Microsoft Defender: reguła redukcji powierzchni ataku dla punktów końcowych

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

Wzmacniaj punkty końcowe za pomocą reguł redukcji powierzchni ataku (ASR). Audytuj skuteczność reguł ASR, korzystając z zaawansowanych zapytań KQL, aby poprawić wykrywanie i dostrajać wyłączenia.

Automatically translated with AI from the original post. Read the English original

Audyt reguł redukcji powierzchni ataku odgrywa kluczową rolę w utrzymywaniu bezpieczeństwa organizacji. Ten proces możesz znacznie usprawnić, korzystając z zaawansowanego KQL. Ten potężny język zapytań pozwala skuteczniej analizować dane, oszczędzając czas i zwiększając dokładność. Dzięki zaawansowanemu KQL szybko zidentyfikujesz luki w zabezpieczeniach i upewnisz się, że są zgodne z zasadami bezpieczeństwa. Takie podejście nie tylko zwiększa możliwości audytu, ale także pozwala podejmować świadome decyzje dotyczące strategii bezpieczeństwa.

Najważniejsze wnioski

• Poznaj podstawową strukturę zapytań KQL, aby rozwinąć umiejętności audytu.
• Stosuj techniki filtrowania, aby skupić się na konkretnych regułach ASR i istotnych danych.
• Łącz tabele danych, aby zestawić informacje i uzyskać pełny obraz audytów ASR.
• Wykorzystuj funkcje takie jak count() i summarize, aby skutecznie analizować trendy i wzorce.
• Ustal regularny harmonogram audytów, aby utrzymywać zgodność z przepisami i poziom bezpieczeństwa.
• Dokumentuj wyniki dokładnie, aby śledzić postępy i identyfikować trendy w czasie.
• Stale usprawniaj procesy audytu, analizując wyniki i zbierając opinie.
• Proaktywnie eliminuj luki w danych, aby zapewnić wiarygodność danych audytowych.

1. Złączenia między obszarami roboczymi są praktyczne i szybkie — Zaawansowany KQL obsługuje złączenia między wieloma obszarami roboczymi, dzięki czemu audyty ASR mogą korelować zdarzenia punktów końcowych, sygnały zagrożeń i dane konfiguracyjne bez złożonych procesów ETL.
2. Funkcje przybliżone przyspieszają zapytania na dużą skalę — Funkcje takie jak approx_count_distinct i percentile_approx pozwalają podsumowywać ogromne ilości telemetrii ASR przy znacznie mniejszym zużyciu zasobów i niemal natychmiastowej reakcji.
3. Operatory szeregów czasowych ujawniają subtelne trendy — Operatory takie jak make-series, series_fir i series_decompose pomagają wykrywać stopniowe odchylenia reguł ASR oraz powtarzające się wyjątki zasad, których proste filtry nie są w stanie wychwycić.
4. Wzbogacanie encji jest wbudowane — KQL może wzbogacać dane audytu ASR o informacje z wywiadu zagrożeń, inwentarz urządzeń i atrybuty tożsamości w locie, generując alerty z kontekstem bez osobnych potoków wzbogacania.
5. Renderowanie i wizualizacja ograniczają liczbę fałszywych alarmów — Użycie render timechart, barchart i heatmap bezpośrednio w zapytaniach pomaga audytorom szybko odróżnić anomalne trafienia reguł ASR wymagające analizy od szumu.
6. Limity zapytań i kontrola kosztów są precyzyjne — KQL udostępnia kontrolki czasu wykonania (takie jak take, limit i row_count_between) oraz diagnostykę zapytań, dzięki czemu audytorzy mogą ograniczać zużycie zasobów, jednocześnie wydobywając przydatne informacje o ASR.
7. Zaawansowane wykrywanie wzorców za pomocą wyrażeń regularnych i sekwencji — Połączenie regex, mv-expand i operatora sequence umożliwia identyfikowanie złożonych, wieloetapowych wzorców ataków w logach ASR, których nie wykryłyby proste liczniki zdarzeń.

