Microsoft Defender XDR'de yanıltma özelliğini yönetme

Şunlar için geçerlidir:

• Microsoft Defender XDR
• Uç Nokta için Microsoft Defender

Microsoft Defender XDR, yerleşik yanıltma özelliği sayesinde insan tarafından çalıştırılan yanal hareketin yüksek güvenilirlik algılamalarını sağlayarak saldırıların kuruluşun kritik varlıklarına ulaşmasını önler. İş e-posta güvenliğinin aşılması (BEC), fidye yazılımı, kuruluş ihlalleri ve ulus-devlet saldırıları gibi çeşitli saldırılar genellikle yanal hareket kullanır ve ilk aşamalarda yüksek güvenle algılanması zor olabilir. Defender XDR'nin yanıltma teknolojisi, Uç Nokta için Microsoft Defender sinyalleriyle ilişkili yanıltma sinyallerini temel alan yüksek güvenilirlik algılamaları sağlar.

Yanıltma özelliği otomatik olarak orijinal görünümlü yem hesapları, konaklar ve yemler oluşturur. Oluşturulan sahte varlıklar daha sonra otomatik olarak belirli istemcilere dağıtılır. Bir saldırgan yemlerle veya tuzaklarla etkileşime geçtiğinde, yanıltma özelliği yüksek güvenilirlik uyarıları oluşturur, güvenlik ekibinin araştırmalarına yardımcı olur ve saldırganın yöntemlerini ve stratejilerini gözlemlemesini sağlar. Yanıltma özelliği tarafından tetiklenen tüm uyarılar olaylarla otomatik olarak ilişkilendirilir ve Microsoft Defender XDR ile tamamen tümleştirilir. Ayrıca, yanıltma teknolojisi Uç Nokta için Defender ile tümleşiktir ve dağıtım gereksinimlerini en aza indirir.

Aldatma özelliğine genel bir bakış için aşağıdaki videoyu izleyin.

Önkoşullar

Aşağıdaki tabloda, Microsoft Defender XDR'de yanıltma özelliğini etkinleştirme gereksinimleri listelanmaktadır.

Aldatma teknolojisi nedir?

Yanıltma teknolojisi, güvenlik ekiplerine yönelik olası bir saldırıyla ilgili anında uyarılar sağlayan ve gerçek zamanlı olarak yanıt vermelerini sağlayan bir güvenlik önlemidir. Yanıltma teknolojisi, ağınıza ait gibi görünen cihazlar, kullanıcılar ve konaklar gibi sahte varlıklar oluşturur.

Yanıltma özelliği tarafından ayarlanan sahte ağ varlıklarıyla etkileşim kuran saldırganlar, güvenlik ekiplerinin olası saldırıların bir kuruluşu tehlikeye atmasını önlemesine ve saldırganların eylemlerini izlemesine yardımcı olabilir ve böylece savunmacılar ortamlarının güvenliğini daha da geliştirebilir.

Microsoft Defender XDR yanıltma özelliği nasıl çalışır?

Microsoft Defender portalındaki yerleşik yanıltma özelliği, ortamınızla eşleşen yemler ve yemler oluşturmak için kuralları kullanır. Bu özellik, ağınıza göre uyarlanmış yemler ve yemler önermek için makine öğrenimini uygular. Yemleri ve yemleri el ile oluşturmak için yanıltma özelliğini de kullanabilirsiniz. Bu yemler ve yemler daha sonra ağınıza otomatik olarak dağıtılır ve PowerShell kullanılarak belirttiğiniz cihazlara eklenir.

Şekil 1. Yanıltıcı teknoloji, insan tarafından çalıştırılan yanal hareketin yüksek güvenilirlik algılamaları sayesinde, bir saldırgan sahte konaklarla etkileşime geçtiğinde veya tuzak kurduğunda güvenlik ekiplerini uyarır

Yemler , ağınıza ait gibi görünen sahte cihazlar ve hesaplardır. Yemler , belirli cihazlara veya hesaplara yerleştirilen sahte içeriktir ve bir saldırganın ilgisini çekmek için kullanılır. İçerik bir belge, yapılandırma dosyası, önbelleğe alınmış kimlik bilgileri veya saldırganın okuması, çalması veya etkileşim kurabileceği herhangi bir içerik olabilir. Yemler önemli şirket bilgilerini, ayarlarını veya kimlik bilgilerini taklit eder.

Yanıltma özelliğinde iki tür yem vardır:

• Temel yemler – ekilen belgeler, bağlantı dosyaları ve müşteri ortamıyla hiç veya en az etkileşimi olmayan benzerleri.
• Gelişmiş yemler – önbelleğe alınmış kimlik bilgileri ve müşteri ortamına yanıt veren veya müşteri ortamıyla etkileşim kuran kesmeler gibi ekli içerik. Örneğin, saldırganlar Active Directory sorgularına yanıt eklenmiş olan ve oturum açmak için kullanılabilecek yem kimlik bilgileriyle etkileşimde bulunabilir.

Bir aldatma kuralında yemleri, yemleri ve kapsamı belirtebilirsiniz. Yanıltma kurallarını oluşturma ve değiştirme hakkında daha fazla bilgi edinmek için bkz. Aldatma özelliğini yapılandırma.

Bir saldırgan uç nokta ile eklenen herhangi bir Defender istemcisinde bir yem veya yem kullandığında, yanıltma özelliği, aldatmanın istemcide dağıtılıp dağıtılmadığına bakılmaksızın olası saldırgan etkinliğini gösteren bir uyarı tetikler.

Yanıltma tarafından etkinleştirilen olayları ve uyarıları belirleme

Aldatma algılamayı temel alan uyarılar başlığında yanıltıcıdır . Uyarı başlıklarına bazı örnekler şunlardır:

• Aldatıcı bir kullanıcı hesabıyla oturum açma girişimi
• Aldatıcı bir konağa bağlantı girişimi

Uyarı ayrıntıları aşağıdakileri içerir:

• Deception etiketi
• Uyarının kaynaklandığı yem cihazı veya kullanıcı hesabı
• Oturum açma girişimleri veya yanal hareket girişimleri gibi saldırı türü

Şekil 2. Yanıltmayla ilgili uyarının ayrıntıları

Sonraki adım

• Microsoft Defender XDR'de yanıltma özelliğini yapılandırma