Criar indicadores para IPs e URLs/domínios

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Descrição geral

Ao criar indicadores para IPs e URLs ou domínios, pode agora permitir ou bloquear IPs, URLs ou domínios com base nas suas próprias informações sobre ameaças. Também pode avisar os utilizadores se abrirem uma aplicação de risco. O pedido não os impede de utilizar a aplicação; os utilizadores podem ignorar o aviso e continuar a utilizar a aplicação, se necessário.

Para bloquear IPs/URLs maliciosos, o Defender para Endpoint pode utilizar:

  • Windows Defender SmartScreen para navegadores da Microsoft
  • Proteção de rede para browsers que não sejam da Microsoft e processos que não sejam do browser

O conjunto predefinido de dados de informações sobre ameaças para bloquear IPs/URLs maliciosos é gerido pela Microsoft.

Pode bloquear IPs/URLs maliciosos adicionais ao configurar "Indicadores de rede personalizados".

Antes de começar, reveja os Pré-requisitos para garantir que o seu ambiente está devidamente configurado.

Pré-requisitos

É importante compreender os seguintes pré-requisitos antes de criar indicadores para IPs, URLs ou domínios.

A integração nos browsers da Microsoft é controlada pela definição smartScreen do browser. Para outros browsers e aplicações, a sua organização tem de ter:

Sistemas operativos suportados

Indicadores de IP, URL e domínio são suportados nos seguintes sistemas operativos:

Requisitos de Proteção de Rede

Os indicadores de permissão e bloqueio de rede nos browsers da Microsoft são controlados pela definição SmartScreen do browser.

Para outros browsers e aplicações, os indicadores de permissão e bloqueio de rede exigem que o componente Microsoft Defender para Endpoint Proteção de Rede esteja ativado no modo de bloqueio. Para obter mais informações sobre a Proteção de Rede e as instruções de configuração, veja Ativar a proteção de rede.

Requisitos de indicadores de rede personalizados

Para começar a bloquear endereços IP e/ou URLs, ative a funcionalidade "Indicadores de rede personalizados" no portal Microsoft Defender. A funcionalidade encontra-se em Definições>Endpoints>Geral>Funcionalidades avançadas. Para obter mais informações, veja Funcionalidades avançadas.

Para obter suporte para indicadores no iOS, veja Microsoft Defender para Endpoint no iOS.

Para obter suporte para indicadores no Android, consulte Microsoft Defender para Endpoint no Android.

Limitações da lista de indicadores

Só é possível adicionar IPs externos à lista de indicadores; não é possível criar indicadores para IPs internos.

Processos não Microsoft Edge e Internet Explorer

Para processos que não sejam o Microsoft Edge e o Internet Explorer, os cenários de proteção Web utilizam a Proteção de Rede para inspeção e imposição:

  • Os endereços IP são suportados para os três protocolos (TCP, HTTP e HTTPS (TLS))
  • Apenas são suportados endereços IP únicos (sem blocos CIDR ou intervalos de IP) em indicadores personalizados
  • Os URLs HTTP (incluindo um caminho de URL completo) podem ser bloqueados para qualquer browser ou processo
  • Os nomes de domínio completamente qualificados (FQDN) HTTPS podem ser bloqueados em browsers que não sejam da Microsoft (os indicadores que especificam um caminho de URL completo só podem ser bloqueados no Microsoft Edge)
  • Bloquear FQDNs em browsers que não sejam da Microsoft requer que o QUIC e o Cliente Encriptado Hello sejam desativados nesses browsers
  • Os FQDNs carregados através do coalescimento de ligações HTTP/2 só podem ser bloqueados no Microsoft Edge
  • Se existirem políticas de indicadores de URL em conflito, será aplicado o caminho mais longo. Por exemplo, a política https://support.microsoft.com/microsoft-365/ do indicador de URL tem precedência sobre a política https://support.microsoft.comdo indicador de URL .

Implementação da proteção de rede

Em processos não Microsoft Edge, a Proteção de Rede determina o nome de domínio completamente qualificado para cada ligação HTTPS ao examinar o conteúdo do handshake TLS que ocorre após um handshake TCP/IP. Isto requer que a ligação HTTPS utilize TCP/IP (não UDP/QUIC) e que a mensagem ClientHello não seja encriptada. Para desativar o QUIC e o Cliente Encriptado Hello no Google Chrome, consulte QuicAllowed e EncryptedClientHelloEnabled. Para o Mozilla Firefox, consulte Desativar EncryptedClientHello e network.http.http3.enable.

A determinação de permitir ou bloquear o acesso a um site é efetuada após a conclusão do handshake tridirecional através de TCP/IP e de qualquer handshake TLS. Assim, quando um site é bloqueado pela proteção de rede, poderá ver um tipo de ação ConnectionSuccess em NetworkConnectionEvents no portal Microsoft Defender, apesar de o site ter sido bloqueado. NetworkConnectionEvents são comunicados a partir da camada TCP e não da proteção de rede. Após a conclusão do handshake tridirecional, o acesso ao site é permitido ou bloqueado pela proteção de rede.

Aqui está um exemplo de como o bloqueio de proteção de rede é registado:

  1. Suponha que um utilizador tenta aceder a um site no respetivo dispositivo. O site está alojado num domínio perigoso e deve ser bloqueado pela proteção de rede.