Konfigurowanie zaawansowanego środowiska KQL

Wymagania wstępne dla KQL

Zanim zagłębisz się w zaawansowany KQL, musisz spełnić określone wymagania wstępne. Po pierwsze, upewnij się, że masz dostęp do Microsoft Defender, ponieważ zapewnia on dane niezbędne do zapytań. Znajomość podstawowych koncepcji programistycznych również ułatwi zrozumienie KQL. Oto najważniejsze wymagania wstępne:

• Dostęp do Microsoft Defender: To narzędzie jest niezbędne do gromadzenia danych o bezpieczeństwie.
• Podstawowa znajomość zapytań do danych: Umiejętność czytania i pisania prostych zapytań sprawi, że proces nauki będzie łatwiejszy.
• Znajomość zagadnień bezpieczeństwa: Zrozumienie pojęć takich jak luki w zabezpieczeniach i zgodność z przepisami zwiększy Twoją skuteczność w audytach.

Narzędzia do KQL

Aby efektywnie pracować z KQL, potrzebujesz odpowiednich narzędzi. Oto kilka rekomendowanych narzędzi, które pomogą Ci zacząć:

• Kusto Query Explorer: To narzędzie internetowe, które umożliwia pisanie i testowanie zapytań KQL w czasie rzeczywistym.
• Azure Data Explorer: Ta platforma zapewnia solidne środowisko do uruchamiania zapytań KQL na dużych zbiorach danych.
• Portal Microsoft Defender: Użyj tego portalu, aby uzyskać dostęp do danych i analiz dotyczących bezpieczeństwa, które możesz analizować za pomocą KQL.

Konfigurowanie środowiska

Prawidłowa konfiguracja środowiska ma kluczowe znaczenie dla optymalnej wydajności KQL. Wykonaj poniższe kroki, aby skutecznie przygotować środowisko:

1. Zainstaluj niezbędne narzędzia: Zacznij od instalacji Kusto Query Explorer i upewnij się, że masz dostęp do Microsoft Defender.
2. Skonfiguruj źródła danych: Połącz narzędzia z odpowiednimi źródłami danych. Dzięki temu połączeniu możesz pobierać dane potrzebne do zapytań.
3. Zoptymalizuj wydajność zapytań: Użyj funkcji materialize, aby przyspieszyć działanie zapytania dzięki buforowaniu wyników pośrednich. Kolejność operatorów w zapytaniu KQL znacząco wpływa zarówno na wynik, jak i na wydajność. Dlatego zbuduj zapytania starannie, aby uzyskać najlepsze rezultaty.

Dzięki wykonaniu tych kroków zbudujesz solidne podstawy do korzystania z zaawansowanego KQL w audytach ASR. Ta konfiguracja nie tylko usprawni proces audytu, ale także zwiększy dokładność wyników.

Zapytania KQL dla audytów ASR

Podstawowa struktura zapytania

Zanim zaczniesz pisać zapytania KQL do audytów ASR, warto zrozumieć ich podstawową strukturę. Zapytanie KQL zwykle składa się z kilku elementów, które razem pobierają potrzebne dane. Oto kluczowe składniki zapytania KQL:

• Nazwa tabeli: Określa źródło danych, które chcesz przeszukać. Na potrzeby audytów ASR możesz użyć tabel takich jak DeviceEvents lub AlertEvidence.
• Operatory: Polecenia, które wykonują działania na danych. Do najczęściej używanych operatorów należą where, project i summarize.
• Filtry: Możesz stosować filtry, aby zawęzić wyniki. Na przykład możesz filtrować według daty lub konkretnych reguł ASR.
• Funkcje: Funkcje pozwalają przetwarzać dane. Możesz ich użyć do zliczania wystąpień lub obliczania średnich.

Funkcja Advanced Hunting w Microsoft Defender for Endpoint umożliwia szczegółową analizę reguł ASR za pomocą własnych zapytań KQL. Zapytania te mogą dostarczyć informacji o wykryciach reguł, dotkniętych urządzeniach oraz wpływie na aplikacje.

Składniki zapytania KQL

Oto prosty przykład struktury zapytania KQL:

DeviceEvents
| where ActionType == "ASRRuleTriggered"
| project DeviceName, Timestamp, ActionType

W tym przykładzie odpytujesz tabelę DeviceEvents, filtrujesz zdarzenia, w których typem akcji jest "ASRRuleTriggered", i wyświetlasz tylko nazwę urządzenia, znacznik czasu oraz typ akcji.

Popularne funkcje w KQL

KQL zawiera kilka funkcji, które rozszerzają możliwości zapytań. Oto najczęściej używane funkcje, które warto znać:

• count(): Ta funkcja zlicza rekordy spełniające Twoje kryteria.
• distinct(): Użyj tej funkcji, aby zwrócić unikalne wartości z określonej kolumny.
• summarize: Ta funkcja agreguje dane według określonych kryteriów, pozwalając analizować trendy w czasie.

Zaawansowane techniki zapytań

Gdy opanujesz podstawy, możesz poznać zaawansowane techniki KQL, które pozwalają wydobyć z danych audytu ASR bardziej szczegółowe informacje. Mogą one pomóc w lepszym zrozumieniu stanu bezpieczeństwa.

Filtrowanie danych ASR

Filtrowanie ma kluczowe znaczenie, gdy chcesz skupić się na konkretnych aspektach danych ASR. Możesz użyć wielu warunków w klauzuli where, aby doprecyzować wyniki. Na przykład:

DeviceEvents
| where ActionType == "ASRRuleTriggered" and Timestamp > ago(30d)
| summarize Count = count() by DeviceName

To zapytanie filtruje wyzwolenia reguł ASR z ostatnich 30 dni i podsumowuje liczbę wyzwoleń według nazwy urządzenia.

Łączenie tabel danych

Łączenie tabel danych pozwala zestawić informacje z różnych źródeł, dając pełniejszy obraz Twoich audytów ASR. Do scalania tabel na podstawie wspólnego pola możesz użyć operatora join. Oto przykład:

DeviceEvents
| join kind=inner (Alerts) on DeviceId
| where ActionType == "ASRRuleTriggered"
| project DeviceName, AlertSeverity, Timestamp

W tym zapytaniu łączysz tabelę DeviceEvents z tabelą Alerts według pola DeviceId. Dzięki temu zobaczysz, które alerty odpowiadają wyzwoleniom reguł ASR.

Dzięki opanowaniu tych podstawowych i zaawansowanych technik KQL możesz znacząco zwiększyć swoje możliwości audytu reguł ASR. Będziesz w stanie wyciągać wartościowe wnioski i podejmować świadome decyzje dotyczące zabezpieczeń swojej organizacji.

Interpretacja wyników audytu ASR

Zrozumienie formatów wyjściowych

Gdy uruchamiasz zapytania KQL, formaty wyników mogą się różnić w zależności od danych, które odpytujesz. Zrozumienie tych formatów pomaga wyciągać praktyczne wnioski z audytów ASR. Warto zwrócić uwagę na kilka kluczowych kwestii:

• Portal Microsoft Defender udostępnia szczegółowe raporty dotyczące wykrytych działań. Na podstawie tych raportów możesz śledzić skuteczność reguł redukcji powierzchni ataku.
• Gdy reguły zostaną wyzwolone, generowane są alerty, dzięki czemu natychmiast widzisz potencjalne zagrożenia.
• Możesz przejrzeć dziennik zdarzeń systemu Windows. Konkretnie, przefiltruj zdarzenia o identyfikatorze 1121 w dzienniku Microsoft-Windows-Windows Defender/Operational, aby zidentyfikować aplikacje, które zostałyby zablokowane przez reguły ASR.

