Общие сведения о правилах сокращения направлений атак (ASR)

Область атаки вашей организации включает все места, где злоумышленник может получить доступ. Дополнительные сведения см. в статье Уменьшение поверхности атаки в Microsoft Defender для конечной точки.

Правила уменьшения поверхности атаки (ASR) в Антивирусе Microsoft Defender нацелены на рискованное поведение программ на устройствах Windows, которое злоумышленники обычно эксплуатируют с помощью вредоносного ПО. Например, вы можете:

• Запуск исполняемых файлов и скриптов, которые пытаются скачать или запустить файлы.
• Выполнение скрытых или иным образом недоверенных скриптов.
• Создание дочерних процессов из потенциально уязвимых приложений (например, приложений Office).
• Внедрение кода в другие процессы.

Хотя допустимые приложения также могут выполнять эти действия, злоумышленники обычно используют вредоносные программы, которые ведут себя так же.

Ознакомьтесь со следующей серией статей, чтобы спланировать, протестировать, реализовать и отслеживать правила ASR:

• Обзор развертывания правил ASR
  • Спланируйте развертывание правил ASR
  • Проверка правил ASR
  • Включение правил ASR
  • Управление правилами ASR и их мониторинг

Правила ASR

Правила ASR группируются в следующие категории:

• Стандартные правила защиты дают значительные преимущества в области безопасности, поэтому Microsoft рекомендует включать их в режиме Блок без необходимости проводить обширное тестирование. Как правило, эти правила оказывают минимальное или не заметное влияние на пользователей, но существуют исключения:

  • Блокировать сохраняемость с помощью подписки на события WMI. Если вы используете Microsoft Configuration Manager для управления устройствами, не используйте другие доступные методы развертывания (например, групповая политика или PowerShell) для активации этого правила в режиме блокировки или предупреждения на устройстве без расширенного тестирования в режиме аудита. Клиент Configuration Manager в значительной степени зависит от WMI.
  • Блокировка кражи учетных данных из подсистемы локального центра безопасности Windows. Если вы включили защиту локального центра безопасности (LSA) (рекомендуется вместе с Credential Guard), это правило будет избыточным.

• Другие правила ASR обеспечивают важную защиту, но требуют тестирования в режиме аудита , прежде чем активировать их в режиме блокировки или предупреждения , как описано в руководстве по развертыванию правил сокращения направлений атак.

Доступные правила ASR, соответствующие значения GUID и категории описаны в следующей таблице:

• Ссылки в именах правил позволяют получить подробные описания правил в справочной статье о правилах ASR .

• Кроме политик безопасности конечных точек в Microsoft Intune и Microsoft Configuration Manager, все остальные методы конфигурации правил ASR определяют правила по значению GUID.

  Все различия между именами правил ASR между Microsoft Intune и Microsoft Configuration Manager описаны в таблице.

  Совет

  Microsoft Configuration Manager ранее был известен под другими именами:

  • Microsoft System Center Configuration Manager: версии 1511–1906 (с ноября 2015 г. по июль 2019 г.)
  • Microsoft Endpoint Configuration Manager: версии 1910–2211 (декабрь 2019 г. – декабрь 2022 г.)
  • Microsoft Configuration Manager: версия 2303 (апрель 2023 г.) или более поздняя

  Сведения о поддержке и обновлении см. в разделе Обновления и обслуживание для Configuration Manager.

Требования к правилам ASR

Правила ASR требуют, чтобы антивирус Microsoft Defender был основным антивирусным приложением на устройствах Windows:

• Microsoft Defender антивирусная программа должна быть включена и в активном режиме. В частности, антивирусная программа Microsoft Defender не может находиться в одном из следующих режимов:

  • Пассивный
  • Пассивный режим с системой обнаружения и реагирования на конечных точках (EDR) в режиме блокировки
  • Ограниченное периодическое сканирование (LPS)
  • Выкл.

  Дополнительные сведения о режимах Microsoft Defender Antivirus см. в статье Как Microsoft Defender Antivirus влияет на функции Defender for Endpoint.

• Защита в режиме реального времени в антивирусе Microsoft Defender должна быть включена.

• Облачная защита (также называется Microsoft Advanced Protection Service или MAPS) имеет решающее значение для функциональности правил ASR. Облачная защита повышает стандартную защиту в режиме реального времени и является критически важным компонентом предотвращения нарушений вредоносных программ. Некоторые правила ASR содержат специальные требования к защите, доставляемой из облака для оповещений Endpoint Detection and Response (EDR) в Defender for Endpoint и во всплывающих уведомлениях для пользователей. Дополнительные сведения см. в разделе Оповещения и уведомления в результате действий правил ASR.

  По той же причине ваша среда должна разрешать подключения к облачной службе Microsoft Defender антивирусной программы.

• Microsoft Defender версии компонентов антивирусной программы должны быть не более чем на две версии старше самой доступной версии:

  • Версия обновления платформы: обновляется ежемесячно.
  • Версия MEngine: обновляется ежемесячно.
  • Аналитика безопасности. Корпорация Майкрософт постоянно обновляет аналитику безопасности (также известные как определения и сигнатуры) для устранения последних угроз и уточнения логики обнаружения.

  Поддержание версий Microsoft Defender Antivirus в актуальном состоянии помогает сократить количество ложных срабатываний правил ASR и улучшить возможности обнаружения Microsoft Defender Antivirus. Дополнительные сведения о текущих версиях и способах обновления различных компонентов антивирусной программы Microsoft Defender см. в разделе Поддержка платформы антивирусной программы Microsoft Defender.

• Хотя правила ASR не требуют Microsoft 365 E5, корпорация Майкрософт рекомендует использовать возможности безопасности E5 или эквивалентных подписок, чтобы воспользоваться следующими расширенными возможностями управления:

  • Мониторинг, аналитика и рабочие процессы в Defender for Endpoint.
  • Возможности создания отчетов и настройки на портале Microsoft Defender XDR.

  Дополнительные возможности управления недоступны для других лицензий (например, Windows Professional или Microsoft 365 E3). Однако вы можете разработать собственные средства мониторинга и формирования отчетов на основе событий правил ASR, которые регистрируются в средстве просмотра событий Windows на каждом устройстве (например, пересылка событий Windows).

  Дополнительные сведения о лицензировании Windows см. в статье Лицензирование Windows и справочное руководство по корпоративному лицензированию Майкрософт.

Поддерживаемые операционные системы для правил ASR

Правила ASR — это компонент антивирусной программы Microsoft Defender, доступный в любом выпуске Windows, который включает в себя антивирусную программу Microsoft Defender (например, Windows 11 home). Правила ASR можно настроить локально на отдельных устройствах с помощью PowerShell. В выпусках Pro и Enterprise можно также использовать групповую политику.

Централизованное управление, формирование отчетов и оповещения о правилах ASR в Microsoft Defender для конечных точек доступны в следующих выпусках и версиях Windows:

• Выпуски Pro и Enterprise Windows 10 или более поздней версии.
• Windows Server 2012 R2 или более поздней версии.
• Azure Local (прежнее название — Azure Stack HCI) версии 23H2 или более поздней.

Дополнительные сведения о поддержке операционной системы см. в разделе Поддержка правил ASR операционной системой.

Режимы для правил ASR

Правило ASR может находиться в одном из следующих режимов, как описано в следующей таблице:

Корпорация Майкрософт рекомендует режим блокировки для стандартных правил защиты и первоначальное тестирование в режиме аудита для других правил ASR перед их активацией в режиме блокировать или предупреждать .

Многие бизнес-приложения написаны с ограниченными соображениями безопасности, и они могут действовать таким образом, чтобы они выглядели похожими на вредоносные программы. Отслеживая данные из правил ASR в режиме аудита и добавляя исключения для необходимых приложений, можно развертывать правила ASR без снижения производительности.

Прежде чем включать правила ASR в режиме блокировки , оцените их влияние в режиме аудита и рекомендациях по безопасности. Дополнительные сведения см. в разделе Тестирование правил ASR.

Методы развертывания и настройки правил ASR

Microsoft Defender для конечной точки поддерживает правила ASR, но не включает встроенный метод для развертывания параметров правил ASR на устройствах. Вместо этого вы используете отдельное средство развертывания или управления для создания и распространения политик правил ASR на устройствах. Не все методы развертывания поддерживают каждое правило ASR. Подробные сведения по каждому правилу см. в разделе Поддержка способов развертывания для правил ASR.

В следующей таблице перечислены доступные методы. Подробные инструкции по настройке см. в статье Настройка правил и исключений для сокращения направлений атак (ASR).

Исключения файлов и папок для правил ASR

Вы можете исключить определенные файлы и папки из оценки правилами ASR. Даже если правило ASR определяет, что файл или папка содержит вредоносное поведение, оно не блокирует запуск исключенных файлов.

Для исключения файлов и папок из правил ASR можно использовать следующие методы:

• исключения антивирусной программы Microsoft Defender. Эти исключения учитываются не во всех правилах ASR. Дополнительные сведения об исключениях в Microsoft Defender Antivirus см. в разделе Исключения в Microsoft Defender Antivirus.

  Совет

  Все правила ASR учитывают исключения для process в Microsoft Defender Antivirus.

• Исключения глобальных правил ASR. Эти исключения применяются ко всем правилам ASR. Все методы настройки правил ASR также поддерживают настройку глобальных исключений правил ASR.

• Исключения для отдельных правил ASR: Выборочно назначайте разные исключения для разных правил ASR. Только следующие методы конфигурации правил ASR также поддерживают настройку исключений для каждого правила ASR:

  • групповая политика (и соответствующие параметры реестра)
  • Политики безопасности конечных точек в Microsoft Intune.
  • Политики безопасности конечных точек на портале Microsoft Defender

• Индикаторы компрометации (IoCs). Большинство правил ASR учитывают ioCs для заблокированных файлов и заблокированных сертификатов. Дополнительные сведения о ioCs см. в статье Общие сведения о индикаторах в Microsoft Defender для конечной точки.

Применение различных типов исключений для правил ASR приведено в следующей таблице:

При добавлении исключений учитывайте следующие моменты:

• Пути исключения могут использовать переменные среды и подстановочные знаки. Дополнительные сведения см. в разделе Подстановочные знаки в исключениях Microsoft Defender Antivirus.

  Совет

  Не используйте переменные пользовательской среды в качестве подстановочных знаков в исключениях папок и процессов. В качестве подстановочных знаков используйте только следующие типы переменных среды:

  • Системные переменные среды.
  • Переменные среды, применяемые к процессам, выполняющимся в качестве учетной записи NT AUTHORITY\SYSTEM.

  Список системных переменных среды см. в разделе Системные переменные среды.

  • Подстановочные знаки не могут указывать букву диска.
  • Чтобы исключить несколько папок в пути, используйте несколько экземпляров \*\ для указания нескольких вложенных папок. Например, c:\Folder\*\*\Test.
  • Microsoft Configuration Manager поддерживает подстановочные знаки (* или ?).
  • Чтобы исключить файл, содержащий случайные символы (например, из автоматического создания файла), используйте ? символ . Например, C:\Folder\fileversion?.docx.

• Исключения применяются только при запуске приложения или службы. Например, если добавить исключение для уже запущенной службы обновлений, служба обновлений продолжит активировать обнаружение правил ASR до перезапуска службы.

Конфликты политик в правилах ASR

Если одному и тому же устройству назначены две разные политики правил ASR, возможные конфликты могут возникнуть на основе следующих элементов:

• Назначаются ли одни и те же правила ASR в разных режимах.
• Имеется ли управление конфликтами.
• Является ли результат ошибкой.

Неконфликтные правила ASR не приводят к ошибкам. Применяется первое правило, а последующие неконфликтные правила объединяются в политику.

Если решение для управления мобильными устройствами (MDM) и Group Policy применяют разные параметры правил ASR к одному и тому же устройству, приоритет имеют параметры Group Policy.

Сведения о том, как обрабатываются конфликты параметров правил ASR для доступных методов развертывания в Microsoft Intune, см. в разделе Устройства, управляемые Intune.

Уведомления и оповещения для правил ASR

Когда на устройстве активируется правило ASR в режиме блокировки или предупреждения , на устройстве отображается уведомление. Вы можете настроить сведения в уведомлениях. Дополнительные сведения см. в разделе Настройка контактных данных в приложении "Безопасность Windows".

Оповещения Endpoint Detection and Response (EDR) в Defender for Endpoint создаются при срабатывании поддерживаемых правил ASR.

Подробные сведения о функциях уведомлений и оповещений см. в разделе Оповещения и уведомления от действий правил ASR.

Чтобы просмотреть активность оповещений ASR на портале Microsoft Defender и на устройствах в Просмотре событий Windows, см. статью Мониторинг активности правил уменьшения поверхности атаки (ASR).

Отслеживайте действия правила ASR

Полные сведения см. в разделе Мониторинг действия правила сокращения направлений атак (ASR).

Связанные материалы

• Руководство по развертыванию правил уменьшения поверхности атаки (ASR)
• Спланируйте развертывание правил уменьшения поверхности атаки (ASR)
• Проверьте развертывание правил уменьшения поверхности атаки (ASR)
• Включить правила уменьшения поверхности атаки (ASR)
• Управление развертыванием правил сокращения направлений атак (ASR) и мониторинг их
• Мониторинг действия правила сокращения направлений атак (ASR)
• Отчет о правилах сокращения направлений атак (ASR)
• Исключения для Microsoft Defender для конечной точки и антивируса Microsoft Defender