Migrar de um HIPS não pertencente à Microsoft para regras de redução da superfície de ataque

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Este artigo ajuda-o a associar regras comuns ao Microsoft Defender para Endpoint. Para obter mais informações sobre as regras do ASR, veja Descrição geral das regras de redução da superfície de ataque (ASR).

Cenários na migração de um produto HIPS de outro fabricante que não a Microsoft para regras de redução da superfície de ataque

Bloquear a criação de ficheiros específicos

  • Aplica-se a: Todos os processos
  • Processos: N/D
  • Operação: Criação de Ficheiros
  • Exemplos de Ficheiros/Pastas, Chaves/Valores de Registo, Processos ou Serviços:
    • .jaff
    • .krab
    • .locky
    • .lukitus
    • .odin
    • .wnry
    • .zepto
  • Regras de redução da superfície de ataque:
    • As regras do ASR bloqueiam técnicas de ataque, não indicadores de comprometimento (IOC).
    • O bloqueio de uma extensão de ficheiro específica nem sempre é útil, porque não impede que um dispositivo se comprometa. Apenas impede parcialmente um ataque até que os atacantes criem um novo tipo de extensão para o payload.
  • Outras funcionalidades recomendadas:
    • A Microsoft recomenda vivamente a ativação do Microsoft Defender Antivírus, proteção na cloud e bloqueio comportamental.
    • A Microsoft recomenda outras medidas de prevenção, como a regra asr Utilizar proteção avançada contra ransomware (c1db55ab-c21a-4637-bb3f-a12568109d35), que fornece um maior nível de proteção contra ataques de ransomware.
    • Microsoft Defender para Endpoint monitoriza muitas destas chaves de registo, tais como técnicas de pontos de extensão de arranque automático (ASEP), que desencadeiam alertas específicos. As chaves de registo utilizadas requerem um mínimo de privilégios de Administração Local ou Instalador Fidedigno. A Microsoft recomenda a utilização de um ambiente bloqueado com contas ou direitos administrativos mínimos. Pode ativar outras configurações do sistema, incluindo desativar o SeDebugPrivilege como parte de recomendações de segurança mais amplas.

Bloquear a criação de chaves de registo específicas

  • Aplica-se a: Todos os Processos
  • Processos: N/D
  • Operação: Modificações do Registo
  • Exemplos de Ficheiros/Pastas, Chaves/Valores do Registo, Processos ou Serviços:
    • HKCU\Environment\UserInitMprLogonScript
    • HKCU\Software\Microsoft\HtmlHelp Author\location
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs*\StartExe
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*\Debugger
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit*\MonitorProcess
  • Regras de redução da superfície de ataque:
    • As regras do ASR bloqueiam técnicas de ataque, não indicadores de comprometimento (IOC).
    • O bloqueio de uma extensão de ficheiro específica nem sempre é útil, porque não impede que um dispositivo se comprometa. Apenas impede parcialmente um ataque até que os atacantes criem um novo tipo de extensão para o payload.
  • Outras funcionalidades recomendadas:
    • A Microsoft recomenda vivamente a ativação do Antivírus do Microsoft Defender, proteção na cloud e bloqueio comportamental.
    • A Microsoft recomenda outras medidas de prevenção, incluindo a regra asr Utilizar proteção avançada contra ransomware (c1db55ab-c21a-4637-bb3f-a12568109d35), que fornece um maior nível de proteção contra ataques de ransomware.
    • O Microsoft Defender para Endpoint monitoriza muitas destas chaves de registo, incluindo técnicas de Pontos de Extensão de Arranque Automático (ASEP), que desencadeiam alertas específicos. As chaves de registo utilizadas requerem um mínimo de privilégios de Administração Local ou Instalador Fidedigno. A Microsoft recomenda a utilização de um ambiente bloqueado com contas ou direitos administrativos mínimos. Pode ativar outras configurações do sistema, incluindo a desativação do SeDebugPrivilege, como parte de recomendações de segurança mais abrangentes.

Bloquear a execução de programas não fidedignos a partir de unidades amovíveis

Bloquear o Mshta de iniciar determinados processos subordinados

  • Aplica-se a: Mshta
  • Processos:
    • mshta.exe
  • Operação: Execução de Processos
  • Exemplos de Ficheiros/Pastas, Chaves/Valores do Registo, Processos ou Serviços:
    • cmd.exe
    • powershell.exe
    • regsvr32.exe
  • Regras de redução da superfície de ataque: Não existem regras ASR específicas para impedir os processos filhos do mshta.exe. Este tipo de controlo está disponível na proteção contra exploits ou no Controlo de Aplicações para Windows.
  • Outras funcionalidades recomendadas:
    • Ative o controlo de aplicações para impedir a execução de mshta.exe. Se a sua organização precisar de mshta.exe para aplicações de negócio, configure uma regra específica de proteção contra exploits para impedir o mshta.exe de iniciar processos filho.

Bloquear o Outlook de iniciar processos filhos

  • Aplica-se a: Outlook
  • Processos:
    • outlook.exe
  • Operação: Execução de Processos
  • Exemplos de Ficheiros/Pastas, Chaves/Valores do Registo, Processos ou Serviços:
    • powershell.exe
  • Regras de redução da superfície de ataque:
  • Outras funcionalidades recomendadas:

Bloquear as aplicações do Office de iniciarem processos subordinados

  • Aplica-se a: Office
  • Processos:
    • excel.exe
    • powerpnt.exe
    • winword.exe
  • Operação: Execução de Processos
  • Exemplos de Ficheiros/Pastas, Chaves/Valores do Registo, Processos ou Serviços:
    • EQNEDT32.EXE
    • cmd.exe
    • mshta.exe
    • powershell.exe
    • regsrv32.exe
    • wscript.exe
  • Regras de redução da superfície de ataque:
  • Outras funcionalidades recomendadas: N/D

Impedir que as aplicações do Office criem conteúdos executáveis

  • Aplica-se a: Office
  • Processos:
    • winword.exe
    • powerpnt.exe
    • excel.exe
  • Operação: Criação de Ficheiros
  • Exemplos de Ficheiros/Pastas, Chaves/Valores do Registo, Processos ou Serviços:
    • C:\ProgramData**.com
    • C:\ProgramData**.exe
    • C:\ProgramData**.scf
    • C:\Users*AppData\Local\Temp**.com
    • C:\Users*\AppData**.exe
    • C:\Users*\AppData**.scf
    • C:\Users*\Desktop**.exe
    • C:\Users*\Downloads**.exe
    • C:\Users\Public**.exe
  • Regras de redução da superfície de ataque:

Impedir o Wscript de ler determinados tipos de ficheiros

  • Aplica-se a: Wscript
  • Processos:
    • wscript.exe
  • Operação: Leitura do Ficheiro
  • Exemplos de Ficheiros/Pastas, Chaves de Registo/Valores, Processos ou Serviços:
  • C:\Users*\AppData**.js
  • C:\Users*\Downloads**.js
  • Regras de redução da superfície de ataque:
  • Outras funcionalidades recomendadas:
    • Por predefinição, a Interface de Análise Antimalware (AMSI) pode inspecionar vários scripts em tempo real (por exemplo, PowerShell, Anfitrião de Script do Windows, JavaScript, VBScript e muito mais). Para obter mais informações, veja Antimalware Scan Interface (AMSI).

Bloquear a execução de processos-filho

  • Aplica-se a: Adobe Acrobat
  • Processos:
    • AcroRd32.exe
    • Acrobat.exe
  • Operação: Execução de Processos
  • Exemplos de Ficheiros/Pastas, Chaves/Valores do Registo, Processos ou Serviços:
    • cmd.exe
    • powershell.exe
    • wscript.exe
  • Regras de redução da superfície de ataque:
  • Outras funcionalidades recomendadas: N/D

Bloquear a transferência ou criação de conteúdo executável

  • Aplica-se a: CertUtil
  • Processos:
    • certutil.exe
  • Operação: Criação de Ficheiros
  • Exemplos de Ficheiros/Pastas, Chaves/Valores do Registo, Processos ou Serviços:
    • *.exe
  • Regras de redução da superfície de ataque:
    • As regras do ASR não suportam estes cenários porque estão incluídas na proteção antivírus Microsoft Defender.
  • Outras funcionalidades recomendadas:
    • Microsoft Defender Antivírus impede o CertUtil de criar ou transferir conteúdo executável.

Impedir que os processos parem componentes críticos do Sistema

  • Aplica-se a: Todos os Processos
  • Processos:
    • *
  • Operação: Terminação do Processo
  • Exemplos de Ficheiros/Pastas, Chaves/Valores do Registo, Processos ou Serviços:
    • MsMpEng.exe
    • MsSense.exe
    • NisSrv.exe
    • csrss.exe
    • services.exe
    • smss.exe
    • svchost.exe
    • wininit.exe
    • e muito mais
  • Regras de redução da superfície de ataque: as regras ASR não suportam estes cenários porque estão incluídas nas proteções de segurança incorporadas do Windows.
  • Outras funcionalidades recomendadas:

Bloquear tentativa de iniciar um processo específico

  • Aplica-se a: Processos específicos
  • Processos: processos específicos
  • Operação: Execução de Processos
  • Exemplos de Ficheiros/Pastas, Chaves/Valores do Registo, Processos ou Serviços:
    • tor.exe
    • bittorrent.exe
    • cmd.exe
    • powershell.exe
    • e muito mais
  • Regras de redução da superfície de ataque:
    • No geral, as regras do ASR não foram concebidas para funcionar como um gestor de aplicações.
  • Outras funcionalidades recomendadas:
    • Para impedir que os utilizadores iniciem processos ou programas específicos, utilize o Controlo de Aplicações para Windows.
    • Embora não seja um mecanismo de controlo de aplicações, pode utilizar os indicadores de comprometimento (IOCs) do Microsoft Defender para Endpoint para ficheiros e certificados em cenários de resposta a incidentes.

Bloquear alterações não autorizadas às configurações do Antivírus do Microsoft Defender

  • Aplica-se a: Todos os Processos
  • Processos:
    • *
  • Operação: Modificações do Registo
  • Exemplos de Ficheiros/Pastas, Chaves/Valores do Registo, Processos ou Serviços:
    • HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\DisableAntiSpyware
    • HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Policy Manager\AllowRealTimeMonitoring
    • e muito mais
  • Regras de redução da superfície de ataque: as regras ASR não são suportadas nestes cenários porque estão incluídas na proteção incorporada do Microsoft Defender para Endpoint.
  • Outras funcionalidades recomendadas:
    • A proteção contra adulteração no Microsoft Defender para Endpoint impede alterações não autorizadas às chaves de registo associadas ao Antivírus Microsoft Defender. Por exemplo:
    • DisableAntiVirus
    • DisableAntiSpyware
    • Desativar monitorização em tempo real
    • Desativar a proteção no acesso
    • Desativar monitorização de comportamento
    • DisableIOAVProtection
    • e muito mais

Conteúdos relacionados

  • Última atualização a