Analiza wyników ASR

Analiza wyników audytu ASR ma kluczowe znaczenie dla oceny skuteczności zabezpieczeń. Oto, jak możesz przeprowadzić dokładną analizę:

1. Użyj trybu audytu, aby zebrać informacje o zasadach ASR.
2. Przejdź do portalu Microsoft Defender i otwórz sekcję „Raporty”.
3. W obszarze „Punkty końcowe” wybierz „Reguły redukcji powierzchni ataku”.
4. Przefiltruj reguły, aby wyświetlić metryki, wybierając opcję „Wszystkie”, aby uzyskać pełne dane.
5. Przeanalizuj „Wykrycia w trybie audytu”, aby ocenić, czy działania, które zostałyby zablokowane, były potrzebne.
6. Regularnie przeglądaj trendy i konfiguracje, aby upewnić się, że urządzenia są poprawnie skonfigurowane.
7. Użyj strony „Dodaj wyłączenia”, aby zarządzać konkretnymi trafieniami reguł ASR.

Dzięki tym krokom możesz skutecznie przeanalizować wyniki audytu i udoskonalić swoje strategie bezpieczeństwa.

Identyfikacja luk w zabezpieczeniach

Identyfikacja luk w zabezpieczeniach jest kluczowym elementem procesu audytu ASR. Możesz wykorzystać wnioski z zapytań KQL, aby wskazać słabe punkty w swoim stanie bezpieczeństwa. Oto kilka strategii, które pomogą Ci zidentyfikować te luki:

• Szukaj wzorców w danych. Na przykład jeśli niektóre urządzenia często uruchamiają reguły ASR, mogą wymagać dodatkowych środków bezpieczeństwa.
• Porównuj wyniki audytów ASR w czasie. Takie porównanie pokaże, czy Twoje zabezpieczenia się poprawiają, czy pogarszają.
• Zastosuj zaawansowane zapytania KQL, aby dokładniej przeanalizować konkretne incydenty. Na przykład możesz uruchomić zapytanie w rodzaju DeviceEvents | where ActionType startswith 'Asr', aby uzyskać wnioski potrzebne do udoskonalenia zasad.

Aktywnie identyfikując luki w zabezpieczeniach, możesz podejmować proaktywne działania, które wzmocnią bezpieczeństwo organizacji i ograniczą ryzyko potencjalnych zagrożeń.

Najlepsze praktyki dla audytów ASR

Regularne harmonogramy audytów

Ustalenie regularnego harmonogramu audytów ma kluczowe znaczenie dla utrzymania skuteczności reguł redukcji powierzchni ataku. Audyty należy przeprowadzać co najmniej raz na kwartał. Taka częstotliwość pozwala być na bieżąco ze zmianami w krajobrazie zagrożeń. Oto kilka wskazówek dotyczących ustalania harmonogramu audytów:

• Wyznacz konkretne terminy: Wybierz określone dni każdego kwartału na przeprowadzenie audytów. Taka regularność pomaga pamiętać o zadaniu i nadawać mu priorytet.
• Zaangażuj zespół: Włącz zespół bezpieczeństwa w planowanie. Jego uwagi mogą pomóc wskazać najlepsze terminy audytów z uwzględnieniem obciążenia pracą i innych zobowiązań.
• Korzystaj z automatycznych przypomnień: Wykorzystaj narzędzia kalendarza, aby ustawić przypomnienia o nadchodzących audytach. Automatyzacja zmniejsza ryzyko pominięcia audytu.

