Управление возможностью обмана в XDR в Microsoft Defender

Область применения:

• Microsoft Defender XDR
• Microsoft Defender для конечной точки

XDR в Microsoft Defender благодаря встроенной возможности обмана обеспечивает обнаружение высокого уровня достоверности бокового перемещения, управляемого человеком, предотвращая атаки от достижения критически важных ресурсов организации. Различные атаки, такие как компрометация электронной почты (BEC),программы-шантажисты, организационные нарушения и атаки на национальные государства, часто используют боковое перемещение и могут быть трудно обнаружить с высокой степенью достоверности на ранних стадиях. Технология обмана Defender XDR обеспечивает обнаружение высокой достоверности на основе сигналов обмана, коррелирующих с сигналами Microsoft Defender для конечной точки.

Возможность обмана автоматически создает аутентичные учетные записи, узлы и приманки. Затем созданные поддельные ресурсы автоматически развертываются на определенных клиентах. Когда злоумышленник взаимодействует с манками или приманками, возможность обмана создает оповещения с высокой достоверностью, помогая в расследованиях группы безопасности и позволяя им наблюдать за методами и стратегиями злоумышленника. Все оповещения, создаваемые возможностью обмана, автоматически коррелируются с инцидентами и полностью интегрируются в XDR в Microsoft Defender. Кроме того, технология обмана интегрирована в Defender для конечной точки, что сводит к минимуму потребности в развертывании.

Общие сведения о возможности обмана см. в следующем видео.

Предварительные требования

В следующей таблице перечислены требования для включения возможности обмана в XDR в Microsoft Defender.

Что такое технология обмана?

Технология обмана — это мера безопасности, которая немедленно оповещает группы безопасности о потенциальной атаке, позволяя им реагировать в режиме реального времени. Технология обмана создает поддельные активы, такие как устройства, пользователи и узлы, которые, как представляется, принадлежат вашей сети.

Злоумышленники, взаимодействующие с поддельными сетевыми ресурсами, созданными с помощью функции обмана, могут помочь группам безопасности предотвратить потенциальные атаки от компрометации организации и отслеживать действия злоумышленников, чтобы защитники могли еще больше повысить безопасность своей среды.

Как работает возможность обмана XDR в Microsoft Defender?

Встроенная возможность обмана на портале Microsoft Defender использует правила для создания приманок и приманок, которые соответствуют вашей среде. Эта функция применяет машинное обучение, чтобы предлагать приманки и приманки, адаптированные для вашей сети. Вы также можете использовать функцию обмана, чтобы вручную создавать приманки и приманки. Эти приманки и приманки автоматически развертываются в сети и помещаются на устройства, указанные с помощью PowerShell.

Рис. 1. Технология обмана путем обнаружения высокого уровня достоверности бокового движения, управляемого человеком, оповещает группы безопасности, когда злоумышленник взаимодействует с поддельными узлами или приманками

Приманки — это поддельные устройства и учетные записи, которые, как представляется, принадлежат вашей сети. Приманки — это поддельный контент, размещенный на определенных устройствах или учетных записях, и используется для привлечения злоумышленника. Содержимое может быть документом, файлом конфигурации, кэшированными учетными данными или любым содержимым, с которым злоумышленник может считывать, украсть или взаимодействовать с ним. Приманки имитируют важную информацию о компании, параметры или учетные данные.

Существует два типа приманок, доступных в функции обмана:

• Базовые приманки — посаженные документы, файлы ссылок и тому подобное, которые не имеют или минимального взаимодействия с клиентской средой.
• Расширенные приманки — размещенное содержимое, например кэшированные учетные данные и перехваты, которые реагируют на среду клиента или взаимодействуют с ней. Например, злоумышленники могут взаимодействовать с учетными данными приманки, которые были внедрены в запросы Active Directory, которые можно использовать для входа.

В правиле обмана можно указать приманки, приманки и область действия. Дополнительные сведения о создании и изменении правил обмана см. в статье Настройка функции обмана .

Когда злоумышленник использует приманку или приманку на любом клиенте, подключенном к Defender для конечной точки, возможность обмана активирует оповещение, указывающее на возможные действия злоумышленника, независимо от того, был ли обман развернут на клиенте.

Выявление инцидентов и оповещений, активируемых обманом

Оповещения, основанные на обнаружении обмана, содержат обманные в заголовке. Ниже приведены некоторые примеры заголовков оповещений.

• Попытка входа с помощью обманчивой учетной записи пользователя
• Попытка подключения к вводящему в заблуждение узлу

Сведения об оповещении содержат:

• Тег Обмана
• Устройство-приманка или учетная запись пользователя, из которых возникло оповещение
• Тип атаки, например попытки входа или попытки бокового смещения

Рис. 2. Сведения об оповещении, связанном с обманом

Следующее действие

• Настройка возможности обмана в XDR в Microsoft Defender