Utilizar a proteção de rede para ajudar a impedir ligações a sites maliciosos ou suspeitos

Aplica-se a:

• Plano 1 do Microsoft Defender para Ponto de Extremidade
• Plano 2 do Microsoft Defender para Ponto de Extremidade
• Microsoft Defender XDR
• Microsoft Defender Antivírus

Plataformas

• Windows
• macOS
• Linux

Deseja experimentar o Microsoft Defender para Ponto de Extremidade? Inscreva-se numa avaliação gratuita.

Descrição geral da proteção de rede

A proteção de rede ajuda a proteger dispositivos de determinados eventos baseados na Internet ao impedir ligações a sites maliciosos ou suspeitos. A proteção de rede é uma capacidade de redução da superfície de ataque que ajuda a impedir que as pessoas na sua organização acedam a domínios considerados perigosos através de aplicações. Exemplos de domínios perigosos são domínios que alojam esquemas de phishing, exploits e outros conteúdos maliciosos na Internet. A proteção de rede expande o âmbito do Microsoft Defender SmartScreen para bloquear todo o tráfego HTTP(S) de saída que tenta ligar a origens de baixa reputação (com base no domínio ou nome do anfitrião).

A proteção de rede expande a proteção na proteção Web ao nível do sistema operativo e é um componente principal da Filtragem de Conteúdo Web (WCF). Fornece a funcionalidade de proteção web encontrada no Microsoft Edge para outros browsers suportados e aplicações nonbrowser. A proteção de rede também fornece visibilidade e bloqueio de indicadores de comprometimento (IOCs) quando utilizados com a deteção e resposta de Ponto final. Por exemplo, a proteção de rede funciona com os indicadores personalizados que pode utilizar para bloquear domínios ou nomes de anfitriões específicos.

Cobertura de proteção de rede

A tabela seguinte resume as áreas de proteção de rede de cobertura.

Veja este vídeo para saber como a Proteção de rede ajuda a reduzir a superfície de ataque dos seus dispositivos a partir de esquemas de phishing, exploits e outros conteúdos maliciosos.

Requisitos para a proteção de rede

A proteção de rede requer dispositivos com um dos seguintes sistemas operativos:

• Windows 10 ou 11 (Pro ou Enterprise) (consulte Versões suportadas do Windows)
• Windows Server, versão 1803 ou posterior (consulte Versões suportadas do Windows)
• macOS versão 12 (Monterey) ou posterior (consulte Microsoft Defender para Ponto de Extremidade no Mac)
• Uma versão suportada do Linux (veja Microsoft Defender para Ponto de Extremidade no Linux)

A proteção de rede também requer Microsoft Defender Antivírus com proteção em tempo real ativada.

Por que motivo a proteção de rede é importante

A proteção de rede faz parte do grupo de redução da superfície de ataque de Microsoft Defender para Ponto de Extremidade. A proteção de rede permite que a camada de rede bloqueie URLs e endereços IP. A proteção de rede pode impedir que os URLs sejam acedidos através de determinados browsers e ligações de rede padrão. Por predefinição, a proteção de rede protege os seus computadores de URLs maliciosos conhecidos através do feed SmartScreen, que bloqueia URLs maliciosos de uma forma semelhante ao SmartScreen no browser Microsoft Edge. A funcionalidade de proteção de rede pode ser expandida para:

• Bloquear endereços IP/URL das suas próprias informações sobre ameaças (indicadores)
• Bloquear serviços não selecionados de Microsoft Defender para Aplicativos de Nuvem
• Bloquear o acesso do browser a sites com base na categoria (filtragem de conteúdo Web)

A proteção de rede é uma parte crítica da pilha de proteção e resposta da Microsoft.

Bloquear ataques de Comando e Controlo

Os computadores de servidor de Comando e Controlo (C2) são utilizados por utilizadores maliciosos para enviar comandos para sistemas anteriormente comprometidos por software maligno. Normalmente, os ataques C2 ocultam-se em serviços baseados na cloud, como serviços de partilha de ficheiros e webmail, permitindo que os servidores C2 evitem a deteção ao misturar com tráfego típico.