Dokumentowanie ustaleń

Dokumentowanie ustaleń podczas audytów jest niezbędne do śledzenia postępów i identyfikowania trendów. Warto przygotować ustrukturyzowany format dokumentacji. Rozważ uwzględnienie następujących elementów:

• Data audytu: Zapisz, kiedy audyt się odbył.
• Podsumowanie ustaleń: Podsumuj kluczowe ustalenia, w tym wszystkie wyzwolone reguły redukcji powierzchni ataku.
• Rekomendacje: Przedstaw konkretne rekomendacje oparte na ustaleniach. Dzięki temu będziesz mógł szybko zająć się zidentyfikowanymi problemami.
• Działania następcze: Wypisz wymagane działania następcze i przypisz odpowiedzialność członkom zespołu.

Dzięki dokładnej dokumentacji tworzysz cenne źródło wiedzy na potrzeby przyszłych audytów. Pozwala ono porównywać wyniki w czasie i udoskonalać strategie bezpieczeństwa.

Strategie ciągłego doskonalenia

Ciągłe doskonalenie ma kluczowe znaczenie dla skutecznego audytowania. Regularnie przeglądaj swoje procesy audytowe i wprowadzaj zmiany, gdy zajdzie taka potrzeba. Oto kilka strategii, które pomogą Ci usprawnić audyty reguł ASR:

1. Analizuj trendy: Szukaj powtarzających się wzorców w wynikach audytów. Wykrywanie cyklicznych problemów pomoże Ci skupić się na obszarach wymagających poprawy.
2. Zbieraj opinie: Zachęcaj zespół do dzielenia się uwagami na temat procesu audytowego. Ich spostrzeżenia mogą prowadzić do cennych usprawnień.
3. Bądź na bieżąco: Śledź najnowsze zmiany w praktykach bezpieczeństwa i audytu. Uczestnicz w webinarach, czytaj artykuły i udzielaj się na forach, aby uczyć się od innych specjalistów w tej dziedzinie.
4. Testuj nowe podejścia: Nie wahaj się eksperymentować z nowymi technikami lub narzędziami audytowymi. Testowanie różnych metod może pokazać bardziej efektywne sposoby przeprowadzania audytów.

Wdrażając te najlepsze praktyki, możesz usprawnić audyty reguł ASR i wzmocnić ogólną postawę bezpieczeństwa. Regularne audyty, dokładna dokumentacja i zaangażowanie w ciągłe doskonalenie pomogą Ci wyprzedzać potencjalne zagrożenia.

Typowe wyzwania w audytach KQL

Rozwiązywanie problemów z zapytaniami KQL

Podczas pracy z KQL możesz napotkać problemy, które utrudniają postęp. Rozwiązywanie problemów z zapytaniami jest kluczowe dla skutecznych audytów. Oto kilka typowych problemów i sposobów ich rozwiązania:

• Błędy składni: Sprawdź, czy nie ma literówek lub niepoprawnej składni. KQL jest wrażliwy na formatowanie. Upewnij się, że używasz poprawnych operatorów i funkcji.
• Niezgodności typów danych: Upewnij się, że typy danych w zapytaniach odpowiadają typom oczekiwanym w bazie danych. Na przykład porównanie ciągu znaków z liczbą spowoduje błędy.
• Problemy z wydajnością: Jeśli zapytania działają wolno, rozważ ich optymalizację. Użyj funkcji summarize, aby ograniczyć ilość przetwarzanych danych. Ponadto filtruj dane możliwie najwcześniej w zapytaniu.

Wskazówka: Zawsze testuj zapytania na mniejszych fragmentach. Takie podejście pozwala skuteczniej wyizolować problemy.

Radzenie sobie z lukami w danych

Luki w danych mogą stanowić poważne wyzwanie podczas audytów. Brakujące lub niekompletne dane mogą prowadzić do błędnych wniosków. Oto strategie, które pomogą je zniwelować:

1. Regularne kontrole danych: Planuj regularne kontrole źródeł danych. Upewnij się, że wszystkie istotne strumienie danych działają poprawnie.
2. Wykorzystanie alertów: Skonfiguruj alerty dla krytycznych punktów danych. Dzięki temu szybko zareagujesz, gdy dane staną się niedostępne.
3. Weryfikacja krzyżowa: Porównuj dane z audytu z innymi źródłami. Ta praktyka pozwala wykrywać rozbieżności i uzupełniać brakujące informacje.

