Criar indicadores para IPs e URLs/domínios

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Visão Geral

Ao criar indicadores para IPs e URLs ou domínios, agora você pode permitir ou bloquear IPs, URLs ou domínios com base em sua própria inteligência contra ameaças. Você também pode avisar os usuários se eles abrirem um aplicativo arriscado. O prompt não os impede de usar o aplicativo; Os usuários podem ignorar o aviso e continuar a usar o aplicativo, se necessário.

Para bloquear IPs/URLs maliciosos, o Defender for Endpoint pode usar:

  • Windows Defender SmartScreen para navegadores da Microsoft
  • Proteção de rede para navegadores e processos que não são da Microsoft

O conjunto de dados padrão de inteligência contra ameaças para bloquear IPs/URLs mal-intencionados é gerenciado pela Microsoft.

Você pode bloquear IPs/URLs mal-intencionados adicionais configurando "Indicadores de rede personalizados".

Antes de começar, examine os pré-requisitos para garantir que seu ambiente esteja configurado corretamente.

Pré-requisitos

É importante entender os pré-requisitos a seguir antes de criar indicadores para IPs, URLs ou domínios.

A integração com os navegadores da Microsoft é controlada pela configuração do SmartScreen do navegador. Para outros navegadores e aplicativos, sua organização deve ter:

Sistemas operacionais com suporte

Há suporte para ip, URL e indicadores de domínio nos seguintes sistemas operacionais:

Requisitos de proteção de rede

Os indicadores de permissão e bloqueio de rede nos navegadores da Microsoft são controlados pela configuração do SmartScreen do navegador.

Para outros navegadores e aplicativos, os indicadores de permissão e bloqueio na rede exigem que o componente do Microsoft Defender para Endpoint Proteção de Rede esteja habilitado no modo de bloqueio. Para obter mais informações sobre proteção de rede e instruções de configuração, consulte Habilitar proteção de rede.

Requisitos de indicadores de rede personalizados

Para começar a bloquear endereços IP e/ou URLs, ative o recurso "Indicadores de rede personalizados" no portal do Microsoft Defender. O recurso fica em Configurações>Endpoints>Geral>Recursos avançados. Para obter mais informações, consulte Recursos avançados.

Para obter suporte para indicadores no iOS, consulte Microsoft Defender para Ponto de Extremidade no iOS.

Para obter suporte para indicadores no Android, consulte Microsoft Defender para Ponto de Extremidade no Android.

Limitações da lista de indicadores

Somente IPs externos podem ser adicionados à lista de indicadores; não podem ser criados para IPs internos.

Processos que não são do Microsoft Edge e do Internet Explorer

Para processos diferentes do Microsoft Edge e do Internet Explorer, os cenários de proteção da web usam a Proteção de Rede para inspeção e imposição:

  • Os endereços IP são compatíveis com todos os três protocolos (TCP, HTTP e HTTPS (TLS))
  • Há suporte apenas para endereços IP únicos (sem blocos CIDR ou intervalos de IP) em indicadores personalizados
  • URLs HTTP (incluindo um caminho de URL completo) podem ser bloqueadas para qualquer navegador ou processo
  • Nomes de domínio totalmente qualificados (FQDN) HTTPS podem ser bloqueados em navegadores que não são da Microsoft (indicadores especificando um caminho de URL completo só podem ser bloqueados no Microsoft Edge)
  • O bloqueio de FQDNs em navegadores que não são da Microsoft exige que o QUIC e o Hello Cliente Criptografado sejam desabilitados nesses navegadores
  • FQDNs carregados via coalescência de conexão HTTP2 só podem ser bloqueados no Microsoft Edge
  • Se houver políticas de indicador de URL conflitantes, o caminho mais longo será aplicado. Por exemplo, a política https://support.microsoft.com/microsoft-365/ de indicador de URL tem precedência sobre a política https://support.microsoft.comde indicador de URL.

Implementação de proteção de rede

Em processos que não são do Microsoft Edge, a Proteção de Rede determina o nome de domínio totalmente qualificado para cada conexão HTTPS examinando o conteúdo do handshake TLS que ocorre após um handshake TCP/IP. Isso requer que a conexão HTTPS use TCP/IP (não UDP/QUIC) e que a mensagem ClientHello não seja criptografada. Para desabilitar o QUIC e o Encrypted Client Hello no Google Chrome, consulte QuicAllowed e EncryptedClientHelloEnabled. Para o Mozilla Firefox, consulte Desabilitar EncryptedClientHello e network.http.http3.enable.

A determinação de permitir ou bloquear o acesso a um site é efetuada após a conclusão do handshake tridirecional por meio de TCP/IP e de qualquer handshake TLS. Assim, quando um site é bloqueado pela proteção de rede, você pode ver um tipo de ação de NetworkConnectionEvents em ConnectionSuccess no portal do Microsoft Defender, mesmo que o site tenha sido bloqueado. NetworkConnectionEvents são reportados pela camada TCP, e não pela proteção da rede. Após a conclusão do handshake de três vias, o acesso ao site é permitido ou bloqueado pela proteção de rede.

Aqui está um exemplo de como o bloqueio de proteção de rede é registrado:

  1. Suponha que um usuário tente acessar um site em seu dispositivo. O site está hospedado em um domínio perigoso e deve ser bloqueado pela proteção de rede.

