Saldırı yüzeyi azaltma özelliklerini anlama ve kullanma

Şunlar için geçerlidir:

• Microsoft Defender XDR
• Uç Nokta için Microsoft Defender Planı 1
• Uç Nokta için Microsoft Defender Planı 2
• Microsoft Defender Virüsten Koruma

Platform

• Windows

Saldırı yüzeyleri, kuruluşunuzun siber tehditlere ve saldırılara karşı savunmasız olduğu tüm yerlerdir. Uç Nokta için Defender, saldırı yüzeylerinizi azaltmaya yardımcı olacak çeşitli özellikler içerir. Saldırı yüzeyini azaltma hakkında daha fazla bilgi edinmek için aşağıdaki videoyu izleyin.

Saldırı yüzeyi azaltma özelliklerini yapılandırma

Ortamınızda saldırı yüzeyi azaltmayı yapılandırmak için şu adımları izleyin:

1. Microsoft Edge için donanım tabanlı yalıtımı etkinleştirin.

2. Saldırı yüzeyi azaltma kurallarını etkinleştirin.

3. Uygulama denetimini etkinleştirin.

   1. Windows'ta temel ilkeleri gözden geçirin. Bkz . Örnek Temel İlkeler.

   2. Uygulama Denetimi tasarım kılavuzuna Windows Defender bakın.

   3. Bkz. Windows Defender Uygulama Denetimi (WDAC) ilkelerini dağıtma.

4. Denetimli klasör erişimini etkinleştirin.

5. Çıkarılabilir depolama birimi korumasını etkinleştirin.

6. Ağ korumasını açın.

7. Web korumasını etkinleştirin.

8. Yararlanma korumasını etkinleştirin.

9. Ağ güvenlik duvarınızı ayarlayın.

   1. Gelişmiş güvenlik özelliklerine sahip Windows Güvenlik Duvarı'na genel bir bakış edinin.

   2. Güvenlik duvarı ilkelerinizi nasıl tasarlamak istediğinize karar vermek için Windows Güvenlik Duvarı tasarım kılavuzunu kullanın.

   3. Kuruluşunuzun güvenlik duvarını gelişmiş güvenlikle ayarlamak için Windows Güvenlik Duvarı dağıtım kılavuzunu kullanın.

Uç Nokta için Microsoft Defender'de saldırı yüzeyini azaltmayı test edin

Kuruluşunuzun güvenlik ekibinin bir parçası olarak, saldırı yüzeyi azaltma özelliklerini nasıl çalıştıklarını görmek için denetim modunda çalışacak şekilde yapılandırabilirsiniz. Denetim modunda aşağıdaki saldırı yüzeyi azaltma güvenlik özelliklerini etkinleştirebilirsiniz:

• Saldırı yüzeyini azaltma kuralları
• Exploit Protection
• Ağ koruması
• Denetimli klasör erişimi
• Cihaz denetimi

Denetim modu, özellik etkinleştirildiğinde neler olabileceğinin kaydını görmenizi sağlar.

Özelliklerin nasıl çalıştığını test ederken denetim modunu etkinleştirebilirsiniz. Yalnızca test için denetim modunun etkinleştirilmesi, denetim modunun iş kolu uygulamalarınızı etkilemesini önlemeye yardımcı olur. Ayrıca belirli bir süre içinde kaç şüpheli dosya değişikliği girişimi gerçekleştiği hakkında da bir fikir edinebilirsiniz.

Özellikler uygulamaların, betiklerin veya dosyaların değiştirilmesini engellemez veya engellemez. Ancak, Windows Olay Günlüğü özellikleri tamamen etkinmiş gibi olayları kaydeder. Denetim moduyla, özelliğin etkinleştirildiğinde ne gibi bir etkisi olacağını görmek için olay günlüğünü gözden geçirebilirsiniz.

Denetlenen girdileri bulmak için Uygulamalar ve Hizmetler>Microsoft>Windows>Windows Defender>İşlemsel'e gidin.

Her olayla ilgili daha fazla ayrıntı almak için Uç Nokta için Defender'ı kullanın. Bu ayrıntılar özellikle saldırı yüzeyi azaltma kurallarını araştırmak için yararlıdır. Uç Nokta için Defender konsolunu kullanmak , uyarı zaman çizelgesi ve araştırma senaryolarının bir parçası olarak sorunları araştırmanıza olanak tanır.

grup ilkesi, PowerShell ve yapılandırma hizmeti sağlayıcılarını (CSP) kullanarak denetim modunu etkinleştirebilirsiniz.

Örneğin, saldırı yüzeyi azaltma kurallarını blok modunda etkinleştirmeden önce denetim modunda test edebilirsiniz. Yaygın, bilinen saldırı yüzeylerini sağlamlaştırmak için saldırı yüzeyi azaltma kuralları önceden tanımlanmıştır. Saldırı yüzeyi azaltma kurallarını uygulamak için kullanabileceğiniz çeşitli yöntemler vardır. Tercih edilen yöntem aşağıdaki saldırı yüzeyi azaltma kuralları dağıtım makalelerinde belgelenmiştir:

• Saldırı yüzeyi azaltma kuralları dağıtımına genel bakış
• Saldırı yüzeyi azaltma kuralları dağıtımı planlama
• Test saldırısı yüzeyi azaltma kuralları
• Saldırı yüzeyi azaltma kurallarını etkinleştirme
• Saldırı yüzeyi azaltma kurallarını kullanıma hazır hale getirme

Saldırı yüzeyi azaltma olaylarını görüntüleme

Hangi kuralların veya ayarların çalıştığını izlemek için Olay Görüntüleyicisi saldırı yüzeyi azaltma olaylarını gözden geçirin. Ayrıca herhangi bir ayarın çok "gürültülü" olup olmadığını veya günlük iş akışınızı etkilenip etkilemediğini de belirleyebilirsiniz.

Özellikleri değerlendirirken olayları gözden geçirmek kullanışlıdır. Özellikler veya ayarlar için denetim modunu etkinleştirebilir ve ardından tam olarak etkinleştirildiğinde neler olacağını gözden geçirebilirsiniz.

Bu bölümde tüm olaylar, ilişkili özellikleri veya ayarları listelenir ve belirli olaylara filtre uygulamak için özel görünümlerin nasıl oluşturulacağı açıklanır.

E5 aboneliğiniz varsa ve Uç Nokta için Microsoft Defender kullanıyorsanız Windows Güvenliği bir parçası olarak olaylar, bloklar ve uyarılar hakkında ayrıntılı raporlama alın.

Saldırı yüzeyi azaltma özelliklerini gözden geçirmek için özel görünümleri kullanma

Yalnızca belirli özelliklere ve ayarlara yönelik olayları görmek için Windows Olay Görüntüleyicisi özel görünümler İçerik Oluşturucu. En kolay yol, özel görünümü XML dosyası olarak içeri aktarmaktır. XML'yi doğrudan bu sayfadan kopyalayabilirsiniz.

Ayrıca özelliğe karşılık gelen olay alanına el ile de gidebilirsiniz.

Var olan bir XML özel görünümünü içeri aktarma

1. Boş bir .txt dosyası İçerik Oluşturucu ve kullanmak istediğiniz özel görünüm için XML'yi .txt dosyasına kopyalayın. Bunu, kullanmak istediğiniz özel görünümlerin her biri için yapın. Dosyaları aşağıdaki gibi yeniden adlandırın (türü .txt .xml olarak değiştirdiğinizden emin olun):

   • Denetimli klasör erişimi olayları özel görünümü: cfa-events.xml
   • Yararlanma koruması olayları özel görünümü: ep-events.xml
   • Saldırı yüzeyi azaltma olayları özel görünümü: asr-events.xml
   • Ağ/koruma olayları özel görünümü: np-events.xml

2. Başlat menüsüne olay görüntüleyicisi yazın ve Olay Görüntüleyicisi açın.

3. Eylem>Özel Görünümü İçeri Aktar... seçeneğini belirleyin.

   

4. İstediğiniz özel görünüm için XML dosyasını ayıkladığınız yere gidin ve seçin.

5. Aç'ı seçin.

6. Yalnızca bu özellikle ilgili olayları gösterecek şekilde filtreleyen özel bir görünüm oluşturur.

XML'yi doğrudan kopyalama

1. Başlat menüsüne olay görüntüleyicisi yazın ve Windows Olay Görüntüleyicisi açın.

2. Sol paneldeki Eylemler'in altında Özel Görünüm İçerik Oluşturucu... öğesini seçin.

   

3. XML sekmesine gidin ve Sorguyu el ile düzenle'yi seçin. XML seçeneğini kullanıyorsanız Filtre sekmesini kullanarak sorguyu düzenleyemezsiniz uyarısı görürsünüz. Evet'i seçin.

4. Olayları filtrelemek istediğiniz özelliğin XML kodunu XML bölümüne yapıştırın.

5. Tamam'ı seçin. Filtreniz için bir ad belirtin. Bu eylem, yalnızca bu özellikle ilgili olayları gösterecek şekilde filtreleyen özel bir görünüm oluşturur.

Saldırı yüzeyi azaltma kuralı olayları için XML

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
  </Query>
</QueryList>

Denetimli klasör erişim olayları için XML

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
  </Query>
</QueryList>

Açıklardan yararlanma koruması olayları için XML

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

Ağ koruma olayları için XML

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

Saldırı yüzeyi azaltma olaylarının listesi

Tüm saldırı yüzeyi azaltma olayları , Uygulamalar ve Hizmet Günlükleri > Microsoft > Windows altında ve ardından aşağıdaki tabloda listelendiği gibi klasör veya sağlayıcı altında bulunur.

Bu olaylara Windows Olay Görüntüleyicisi'nde erişebilirsiniz:

1. Başlat menüsünü açın ve olay görüntüleyicisi yazın ve ardından Olay Görüntüleyicisi sonucunu seçin.

2. Uygulama ve Hizmet Günlükleri > Microsoft > Windows'u genişletin ve aşağıdaki tabloda Sağlayıcı/kaynak altında listelenen klasöre gidin.

3. Olayları görmek için alt öğeye çift tıklayın. Aradığınızı bulmak için olayları kaydırın.

   

Saldırı yüzeyini azaltma hakkında daha fazla bilgi edinmek için kaynaklar

Videoda belirtildiği gibi, Uç Nokta için Defender çeşitli saldırı yüzeyi azaltma özellikleri içerir. Daha fazla bilgi edinmek için aşağıdaki kaynakları kullanın: