Creare indicatori per file

Gli indicatori di file impediscono un'ulteriore propagazione di un attacco nell'organizzazione vietando file potenzialmente dannosi o malware sospetto. Se si conosce un file eseguibile portatile (PE) potenzialmente dannoso, è possibile bloccarlo. Il blocco del file impedisce la lettura, la scrittura o l'esecuzione nei dispositivi dell'organizzazione.

È possibile creare indicatori per i file in tre modi:

• Creando un indicatore tramite la pagina delle impostazioni
• Creando un indicatore contestuale usando il pulsante aggiungi indicatore dalla pagina dei dettagli del file
• Creando un indicatore a livello di codice tramite l'API Indicatore

Prerequisiti

Prima di creare indicatori per i file, comprendere i prerequisiti seguenti:

• Abilitare il monitoraggio del comportamento
• Attivare la protezione basata sul cloud.
• Configurare la connettività di rete di protezione cloud

Sistemi operativi supportati

I sistemi operativi seguenti supportano gli indicatori di file:

• Windows 10, versione 1703 o successiva
• Windows 11
• Windows Server 2012 R2
• Windows Server 2016 o versioni successive
• Azure Stack HCI OS, versione 23H2 e versioni successive.

Prerequisiti di Windows

Prima di creare indicatori di file in Windows, assicurarsi che siano soddisfatti i requisiti seguenti:

• Questa funzionalità è disponibile se l'organizzazione usa Microsoft Defender Antivirus (in modalità attiva)
• La versione client antimalware deve essere 4.18.1901.x o successiva. Vedere Versioni mensili della piattaforma e del motore
• Il calcolo dell'hash dei file è abilitato impostando su Computer Configuration\Administrative Templates\Windows Components\Microsoft Defender Antivirus\MpEngine\Enable File Hash ComputationAbilitato. In alternativa, è possibile eseguire il comando di PowerShell seguente: Set-MpPreference -EnableFileHashComputation $true

Prerequisiti di macOS

Prima di creare indicatori di file in macOS, verificare i prerequisiti seguenti:

• La protezione in tempo reale deve essere attiva.
• Configurare il calcolo hash dei file in macOS. Esegui il comando seguente: mdatp config enable-file-hash-computation --value enabled

prerequisiti Linux

Prima di creare indicatori di file in Linux, assicurarsi che siano soddisfatti i prerequisiti seguenti:

• Disponibile in Defender for Endpoint versione 101.85.27 o versioni successive.
• Configurare il calcolo hash dei file in Linux nel portale di Microsoft Defender o nel codice JSON gestito
• È preferibile che il monitoraggio del comportamento sia abilitato, ma questa funzionalità funziona con qualsiasi altro tipo di scansione (RTP o personalizzata).

Creare un indicatore per i file dalla pagina delle impostazioni

Per creare un indicatore di file dalla pagina delle impostazioni, seguire questa procedura:

1. Nel riquadro di navigazione, selezionare Sistema>Impostazioni>Endpoint>Indicatori (sotto Regole).

2. Selezionare la scheda Hash dei file.

3. Selezionare Aggiungi elemento.

4. Specificare i dettagli seguenti:

   • Indicatore: specificare i dettagli dell'entità e definire la scadenza dell'indicatore.
   • Azione: specificare l'azione da intraprendere e specificare una descrizione.
   • Ambito: specificare l'ambito del gruppo di dispositivi (la definizione dell'ambito non è disponibile in Defender for Business).

5. Esaminare i dettagli nella scheda Riepilogo e quindi selezionare Salva.

Creare un indicatore contestuale dalla pagina dei dettagli del file

Una delle opzioni per l'esecuzione di azioni di risposta in un file è l'aggiunta di un indicatore per il file. Quando si aggiunge un hash indicatore per un file, è possibile scegliere di generare un avviso e bloccare il file ogni volta che un dispositivo dell'organizzazione tenta di eseguirlo.

I file bloccati automaticamente in base a un indicatore non verranno visualizzati nel Centro azioni dei file, ma gli avvisi saranno comunque visibili nella coda Avvisi.

File di blocchi

Per bloccare i file usando gli indicatori, completare il passaggio seguente:

1. Per iniziare a bloccare i file, attivare la funzionalità "blocca o consenti" in Impostazioni (nel portale di Microsoft Defender passare a Impostazioni>Endpoint>Funzionalità>generali> avanzateConsenti o blocca file).

Avvisi sulle azioni di blocco dei file (anteprima)

Le azioni attualmente supportate per gli IOC dei file sono consenti, controlla, blocca e correggi. Dopo aver scelto di bloccare un file, è possibile scegliere se attivare un avviso. Scegliendo se generare un avviso per l'evento di blocco, è possibile controllare il numero di avvisi inviati ai team delle operazioni di sicurezza e assicurarsi che vengano generati solo gli avvisi necessari.

