Proteção web no Microsoft Defender para Endpoint

Este artigo explica como a proteção web no Microsoft Defender para Endpoint ajuda a proteger os seus dispositivos contra ameaças web e a regular conteúdos indesejados. Abrange as capacidades principais — proteção contra ameaças web, filtragem de conteúdos web e indicadores personalizados — juntamente com suporte ao navegador, regras de precedência de políticas, resolução de problemas e consultas avançadas de caça. Esta informação destina-se a administradores de segurança e profissionais de TI que gerem o Defender for Endpoint.

Overview

A proteção Web no Microsoft Defender para Endpoint é uma capacidade composta por proteção contra ameaças na Web, filtragem de conteúdo Web e Indicadores personalizados. A proteção Web permite-lhe proteger os seus dispositivos contra ameaças à Web e ajuda-o a regular conteúdos indesejados. Pode encontrar relatórios de proteção Web no portal Microsoft Defender ao aceder a Relatórios > de Proteção da Web.

Proteção contra ameaças da Web

Os cartões que compõem a proteção contra ameaças na Web são deteções de ameaças na Web ao longo do tempo e resumo de ameaças à Web.

A proteção contra ameaças na Web inclui:

• Visibilidade abrangente sobre ameaças Web que afetam a sua organização.
• Capacidades de investigação sobre a atividade de ameaças relacionada com a Web através de alertas e perfis abrangentes de URLs e dispositivos que acedem a estes URLs.
• Um conjunto completo de funcionalidades de segurança que acompanham tendências de acesso geral a sites maliciosos e indesejados.

Em processos não Microsoft Edge, a Proteção de Rede determina o nome de domínio completamente qualificado para cada ligação HTTPS ao examinar o conteúdo do handshake TLS que ocorre após um handshake TCP/IP. Isto requer que a ligação HTTPS utilize TCP/IP (não UDP/QUIC) e que a mensagem ClientHello não seja encriptada. Para desativar o QUIC e o Cliente Encriptado Hello no Google Chrome, consulte QuicAllowed e EncryptedClientHelloEnabled. Para o Mozilla Firefox, consulte Desativar EncryptedClientHello e network.http.http3.enable.

Pode haver até duas horas de latência (normalmente menos) entre o momento em que um indicador é adicionado e a sua aplicação no cliente. Para obter mais informações, veja Proteção contra ameaças à Web.

Indicadores personalizados

As deteções de indicadores personalizados são resumidas em relatórios de ameaças à Web em Deteções de ameaças na Web ao longo do tempo e resumo de ameaças à Web.

Os indicadores personalizados fornecem:

• A capacidade de criar indicadores baseados em IP e URL de comprometimento para proteger a sua organização contra ameaças.
• A capacidade de definir o comportamento de Permitir, Bloquear ou Avisar.
• Capacidades de investigação sobre atividades relacionadas com os seus indicadores ip/URL personalizados e os dispositivos que acedem a estes URLs.

Para obter mais informações, veja Criar indicadores para IPs e URLs/domínios

Filtragem de conteúdos Web

Os blocos de filtragem de conteúdo Web são resumidos em Atividade Web por categoria, resumo da filtragem de conteúdo Web e resumo da atividade Web.

A filtragem de conteúdo Web fornece:

• A capacidade de impedir que os utilizadores acedam a sites em categorias bloqueadas, quer estejam a navegar no local ou ausentes.
• Suporte para direcionar diferentes políticas para diferentes grupos de dispositivos definidos nas definições de controlo de acesso baseado em funções do Microsoft Defender para Endpoint.

  Nota

  A criação de grupos de dispositivos é suportada no Defender para Endpoint Plano 1 e Plano 2.

• Relatórios Web na mesma localização central, com visibilidade sobre os blocos e a utilização da Web.

Para obter mais informações, veja Filtragem de conteúdo Web.

Ordem de precedência

Quando várias políticas de proteção web podem aplicar-se ao mesmo URL ou pedido de IP, a ordem de precedência determina qual a política que vence. A proteção Web é composta dos seguintes componentes, listados por ordem de precedência. Cada um destes componentes é imposto pelo cliente SmartScreen no Microsoft Edge e pelo cliente de Proteção de Rede em todos os outros browsers e processos.

• Indicadores personalizados (IP/URL, políticas de Microsoft Defender for Cloud Apps)

  • Permitir
  • Avisar
  • Bloquear

• Ameaças na Web (malware, phishing)

  • SmartScreen Intel

• Filtragem de Conteúdo Web (WCF)

A ordem de precedência descreve a sequência em que os componentes de proteção web (indicadores personalizados, proteção contra ameaças web e filtragem de conteúdos web) avaliam uma URL ou IP. Por exemplo, se tiver uma política de filtragem de conteúdos Web, pode criar exclusões através de indicadores ip/URL personalizados. Os Indicadores Personalizados de comprometimento (IoC) são mais elevados na ordem de precedência do que os blocos WCF.

Da mesma forma, em caso de conflito entre indicadores, as autorizações têm sempre precedência sobre os bloqueios (lógica de sobreposição). Isto significa que um indicador de permissão tem precedência sobre qualquer indicador de bloco que esteja presente.

A tabela seguinte resume algumas configurações comuns que apresentam conflitos no stack de proteção web. Também identifica as determinações resultantes com base na ordem de precedência dos componentes de proteção da web.

