Comprendere e usare le funzionalità di riduzione della superficie di attacco

Si applica a:

• Microsoft Defender XDR
• Microsoft Defender per endpoint Piano 1
• Microsoft Defender per endpoint Piano 2
• Antivirus Microsoft Defender

Piattaforme

• Windows

Le superfici di attacco sono tutti i luoghi in cui l'organizzazione è vulnerabile a minacce informatiche e attacchi. Defender per endpoint include diverse funzionalità che consentono di ridurre le superfici di attacco. Guardare il video seguente per altre informazioni sulla riduzione della superficie di attacco.

Configurare le funzionalità per la riduzione della superficie di attacco

Per configurare la riduzione della superficie di attacco nell'ambiente, seguire questa procedura:

1. Abilitare l'isolamento basato su hardware per Microsoft Edge.

2. Abilitare le regole di riduzione della superficie di attacco.

3. Abilitare il controllo applicazione.

   1. Esaminare i criteri di base in Windows. Vedere Criteri di base di esempio.

   2. Vedere la guida alla progettazione Windows Defender Controllo applicazioni.

   3. Fare riferimento alla distribuzione di criteri WDAC (Deploying Windows Defender Application Control).

4. Abilitare l'accesso controllato alle cartelle.

5. Abilitare la protezione dell'archiviazione rimovibile.

6. Attivare la protezione di rete.

7. Abilitare la protezione Web.

8. Abilitare la protezione dagli exploit.

9. Configurare il firewall di rete.

   1. Panoramica di Windows Firewall con sicurezza avanzata.

   2. Usare la guida alla progettazione di Windows Firewall per decidere come progettare i criteri del firewall.

   3. Usare la guida alla distribuzione di Windows Firewall per configurare il firewall dell'organizzazione con sicurezza avanzata.

Riduzione della superficie di attacco di test in Microsoft Defender per endpoint

Come parte del team di sicurezza dell'organizzazione, è possibile configurare le funzionalità di riduzione della superficie di attacco da eseguire in modalità di controllo per vedere come funzionano. È possibile abilitare le seguenti funzionalità di sicurezza per la riduzione della superficie di attacco in modalità di controllo:

• Regole di riduzione della superficie di attacco
• Protezione dagli exploit
• Protezione della rete
• Accesso alle cartelle controllato
• Controllo del dispositivo

La modalità di controllo consente di visualizzare un record di ciò che sarebbe successo se la funzionalità fosse stata abilitata.

È possibile abilitare la modalità di controllo durante il test del funzionamento delle funzionalità. L'abilitazione della modalità di controllo solo per i test consente di impedire che la modalità di controllo influisca sulle app line-of-business. È anche possibile avere un'idea di quanti tentativi sospetti di modifica dei file si verificano in un determinato periodo di tempo.

Le funzionalità non bloccano o impediscono la modifica di app, script o file. Tuttavia, il registro eventi di Windows registra gli eventi come se le funzionalità fossero completamente abilitate. Con la modalità di controllo, è possibile esaminare il registro eventi per vedere quale effetto avrebbe avuto la funzionalità se fosse stata abilitata.

Per trovare le voci controllate, passare ad Applicazioni e servizi>Microsoft>Windows>Windows Defender>Operational.

Usare Defender per endpoint per ottenere maggiori dettagli per ogni evento. Questi dettagli sono particolarmente utili per analizzare le regole di riduzione della superficie di attacco. L'uso della console di Defender per endpoint consente di analizzare i problemi come parte degli scenari di analisi e sequenza temporale degli avvisi.

È possibile abilitare la modalità di controllo usando Criteri di gruppo, PowerShell e provider di servizi di configurazione.

Ad esempio, è possibile testare le regole di riduzione della superficie di attacco in modalità di controllo prima di abilitarle in modalità blocco. Le regole di riduzione della superficie di attacco sono predefinite per rafforzare le superfici di attacco comuni e note. Esistono diversi metodi che è possibile usare per implementare le regole di riduzione della superficie di attacco. Il metodo preferito è documentato negli articoli sulla distribuzione delle regole di riduzione della superficie di attacco seguenti:

• Panoramica della distribuzione delle regole di riduzione della superficie di attacco
• Pianificare la distribuzione delle regole di riduzione della superficie di attacco
• Testare le regole di riduzione della superficie di attacco
• Abilitare regole di riduzione della superficie di attacco
• Rendere operative le regole di riduzione della superficie di attacco

Visualizzare eventi per la riduzione della superficie di attacco

Esaminare gli eventi di riduzione della superficie di attacco in Visualizzatore eventi per monitorare le regole o le impostazioni che funzionano. È anche possibile determinare se le impostazioni sono troppo "rumorose" o influiscono sul flusso di lavoro quotidiano.

