Descrição geral das regras de redução da superfície de ataque (ASR)

A superfície de ataque da sua organização inclui todos os locais onde um atacante pode obter acesso. Para obter mais informações, consulte Redução da superfície de ataque no Microsoft Defender para Ponto de Extremidade.

As regras de redução da superfície de ataque (ASR) no Microsoft Defender Antivírus visam o comportamento de software de risco em dispositivos Windows que os atacantes exploram frequentemente através de software maligno. Por exemplo:

• Iniciar ficheiros executáveis e scripts que tentam transferir ou executar ficheiros.
• Executar scripts ocultados ou não fidedignos.
• Criação de processos filhos a partir de aplicativos potencialmente vulneráveis (por exemplo, aplicativos do Office).
• Injetar código noutros processos.

Embora as aplicações legítimas também possam fazer estas coisas, os atacantes geralmente utilizam software maligno que se comporta da mesma forma.

Veja a seguinte série de artigos para planear, testar, implementar e monitorizar regras do ASR:

• Visão geral da implantação de regras ASR
  • Planear a implementação de regras do ASR
  • Teste as regras do ASR
  • Habilitar regras de RSA
  • Gerir e monitorizar regras do ASR

Regras do ASR

As regras do ASR são agrupadas nas seguintes categorias:

• Regras de proteção padrão oferecem benefícios significativos de segurança, por isso a Microsoft recomenda ativá-las no modo Bloqueio, sem a necessidade de testes extensivos. Normalmente, estas regras têm um efeito mínimo ou nenhum efeito percetível nos utilizadores, mas existem exceções:

  • Bloquear a persistência através da subscrição de eventos WMI: se utilizar Microsoft Configuration Manager para gerir dispositivos, não utilize outros métodos de implementação disponíveis (por exemplo, Política de Grupo ou PowerShell) para ativar esta regra no modo Bloquear ou Avisar no dispositivo sem testes extensivos no modo auditoria. O cliente Gerenciador de Configurações depende fortemente da WMI.
  • Bloquear o roubo de credenciais do subsistema da autoridade de segurança local do Windows: se tiver ativado a proteção da Autoridade de Segurança Local (LSA) (recomendado, juntamente com o Credential Guard), esta regra é redundante.

• Outras regras do ASR fornecem proteção importante, mas requerem testes no Modo de auditoria antes de as ativar no modo Bloquear ou Avisar , conforme descrito no guia de implementação Regras de redução da superfície de ataque.

As regras do ASR disponíveis, os respetivos valores GUID correspondentes e as respetivas categorias estão descritas na seguinte tabela:

• Os links nos nomes das regras levam a descrições detalhadas das regras no artigo de referência das regras de ASR.

• Para além das políticas de segurança de ponto final no Microsoft Intune e Microsoft Configuration Manager, todos os outros métodos de configuração de regras ASR identificam regras por valor GUID.

  Todas as diferenças de nome de regra do ASR entre Microsoft Intune e Microsoft Configuration Manager são descritas na tabela.

  Dica

  Microsoft Configuration Manager era anteriormente conhecido por outros nomes:

  • Microsoft System Center Configuration Manager: versão 1511 a 1906 (novembro de 2015 a julho de 2019)
  • Microsoft Endpoint Configuration Manager: versão 1910 a 2211 (dezembro de 2019 a dezembro de 2022)
  • Microsoft Configuration Manager: versão 2303 (abril de 2023) ou posterior

  Para obter informações de suporte e atualização, consulte Atualizações e manutenção para Gerenciador de Configurações.

Requisitos para regras ASR

As regras asr requerem Microsoft Defender Antivírus como a aplicação antivírus principal em dispositivos Windows:

• O Microsoft Defender Antivirus deve estar habilitado e no modo ativo. Especificamente, o Antivírus do Microsoft Defender não pode estar em nenhum dos seguintes modos:

  • Passivo
  • Modo Passivo com Detecção e Resposta de Ponto de Extremidade (EDR) no Modo de Bloqueio
  • Verificação periódica limitada (LPS)
  • Desligado

  Para obter mais informações sobre os modos no Antivírus do Microsoft Defender, veja How Microsoft Defender Antivirus affects Defender for Endpoint functionality (Como o Antivírus do Microsoft Defender afeta a funcionalidade do Defender para Endpoint).

• A proteção em tempo real no Antivírus Microsoft Defender tem de estar ativada.

• A proteção fornecida pela cloud (também conhecida como Serviço de Proteção Avançada da Microsoft ou MAPS) é fundamental para a funcionalidade de regras do ASR. A proteção da cloud melhora a proteção padrão em tempo real e é um componente crítico da prevenção de falhas de software maligno. Algumas regras de ASR têm especificamente requisitos de Proteção de Entrega na Nuvem para alertas de EDR (Detecção e Resposta de Ponto de Extremidade) no Defender para Ponto de Extremidade e pop-ups de notificação do usuário. Para obter detalhes, veja Alertas e notificações de ações de regras do ASR.

  Pelo mesmo motivo, o seu ambiente tem de permitir ligações ao serviço cloud do Antivírus Microsoft Defender.

• Microsoft Defender versões de componentes do Antivírus não têm de ter mais do que duas versões anteriores à versão mais atualmente disponível:

  • Versão de atualização da plataforma: atualizada mensalmente.
  • Versão MEngine: atualizada mensalmente.
  • Informações de segurança: a Microsoft atualiza continuamente as informações de segurança (também conhecidas como definições e assinaturas) para abordar as ameaças mais recentes e refinar a lógica de deteção.

  Manter as versões do Microsoft Defender Antivirus atualizadas ajuda a reduzir os falsos positivos das regras de ASR e melhora os recursos de detecção do Microsoft Defender Antivirus. Para obter mais informações sobre as versões atuais e como atualizar os diferentes componentes do Antivírus Microsoft Defender, veja Microsoft Defender Suporte da plataforma antivírus.

• Embora as regras do ASR não exijam Microsoft 365 E5, a Microsoft recomenda as capacidades de segurança do E5 ou subscrições equivalentes para tirar partido das seguintes capacidades de gestão avançadas:

  • Monitorização, análise e fluxos de trabalho no Defender para Endpoint.
  • Funcionalidades de relatórios e configuração no portal do Microsoft Defender XDR.

  As capacidades de gestão avançadas não estão disponíveis com outras licenças (por exemplo, Windows Professional ou Microsoft 365 E3). No entanto, você pode desenvolver suas próprias ferramentas de monitoramento e relatórios com base nos eventos de regra do ASR gerados no Visualizador de Eventos do Windows em cada dispositivo (por exemplo, Encaminhamento de Eventos do Windows).

  Para saber mais sobre o licenciamento do Windows, consulte Licenciamento do Windows e obtenha o Guia de Referência de Licenciamento em Volume da Microsoft.

Sistemas operativos suportados para regras ASR

As regras ASR são um recurso Microsoft Defender Antivírus disponível em qualquer edição de Windows que inclua Microsoft Defender Antivírus (por exemplo, Windows 11 Home). Você pode configurar regras ASR localmente em dispositivos individuais usando o PowerShell. Nas edições Pro e Enterprise , você também pode usar a Política de Grupo.

O gerenciamento, os relatórios e os alertas centralizados para regras de ASR no Microsoft Defender para Ponto de Extremidade estão disponíveis nas seguintes edições e versões do Windows:

• Edições Pro e Enterprise do Windows 10 ou posterior.
• Windows Server 2012 R2 ou versões posteriores.
• Azure Local (anteriormente conhecido como Azure Stack HCI) versão 23H2 ou posterior.

Para obter mais informações sobre o suporte do sistema operativo, veja Suporte do sistema operativo para regras ASR.

Modos para regras de ASR

Uma regra ASR pode estar num dos seguintes modos, conforme descrito na tabela seguinte:

A Microsoft recomenda o modo de bloqueio para as regras de proteção padrão e testes iniciais no modo de auditoria para outras regras de ASR antes de ativá-las no modo Bloqueio ou Aviso.

Muitas aplicações de linha de negócio são escritas com preocupações de segurança limitadas e podem agir de formas semelhantes a software maligno. Ao monitorizar os dados das regras do ASR no Modo de auditoria e ao adicionar exclusões para as aplicações necessárias, pode implementar regras ASR sem reduzir a produtividade.

Antes de ativar as regras do ASR no modo de Bloqueio , avalie os respetivos efeitos no Modo de auditoria e recomendações de segurança. Para obter mais informações, veja Testar regras ASR.

Métodos de implementação e configuração para regras ASR

O Microsoft Defender para Endpoint dá suporte a regras ASR, mas não inclui um método nativo para implantar configurações de regras ASR em dispositivos. Em vez disso, utilize uma ferramenta de gestão ou implementação separada para criar e distribuir políticas de regras ASR para dispositivos. Nem todos os métodos de implementação suportam todas as regras do ASR. Para obter detalhes por regra, veja Suporte do método de implementação para regras ASR.

A tabela seguinte resume os métodos disponíveis. Para obter instruções de configuração detalhadas, veja Configurar regras e exclusões de redução da superfície de ataque (ASR).

Exclusões de ficheiros e pastas para regras ASR

Pode excluir ficheiros e pastas específicos de serem avaliados pelas regras do ASR. Mesmo que uma regra ASR determine que o ficheiro ou pasta contém comportamento malicioso, não bloqueia a execução dos ficheiros excluídos.

Pode utilizar os seguintes métodos para excluir ficheiros e pastas das regras do ASR:

• Exclusões do antivírus Microsoft Defender: Nem todas as regras de ASR respeitam essas exclusões. Para obter mais informações sobre exclusões Microsoft Defender Antivírus, consulte Exclusões no Microsoft Defender Antivírus.

  Dica

  Todas as regras de ASR respeitam as exclusões de processo no Antivírus Microsoft Defender.

• Exclusões globais de regras ASR: estas exclusões aplicam-se a todas as regras do ASR. Todos os métodos de configuração de regras ASR também suportam a configuração de exclusões globais de regras ASR.

• Exclusões por regra de ASR: Atribua exclusões diferentes seletivamente a diferentes regras de ASR. Somente os métodos de configuração de regras ASR a seguir também dão suporte à configuração de exclusões para cada regra ASR:

  • Política de Grupo (e as definições de registo correspondentes)
  • Políticas de segurança de pontos finais no Microsoft Intune.
  • Políticas de segurança de endpoint no portal do Microsoft Defender

• Indicadores de comprometimento (IoCs): a maioria das regras do ASR honra os IoCs para ficheiros bloqueados e certificados bloqueados. Para obter mais informações sobre IoCs, consulte Visão geral dos indicadores no Microsoft Defender para Ponto de Extremidade.

A imposição de diferentes tipos de exclusões para regras ASR é resumida na seguinte tabela:

Quando adicionar exclusões, tenha estes pontos em mente:

• Os caminhos de exclusão podem utilizar variáveis de ambiente e carateres universais. Para obter mais informações, consulte Caracteres curinga nas exclusões do Microsoft Defender Antivírus.

  Dica

  Não use variáveis de ambiente de usuário como curingas em exclusões de pastas e processos. Utilize apenas os seguintes tipos de variáveis de ambiente como carateres universais:

  • Variáveis de ambiente do sistema.
  • Variáveis de ambiente que se aplicam a processos em execução como a conta NT AUTHORITY\SYSTEM.

  Para obter uma lista das variáveis de ambiente do sistema, veja Variáveis de ambiente do sistema.

  • Caracteres curinga não podem definir uma letra da unidade.
  • Para excluir mais do que uma pasta num caminho, utilize várias instâncias de \*\ para indicar múltiplas pastas aninhadas. Por exemplo, c:\Folder\*\*\Test.
  • Microsoft Configuration Manager suporta carateres universais (* ou ?).
  • Para excluir um ficheiro que contenha carateres aleatórios (por exemplo, da geração automatizada de ficheiros), utilize ? o símbolo . Por exemplo, C:\Folder\fileversion?.docx.

• As exclusões aplicam-se apenas quando a aplicação ou o serviço é iniciado. Por exemplo, se adicionar uma exclusão para um serviço de atualização que já está em execução, o serviço de atualização continua a acionar deteções de regras ASR até reiniciar o serviço.

Conflitos de políticas nas regras do ASR

Se lhe forem atribuídas duas políticas de regras ASR diferentes ao mesmo dispositivo, podem ocorrer potenciais conflitos com base nos seguintes elementos:

• Se as mesmas regras da ASR são atribuídas em modos diferentes.
• Se a gestão de conflitos está em vigor.
• Se o resultado é um erro.

As regras de ASR sem conflito não resultam em erros. A primeira regra é aplicada e as regras subsequentes não conformes são intercaladas na política.

Se uma solução de gerenciamento de dispositivos móveis (MDM) e uma Política de Grupo aplicarem configurações diferentes de regras ASR ao mesmo dispositivo, a Política de Grupo prevalece por padrão. Você pode mudar esse comportamento com a configuração CSP da Política MDMWinsOverGP, ou evitar o conflito completamente usando configuração controlada. Para mais informações, veja Como os conflitos de políticas são tratados.

Para obter informações sobre como os conflitos de definição de regras do ASR são processados para os métodos de implementação disponíveis no Microsoft Intune, veja Dispositivos geridos por Intune.

Notificações e alertas para regras ASR

Quando uma regra ASR no modo Bloquear ou Avisar é acionada num dispositivo, é apresentada uma notificação no dispositivo. Pode personalizar as informações nas notificações. Para obter mais informações, consulte Personalizar informações de contacto no Segurança do Windows.

Os alertas EDR (detecção e resposta de ponto de extremidade) no Defender para Ponto de Extremidade são gerados quando são acionadas regras de ASR compatíveis.

Para obter detalhes específicos sobre a funcionalidade de notificações e alertas, veja Alertas e notificações de ações de regras do ASR.

Para ver a atividade de alertas de ASR no portal do Microsoft Defender e em dispositivos no Visualizador de Eventos do Windows, consulte Monitorar a atividade das regras de redução da superfície de ataque (ASR).

Monitorar a atividade da regra ASR

Para obter informações completas, consulte Monitorar a atividade da regra de redução da superfície de ataque (ASR).

Conteúdo relacionado

• Guia de implantação de regras de redução de superfície de ataque (ASR)
• Planear a implementação de regras de redução da superfície de ataque (ASR)
• Teste a implantação de regras de redução da superfície de ataque (ASR)
• Habilitar as regras de redução da superfície de ataque (ASR)
• Gerir e monitorizar a implementação de regras de redução da superfície de ataque (ASR)
• Monitorizar a atividade da regra de redução da superfície de ataque (ASR)
• Relatório de regras de redução da superfície de ataque (ASR)
• Exclusões do Microsoft Defender para Ponto de Extremidade e do Microsoft Defender Antivírus