Os servidores C2 podem ser utilizados para iniciar comandos que podem:

• Roubar dados
• Controlar computadores comprometidos numa botnet
• Interromper aplicações legítimas
• Propagar software maligno, como ransomware

O componente de proteção de rede do Defender para Endpoint identifica e bloqueia as ligações a infraestruturas C2 utilizadas em ataques de ransomware operados por humanos, utilizando técnicas como machine learning e identificação inteligente de indicador de compromisso (IoC).

Proteção de rede: deteção e remediação C2

Na sua forma inicial, o ransomware é uma ameaça de mercadoria pré-programada e focada em resultados limitados e específicos (como encriptar um computador). No entanto, o ransomware evoluiu para uma ameaça sofisticada, orientada por humanos, adaptável e focada em grandes escalas e resultados mais difundidos, como manter os ativos ou dados de toda a organização para resgate.

O suporte para servidores de Comandos e Controlo (C2) é uma parte importante desta evolução do ransomware e é o que permite que estes ataques se adaptem ao ambiente de destino. Quebrar a ligação para a infraestrutura de comando e controlo interrompe a progressão de um ataque para a fase seguinte. Para obter mais informações sobre a deteção e remediação C2, veja Detetar e remediar ataques de comando e controlo na camada de rede.

Proteção de rede: Novas notificações de alerta

Novas notificações para a determinação da proteção de rede

Uma nova capacidade publicamente disponível na proteção de rede utiliza funções no SmartScreen para bloquear atividades de phishing de sites de comando e controlo maliciosos. Quando um utilizador final tenta visitar um site num ambiente no qual a proteção de rede está ativada, são possíveis três cenários:

• O URL tem uma boa reputação conhecida – neste caso, o utilizador tem permissão para aceder sem obstrução e não é apresentada nenhuma notificação de alerta no ponto final. Na verdade, o domínio ou URL está definido como Permitido.
• O URL tem uma reputação desconhecida ou incerta – o acesso do utilizador está bloqueado, mas com a capacidade de contornar (desbloquear) o bloco. Na verdade, o domínio ou URL está definido como Auditoria.
• O URL tem uma má reputação conhecida (maliciosa) – o utilizador está impedido de aceder. Na verdade, o domínio ou URL está definido como Bloquear.

Experiência de aviso

Um utilizador visita um site:

• Se o URL tiver uma reputação desconhecida ou incerta, uma notificação de alerta apresenta ao utilizador as seguintes opções:

  • Ok - A notificação de alerta é lançada (removida) e a tentativa de acesso ao site terminou.

  • Desbloquear – o utilizador tem acesso ao site durante 24 horas; altura em que o bloco é reativado. O utilizador pode continuar a utilizar Desbloquear para aceder ao site até que o administrador proíba (bloqueie) o site, removendo assim a opção para Desbloquear.

  • Feedback – a notificação de alerta apresenta ao utilizador uma ligação para submeter um pedido de suporte, que o utilizador pode utilizar para submeter comentários ao administrador numa tentativa de justificar o acesso ao site.

    

  Observação

  As imagens apresentadas neste artigo para a warn experiência e block experiência utilizam o "URL bloqueado" como texto de marcador de posição de exemplo. Num ambiente funcional, o url ou domínio real é listado.

Bloquear experiência

Um utilizador visita um site:

• Se o URL tiver má reputação, uma notificação de alerta apresenta ao utilizador as seguintes opções:

  • Ok A notificação de alerta é lançada (removida) e a tentativa de acesso ao site terminou.

  • Comentários A notificação de alerta apresenta ao utilizador uma ligação para submeter um pedido de suporte, que o utilizador pode utilizar para submeter comentários ao administrador numa tentativa de justificar o acesso ao site.