  2. O handshake TCP/IP é iniciado. Antes de ser concluída, uma ação NetworkConnectionEvents é registrada, e seu ActionType é listado como ConnectionSuccess. No entanto, assim que o processo de handshake TCP/IP é concluído, a proteção de rede bloqueia o acesso ao site. O handshake, o registro em log e a sequência de bloqueio acontecem rapidamente. Um processo semelhante ocorre com o Microsoft Defender SmartScreen; é após a conclusão do handshake que uma determinação é feita e o acesso a um site é bloqueado ou permitido.

  3. No portal do Microsoft Defender, um alerta é listado na fila de alertas. Os detalhes desse alerta incluem ambos, NetworkConnectionEvents e AlertEvents. Você pode ver que o site foi bloqueado, mesmo que você também tenha um item NetworkConnectionEvents com ActionType ConnectionSuccess.

Controles do modo de aviso

Ao usar o modo de aviso, você pode configurar os seguintes controles:

  • Capacidade de bypass

    • Botão Permitir no Microsoft Edge
    • Botão "Permitir" na notificação do sistema (navegadores que não são da Microsoft)
    • Ignorar o parâmetro de duração no indicador
    • Ignorar a aplicação em navegadores da Microsoft e que não são da Microsoft

  • URL de redirecionamento

    • Parâmetro de URL de redirecionamento no indicador
    • URL de redirecionamento no Microsoft Edge
    • URL de redirecionamento na notificação do sistema (navegadores que não são da Microsoft)

Para obter mais informações, consulte Governar aplicativos descobertos pelo Microsoft Defender para Ponto de Extremidade.

Ordem de tratamento de conflitos de política para ip, URL e indicadores de domínio

O tratamento de conflitos de política para domínios, URLs e endereços IP difere dos indicadores de certificado, que usam uma ordem de precedência separada. Para obter detalhes sobre políticas de indicador de certificado, consulte Criar indicadores com base em certificados.

No caso em que vários tipos de ação diferentes são definidos no mesmo indicador (por exemplo, três indicadores para Microsoft.com com os tipos de ação bloquear, avisar e permitir), a ordem em que esses tipos de ação entrariam em vigor é:

  1. Permitir

  2. Avisar

  3. Bloquear

"Permitir" tem precedência sobre "avisar", que tem precedência sobre "bloquear", da seguinte maneira: AllowBlock>Warn>. Portanto, no exemplo anterior, Microsoft.com seria permitido.

Indicadores do Defender para Aplicativos de Nuvem

Se sua organização tiver habilitado a integração entre o Defender para Ponto de Extremidade e o Defender para Aplicativos de Nuvem, os indicadores de bloqueio serão criados no Defender para Ponto de Extremidade para todos os aplicativos de nuvem não sancionados. Se um aplicativo for colocado em modo de monitoramento, indicadores de aviso (bloqueio contornável) serão criados para os URLs associados ao aplicativo. Os indicadores de autorização não são criados automaticamente para aplicativos sancionados. Os indicadores criados por Defender para Aplicativos de Nuvem usam a mesma ordem de precedência: Allow>Warn>Block.

Precedência de política

A política do Microsoft Defender para Endpoint tem precedência sobre a política do Antivírus do Microsoft Defender. Em situações nas quais o Defender for Endpoint está definido como Allow, mas o Antivírus Microsoft Defender está definido como Block, o resultado é Allow.

Prioridade para múltiplas políticas ativas

A aplicação de várias políticas diferentes de filtragem de conteúdo da Web ao mesmo dispositivo resulta na política mais restritiva aplicável a cada categoria. Considere o seguinte cenário:

  • A política 1 bloqueia as categorias 1 e 2 e audita o restante
  • A política 2 bloqueia as categorias 3 e 4 e audita o restante

O resultado é que as categorias de 1 a 4 estão todas bloqueadas. Esse cenário é ilustrado na imagem a seguir.

Diagrama que mostra a precedência do modo de bloqueio de política de filtragem de conteúdo da Web sobre o modo de auditoria.

Crie um indicador para IPs, URLs ou domínios na página de configurações

Importante

Pode levar até 48 horas após a criação de uma política para que uma URL ou endereço IP seja bloqueado em um dispositivo. Na maioria dos casos, os bloqueios entram em vigor em menos de duas horas.

Para criar um indicador para IPs, URLs ou domínios do portal Microsoft Defender, execute as seguintes etapas:

  1. No painel de navegação, selecione Configurações>Pontos de extremidade>Indicadores (em Regras).

  2. Selecione a guia Endereços IP ou URLs/Domínios .

  3. Selecione Adicionar item.

  4. Especifique os seguintes detalhes:

    • Indicador: Especifique os detalhes da entidade e defina a expiração do indicador.
    • Ação: Especifique a ação a ser tomada e forneça uma descrição.
    • Escopo: especifique os grupos de máquinas que devem impor o indicador.

  5. Examine os detalhes na guia Resumo e selecione Salvar.

Importante

Depois de criar uma política para um endereço IP ou URL, pode levar até 48 horas para que a política entre em vigor. Na maioria dos casos, as alterações na política entrarão em vigor em menos de duas horas.

Conteúdo relacionado

  • Last updated on