Proaktywne radzenie sobie z lukami w danych zwiększa wiarygodność danych audytowych. Ta wiarygodność jest kluczowa dla podejmowania świadomych decyzji dotyczących bezpieczeństwa.

Zapewnianie zgodności z regułami ASR

Zapewnienie zgodności z regułami ASR ma kluczowe znaczenie dla utrzymania bezpieczeństwa Twojej organizacji. Oto kroki, które możesz podjąć, aby zapewnić zgodność:

• Regularne audyty: Przeprowadzaj audyty często, aby sprawdzić, czy reguły ASR są poprawnie stosowane. Regularne kontrole pomagają wykrywać wszelkie odstępstwa od wymagań zgodności.
• Dokumentacja: Prowadź szczegółową ewidencję audytów. Dokumentowanie ustaleń i podjętych działań zapewnia odpowiedzialność i stanowi punkt odniesienia dla przyszłych audytów.
• Szkolenia: Zapewnij zespołowi szkolenia dotyczące reguł ASR i korzystania z KQL. Dobrze poinformowany zespół lepiej radzi sobie z utrzymaniem zgodności i reagowaniem na zagrożenia bezpieczeństwa.

Koncentrując się na tych obszarach, możesz wzmocnić działania na rzecz zgodności oraz ogólną strategię bezpieczeństwa.

Podsumowując, korzystanie z zaawansowanego KQL w audytach ASR znacząco usprawnia proces audytu bezpieczeństwa. Możesz uporządkować analizę i skuteczniej identyfikować luki w zabezpieczeniach. Oto najważniejsze wnioski:

Stosuj te techniki, aby stale usprawniać procesy audytu. Działaj proaktywnie, doskonaląc swoje mechanizmy bezpieczeństwa. Bezpieczeństwo Twojej organizacji od tego zależy! 🔒

Często zadawane pytania

Czym jest Advanced KQL?

Advanced KQL (Kusto Query Language) to zaawansowany język zapytań służący do analizy dużych zbiorów danych w Microsoft Defender. Pomaga efektywnie wyodrębniać wnioski z danych dotyczących bezpieczeństwa.

Jak zacząć korzystać z KQL?

Zacznij od otwarcia Microsoft Defender i zapoznania się z Kusto Query Explorer. Ćwicz pisanie prostych zapytań, aby lepiej poznać ten język.

Czy mogę zautomatyzować zapytania KQL?

Tak, zapytania KQL można zautomatyzować, korzystając z Azure Logic Apps lub Power Automate. Te narzędzia pozwalają planować zapytania i otrzymywać alerty na podstawie określonych warunków.

Jakie są typowe błędy w KQL?

Do typowych błędów należą pomyłki składniowe, niezgodność typów danych oraz problemy z wydajnością. Zawsze sprawdzaj strukturę zapytania i upewnij się, że typy danych odpowiadają oczekiwaniom.

Jak często powinienem przeprowadzać audyt reguł ASR?

Audyty ASR powinny odbywać się co najmniej raz na kwartał. Regularne audyty pozwalają być na bieżąco z poziomem bezpieczeństwa oraz zapewniają zgodność z regułami ASR.

Jakie narzędzia obsługują KQL?

Kluczowe narzędzia dla KQL to Kusto Query Explorer, Azure Data Explorer oraz portal Microsoft Defender. Zapewniają one środowisko do pisania i testowania zapytań.

Jak mogę podnieść swoje umiejętności w KQL?

Aby rozwijać umiejętności w KQL, ćwicz regularnie, uczestnicz w szkoleniach i udzielaj się na forach internetowych. Kontakt ze społecznością może dostarczyć cennych wskazówek i wniosków.