1. Nel portale di Microsoft Defender passare a Impostazioni>Endpoint>Indicatori>Aggiungi nuovo hash file.

2. Scegliere di bloccare e correggere il file.

3. Specificare se generare un avviso per l'evento di blocco di file e definire le impostazioni degli avvisi:

   • Titolo dell'avviso
   • Gravità dell'avviso
   • Categoria
   • Descrizione
   • Azioni consigliate

   

   Importante

   • In genere, i blocchi di file vengono applicati e rimossi entro 15 minuti, in media 30 minuti, ma possono richiedere fino a 2 ore.
   • Se sono presenti criteri IoC di file in conflitto con lo stesso tipo di applicazione e lo stesso obiettivo, verrà applicato il criterio dell'hash più sicuro. Un criterio IoC basato sull'hash del file SHA-256 avrà la precedenza su un criterio IoC basato sull'hash del file SHA-1, che a sua volta avrà la precedenza su un criterio IoC basato sull'hash del file MD5 se i tipi di hash identificano lo stesso file. Questo è sempre vero indipendentemente dal gruppo di dispositivi.
   • Negli altri casi, se criteri IoC per i file in conflitto con la stessa destinazione di applicazione vengono applicati a tutti i dispositivi e al gruppo del dispositivo, per un dispositivo avrà la precedenza il criterio del gruppo del dispositivo.
   • Se i criteri di gruppo EnableFileHashComputation sono disabilitati, l'accuratezza del blocco del file IoC viene ridotta. Tuttavia, l'abilitazione EnableFileHashComputation può influire sulle prestazioni del dispositivo. Ad esempio, la copia di file di grandi dimensioni da una condivisione di rete nel dispositivo locale, in particolare tramite una connessione VPN, potrebbe avere un effetto sulle prestazioni del dispositivo. Per altre informazioni sui criteri di gruppo EnableFileHashComputation, vedere Defender CSP. Per altre informazioni sulla configurazione di questa funzionalità in Defender per endpoint in Linux e macOS, vedere Configurare la funzionalità di calcolo dell'hash dei file in Linux e Configurare la funzionalità di calcolo dell'hash dei file in macOS.

Funzionalità avanzate di ricerca (anteprima)

Attualmente in anteprima, è possibile interrogare l'attività delle azioni di risposta in Ricerca avanzata. Di seguito è riportata una query di ricerca avanzata di esempio:

search in (DeviceFileEvents, DeviceProcessEvents, DeviceEvents, DeviceRegistryEvents, DeviceNetworkEvents, DeviceImageLoadEvents, DeviceLogonEvents)
Timestamp > ago(30d)
| where AdditionalFields contains "EUS:Win32/CustomEnterpriseBlock!cl"

Per altre informazioni sulla ricerca avanzata, vedere Ricerca proattiva delle minacce con ricerca avanzata.

Di seguito sono riportati altri nomi di minaccia che possono essere usati nella query di esempio:

Files:

• EUS:Win32/CustomEnterpriseBlock!cl
• EUS:Win32/CustomEnterpriseNoAlertBlock!cl

Certificati:

• EUS:Win32/CustomCertEnterpriseBlock!cl

L'attività di azione di risposta può anche essere visualizzata nella sequenza temporale del dispositivo.

Gestione dei conflitti dei criteri

I conflitti di gestione dei criteri IoC di certificati e file seguono questo ordine:

1. Se il file non è consentito dai criteri di modalità di applicazione di Windows Defender Application Control e AppLocker, blocca.

2. In caso contrario, se il file è consentito dalle esclusioni dell'antivirus Microsoft Defender, quindi Consenti.

3. In caso contrario, se il file viene bloccato o segnalato da IoC di file di blocco o avviso, Blocca/Avvisa.

4. In caso contrario, se il file è bloccato da SmartScreen, blocca.

5. In caso contrario, se il file è consentito da un criterio IoC che ne autorizza l'esecuzione, allora Consenti.

6. In caso contrario, se il file è bloccato dalle regole di riduzione della superficie di attacco, dall'accesso controllato alle cartelle o dalla protezione antivirus, blocca.

7. In caso contrario, Consenti (passa il controllo delle applicazioni di Windows Defender & i criteri di AppLocker, non vi si applicano regole IoC).

Se sono presenti criteri IoC dei file in conflitto con lo stesso tipo di applicazione e lo stesso destinatario, viene applicato il criterio dell'hash più sicuro, ovvero quello più lungo. Ad esempio, un criterio IoC hash di file SHA-256 ha la precedenza su un criterio IoC hash del file MD5 se entrambi i tipi hash definiscono lo stesso file.

le funzionalità delle applicazioni vulnerabili del blocco di Gestione delle vulnerabilità di Microsoft Defender usano i file IoC per l'imposizione e seguono l'ordine di gestione dei conflitti dei criteri.

Esempi

Gli esempi seguenti illustrano come l'applicazione dei componenti interagisce con le azioni degli indicatori dei file:

Vedere anche

• Creare indicatori

• Creare indicatori per IP e URL/domini

• Creare indicatori in base ai certificati

• Gestire indicatori

• Esclusioni per Microsoft Defender per endpoint e Microsoft Defender Antivirus