    

Desbloquear SmartScreen

Com os indicadores no Defender para Endpoint, os administradores podem permitir que os utilizadores finais ignorem os avisos gerados para alguns URLs e IPs. Consoante o motivo pelo qual o URL está bloqueado, quando um bloco SmartScreen é encontrado, pode oferecer ao utilizador a capacidade de desbloquear o site até 24 horas. Nesses casos, é apresentada uma Segurança do Windows notificação de alerta, que permite ao utilizador selecionar Desbloquear. Nestes casos, o URL ou o IP é desbloqueado durante o período de tempo especificado.

Microsoft Defender para Ponto de Extremidade administradores podem configurar a funcionalidade Desbloquear SmartScreen no portal do Microsoft Defender com um indicador de permissão para IPs, URLs e domínios.

Veja Criar indicadores para IPs e URLs/domínios.

Utilizar a proteção de rede

A proteção de rede é ativada por dispositivo, o que é normalmente feito com a sua infraestrutura de gestão. Para obter os métodos suportados, veja Ativar a proteção de rede.

Pode ativar a proteção de rede no audit modo ou block modo. Se quiser avaliar o impacto da ativação da proteção de rede antes de bloquear efetivamente endereços IP ou URLs, pode ativar a proteção de rede no modo de auditoria e recolher dados sobre o que seria bloqueado. O modo de auditoria regista sempre que os utilizadores finais se ligam a um endereço ou site que, de outra forma, seria bloqueado pela proteção de rede. Para que os indicadores de comprometimento (IoC) ou filtragem de conteúdo Web (WCF) funcionem, a proteção de rede tem de estar em block modo.

Para obter informações sobre a proteção de rede para Linux e macOS, consulte os seguintes artigos:

• Proteção de rede para Linux
• Proteção de rede para macOS

Busca avançada

Se estiver a utilizar a investigação avançada para identificar eventos de auditoria, tem até 30 dias de histórico disponível na consola do . Veja Investigação avançada.

Pode encontrar os eventos de auditoria em Investigação avançada no portal do Defender para Endpoint (https://security.microsoft.com).

Os eventos de auditoria estão em DeviceEvents com um ActionType de ExploitGuardNetworkProtectionAudited. Os blocos são apresentados com um ActionType de ExploitGuardNetworkProtectionBlocked.

Eis uma consulta de exemplo para ver eventos de Proteção de Rede para browsers que não sejam da Microsoft:

DeviceEvents
|where ActionType in ('ExploitGuardNetworkProtectionAudited','ExploitGuardNetworkProtectionBlocked')

Eis outro exemplo:

DeviceEvents
|where ActionType contains "ExploitGuardNetworkProtection"
|extend ParsedFields=parse_json(AdditionalFields)
|project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName, IsAudit=tostring(ParsedFields.IsAudit), ResponseCategory=tostring(ParsedFields.ResponseCategory), DisplayName=tostring(ParsedFields.DisplayName)
|sort by Timestamp desc

A categoria Response (Resposta) indica o que causou o evento, como neste exemplo:

Para obter mais informações, veja Resolver problemas de blocos de pontos finais.

Se estiver a utilizar o browser Microsoft Edge, utilize esta consulta para Microsoft Defender eventos SmartScreen:

DeviceEvents
| where ActionType == "SmartScreenUrlWarning"
| extend ParsedFields=parse_json(AdditionalFields)
| project DeviceName, ActionType, Timestamp, RemoteUrl, InitiatingProcessFileName 

Pode utilizar a lista resultante de URLs e IPs para determinar o que seria bloqueado se a proteção de rede estivesse definida para o modo de bloqueio no dispositivo. Também pode ver que funcionalidades bloqueariam URLs e IPs. Reveja a lista para identificar os URLS ou IPs necessários para o seu ambiente. Em seguida, pode criar um indicador de permissão para esses URLs ou endereços IP. Os indicadores de permissão têm precedência sobre todos os blocos.

