Habilitar a proteção de exploração

O Exploit protection ajuda a proteger contra malware que usa explorações para infectar dispositivos e se espalhar. O Exploit Protection consiste em uma série de mitigações que podem ser aplicadas ao sistema operacional ou a aplicativos individuais.

Este artigo descreve como habilitar e configurar mitigações de proteção de exploração usando o aplicativo Segurança do Windows, Microsoft Intune, MDM, Microsoft Configuration Manager, Política de Grupo ou PowerShell.

Muitos dos recursos do Kit de Ferramentas de Redução Aprimorada (EMET) estão incluídos na proteção contra abusos.

Pré-requisitos

As recomendações a seguir podem ajudá-lo a implantar com êxito a proteção contra exploração.

• Configurar a monitorização de falhas de aplicação (ID do Evento 1000 e/ou ID do Evento 1001) e/ou bloqueios (ID do Evento 1002)

• Ativar a recolha completa de informações de falha de sistema do modo de utilizador

• Verifique que aplicações já estão compiladas com o "Control Flow Guard" (CFG), que se concentra principalmente na mitigação de vulnerabilidades de danos na memória. Utilize a ferramenta dumpbin para ver se está compilada com o CFG. Para aplicativos já compilados com CFG, você pode ignorar a habilitação da imposição para DEP, ASLR, SEHOP e ACG.

• Use práticas de implantação seguras (SDP) para testar e distribuir gradualmente as alterações de proteção de exploração.

Práticas de implementação segura

Práticas de implementação segura (SDP): os processos e procedimentos de implementação seguros definem como efetuar e implementar alterações na carga de trabalho de forma segura. A implementação do SDP requer que pense nas implementações através da lente da gestão de riscos. Pode minimizar o risco de falhas de produtividade do utilizador final nas suas implementações e limitar os efeitos de implementações problemáticas nos seus utilizadores através da implementação do SDP.

Comece com um pequeno conjunto (por exemplo, 10 a 50) de dispositivos Windows e use esse grupo de dispositivos como seu ambiente de teste para ver quais das 21 mitigações são incompatíveis com a proteção de exploração. Remova as mitigações que não são compatíveis com a aplicação. Reiterar com as aplicações que está a direcionar. Depois que a política de proteção de exploração estiver pronta para produção, comece a implantá-la de forma mais ampla.

Comece por enviar primeiro para o Teste de Aceitação do Utilizador (UAT) composto por administradores de TI, Administradores de segurança e pessoal de suporte técnico. Em seguida, para 1%, 5%, 10%, 25%, 50%, 75% e, finalmente, para 100% do seu ambiente.

Habilitar mitigações de proteção de exploração

Você pode habilitar cada mitigação separadamente usando qualquer um dos seguintes métodos:

• O aplicativo Segurança do Windows
• Microsoft Intune
• Gerenciamento de dispositivos móveis (MDM)
• Microsoft Configuration Manager
• Política de grupo
• PowerShell

O Exploit Protection está configurado por padrão no Windows 10 e no Windows 11. Você pode definir cada mitigação como ativado, desativado ou com seu valor padrão. Algumas mitigações têm mais opções. Você pode exportar as configurações de mitigação de proteção de exploração como um arquivo XML e implantá-las em outros dispositivos.

Você também pode definir mitigações como modo de resposta. O modo de Auditoria permite testar como as mitigações funcionariam (e revisar eventos) sem afetar o uso normal do dispositivo.

Habilitar a proteção de exploração usando o aplicativo Segurança do Windows

Use as seguintes etapas para configurar mitigações de proteção de exploração no aplicativo Segurança do Windows:

1. Abra o aplicativo Segurança do Windows selecionando o ícone de escudo na barra de tarefas ou pesquisando menu Iniciar Segurança.

2. Selecione o controle de navegador e aplicação (ou o ícone do aplicativo na barra de menus à esquerda) e selecioneConfigurações do Exploit Protection.

