Abilita la distribuzione delle tue regole di riduzione della superficie di attacco (ASR)

  • Si applica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Questo articolo fa parte della guida alla distribuzione delle regole di riduzione della superficie di attacco (ASR).

Dopo aver testato le regole asr in modalità di controllo, passarle alla modalità Blocca o Avvisa , a partire dal primo anello di distribuzione. Questo articolo illustra come spostare le regole asr dal controllo alla modalità Blocca o Avvisa nel primo circuito di distribuzione e quindi ampliare in modo sicuro la distribuzione tra anelli aggiuntivi.

Diagramma dei passaggi necessari per implementare le regole ASR: transizione dalla modalità Audit alla modalità Blocco, quindi estensione ad anelli aggiuntivi.

Passaggio 1: Eseguire il passaggio di ASR dalla modalità Audit alla modalità Block

Seguire questa procedura per eseguire la transizione delle regole ASR dalla modalità di controllo alla modalità Blocca o Avvisa per il primo anello di distribuzione.

  1. Dopo aver determinato tutte le esclusioni necessarie per le regole in modalità di controllo , iniziare a impostare alcune regole sulla modalità Blocca o Avvisa . Iniziare con la regola con il minor numero di eventi attivati. Per istruzioni, vedere Configurare le regole di riduzione della superficie di attacco (ASR) e le esclusioni.

  2. Esamina l'attività delle regole ASR. Esaminare anche i commenti e suggerimenti dei campioni.

  3. Perfezionare le esclusioni o creare nuove esclusioni in base alle esigenze.

Consiglio

Le esclusioni delle regole sono migliori rispetto alla disattivazione delle regole o al passaggio alla modalità di controllo .

Sfruttare la modalità Avvisa nelle regole disponibili per limitare le interruzioni. La modalità di avviso consente di acquisire eventi attivati e visualizzare potenziali interruzioni senza bloccare effettivamente l'accesso degli utenti (possono fare clic tramite la notifica di avviso). Per altre informazioni, vedi modalità delle regole ASR.

Passaggio 2: Espandere la distribuzione all'anello n + 1

Quando si è certi di aver configurato correttamente le regole asr per l'anello 1, è possibile estendere l'ambito della distribuzione all'anello successivo (anello n + 1).

Il processo di distribuzione per ogni anello successivo è:

  1. Abilita le regole ASR in modalità Audit.

  2. Esamina l'attività delle regole ASR.

  3. Creare esclusioni in base alle esigenze.

  4. Esamina l'attività delle regole ASR e ottimizza le esclusioni.

  5. Impostare le regole su Modalità blocco .

  6. Esamina l'attività delle regole ASR.

  7. Creare esclusioni in base alle esigenze.

  8. Disabilitare le regole problematiche o tornare alla modalità di controllo .

Contenuto correlato

  • Last updated on