Korzystanie z advanced hunting i Defendera: zaawansowany KQL do audytów ASR

Czym jest „zaawansowany KQL do audytów ASR” i jak wpisuje się w advanced hunting?

Zaawansowany KQL do audytów ASR to zapytania w języku Kusto Query Language, przygotowane tak, aby ujawniać szczegółowe informacje o regułach Attack Surface Reduction (ASR) i ich zdarzeniach audytowych. W advanced hunting w Defenderze oraz w advanced hunting w Microsoft 365 Defender takie zapytania pomagają zespołom threat hunting i operatorom bezpieczeństwa wskazać urządzenia z regułami w trybie audytu, listy dotkniętych urządzeń, wdrożenia zasad przez Intune oraz potencjalnie złośliwą aktywność oznaczoną przez Microsoft Defender for Endpoint.

Jak sprawdzić, czy reguły ASR działają w trybie audytu, korzystając z zapytań wyszukiwania?

Użyj zapytań advanced hunting w Defenderze, aby pobrać raporty o regułach i zdarzenia audytowe pokazujące, które reguły są włączone oraz w jakim trybie działają (audyt lub blokowanie). Typowe zapytania KQL ujawniające szczegółowe informacje łączą raporty reguł ASR z tabelami urządzeń i zdarzeń, aby potwierdzić reguły z trybu audytu, wyświetlić zdarzenia z reguł z ostatnich 30 dni oraz zweryfikować wyniki audytu na różne sposoby, w tym poprzez porównanie z zasadami Intune i telemetrią Microsoft Defender XDR.

Czy mogę utworzyć niestandardowe wykrywanie zdarzeń ASR w Microsoft 365 Defender?

Tak — w Microsoft 365 Defender można tworzyć niestandardowe wykrywania i reguły wykrywania, korzystając z zapytań advanced hunting. Zapytania KQL ujawniające szczegółowe informacje o wektorach ataku i aktywności złośliwego oprogramowania pozwalają wdrożyć niestandardowe wykrywanie, które generuje alerty przy powtarzających się zdarzeniach reguł, wyjątkach lub podejrzanych zdarzeniach audytowych, na które Microsoft zaleca zwracanie uwagi. Następnie takie wykrycia można przekształcić w raporty reguł lub zautomatyzowane scenariusze reagowania.

Jak raportować aktywność ASR i generować raporty reguł ASR na potrzeby zgodności?

Wygeneruj raport o regułach redukcji powierzchni ataku oraz raporty reguł ASR, odpytując reguły wykrywania i tabele advanced hunting w Defenderze, a następnie eksportując zdarzenia z ostatnich 30 dni lub z dowolnie wybranego zakresu czasu. Skorzystaj z API lub wbudowanych funkcji raportowania w Microsoft 365, aby utworzyć pulpity pokazujące włączone reguły, reguły w trybie audytu, liczbę dotkniętych urządzeń oraz trendy przydatne do optymalizacji i zarządzania wdrażaniem reguł ASR w Intune oraz na urządzeniach lokalnych.

Jakie są typowe sposoby weryfikacji audytu i optymalizacji reguł ASR na podstawie wyników zapytań?

Różne sposoby weryfikacji audytu obejmują przeglądanie zdarzeń audytu, porównywanie reguł audytu na różnych urządzeniach, sprawdzanie zasad Intune i stanu wdrożenia oraz wyszukiwanie zagrożeń za pomocą zaawansowanych zapytań hunting, aby upewnić się, że tryb audytu nie przepuszcza złośliwych działań. Na podstawie wyników zdecyduj, czy przełączyć na tryb blokowania, dodaj wyłączenia tam, gdzie są potrzebne, i zoptymalizuj ASR, dostosowując standardowe reguły ochrony lub wdrażając dodatkowe reguły wykrywania.

Jak mogę wyszukiwać zagrożenia za pomocą zaawansowanego KQL w Defender XDR i Microsoft Sentinel?

Pisz zaawansowane zapytania hunting, które przechodzą między danymi Defender for Endpoint, danymi Microsoft Defender XDR i dziennikami Microsoft Sentinel. Koreluj zdarzenia audytu ASR z telemetrią punktów końcowych, wykryciami złośliwego oprogramowania i wskaźnikami sieciowymi, aby wychwycić podejrzane wzorce. Takie podejście umożliwia hunting zagrożeń i pomaga ustalić, czy zdarzenia audytu odpowiadają nieszkodliwemu oprogramowaniu, wymagają wyłączeń, czy wskazują na prawdziwe próby ataku wymagające szybkiej reakcji.

Co powinienem uwzględnić w zapytaniach, aby wskazać dotknięte urządzenia i szczegóły konkretnych reguł?

Uwzględnij w KQL pola takie jak DeviceId, DeviceName, Timestamp, ActionType, RuleId, RuleName i DetectionSource. Połącz raporty reguł ASR lub zdarzenia reguł z tabelami inwentarza urządzeń i rejestracji w Intune, aby uzyskać listy dotkniętych urządzeń, reguły włączone na każdym urządzeniu oraz informację, czy reguła działa w trybie audytu, czy blokowania. Takie KQL, zwracające szczegółowe informacje, ułatwia ustalanie priorytetów naprawy i aktualizację raportowania reguł.

Jak często powinienem uruchamiać zaawansowane zapytania hunting i jak daleko wstecz powinienem je wykonywać (na przykład 30 dni)?

Uruchamiaj zapytania hunting w sposób ciągły lub według harmonogramu odpowiedniego dla Twojego modelu zagrożeń; typowym punktem wyjścia jest analiza ostatnich 30 dni, aby wychwycić trendy i powtarzające się zdarzenia. Korzystaj z zaplanowanych zapytań w Microsoft 365 Defender lub z API, aby zautomatyzować raportowanie reguł, i dostosowuj zakresy czasu do potrzeb reagowania na incydenty lub podczas testowania reguł w trybie audytu, aby zebrać wystarczającą ilość telemetrii przed przełączeniem na tryb blokowania.

Jak wyłączenia i tryb blokowania wpływają na audyty ASR i co zapytania muszą uwzględniać?

Wyłączenia i tryb blokowania zmieniają działanie ASR: wyłączenia tłumią alerty dla znanych, nieszkodliwych aplikacji, a tryb blokowania wymusza zapobieganie. Zapytania hunting powinny uwzględniać wyłączenia, filtrując lub oznaczając wykluczone procesy, oraz zawierać pola wskazujące źródło zasad (Intune, zasady lokalne). Dzięki temu zdarzenia audytu są poprawnie interpretowane, a przejście z audytu na blokowanie nie powoduje nieoczekiwanego zakłócenia działania aplikacji krytycznych dla biznesu.

Gdzie mogę dowiedzieć się więcej o nauce KQL i tworzeniu skutecznych zaawansowanych zapytań hunting dla ASR?

Zacznij od modułów Microsoft Learn dotyczących zaawansowanego huntingu w Defender oraz zaawansowanego huntingu w Microsoft 365 Defender, a następnie ćwicz budowanie KQL zwracającego szczegółowe informacje, korzystając z przykładowych zbiorów danych i rzeczywistych zdarzeń reguł ASR. Połącz materiały z dokumentacji Microsoft Defender for Endpoint, wytycznych Microsoft Defender dotyczących redukcji powierzchni ataku oraz społecznościowych zapytań hunting, aby rozwinąć umiejętności w zakresie huntingu zagrożeń, raportowania reguł i skutecznego zarządzania regułami ASR.

Co powinienem zrobić, jeśli napotkam luki w danych?

Jeśli wykryjesz luki w danych, regularnie sprawdzaj swoje źródła danych. Skonfiguruj alerty dla krytycznych punktów danych, aby szybko reagować, gdy dane staną się niedostępne.