUtil uitvoerbare inhoud maakt of downloadt.

Voorkomen dat processen kritieke systeemonderdelen stoppen

  • Van toepassing op: Alle processen
  • Processen:
    • *
  • Bewerking: procesbeëindiging
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
    • MsMpEng.exe
    • MsSense.exe
    • NisSrv.exe
    • csrss.exe
    • services.exe
    • smss.exe
    • svchost.exe
    • wininit.exe
    • en meer
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen: ASR-regels ondersteunen deze scenario's niet omdat ze zijn opgenomen in ingebouwde windows-beveiligingsbeveiligingen.
  • Andere aanbevolen functies:

Specifieke procespoging voor starten blokkeren

  • Van toepassing op: Specifieke processen
  • Processen: Specifieke processen
  • Bewerking: Procesuitvoering
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
    • tor.exe
    • bittorrent.exe
    • cmd.exe
    • powershell.exe
    • en meer
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen:
    • Over het algemeen zijn ASR-regels niet ontworpen om te fungeren als toepassingsbeheerder.
  • Andere aanbevolen functies:
    • Als u wilt voorkomen dat gebruikers specifieke processen of programma's starten, gebruikt u Application Control voor Windows.
    • Hoewel het geen mechanisme voor toepassingsbeheer is, kunt u Microsoft Defender voor Eindpunt indicatoren van inbreuk (IOC's) gebruiken voor bestanden en certificaten in scenario's voor incidentrespons.

Niet-geautoriseerde wijzigingen in Microsoft Defender Antivirus-configuraties blokkeren

  • Van toepassing op: Alle processen
  • Processen:
    • *
  • Bewerking: Registerwijzigingen
  • Voorbeelden van Files/mappen, registersleutels/waarden, processen of services:
    • HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\DisableAntiSpyware
    • HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Policy Manager\AllowRealTimeMonitoring
    • en meer
  • Regels voor het verminderen van kwetsbaarheid voor aanvallen: ASR-regels ondersteunen deze scenario's niet omdat ze zijn opgenomen in Microsoft Defender voor Eindpunt ingebouwde beveiliging.
  • Andere aanbevolen functies:
    • Manipulatiebeveiliging in Microsoft Defender voor Eindpunt voorkomt onbevoegde wijzigingen in de registersleutels die zijn gekoppeld aan Microsoft Defender Antivirus. Bijvoorbeeld:
    • DisableAntiVirus
    • DisableAntiSpyware
    • DisableRealtimeMonitoring
    • DisableOnAccessProtection
    • DisableBehaviorMonitoring
    • DisableIOAVProtection
    • en meer

Verwante onderwerpen

  • Last updated on