Depois de criar um indicador, pode ver como resolver o problema subjacente da seguinte forma:

• SmartScreen – revisão de pedidos
• Indicador – modificar indicador existente
• MCA – rever a aplicação não aprovada
• WCF – recategorização de pedidos

Com estes dados, pode tomar uma decisão informada sobre como ativar a Proteção de rede no modo de Bloqueio. Veja Ordem de precedência para Blocos de proteção de rede.

Para obter informações sobre como comunicar falsos positivos, veja Reportar falsos positivos.

Para obter detalhes sobre como criar os seus próprios relatórios do Power BI, veja Criar relatórios personalizados com o Power BI.

Configurar a proteção de rede

Para obter mais informações sobre como ativar a proteção de rede, veja Ativar a proteção de rede. Utilize Política de Grupo, PowerShell ou CSPs MDM para ativar e gerir a proteção de rede na sua rede.

Depois de ativar a proteção de rede, poderá ter de configurar a sua rede ou firewall para permitir as ligações entre os dispositivos de ponto final e os serviços Web:

• .smartscreen.microsoft.com
• .smartscreen-prod.microsoft.com

Ver eventos de proteção de rede

A proteção de rede funciona melhor com Microsoft Defender para Ponto de Extremidade, o que lhe fornece relatórios detalhados sobre eventos e blocos de proteção contra exploits como parte de cenários de investigação de alertas.

Quando a proteção de rede bloqueia uma ligação, é apresentada uma notificação a partir do Centro de Ação. A sua equipa de operações de segurança pode personalizar a notificação com os detalhes e as informações de contacto da sua organização. Além disso, as regras individuais de redução da superfície de ataque podem ser ativadas e personalizadas de acordo com determinadas técnicas a monitorizar.

Também pode utilizar o modo de auditoria para avaliar como a proteção de rede afetaria a sua organização se estivesse ativada.

Rever eventos de proteção de rede no portal do Microsoft Defender

O Defender para Endpoint fornece relatórios detalhados sobre eventos e blocos como parte dos cenários de investigação de alertas. Pode ver estes detalhes no portal Microsoft Defender (https://security.microsoft.com) na fila de alertas ou através da investigação avançada. Se estiver a utilizar o modo de auditoria, pode utilizar a investigação avançada para ver como as definições de proteção de rede afetariam o seu ambiente se estivessem ativadas.

Rever eventos de proteção de rede no Windows Visualizador de Eventos

Pode rever o registo de eventos do Windows para ver eventos criados quando os blocos de proteção de rede (ou auditorias) acedem a um IP ou domínio malicioso:

1. Copie o XML diretamente.

2. Selecione OK.

Este procedimento cria uma vista personalizada que filtra para mostrar apenas os seguintes eventos relacionados com a proteção de rede:

Proteção de rede e handshake tridirecional TCP

Com a proteção de rede, a determinação de permitir ou bloquear o acesso a um site é efetuada após a conclusão do handshake tridirecional através de TCP/IP. Assim, quando a proteção de rede bloqueia um site, poderá ver um tipo de ConnectionSuccessDeviceNetworkEvents ação no portal do Microsoft Defender, apesar de o site ter sido bloqueado. DeviceNetworkEvents são comunicados a partir da camada TCP e não da proteção de rede. Após a conclusão do handshake tridirecional, o acesso ao site é permitido ou bloqueado pela proteção de rede.

Eis um exemplo de como funciona:

1. Suponha que um utilizador tenta aceder a um site no respetivo dispositivo. O site está alojado num domínio perigoso e deve ser bloqueado pela proteção de rede.

2. O handshake tridirecional através de TCP/IP começa. Antes de ser concluída, é registada uma DeviceNetworkEvents ação e ActionType está listada como ConnectionSuccess. No entanto, assim que o processo de handshake tridirecional for concluído, a proteção de rede bloqueia o acesso ao site. Tudo isto acontece rapidamente. Um processo semelhante ocorre com Microsoft Defender SmartScreen; é quando o handshake tridirecional conclui que é feita uma determinação e o acesso a um site é bloqueado ou permitido.

