Создание индикаторов для файлов

Индикаторы файлов предотвращают дальнейшее распространение атаки в организации, запрещая потенциально вредоносные файлы или предполагаемые вредоносные программы. Если вы знаете потенциально вредоносный переносимый исполняемый файл (PE), его можно заблокировать. Блокировка файла предотвращает чтение, запись или выполнение на устройствах в организации.

Существует три способа создания индикаторов для файлов:

• Создание индикатора с помощью страницы параметров
• Создав контекстный индикатор с помощью кнопки «Добавить индикатор» на странице сведений о файле
• Создание индикатора программным способом с помощью API индикатора

Предварительные условия

Прежде чем создавать индикаторы для файлов, ознакомьтесь со следующими предварительными условиями:

• Включение мониторинга поведения
• Включите облачную защиту.
• Настройка сетевого подключения к облачной защите

Поддерживаемые операционные системы

Следующие операционные системы поддерживают индикаторы файлов:

• Windows 10 версии не ниже 1703
• Windows 11
• Windows Server 2012 R2
• Windows Server 2016 или более поздней версии
• ОС Azure Stack HCI, версии 23H2 и более поздних.

Предварительные требования Для Windows

Перед созданием индикаторов файлов на Windows убедитесь, что выполнены следующие требования:

• Эта функция доступна, если ваша организация использует антивирусную программу Microsoft Defender (в активном режиме).
• Версия клиента защиты от вредоносных программ должна быть 4.18.1901.x или более поздней. См. Ежемесячные версии платформы и движка
• Вычисление хэша файлов включается путем установки значения Computer Configuration\Administrative Templates\Windows Components\Microsoft Defender Antivirus\MpEngine\Enable File Hash ComputationВключено. Вы также можете выполнить следующую команду PowerShell: Set-MpPreference -EnableFileHashComputation $true

Предварительные требования для macOS

Перед созданием индикаторов файлов в macOS проверьте следующие предварительные требования:

• Защита в режиме реального времени (RTP) должна быть активной.
• Настройте хэш-вычисления файлов в macOS. Выполните следующую команду: mdatp config enable-file-hash-computation --value enabled

предварительные требования для Linux

Перед созданием индикаторов файлов в Linux убедитесь, что выполнены следующие предварительные требования:

• Доступно в Defender для конечных точек версии 101.85.27 или более поздней.
• Настройка вычисления хэша файлов в Linux в портале Microsoft Defender или в управляемом JSON-файле
• Предпочтительно, чтобы был включён мониторинг поведения, но эта функция работает с любым другим типом проверки (RTP или выборочной).

Создание индикатора для файлов на странице параметров

Чтобы создать индикатор файла на странице параметров, выполните следующие действия.

1. В области навигации выберите Система>Параметры>Конечные точки>Индикаторы (в разделе Правила).

2. Перейдите на вкладку Хэши файлов .

3. Выберите Добавить элемент.

4. Укажите следующие сведения:

   • Индикатор. Укажите сведения о сущности и определите срок действия индикатора.
   • Действие. Укажите выполняемое действие и укажите описание.
   • Область применения: Определите область применения группы устройств (определение области применения недоступно в Defender для бизнеса).

5. Просмотрите сведения на вкладке Сводка, а затем нажмите кнопку Сохранить.

Создание контекстного индикатора на странице сведений о файле

Одним из вариантов при выполнении действий реагирования на файл является добавление индикатора для файла. При добавлении хэша индикатора для файла можно создать оповещение и заблокировать файл каждый раз, когда устройство в вашей организации пытается запустить его.

Файлы, автоматически заблокированные индикатором, не будут отображаться в центре уведомлений файла, но оповещения по-прежнему будут видны в очереди оповещений.

Блокировать файлы.

Чтобы заблокировать файлы с помощью индикаторов, выполните следующий шаг:

1. Чтобы начать блокировку файлов, включите функцию "блокировать или разрешать" в разделе Параметры (на портале Microsoft Defender перейдите в раздел Параметры>Конечные точки>Общие>дополнительные функции>Разрешить или заблокировать файл).

Оповещение о действиях блокировки файлов (предварительная версия)

Текущими поддерживаемыми действиями для IOC файлов являются разрешение, аудит и блокировка, а также исправление. После блокировки файла можно выбрать, требуется ли активировать оповещение. Выбрав, следует ли создать оповещение для события блокировки, вы можете контролировать количество оповещений, отправленных группам по операциям безопасности, и убедиться, что создаются только необходимые оповещения.

1. На портале Microsoft Defender перейдите в Параметры>Конечные точки>Индикаторы>Добавить хэш нового файла.

