Proteggere i dispositivi dagli exploit

Si applica a:

• Microsoft Defender per endpoint Piano 1
• Microsoft Defender per endpoint Piano 2
• Microsoft Defender XDR

La protezione da exploit applica automaticamente molte tecniche di mitigazione da exploit ai processi e alle app del sistema operativo. La protezione da exploit è supportata a partire da Windows 10, versione 1709, Windows 11 e Windows Server, versione 1803.

La protezione dagli exploit funziona meglio con Defender per endpoint, che offre report dettagliati sugli eventi di protezione e sui blocchi degli exploit come parte dei consueti scenari di indagine sugli avvisi.

È possibile abilitare la protezione dagli exploit in un singolo dispositivo e quindi usare Criteri di gruppo per distribuire il file XML a più dispositivi contemporaneamente.

Quando viene trovata una mitigazione nel dispositivo, viene visualizzata una notifica dal Centro notifiche. È possibile personalizzare la notifica con i dettagli aziendali e le informazioni sul contatto. È anche possibile abilitare le regole singolarmente per personalizzare le tecniche monitorate dalla funzionalità.

Puoi anche usare la modalità di controllo per valutare in che modo la protezione da exploit influirebbe sull'organizzazione se fosse abilitata.

Molte delle funzionalità in Enhanced Mitigation Experience Toolkit (EMET) sono incluse nella protezione dagli exploit. In effetti, è possibile convertire e importare i profili di configurazione EMET esistenti in protezione dagli exploit. Per altre informazioni, vedere Importare, esportare e distribuire configurazioni di protezione da exploit.

Esaminare gli eventi di protezione dagli exploit nel portale di Microsoft Defender

Defender per endpoint fornisce report dettagliati su eventi e blocchi nell'ambito degli scenari di indagine sugli avvisi.

È possibile eseguire query sui dati di Defender per endpoint usando la Rilevazione avanzata. Se si usa la modalità di controllo, è possibile usare la rilevazione avanzata per vedere in che modo le impostazioni di protezione dagli exploit potrebbero influire sull'ambiente.

Ecco una query di esempio:

DeviceEvents
| where ActionType startswith 'ExploitGuard' and ActionType !contains 'NetworkProtection'

Esaminare gli eventi di protezione dagli exploit nel Visualizzatore eventi di Windows

È possibile esaminare il registro eventi di Windows per visualizzare gli eventi creati quando la protezione dagli exploit blocca (o controlla) un'app:

Confronto di mitigazioni

Le mitigazioni disponibili in EMET sono incluse in modo nativo in Windows 10 (a partire dalla versione 1709), Windows 11 e Windows Server (a partire dalla versione 1803), in Protezione da exploit.

La tabella in questa sezione indica la disponibilità e il supporto delle mitigazioni native tra EMET e protezione dagli exploit.

Le mitigazioni ROP avanzate disponibili in EMET sono sostituite da ACG in Windows 10 e Windows 11, che altre impostazioni avanzate EMET sono abilitate per impostazione predefinita, come parte dell'abilitazione delle mitigazioni anti-ROP per un processo. Per altre informazioni su come Windows 10 usa la tecnologia EMET esistente, vedere Mitigazione delle minacce tramite le funzionalità di sicurezza Windows 10.

Vedere anche

• Configurare e controllare le mitigazioni della protezione dagli exploit
• Risolvere i problemi di protezione dagli exploit
• Ottimizzare la distribuzione e i rilevamenti delle regole ASR