3. No portal Microsoft Defender, é apresentado um alerta na fila de alertas. Os detalhes desse alerta incluem e DeviceNetworkEventsAlertEvidence. Pode ver que o site foi bloqueado, apesar de também ter um DeviceNetworkEvents item com o ActionType de ConnectionSuccess.

Considerações sobre o ambiente de trabalho virtual do Windows em execução Windows 10 Enterprise Várias Sessões

Devido à natureza multiutilizador do Windows 10 Enterprise, tenha em atenção os seguintes pontos:

1. A proteção de rede é uma funcionalidade em todo o dispositivo e não pode ser direcionada para sessões de utilizador específicas.

2. As políticas de filtragem de conteúdos Web também são de todo o dispositivo.

3. Se precisar de diferenciar entre grupos de utilizadores, considere criar conjuntos de anfitriões e atribuições separados do Windows Virtual Desktop.

4. Teste a proteção de rede no modo de auditoria para avaliar o respetivo comportamento antes de ser implementada.

5. Considere redimensionar a implementação se tiver um grande número de utilizadores ou um grande número de sessões de vários utilizadores.

Opção alternativa para proteção de rede

Para Windows Server 2012 R2 e Windows Server 2016 utilizar a solução unificada moderna, a versão 1803 ou posterior do Windows Server e Windows 10 Enterprise Multi-Session 1909 e posterior, utilizada no Windows Virtual Desktop no Azure, a proteção de rede do Microsoft Edge pode ser ativada com o seguinte método:

1. Utilize Ativar a proteção de rede e siga as instruções para aplicar a política.

2. Execute os seguintes comandos do PowerShell:

   • Set-MpPreference -EnableNetworkProtection Enabled

   • Set-MpPreference -AllowNetworkProtectionOnWinServer 1

   • Set-MpPreference -AllowNetworkProtectionDownLevel 1

   • Set-MpPreference -AllowDatagramProcessingOnWinServer 1

     Observação

     Em alguns casos, dependendo da infraestrutura, do volume de tráfego e de outras condições, Set-MpPreference -AllowDatagramProcessingOnWinServer 1 pode ter um efeito no desempenho da rede.

Proteção de rede para Windows Servers

Seguem-se informações específicas dos Windows Servers.

Verifique se a proteção de rede está ativada

Verifique se a proteção de rede está ativada num dispositivo local com a Editor de Registo.

1. Selecione o botão Iniciar na barra de tarefas e escreva regedit para abrir o Editor de Registo.

2. Selecione HKEY_LOCAL_MACHINE no menu lateral.

3. Navegue pelos menus aninhados paraPolíticas> de SOFTWARE>Proteção de Rede doMicrosoft>Windows Defender>Windows Defender Exploit Guard>.

   (Se a chave não estiver presente, navegue para SOFTWARE>Microsoft>Windows Defender>Windows Defender Exploit Guard>Proteção de Rede)

4. Selecione EnableNetworkProtection para ver o estado atual da proteção de rede no dispositivo:

   • 0 = Desativado
   • 1 = Ativado (ativado)
   • 2 = Modo de auditoria

Para obter mais informações, veja Ativar a proteção de rede.

Chaves de registo sugeridas de proteção de rede

Para Windows Server 2012 R2 e Windows Server 2016 a utilizar a solução unificada moderna, a versão 1803 ou posterior do Windows Server e Windows 10 Enterprise Multi-Session 1909 e posterior (utilizada no Windows Virtual Desktop no Azure), ative outras chaves de registo, da seguinte forma:

1. Aceda a HKEY_LOCAL_MACHINE>SOFTWARE Microsoft>>Windows Defender>Windows Defender Exploit Guard>Network Protection.

2. Configure as seguintes chaves:

   • AllowNetworkProtectionOnWinServer (DWORD) definido como 1 (hex)
   • EnableNetworkProtection (DWORD) definido como 1 (hex)
   • (Apenas Windows Server 2012 R2 e Windows Server 2016) AllowNetworkProtectionDownLevel (DWORD) definido como 1 (hex)