2. Выберите блокировку и исправьте файл.

3. Укажите, следует ли создавать оповещение о событии блока файлов, и определите параметры оповещений:

   • Заголовок оповещения
   • Уровень серьезности оповещений
   • Категория
   • Описание
   • Рекомендуемые действия

   

   Важно!

   • Как правило, блокировка файлов вводится и снимается в течение 15–30 минут, но иногда это может занять до 2 часов.
   • Если существуют конфликтующие политики IoC файлов с тем же типом принудительного применения и целевым объектом, будет применена политика более безопасного хэша. Политика хэша файла SHA-256 IoC победит политику хэша файла SHA-1 IoC, которая победит политику хэша MD5-файлов IoC, если типы хэшей определяют один и тот же файл. Это всегда верно независимо от группы устройств.
   • Во всех остальных случаях, если конфликтующие политики IoC для файлов с одним и тем же объектом применения назначены всем устройствам и группе, в которую входит устройство, то для этого устройства приоритет будет у политики, назначенной группе устройства.
   • Если групповая политика EnableFileHashComputation отключена, снижается точность блокировки файла IoC. Однако включение EnableFileHashComputation может повлиять на производительность устройства. Например, копирование больших файлов из общей сетевой папки на локальное устройство, особенно через VPN-подключение, может влиять на производительность устройства. Дополнительные сведения о групповой политике EnableFileHashComputation см. в разделе CSP Defender. Дополнительные сведения о настройке этой функции в Defender для конечной точки в Linux и macOS см. в разделах Настройка функции вычисления хэша файлов в Linux и Настройка функции вычисления хэша файлов в macOS.

Расширенные возможности охоты (предварительная версия)

В настоящее время в режиме предварительной версии можно запрашивать сведения о действиях реагирования в разделе «Расширенный поиск». Ниже приведен пример запроса на предварительную охоту:

search in (DeviceFileEvents, DeviceProcessEvents, DeviceEvents, DeviceRegistryEvents, DeviceNetworkEvents, DeviceImageLoadEvents, DeviceLogonEvents)
Timestamp > ago(30d)
| where AdditionalFields contains "EUS:Win32/CustomEnterpriseBlock!cl"

Дополнительные сведения о расширенной охоте см. в разделе Упреждающая охота на угрозы с помощью расширенной охоты.

Ниже приведены другие имена угроз, которые можно использовать в примере запроса:

Файлы:

• EUS:Win32/CustomEnterpriseBlock!cl
• EUS:Win32/CustomEnterpriseNoAlertBlock!cl

Сертификаты:

• EUS:Win32/CustomCertEnterpriseBlock!cl

Действие реагирования также можно просмотреть на временной шкале устройства.

Обработка конфликтов политик

Конфликты политики Cert и File IoC обрабатываются в следующем порядке:

1. Если файл не разрешён политиками Управления приложениями Защитника Windows и AppLocker в режиме принудительного применения, выберите Блокировать.

2. В противном случае, если файл разрешен Microsoft Defender исключениями антивирусной программы, выберите Разрешить.

3. В противном случае, если файл заблокирован или предупрежден блоком или предупреждением ioCs файла, затем — Блокировать или предупреждать.

4. В противном случае, если файл заблокирован SmartScreen, выберите Блокировать.

5. В противном случае, если файл разрешён политикой IoC, разрешающей файл, то Разрешить.

6. В противном случае, если файл заблокирован правилами сокращения направлений атак, управляемым доступом к папкам или антивирусной защитой, выберите Блокировать.

7. В противном случае, Разрешить (соответствует политикам Windows Defender Application Control и AppLocker, к нему не применяются правила IoC).

Если существуют конфликтующие политики IoC файлов с тем же типом принудительного применения и целевым объектом, применяется политика более безопасного (то есть более длинного) хэша. Например, политика IoC хэша файла SHA-256 имеет приоритет над политикой IoC хэша файла MD5, если оба типа хэша определяют один и тот же файл.

Функция блокировки уязвимых приложений в Управление уязвимостями Microsoft Defender использует файловые индикаторы компрометации (IoC) для принудительного применения и следует порядку обработки конфликтов политик.

Примеры

В следующих примерах показано, как принудительное применение компонентов взаимодействует с действиями индикатора файлов:

См. также

• Создание индикаторов

• Создание индикаторов для протоколов IP и URL-адресов или доменов

• Создание индикаторов на основе сертификатов

• Управление индикаторами

• Исключения для Microsoft Defender для конечной точки и антивируса Microsoft Defender