Os endereços IP internos não são suportados por indicadores personalizados. Numa política de advertência, quando o utilizador final a contorna, o site fica desbloqueado por predefinição durante 24 horas para esse utilizador. Este período de tempo pode ser modificado pela Administração e é transmitido pelo serviço cloud SmartScreen. A capacidade de ignorar um aviso também pode ser desativada no Microsoft Edge através do CSP para blocos de ameaças na Web (software maligno/phishing). Para obter mais informações, consulte Definições do Microsoft Edge SmartScreen.

Proteger navegadores

Em todos os cenários de proteção da Web, o SmartScreen e a Proteção de Rede podem ser utilizados em conjunto para garantir a proteção em todos os browsers e processos da Microsoft e não microsoft. O SmartScreen está incorporado diretamente no Microsoft Edge, enquanto a Proteção de Rede monitoriza o tráfego em processos e browsers que não sejam da Microsoft. O diagrama seguinte ilustra como o SmartScreen e a Proteção de Rede funcionam em conjunto entre navegadores e processos da Microsoft e não da Microsoft. Este diagrama dos dois clientes que trabalham em conjunto para fornecer várias coberturas de browser/aplicação é preciso para todas as funcionalidades da Proteção Web (Indicadores, Ameaças à Web, Filtragem de Conteúdos).

Resolver problemas de bloqueio de endpoint

As respostas da cloud SmartScreen são padronizadas. Ferramentas como o Telerik Fiddler podem ser utilizadas para inspecionar a resposta do serviço na cloud, o que ajuda a determinar a causa do bloqueio.

Quando o serviço cloud SmartScreen responde com uma resposta de permissão, bloqueio ou aviso, uma categoria de resposta e o contexto do servidor são reencaminhados para o cliente. No Microsoft Edge, a categoria de resposta é o que é utilizado para determinar a página de bloqueio adequada a mostrar (malicioso, phishing, política organizacional).

A tabela seguinte mostra as respostas e as respetivas funcionalidades correlacionadas.

Pesquisa avançada para proteção da Web

As consultas Kusto na investigação avançada podem ser utilizadas para resumir blocos de proteção Web na sua organização durante um máximo de 30 dias. Estas consultas utilizam as categorias de resposta da tabela Troubleshoot endpoint blocks para distinguir entre as várias fontes de bloqueio e apresentá-las de forma intuitiva. Por exemplo, para encontrar blocos de Filtragem de Conteúdo Web (WCF) detetados pelo SmartScreen no Microsoft Edge, execute a seguinte consulta. Esta consulta filtra DeviceEvents por ações de aviso de URL do SmartScreen e extrai campos principais, como o nome do dispositivo, o carimbo de data/hora, o URL e a categoria de experiência, para identificar bloqueios de filtragem de conteúdo Web.

DeviceEvents
| where ActionType == "SmartScreenUrlWarning"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, Experience=tostring(ParsedFields.Experience)
| where Experience == "CustomPolicy"

Para identificar blocos WCF aplicados pela Proteção de Rede em navegadores não Microsoft, utilize a seguinte consulta. Nesta consulta, o ActionType é ExploitGuardNetworkProtectionBlocked e o campo filtro é ResponseCategory em vez de Experience.

DeviceEvents
| where ActionType == "ExploitGuardNetworkProtectionBlocked"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, ResponseCategory=tostring(ParsedFields.ResponseCategory)
| where ResponseCategory == "CustomPolicy"

Para listar blocos que se devem a outras funcionalidades (como Indicadores Personalizados), consulte a tabela ResponseCategory. A tabela ResponseCategory descreve cada característica e a respetiva categoria de resposta. Estas consultas podem ser modificadas para procurar telemetria relacionada com máquinas específicas na sua organização. O ActionType apresentado em cada consulta mostra apenas as ligações que foram bloqueadas por uma funcionalidade de Proteção Web e não todo o tráfego de rede.

O que os utilizadores veem quando a proteção web bloqueia conteúdo

Se um utilizador visitar uma página Web que represente um risco de software maligno, phishing ou outras ameaças à Web, o Microsoft Edge apresenta uma página de bloco semelhante à seguinte imagem:

A partir do Microsoft Edge 124, é apresentada a seguinte página de bloco para todos os blocos de categorias de Filtragem de Conteúdo Web.

Em todo o caso, não são apresentadas páginas de blocos em browsers que não sejam da Microsoft e, em vez disso, o utilizador vê uma página "Falha na Ligação Segura" juntamente com uma notificação de alerta do Windows. Dependendo da política que originou o bloqueio, o utilizador vê uma mensagem diferente na notificação instantânea. Por exemplo, a filtragem de conteúdo Web apresenta a mensagem "Este conteúdo está bloqueado".

Reportar falsos positivos

Para reportar um falso positivo em sites considerados perigosos pelo SmartScreen, utilize o link que aparece na página de bloqueio do Microsoft Edge.

Na filtragem de conteúdos Web (WCF), pode ignorar um bloqueio com um indicador de Permissão e, opcionalmente, contestar a categoria de um domínio. Navegue até ao separador Domínios nos relatórios do WCF. Pode ver reticências ao lado de cada domínio. Passe o cursor sobre estas reticências e selecione Categoria de Disputa. É aberta uma lista de opções. Defina a prioridade do incidente e forneça outros detalhes, como a categoria sugerida. Para obter mais informações sobre como ativar o WCF e como contestar categorias, veja Filtragem de conteúdo Web.

Para obter mais informações sobre como comunicar falsos positivos/negativos, consulte Tratar falsos positivos/negativos no Microsoft Defender para Endpoint.

Artigos relacionados