Para obter mais informações, veja: Ativar a proteção de rede

A configuração de Várias Sessões do Windows e do Windows requer o PowerShell

Para Windows Servers e Windows Multi-session, existem outros itens que tem de ativar através dos cmdlets do PowerShell. Para Windows Server 2012 R2 e Windows Server 2016 utilizar a solução unificada moderna, a versão 1803 ou posterior do Windows Server e Windows 10 Enterprise Multi-Session 1909 e posterior, utilizada no Windows Virtual Desktop no Azure, execute os seguintes comandos do PowerShell:

Set-MpPreference -EnableNetworkProtection Enabled

Set-MpPreference -AllowNetworkProtectionOnWinServer 1

Set-MpPreference -AllowNetworkProtectionDownLevel 1

Set-MpPreference -AllowDatagramProcessingOnWinServer 1

Resolução de problemas de proteção de rede

Devido ao ambiente onde a proteção de rede é executada, a funcionalidade poderá não conseguir detetar as definições de proxy do sistema operativo. Em alguns casos, os clientes de proteção de rede não conseguem aceder ao serviço cloud. Para resolve o problema de conectividade, configure um proxy estático para Microsoft Defender Antivírus.

Uma vez que o Acesso Seguro Global não suporta atualmente tráfego UDP, o tráfego UDP para a porta 443 não pode ser túnel. Pode desativar o protocolo QUIC para que os clientes de Acesso Seguro Global voltem a utilizar HTTPS (tráfego TCP na porta 443). Tem de efetuar esta alteração se os servidores aos quais está a tentar aceder suportarem QUIC (por exemplo, através de Microsoft Exchange Online). Para desativar o QUIC, pode efetuar uma das seguintes ações:

Desativar QUIC na Firewall do Windows

O método mais genérico para desativar o QUIC é desativar essa funcionalidade na Firewall do Windows. Este método afeta todas as aplicações, incluindo browsers e aplicações cliente (como o Microsoft Office). No PowerShell, execute o New-NetFirewallRule cmdlet para adicionar uma nova regra de firewall que desativa o QUIC para todo o tráfego de saída do dispositivo:

Copy
$ruleParams = @{
    DisplayName = "Block QUIC"
    Direction = "Outbound"
    Action = "Block"
    RemoteAddress = "0.0.0.0/0"
    Protocol = "UDP"
    RemotePort = 443
}
New-NetFirewallRule @ruleParams

Desativar QUIC num browser

Pode desativar o QUIC ao nível do browser. No entanto, este método de desativação da QUIC significa que a QUIC continua a funcionar em aplicações nonbrowser. Para desativar o QUIC no Microsoft Edge ou no Google Chrome, abra o browser, localize a definição de protocolo QUIC Experimental (#enable-quic sinalizador) e, em seguida, altere a definição para Disabled. A tabela seguinte mostra o URI a introduzir na barra de endereço do browser para que possa aceder a essa definição.

Otimizar o desempenho da proteção de rede

A proteção de rede inclui otimização de desempenho que permite block que o modo inspecione assíncronamente as ligações de longa duração, o que pode proporcionar uma melhoria de desempenho. Esta otimização também pode ajudar com problemas de compatibilidade de aplicações. Esta capacidade está ativada por predefinição. Pode desativar esta capacidade com o seguinte cmdlet do PowerShell:

Set-MpPreference -AllowSwitchToAsyncInspection $false

Confira também

• Avaliar a proteção de rede | Realize um cenário rápido que demonstre como a funcionalidade funciona e que eventos seriam normalmente criados.
• Ativar a proteção de rede | Utilize Política de Grupo, PowerShell ou CSPs MDM para ativar e gerir a proteção de rede na sua rede.
• Configurar capacidades de redução da superfície de ataque no Microsoft Intune
• Proteção de rede para Linux | Para saber mais sobre como utilizar a proteção da Rede Microsoft para dispositivos Linux.
• Proteção de rede para macOS | Para saber mais sobre a proteção da Microsoft Network para macOS