Compreender e utilizar as capacidades de redução da superfície de ataque

Aplica-se a:

• Microsoft Defender XDR
• API do Microsoft Defender para Endpoint 1
• Microsoft Defender para Endpoint Plano 2
• Antivírus do Microsoft Defender

Plataformas

• Windows

As superfícies de ataque são todos os locais onde a sua organização está vulnerável a ciberameaças e ataques. O Defender para Endpoint inclui várias funcionalidades para ajudar a reduzir as superfícies de ataque. Veja o seguinte vídeo para saber mais sobre a redução da superfície de ataque.

Configurar capacidades de redução da superfície de ataque

Para configurar a redução da superfície de ataque no seu ambiente, siga estes passos:

1. Ativar o isolamento baseado em hardware para o Microsoft Edge.

2. Ative as regras de redução da superfície de ataque.

3. Ativar o controlo de aplicações.

   1. Reveja as políticas de base no Windows. Veja Exemplos de Políticas de Base.

   2. Veja o guia de conceção Windows Defender Controlo de Aplicações.

   3. Veja Implementar Windows Defender políticas de Controlo de Aplicações (WDAC).

4. Ativar o acesso controlado a pastas.

5. Ativar a proteção de armazenamento amovível.

6. Ative a proteção de rede.

7. Ativar a proteção Web.

8. Ativar a proteção contra exploits.

9. Configure a firewall de rede.

   1. Obtenha uma descrição geral da Firewall do Windows com segurança avançada.

   2. Utilize o guia de conceção da Firewall do Windows para decidir como pretende estruturar as políticas de firewall.

   3. Utilize o guia de implementação da Firewall do Windows para configurar a firewall da sua organização com segurança avançada.

Testar a redução da superfície de ataque no Microsoft Defender para Endpoint

Como parte da equipa de segurança da sua organização, pode configurar as capacidades de redução da superfície de ataque para serem executadas no modo de auditoria para ver como funcionam. Pode ativar as seguintes funcionalidades de segurança de redução da superfície de ataque no modo de auditoria:

• Regras de redução da superfície de ataque
• Proteção contra exploits
• Proteção da rede
• Acesso controlado a pastas
• Controlo do dispositivo

O modo de auditoria permite-lhe ver um registo do que teria acontecido se a funcionalidade estivesse ativada.

Pode ativar o modo de auditoria ao testar o funcionamento das funcionalidades. Ativar o modo de auditoria apenas para testes ajuda a impedir que o modo de auditoria afete as suas aplicações de linha de negócio. Também pode ter uma ideia de quantas tentativas suspeitas de modificação de ficheiros ocorrem durante um determinado período de tempo.

As funcionalidades não bloqueiam nem impedem a modificação de aplicações, scripts ou ficheiros. No entanto, o Registo de Eventos do Windows regista eventos como se as funcionalidades estivessem totalmente ativadas. Com o modo de auditoria, pode rever o registo de eventos para ver qual o efeito que a funcionalidade teria se estivesse ativada.

Para localizar as entradas auditadas, aceda a Aplicações e Serviços>Microsoft>Windows>Windows Defender>Operacional.

Utilize o Defender para Endpoint para obter mais detalhes para cada evento. Estes detalhes são especialmente úteis para investigar regras de redução da superfície de ataque. A utilização da consola do Defender para Endpoint permite-lhe investigar problemas como parte da linha cronológica do alerta e cenários de investigação.

Pode ativar o modo de auditoria com Política de Grupo, o PowerShell e os fornecedores de serviços de configuração (CSPs).

Por exemplo, pode testar as regras de redução da superfície de ataque no modo de auditoria antes de as ativar no modo de bloqueio. As regras de redução da superfície de ataque são predefinidas para proteger superfícies de ataque comuns e conhecidas. Existem vários métodos que pode utilizar para implementar regras de redução da superfície de ataque. O método preferencial está documentado nos seguintes artigos de implementação de regras de redução da superfície de ataque:

• Descrição geral da implementação das regras de redução da superfície de ataque
• Planear a implementação de regras de redução da superfície de ataque
• Testar regras de redução da superfície de ataque
• Ativar regras de redução da superfície de ataque
• Operacionalizar regras de redução da superfície de ataque

Ver eventos de redução da superfície de ataque

Reveja os eventos de redução da superfície de ataque no Visualizador de Eventos para monitorizar que regras ou definições estão a funcionar. Também pode determinar se as definições são demasiado "ruidosas" ou afetam o seu fluxo de trabalho diário.

Rever eventos é útil quando está a avaliar as funcionalidades. Pode ativar o modo de auditoria para funcionalidades ou definições e, em seguida, rever o que teria acontecido se estivessem totalmente ativados.

Esta secção lista todos os eventos, a respetiva funcionalidade ou definição associada e descreve como criar vistas personalizadas para filtrar eventos específicos.

Obtenha relatórios detalhados sobre eventos, blocos e avisos como parte do Segurança do Windows se tiver uma subscrição E5 e utilizar Microsoft Defender para Endpoint.

Utilizar vistas personalizadas para rever as capacidades de redução da superfície de ataque

Create vistas personalizadas no Windows Visualizador de Eventos para ver apenas eventos para capacidades e definições específicas. A forma mais fácil é importar uma vista personalizada como um ficheiro XML. Pode copiar o XML diretamente a partir desta página.

Também pode navegar manualmente para a área de eventos que corresponde à funcionalidade.

Importar uma vista personalizada XML existente

1. Create um ficheiro de .txt vazio e copie o XML para a vista personalizada que pretende utilizar no ficheiro de .txt. Efetue este procedimento para cada uma das vistas personalizadas que pretende utilizar. Mude o nome dos ficheiros da seguinte forma (certifique-se de que altera o tipo de .txt para .xml):

   • Vista personalizada de eventos de acesso controlado a pastas: cfa-events.xml
   • Vista personalizada de eventos de proteção contra exploits: ep-events.xml
   • Vista personalizada de eventos de redução da superfície de ataque: asr-events.xml
   • Vista personalizada de eventos de rede/proteção: np-events.xml

2. Escreva visualizador de eventos no menu Iniciar e abra Visualizador de Eventos.

3. Selecione Importar Ação>Vista Personalizada...

   

4. Navegue para onde extraiu o ficheiro XML para a vista personalizada que pretende e selecione-o.

5. Selecione Abrir.

6. Cria uma vista personalizada que filtra para mostrar apenas os eventos relacionados com essa funcionalidade.

Copiar o XML diretamente

1. Escreva visualizador de eventos no menu Iniciar e abra o Visualizador de Eventos do Windows.

2. No painel esquerdo, em Ações, selecione Create Vista Personalizada...

   

3. Aceda ao separador XML e selecione Editar consulta manualmente. Verá um aviso a indicar que não pode editar a consulta com o separador Filtro se utilizar a opção XML. Selecione Sim.

4. Cole o código XML da funcionalidade a partir da qual pretende filtrar eventos na secção XML.

5. Selecione OK. Especifique um nome para o filtro. Esta ação cria uma vista personalizada que filtra para mostrar apenas os eventos relacionados com essa funcionalidade.

XML para eventos de regra de redução da superfície de ataque

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML para eventos de acesso controlado a pastas

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML para eventos de proteção contra exploits

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

XML para eventos de proteção de rede

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

Lista de eventos de redução da superfície de ataque

Todos os eventos de redução da superfície de ataque estão localizados em Aplicações e Serviços > Regista o Microsoft > Windows e, em seguida, a pasta ou fornecedor, conforme listado na tabela seguinte.

Pode aceder a estes eventos no Visualizador de Eventos do Windows:

1. Abra o menu Iniciar, escreva visualizador de eventos e, em seguida, selecione o resultado Visualizador de Eventos.

2. Expanda Registos de Aplicações e Serviços > do Microsoft > Windows e, em seguida, aceda à pasta listada em Fornecedor/origem na tabela abaixo.

3. Faça duplo clique no sub item para ver eventos. Percorra os eventos para encontrar o que procura.

   

Recursos para saber mais sobre a redução da superfície de ataque

Conforme mencionado no vídeo, o Defender para Endpoint inclui várias capacidades de redução da superfície de ataque. Utilize os seguintes recursos para saber mais: