Включите развертывание правил сокращения поверхности атаки (ASR)

  • Применяется к: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Эта статья является частью руководства по развертыванию правил сокращения направлений атак (ASR).

После тестирования правил ASR в режиме аудита переведите их в режим блокировки или предупреждения , начиная с первого круга развертывания. В этой статье описано, как перевести правила ASR из режима аудита в режим блокировки или предупреждения в первом кольце развертывания, а затем безопасно распространить развертывание на дополнительные кольца.

Схема шагов по реализации правил ASR: переход из режима аудита в режим блокировки, а затем развертывание до дополнительных кругов.

Шаг 1. Переведите ASR из режима аудита в режим блокировки

Выполните следующие действия, чтобы перенести правила ASR из режима аудита в режим блокировки или предупреждения для первого круга развертывания.

  1. После определения всех необходимых исключений для правил в режиме аудита начните устанавливать для некоторых правил значение Блокировать или Предупреждать . Начните с правила с наименьшим числом активированных событий. Инструкции см. в статье Настройка правил и исключений для сокращения направлений атак (ASR).

  2. Ознакомьтесь с действием правила ASR. Также ознакомьтесь с отзывами от своих чемпионов.

  3. Уточняйте исключения или при необходимости создавайте новые исключения.

Совет

Исключения правил лучше, чем отключить правила или переключить их обратно в режим аудита .

Воспользуйтесь преимуществами режима предупреждения в доступных правилах, чтобы ограничить перерывы. Режим предупреждения позволяет записывать активированные события и просматривать потенциальные нарушения без фактической блокировки доступа пользователей (они могут щелкнуть предупреждение). Дополнительные сведения см. в разделе Режимы правил ASR.

Шаг 2: Расширение развертывания до кольца n + 1

Если вы уверены, что правильно настроили правила ASR для круга 1, вы можете расширить область развертывания до следующего круга (круг n +1).

Процесс развертывания для каждого последующего круга:

  1. Включите правила ASR в режиме аудита .

  2. Ознакомьтесь с действием правила ASR.

  3. При необходимости создавайте исключения.

  4. Просмотрите действия правила ASR и уточните исключения.

  5. Установите для правил режим Блокировать.

  6. Ознакомьтесь с действием правила ASR.

  7. При необходимости создавайте исключения.

  8. Отключите проблемные правила или переключите их обратно в режим аудита .

Связанные материалы

  • Last updated on