Блокировка с учетом поведения клиента

Область применения:

• Microsoft Defender для конечной точки (план 1)
• Microsoft Defender для конечной точки (план 2)
• Microsoft Defender XDR
• Антивирусная программа в Microsoft Defender

Платформа

• Windows

Хотите попробовать Defender для конечной точки? Зарегистрироваться для бесплатной пробной версии.

Обзор

Блокировка поведения клиента — это компонент возможностей блокировки поведения и сдерживания в Defender для конечной точки. При обнаружении подозрительного поведения на устройствах (также называемых клиентами или конечными точками) артефакты (например, файлы или приложения) блокируются, проверяются и исправляются автоматически.

Антивирусная защита лучше всего работает в сочетании с облачной защитой.

Как работает блокировка поведения клиента

Microsoft Defender антивирусная программа может обнаруживать подозрительное поведение, вредоносный код, атаки без файлов и в памяти и многое другое на устройстве. При обнаружении подозрительного поведения антивирусная программа Microsoft Defender отслеживает и отправляет эти подозрительные действия и деревья процессов в облачную службу защиты. Машинное обучение различает вредоносные приложения и хорошее поведение в миллисекундах и классифицирует каждый артефакт. Почти в реальном времени, как только артефакт обнаруживается как вредоносный, он блокируется на устройстве.

При обнаружении подозрительного поведения создается оповещение, отображаемое при обнаружении и остановке атаки; Оповещения, такие как "начальное оповещение о доступе", активируются и отображаются на портале Microsoft Defender.

Блокировка поведения клиента эффективна, так как она не только помогает предотвратить начало атаки, но и может помочь остановить атаку, которая началась. Кроме того, при блокировке цикла обратной связи (еще одна возможность блокировки поведения и сдерживания) атаки предотвращаются на других устройствах в вашей организации.

Обнаружение на основе поведения

Обнаружения на основе поведения именуются в соответствии с mitre ATT&матрицы CK для предприятия. Соглашение об именовании помогает определить этап атаки, на котором наблюдалось вредоносное поведение:

Настройка блокировки поведения клиента

Если ваша организация использует Defender для конечной точки, блокировка поведения клиента включена по умолчанию. Тем не менее, чтобы воспользоваться всеми возможностями Defender для конечной точки, включая поведенческую блокировку и сдерживание, убедитесь, что включены и настроены следующие функции и возможности Defender для конечной точки:

• Базовые показатели Defender для конечной точки
• Устройства, подключенные к Defender для конечной точки
• EDR в режиме блокировки
• Сокращение направлений атак
• Защита нового поколения (антивирусная программа, антивредоносное ПО и другие возможности защиты от угроз)