Redução de superfície de ataque no Windows Defender

Redução de superfície de ataque é um recurso do Windows Defender Exploit Guard que impede que as ações usadas pelo malware de busca por exploração infectem computadores. O Windows Defender Exploit Guard é um novo conjunto de recursos de prevenção contra invasões que a Microsoft introduziu como parte do Windows 10 v1709. Os quatro componentes do Windows Defender Exploit Guard incluem:

• Proteção de rede
• Acesso a pastas controladas
• Proteção contra exploração
• Redução de superfície de ataque

Uma das principais capacidades, como mencionado acima, é Ataque Redução de superfície, que protege contra ações comuns de softwares mal-intencionados que se executam em dispositivos Windows 10.

Vamos entender o que é redução de superfície de ataque e por que é tão importante

recurso de redução de superfície de ataque do Windows Defender

E-mails e aplicativos de escritório são a parte mais importante da produtividade de qualquer empresa. Eles são a maneira mais fácil de os invasores cibernéticos entrarem em seus PCs e redes e instalarem malware. Os hackers podem usar diretamente macros e scripts do Office para executar diretamente explorações que operam totalmente na memória e são geralmente indetectáveis ​​pelas verificações antivírus tradicionais.

O pior é que, para um malware obter uma entrada, basta que o usuário ative macros em um arquivo do Office de aparência legítima ou para abrir um anexo de email que possa comprometer a máquina.

É aqui que a redução de superfície de ataque é salva.

Vantagens da redução de superfície de ataque

Redução da superfície de ataque um conjunto de inteligência incorporada que pode bloquear os comportamentos subjacentes usados ​​por esses documentos maliciosos para executar sem prejudicar os cenários produtivos. Ao bloquear comportamentos maliciosos, independente da ameaça ou da exploração, o Attack Surface Reduction pode proteger as empresas contra ataques de dia zero nunca antes vistos e equilibrar seus requisitos de segurança e risco de segurança.

O ASR abrange três comportamentos principais :

1. Aplicativos do Office
2. Scripts e
3. E-mails

Para aplicativos do Office, a regra de Redução da Superfície de Ataque pode:

1. Bloquear aplicativos do Office da criação de conteúdo executável
2. Bloquear aplicativos do Office criando o processo filho
3. Bloquear aplicativos do Office de injetar código em outro processo
4. Bloquear importações Win32 do código de macro no Office
5. Bloquear código de macro ofuscado

Muitas macros de escritório mal-intencionado podem infectar um PC injetando e iniciando executáveis. Redução de superfície de ataque pode proteger contra isso e também do DDEDownloader que recentemente infectou PCs em todo o mundo. Essa exploração usa o pop-up Dynamic Data Exchange em documentos oficiais para executar um download do PowerShell ao criar um processo filho que a regra ASR bloqueia com eficiência!

Para o script, a regra Redução de superfície de ataque pode:

• Bloquear JavaScript mal-intencionado, VBScript e Códigos do PowerShell que foram ofuscados
• Bloqueie o JavaScript e o VBScript da execução da carga baixada da Internet

Para email, o ASR pode:

• Bloquear a execução do conteúdo executável eliminado do email (webmail / mail-client)

Agora um dia, houve um aumento subsequente de spear-phishing e até mesmo um funcionário e-mails pessoais são segmentados. O ASR permite que os administradores corporativos apliquem diretivas de arquivo em email pessoal para clientes de email e de email em dispositivos da empresa para proteção contra ameaças.

Como a redução de superfície de ataque funciona

O ASR funciona por meio de regras identificadas por sua ID de regra exclusiva. Para configurar o estado ou modo para cada regra, eles podem ser gerenciados com:

• Diretiva de Grupo
• PowerShell
• MDM CSPs

Eles podem ser usados ​​quando apenas algumas regras devem ser habilitadas ou regras são para ser ativado no modo individual.

Para qualquer linha de aplicativos comerciais em execução em sua empresa, existe a capacidade de personalizar exclusões baseadas em arquivos e pastas se seus aplicativos incluírem comportamentos incomuns que podem ser afetados pela detecção de ASR.

A Redução de Superfície de Ataque requer que o Windows Defender Antivirus seja o AV principal e requer que o recurso de proteção em tempo real seja ativado. A linha de base do Windows 10 Security sugere que a maioria das regras no modo de bloqueio mencionadas acima deve ser ativada para proteger seus dispositivos contra ameaças!

Para saber mais, visite o site docs.microsoft.com.