  2. O handshake TCP/IP é iniciado. Antes de estar concluída, é registada a ação NetworkConnectionEvents e o respetivo ActionType aparece como ConnectionSuccess. No entanto, assim que o processo de handshake TCP/IP for concluído, a proteção de rede bloqueia o acesso ao site. A sequência de aperto de mão, registo e bloqueio acontece rapidamente. Um processo semelhante ocorre com Microsoft Defender SmartScreen; só depois de concluído o estabelecimento da ligação é tomada uma decisão, e o acesso a um site é então bloqueado ou permitido.

  3. No portal Microsoft Defender, é apresentado um alerta na fila de alertas. Os detalhes desse alerta incluem tanto NetworkConnectionEvents como AlertEvents. Pode ver que o site foi bloqueado, apesar de ter também um NetworkConnectionEvents elemento com o ActionType de ConnectionSuccess.

Controlos do modo de aviso

Ao utilizar o modo de aviso, pode configurar os seguintes controlos:

  • Capacidade de contornar

    • Botão Permitir no Microsoft Edge
    • Botão Permitir na notificação (navegadores que não sejam da Microsoft)
    • Ignorar o parâmetro de duração no indicador
    • Ignorar a imposição em browsers Microsoft e Não Microsoft

  • URL de Redirecionamento

    • Parâmetro url de redirecionamento no indicador
    • URL de redirecionamento no Microsoft Edge
    • URL de redirecionamento na notificação (navegadores que não sejam da Microsoft)

Para obter mais informações, consulte Gerir aplicações detetadas pelo Microsoft Defender para Endpoint.

Ordem de gestão de conflitos de políticas para indicadores de IP, URL e domínio

O tratamento de conflitos de políticas para domínios, URLs e endereços IP difere dos indicadores de certificado, que utilizam uma ordem de precedência separada. Para detalhes sobre políticas de indicadores de certificados, consulte Criar indicadores baseados em certificados.

No caso de vários tipos de ações diferentes serem definidos no mesmo indicador (por exemplo, três indicadores para Microsoft.com com os tipos de ação bloquear, avisar e permitir), a ordem pela qual esses tipos de ação entrarão em vigor é:

  1. Permitir

  2. Avisar

  3. Bloquear

"Permitir" sobrepõe-se a "avisar", que se sobrepõe a "bloquear", da seguinte forma: Allow>Warn>Block. Por conseguinte, no exemplo anterior, Microsoft.com seria permitido.

Indicadores de Defender for Cloud Apps

Se a sua organização tiver ativado a integração entre o Defender para Endpoint e Defender for Cloud Apps, os indicadores de bloco são criados no Defender para Endpoint para todas as aplicações na cloud não aprovadas. Se uma aplicação for colocada no modo de monitorização, são criados indicadores de aviso (bloco passível de ignorar) para os URLs associados à aplicação. Os indicadores de permissão não são criados automaticamente para aplicações aprovadas. Os indicadores criados pelo Defender for Cloud Apps usam a mesma ordem de precedência: Allow>Warn>Block.

Precedência da política

A política do Microsoft Defender para Endpoint tem precedência sobre a política do Antivírus do Microsoft Defender. Em situações em que o Defender para Endpoint está definido como Allow, mas Microsoft Defender Antivírus está definido como Block, o resultado é Allow.

Precedência para várias políticas ativas

A aplicação de várias políticas de filtragem de conteúdos Web diferentes no mesmo dispositivo resulta na aplicação de uma política mais restritiva para cada categoria. Considere o seguinte exemplo:

  • A Política 1 bloqueia as categorias 1 e 2 e audita o resto
  • A Política 2 bloqueia as categorias 3 e 4 e audita o resto

O resultado é que as categorias 1-4 estão todas bloqueadas. Este cenário é ilustrado na imagem seguinte.

Diagrama que mostra a precedência do modo de bloqueio da política de filtragem de conteúdo da Web sobre o modo de auditoria.

Criar um indicador para IPs, URLs ou domínios a partir da página de definições

Importante

Pode demorar até 48 horas após a criação de uma política para que um URL ou endereço IP seja bloqueado num dispositivo. Na maioria dos casos, os bloqueios entram em vigor em menos de duas horas.

Para criar um indicador para IPs, URLs ou domínios a partir do portal Microsoft Defender, execute os seguintes passos:

  1. No painel de navegação, selecione Definições>Endpoints>Indicadores (em Regras).

  2. Selecione o separador Endereços IP ou URLs/Domínios.

  3. Selecione Adicionar item.

  4. Especifique os seguintes detalhes:

    • Indicador: especifique os detalhes da entidade e defina a expiração do indicador.
    • Ação: especifique a ação a executar e forneça uma descrição.
    • Âmbito: especifique os grupos de computadores que devem impor o indicador.

  5. Reveja os detalhes no separador Resumo e, em seguida, selecione Guardar.

Importante

Depois de criar uma política para um URL ou endereço IP, pode demorar até 48 horas até que a política entre em vigor. Na maioria dos casos, as alterações políticas entram em vigor em menos de duas horas.

Conteúdo relacionado

  • Last updated on