La revisione degli eventi è utile quando si valutano le funzionalità. È possibile abilitare la modalità di controllo per le funzionalità o le impostazioni e quindi verificare cosa sarebbe successo se fossero state completamente abilitate.

Questa sezione elenca tutti gli eventi, la funzionalità o l'impostazione associata e descrive come creare visualizzazioni personalizzate per filtrare in base a eventi specifici.

Ottenere report dettagliati su eventi, blocchi e avvisi come parte di Sicurezza di Windows se si dispone di una sottoscrizione E5 e si usa Microsoft Defender per endpoint.

Usare visualizzazioni personalizzate per esaminare le funzionalità di riduzione della superficie di attacco

Create visualizzazioni personalizzate in Windows Visualizzatore eventi visualizzare solo gli eventi per funzionalità e impostazioni specifiche. Il modo più semplice consiste nell'importare una visualizzazione personalizzata come file XML. È possibile copiare il codice XML direttamente da questa pagina.

È anche possibile passare manualmente all'area eventi corrispondente alla funzionalità.

Importare una visualizzazione personalizzata XML esistente

1. Create un file di .txt vuoto e copiare il codice XML per la visualizzazione personalizzata da usare nel file .txt. Eseguire questa operazione per ognuna delle visualizzazioni personalizzate che si desidera usare. Rinominare i file nel modo seguente (assicurarsi di modificare il tipo da .txt a .xml):

   • Visualizzazione personalizzata degli eventi di accesso controllato alle cartelle: cfa-events.xml
   • Visualizzazione personalizzata degli eventi di protezione dagli exploit: ep-events.xml
   • Visualizzazione personalizzata degli eventi di riduzione della superficie di attacco: asr-events.xml
   • Visualizzazione personalizzata degli eventi di rete/protezione: np-events.xml

2. Digitare Visualizzatore eventi nel menu Start e aprire Visualizzatore eventi.

3. Selezionare Azione>Importa visualizzazione personalizzata...

   

4. Passare alla posizione in cui è stato estratto il file XML per la visualizzazione personalizzata desiderata e selezionarlo.

5. Seleziona Apri.

6. Crea una visualizzazione personalizzata che filtra per visualizzare solo gli eventi correlati a tale funzionalità.

Copiare direttamente il codice XML

1. Digitare visualizzatore eventi nel menu Start e aprire il Visualizzatore eventi di Windows.

2. Nel pannello a sinistra, in Azioni, selezionare Create Visualizzazione personalizzata...

   

3. Passare alla scheda XML e selezionare Modifica query manualmente. Viene visualizzato un avviso che indica che non è possibile modificare la query usando la scheda Filtro se si usa l'opzione XML. Selezionare Sì.

4. Incollare il codice XML per la funzionalità da cui filtrare gli eventi nella sezione XML.

5. Seleziona OK. Specificare un nome per il filtro. Questa azione crea una visualizzazione personalizzata che filtra solo gli eventi correlati a tale funzionalità.

XML per gli eventi delle regole di riduzione della superficie di attacco

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML per gli eventi di accesso controllato alle cartelle

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML per gli eventi di protezione dagli exploit

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

XML per gli eventi di protezione di rete

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

Elenco di eventi di riduzione della superficie di attacco

Tutti gli eventi di riduzione della superficie di attacco si trovano in Registri > applicazioni e servizi Microsoft > Windows e quindi nella cartella o nel provider come indicato nella tabella seguente.

È possibile accedere a questi eventi nel Visualizzatore eventi di Windows:

1. Aprire il menu Start e digitare Visualizzatore eventi e quindi selezionare il risultato Visualizzatore eventi.

2. Espandere Registri > applicazioni e servizi Microsoft > Windows e quindi passare alla cartella elencata in Provider/origine nella tabella seguente.

3. Fare doppio clic sull'elemento secondario per visualizzare gli eventi. Scorrere gli eventi per trovare quello che si sta cercando.

   

Risorse per altre informazioni sulla riduzione della superficie di attacco

Come indicato nel video, Defender per endpoint include diverse funzionalità di riduzione della superficie di attacco. Per altre informazioni, usare le risorse seguenti: