Блокировка уязвимых приложений с помощью Управление уязвимостями Microsoft Defender

Область применения:

• Управление уязвимостями в Microsoft Defender
• Microsoft Defender XDR
• Microsoft Defender для серверов плана 2

Устранение уязвимостей требует времени и может зависеть от обязанностей и ресурсов ИТ-команды. Администраторы безопасности могут временно снизить риск уязвимости, предприняв немедленные действия, чтобы заблокировать все известные в настоящее время уязвимые версии приложения до завершения запроса на исправление. Параметр блокировать дает ИТ-командам время на исправление приложения, не беспокоясь об уязвимостях администраторов безопасности.

Выполняя действия по исправлению, предложенные рекомендацией по безопасности, администраторы безопасности могут выполнять действия по устранению рисков и блокировать уязвимые версии приложения. Индикаторы компрометации (IOC) создаются для каждого из исполняемых файлов, принадлежащих уязвимым версиям этого приложения. Microsoft Defender антивирусная программа применяет блоки на устройствах, которые находятся в указанной область.

Действие по устранению рисков блокировать или предупреждать о ней

Действие блокировки предназначено для блокировки всех установленных уязвимых версий приложения в вашей организации. Например, если существует активная уязвимость нулевого дня, вы можете заблокировать запуск затронутого программного обеспечения пользователями при определении вариантов обхода.

Действие предупреждения предназначено для отправки предупреждения пользователям при открытии уязвимых версий приложения. Пользователи могут обойти предупреждение и получить доступ к приложению для последующих запусков.

Для обоих действий можно настроить сообщение, которое видят пользователи. Например, можно призвать их установить последнюю версию. Кроме того, можно указать настраиваемый URL-адрес, по который пользователи переходят при выборе уведомления. Пользователь должен выбрать текст всплывающего уведомления, чтобы перейти по пользовательскому URL-адресу. Уведомление можно использовать для предоставления дополнительных сведений, относящихся к управлению приложениями в организации.

Минимальные требования

• антивирусная программа Microsoft Defender (активный режим): для обнаружения событий выполнения файлов и блокировки требуется, чтобы Microsoft Defender антивирусная программа была включена в активном режиме. По сути, пассивный режим и EDR в режиме блока не могут обнаруживать и блокировать на основе выполнения файла. Дополнительные сведения см. в статье Развертывание антивирусной программы Microsoft Defender.
• Облачная защита (включена). Дополнительные сведения см. в статье Управление облачной защитой.
• Разрешить или заблокировать файл (вкл.): перейдите к разделу Параметры>Конечные> точкиДополнительные функции>Разрешить или заблокировать файл. Дополнительные сведения см. в разделе Дополнительные функции.

Требования к версии

• Версия клиента защиты от вредоносных программ должна быть 4.18.1901.x или более поздней.
• Версия обработчика должна быть 1.1.16200.x или более поздней.
• Клиентские устройства Windows должны работать Windows 11, Windows 10, версия 1809 или более поздней версии с установленными последними обновлениями Windows.
• Серверы должны работать Windows Server 2022, 2019, 2016, 2012 R2 и 2008 R2 с пакетом обновления 1 (SP1). Поддержка Windows Server 2025 г., начиная с февраля 2025 г. и в течение следующих нескольких недель.

Блокировка уязвимых приложений

1. Войдите на портал Microsoft Defender, а затем перейдите в раздел Рекомендации поуправлению>уязвимостями конечных>точек.

2. Выберите рекомендацию по безопасности, чтобы просмотреть всплывающий элемент с дополнительными сведениями.

3. Выберите Запросить исправление.

4. Заполните форму. В раскрывающемся списке Параметры исправления выберите, какой из параметров вы хотите запросить. К ним относятся обновление программного обеспечения, удаление программного обеспечения и необходимое внимание.

5. В разделе Средства управления задачами установите флажок Открыть билет в Intune (для устройств, присоединенных к AAD), если вы хотите создать билет в Microsoft Intune для запроса на исправление.

6. Выберите дату выполнения исправления.

7. В разделе Приоритет выберите Высокий, Средний или Низкий.

8. В разделе Добавление заметок можно добавить любые дополнительные сведения. Нажмите кнопку Далее.

9. Просмотрите выбранные вами параметры и нажмите кнопку Отправить. На последней странице можно изменить выбранные параметры и экспортировать все запросы на исправление в файл .CSV.

Если в другой версии приложения обнаружено больше уязвимостей, вы получите новую рекомендацию по безопасности с просьбой обновить приложение, и вы также можете заблокировать эту другую версию.

Если блокировка не поддерживается

Если вы не видите параметр устранения рисков при запросе исправления, это связано с тем, что в настоящее время возможность блокировать приложение не поддерживается. Рекомендации, которые не включают действия по устранению рисков, включают в себя:

• Приложения Майкрософт
• Рекомендации, связанные с операционными системами
• Рекомендации по приложениям для macOS и Linux
• Приложения, в которых корпорация Майкрософт не имеет достаточной информации или высокой достоверности для блокировки
• Приложения Microsoft Store, которые не могут быть заблокированы, так как они подписаны корпорацией Майкрософт

Если вы попытаетесь заблокировать приложение, но оно не работает, возможно, вы достигли максимальной емкости индикатора. В этом случае можно удалить старые индикаторы Подробнее о индикаторах.

Просмотр действий по исправлению

После отправки запроса на блокировку уязвимых приложений можно просмотреть действия по исправлению, выполнив следующие действия.

1. Перейдите в разделИсправлениеуправления>уязвимостями конечных> точек.

2. На вкладке Действия можно отфильтровать результаты по типу устранения рисков. Параметры : Блокировать, Предупреждать, Нет и Обходной путь.

3. Выберите соответствующее действие, чтобы просмотреть всплывающий элемент с подробными сведениями, включая описание исправления, описание устранения рисков и состояние исправления устройства:

   

Просмотр заблокированных приложений

Чтобы просмотреть список заблокированных приложений, выполните следующие действия.

1. Перейдите в разделИсправлениеуправления>уязвимостями конечных> точек, а затем перейдите на вкладку Заблокированные приложения:

   

2. Выберите заблокированное приложение, чтобы просмотреть всплывающее окно со сведениями о количестве уязвимостей, доступности эксплойтов, заблокированных версиях и действиях по исправлению.

3. Выберите Просмотреть сведения о заблокированных версиях на странице Индикатор, чтобы открыть страницу Индикаторы , где можно просмотреть хэши файлов и действия ответа.

   Примечание.

   Если вы используете API индикаторов с программными запросами индикаторов в рамках рабочих процессов, действие блока даст больше результатов.

4. Чтобы разблокировать приложение, выберите Разблокировать программное обеспечение или Открыть страницу программного обеспечения:

   

Разблокировка приложений

Выберите заблокированное приложение, чтобы просмотреть параметр Разблокировать программное обеспечение во всплывающем элементе.

После разблокировки приложения обновите страницу, чтобы оно было удалено из списка. Чтобы разблокировать приложение и снова стать доступным для пользователей, может потребоваться до 3 часов.

Взаимодействие пользователей с заблокированными приложениями

Когда пользователи пытаются получить доступ к заблокированным приложениям, они получают сообщение о том, что приложение было их организацией. Это сообщение можно настроить.

Для приложений, в которых был применен параметр предупреждения, пользователи получают сообщение о том, что приложение заблокировано их организацией. Пользователь может обойти блок для последующих запусков, выбрав "Разрешить". Это действие является временным, и через некоторое время приложение снова блокируется.

Обновление заблокированных приложений конечным пользователем

Часто задаваемый вопрос: "Как конечный пользователь обновляет заблокированное приложение?" Блокировка выполняется путем блокировки исполняемого файла. Некоторые приложения, например Firefox, используют отдельный исполняемый файл обновления, который не блокируется этой функцией. В других случаях, когда приложению требуется обновить исполняемый файл main, рекомендуется либо реализовать блок в режиме предупреждения (чтобы конечный пользователь смог обойти блок), либо попросить пользователя удалить приложение (если на клиенте не хранится важная информация), а затем переустановить его.

Статьи по теме

• Уязвимости в моей организации