Migrowanie z systemu HIPS firmy innej niż Microsoft do reguł zmniejszania obszaru podatnego na ataki

  • Dotyczy: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Ten artykuł pomaga przypisać typowe reguły do Ochrona punktu końcowego w usłudze Microsoft Defender. Aby uzyskać więcej informacji na temat reguł ASR, zobacz Omówienie reguł redukcji powierzchni ataku (ASR).

Scenariusze migracji z produktu HIPS firmy innej niż Microsoft do reguł zmniejszania obszaru podatnego na ataki

Blokuj tworzenie określonych plików

  • Dotyczy: Wszystkie procesy
  • Procesy: N/A
  • Operacja: Tworzenie pliku
  • Przykłady plików/folderów, kluczy/wartości rejestru, procesów lub usług:
    • .jaff
    • .krab
    • .locky
    • .lukitus
    • .odin
    • .wnry
    • .zepto
  • Reguły zmniejszania obszaru podatnego na ataki:
    • Reguły ASR blokują techniki ataku, a nie wskaźniki kompromitacji (IOC).
    • Blokowanie określonego rozszerzenia pliku nie zawsze jest przydatne, ponieważ nie uniemożliwia naruszenia zabezpieczeń urządzenia. Tylko częściowo udaremnia atak, dopóki atakujący nie utworzy nowego typu rozszerzenia dla ładunku.
  • Inne zalecane funkcje:
    • Firma Microsoft zdecydowanie zaleca włączenie programu antywirusowego Microsoft Defender, ochrony w chmurze i blokowania behawioralnego.
    • Firma Microsoft zaleca inne środki zapobiegawcze, takie jak reguła ASR Korzystanie z zaawansowanej ochrony przed oprogramowaniem wymuszającym okup (c1db55ab-c21a-4637-bb3f-a12568109d35), która zapewnia większy poziom ochrony przed atakami wymuszającym okup.
    • Microsoft Defender dla punktu końcowego monitoruje wiele z tych kluczy rejestru, takich jak techniki Autostart Extension Points (ASEP), które powodują wygenerowanie określonych alertów. Używane klucze rejestru wymagają co najmniej uprawnień konta administratora lokalnego lub TrustedInstaller. Firma Microsoft zaleca korzystanie ze środowiska zablokowanego z minimalnymi kontami administracyjnymi lub prawami. Możesz włączyć inne ustawienia systemowe, w tym wyłączyć SeDebugPrivilege w ramach szerszych zaleceń dotyczących bezpieczeństwa.

Blokuj tworzenie określonych kluczy rejestru

  • Dotyczy: Wszystkie procesy
  • Procesy: N/A
  • Operacja: Modyfikacje rejestru
  • Przykłady plików/folderów, kluczy/wartości rejestru, procesów lub usług:
    • HKCU\Environment\UserInitMprLogonScript
    • HKCU\Software\Microsoft\HtmlHelp Author\location
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs*\StartExe
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*\Debugger
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit*\MonitorProcess
  • Reguły zmniejszania obszaru podatnego na ataki:
    • Reguły ASR blokują techniki ataku, a nie wskaźniki kompromitacji (IOC).
    • Blokowanie określonego rozszerzenia pliku nie zawsze jest przydatne, ponieważ nie uniemożliwia naruszenia zabezpieczeń urządzenia. Tylko częściowo udaremnia atak, dopóki atakujący nie utworzy nowego typu rozszerzenia dla ładunku.
  • Inne zalecane funkcje:
    • Firma Microsoft zdecydowanie zaleca włączenie programu antywirusowego Microsoft Defender, ochrony w chmurze i blokowania behawioralnego.
    • Firma Microsoft zaleca inne środki zapobiegawcze, w tym regułę ASR Korzystanie z zaawansowanej ochrony przed oprogramowaniem wymuszającym okup (c1db55ab-c21a-4637-bb3f-a12568109d35), która zapewnia większy poziom ochrony przed atakami wymuszającym okup.
    • Microsoft Defender dla punktu końcowego monitoruje wiele z tych kluczy rejestru, takich jak techniki Autostart Extension Points (ASEP), które powodują generowanie określonych alertów. Używane klucze rejestru wymagają co najmniej uprawnień administratora lokalnego lub TrustedInstaller. Firma Microsoft zaleca korzystanie ze środowiska zablokowanego z minimalnymi kontami administracyjnymi lub prawami. Możesz włączyć inne ustawienia systemowe, w tym wyłączenie SeDebugPrivilege, w ramach szerszych zaleceń dotyczących bezpieczeństwa.

Blokowanie uruchamiania niezaufanych programów z dysków wymiennych

Zablokuj programowi Mshta uruchamianie niektórych procesów podrzędnych

  • Dotyczy: Mshta
  • Procesy:
    • mshta.exe
  • Operacja: Wykonywanie procesu
  • Przykłady plików/folderów, kluczy/wartości rejestru, procesów lub usług:
    • cmd.exe
    • powershell.exe
    • regsvr32.exe
  • Reguły redukcji powierzchni ataku: Nie istnieją żadne konkretne reguły ASR zapobiegające uruchamianiu procesów podrzędnych przez mshta.exe. Ten typ kontroli jest dostępny w ramach ochrony przed lukami w zabezpieczeniach lub kontroli aplikacji dla systemu Windows.
  • Inne zalecane funkcje:
    • Włącz kontrolę aplikacji, aby uniemożliwić mshta.exe uruchamianie w ogóle. Jeśli Organizacja wymaga mshta.exe dla aplikacji biznesowych, skonfiguruj określoną regułę ochrony przed lukami w zabezpieczeniach, aby uniemożliwić mshta.exe uruchamianie procesów podrzędnych.

Blokowanie uruchamiania procesów podrzędnych w programie Outlook

Blokowanie uruchamiania procesów podrzędnych przez aplikacje pakietu Office

  • Dotyczy: Office
  • Procesy:
    • excel.exe
    • powerpnt.exe
    • winword.exe
  • Operacja: Wykonywanie procesu
  • Przykłady plików/folderów, kluczy/wartości rejestru, procesów lub usług:
    • EQNEDT32.EXE
    • cmd.exe
    • mshta.exe
    • powershell.exe
    • regsrv32.exe
    • wscript.exe
  • Reguły zmniejszania obszaru podatnego na ataki:
  • Inne zalecane funkcje: N/A

Blokuj aplikacjom pakietu Office możliwość tworzenia zawartości wykonywalnej

  • Dotyczy: Office
  • Procesy:
    • winword.exe
    • powerpnt.exe
    • excel.exe
  • Operacja: Tworzenie pliku
  • Przykłady plików/folderów, kluczy/wartości rejestru, procesów lub usług:
    • C:\ProgramData**.com
    • C:\ProgramData**.exe
    • C:\ProgramData**.scf
    • C:\Users*AppData\Local\Temp**.com
    • C:\Users*\AppData**.exe
    • C:\Users*\AppData**.scf
    • C:\Users*\Desktop**.exe
    • C:\Users*\Downloads**.exe
    • C:\Users\Public**.exe
  • Reguły zmniejszania obszaru podatnego na ataki:

Blokuj odczytywanie niektórych typów plików w języku Wscript

  • Dotyczy: Wscript
  • Procesy:
    • wscript.exe
  • Operacja: Odczyt pliku
  • Przykłady plików/folderów, kluczy/wartości rejestru, procesów lub usług:
  • C:\Users*\AppData**.js
  • C:\Users*\Downloads**.js
  • Reguły zmniejszania obszaru podatnego na ataki:
  • Inne zalecane funkcje:
    • Domyślnie interfejs skanowania oprogramowania chroniącego przed złośliwym kodem (AMSI) może sprawdzać różne skrypty w czasie rzeczywistym (na przykład program PowerShell, host skryptów systemu Windows, język JavaScript, język VBScript i inne). Aby uzyskać więcej informacji, zobacz Antimalware Scan Interface (AMSI).

Blokuj uruchamianie procesów podrzędnych

  • Dotyczy: Adobe Acrobat
  • Procesy:
    • AcroRd32.exe
    • Acrobat.exe
  • Operacja: Wykonywanie procesu
  • Przykłady plików/folderów, kluczy/wartości rejestru, procesów lub usług:
    • cmd.exe
    • powershell.exe
    • wscript.exe
  • Reguły zmniejszania obszaru podatnego na ataki:
  • Inne zalecane funkcje: N/A

Blokuj pobieranie lub tworzenie zawartości wykonywalnej

  • Dotyczy: CertUtil
  • Procesy:
    • certutil.exe
  • Operacja: Tworzenie pliku
  • Przykłady plików/folderów, kluczy/wartości rejestru, procesów lub usług:
    • *.exe
  • Reguły zmniejszania obszaru podatnego na ataki:
    • Reguły ASR nie obejmują tych scenariuszy, ponieważ są one uwzględnione w programie antywirusowym Microsoft Defender.
  • Inne zalecane funkcje:
    • program antywirusowy Microsoft Defender uniemożliwia programowi CertUtil tworzenie lub pobieranie zawartości wykonywalnej.

Blokuj procesom możliwość zatrzymywania krytycznych składników systemu

Blokuj określoną próbę uruchomienia procesu

  • Dotyczy: Określone procesy
  • Procesy: określone procesy
  • Operacja: Wykonywanie procesu
  • Przykłady plików/folderów, kluczy/wartości rejestru, procesów lub usług:
    • tor.exe
    • bittorrent.exe
    • cmd.exe
    • powershell.exe
    • i więcej
  • Reguły zmniejszania obszaru podatnego na ataki:
    • Ogólnie reguły ASR nie są przeznaczone do pełnienia roli menedżera aplikacji.
  • Inne zalecane funkcje:
    • Aby uniemożliwić użytkownikom uruchamianie określonych procesów lub programów, użyj kontroli aplikacji dla systemu Windows.
    • Chociaż nie jest to mechanizm kontroli aplikacji, można używać wskaźników kompromitacji (IOC) w usłudze Ochrona punktu końcowego w usłudze Microsoft Defender dla plików i certyfikatów w scenariuszach reagowania na incydenty.

Blokowanie nieautoryzowanych zmian w konfiguracjach programu antywirusowego Microsoft Defender

  • Dotyczy: Wszystkie procesy
  • Procesy:
    • *
  • Operacja: Modyfikacje rejestru
  • Przykłady plików/folderów, kluczy/wartości rejestru, procesów lub usług:
    • HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\DisableAntiSpyware
    • HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Policy Manager\AllowRealTimeMonitoring
    • i nie tylko
  • Reguły redukcji powierzchni ataku: Reguły ASR nie mają zastosowania w tych scenariuszach, ponieważ są one objęte wbudowaną ochroną w usłudze Ochrona punktu końcowego w usłudze Microsoft Defender.
  • Inne zalecane funkcje:

Zawartość pokrewna

  • Ostatnia aktualizacja o