3. Vá para Configurações de programa e escolha o aplicativo ao qual você deseja aplicar mitigações.

   • Se o aplicativo que você deseja configurar já estiver listado, escolha-o e selecione Editar.
   • Se a aplicação não estiver listada, na parte superior da lista, selecione Adicionar programa para personalizar e, em seguida, escolha como pretende adicionar a aplicação.
   • Use Adicione pelo nome do programa para que a mitigação seja aplicada a qualquer processo em execução com esse nome. Especifique um arquivo com sua extensão. Você pode inserir um caminho completo para limitar a mitigação apenas ao aplicativo com esse nome nesse local.
   • Use Escolha o caminho exato do arquivo para usar uma janela padrão do seletor de arquivos Windows Explorer para localizar e selecionar o arquivo desejado.

4. Depois de selecionar o aplicativo, você verá uma lista de todas as mitigações que podem ser aplicadas. Escolher Auditoria aplica a mitigação apenas no modo de auditoria. Será notificado se precisar de reiniciar o processo ou aplicação ou se precisar de reiniciar o Windows.

5. Repita as etapas 3 a 4 para todos os aplicativos e mitigações que você deseja configurar.

6. Na seção As configurações do sistema localize a mitigação que você deseja definir e especifique uma das configurações a seguir. Os aplicativos que não estão configurados individualmente na seção Configurações do programa usam as configurações definidas aqui.

   • Ativado por padrão: A mitigação está ativada para aplicativos que não têm essa mitigação definida na seção específica de Configurações de programa
   • Desativado por padrão: A mitigação está desabilitada para aplicativos que não tem essa mitigação definida na seção específica de Configurações de programa
   • Uso padrão: A mitigação está tanto habilitada quanto desabilitada, dependendo da configuração padrão que está configurada na instalação do Windows 10 ou Windows 11; o valor padrão (Ativado ou Desativado) está sempre especificado próximo ao rótulo de Uso padrão para cada atenuação

7. Repita a etapa 6 para todas as mitigações no nível do sistema que você deseja configurar. Selecione Aplicar quando terminar de configurar sua configuração.

Se adicionar uma aplicação à secção Definições do programa e configurar definições de mitigação individuais, estas serão honradas acima da configuração para as mesmas mitigações especificadas na secção Definições do sistema . A matriz e os exemplos a seguir ajudam a ilustrar como os padrões funcionam:

Exemplo 1: Marcos configura a Prevenção de Execução de Dados na seção de configurações do sistema como desativada por padrão

Marcos adiciona o aplicativo test.exe à seção de Configurações do programa. Nas opções para aquele aplicativo, na Prevenção de Execução de Dados(PED), Marcos ativa a opção de Substituir as definições de sistema e muda a opção para Ativada. Não há outros aplicativos listados na seção Configurações do programa.

O resultado é que o DEP é habilitado somente para test.exe. Todas as outras aplicações não terão o DEP aplicado.

Exemplo 2: Pedro configura a Prevenção de Execução de Dados nas configurações do sistema como desativadas por padrão

Pedro adiciona o aplicativo test.exe à seção de Configurações do aplicativo. Nas opções para esse aplicativo, na Prevenção de Execução de Dados (DEP), Pedro Habilita a opção Recuperar as configurações do sistema e define a opção para Ativa.

Pedro também adiciona o aplicativo miles.exe à seção de Configuração do aplicativo e configura a Guarda de fluxo de controla (GFC) para Ativado. Pedro não ativa a opção de Substituir as configurações do sistema para DEP ou quaisquer outras mitigações para este app.

O resultado é que o DEP está habilitado para test.exe. O DEP não será ativado para nenhuma outra aplicação, incluindo miles.exe. O CFG será habilitado para miles.exe.

1. Abra o aplicativo Segurança do Windows selecionando o ícone de escudo na barra de tarefas ou pesquisando o menu Iniciar para Segurança do Windows.

2. Selecione o bloco Controle e navegador da Web (ou o ícone na barra de menu a esquerda) e então selecione Explorar proteção.

3. Vá para Configurações de programa e escolha o aplicativo ao qual você deseja aplicar mitigações.

   • Se o aplicativo que você deseja configurar já estiver listado, escolha-o e selecione Editar.
   • Se a aplicação não estiver listada, na parte superior da lista, selecione Adicionar programa para personalizar e, em seguida, escolha como pretende adicionar a aplicação.
     
     • Use Adicione pelo nome do programa para que a mitigação seja aplicada a qualquer processo em execução com esse nome. Especifique um arquivo com uma extensão. Você pode inserir um caminho completo para limitar a mitigação apenas ao aplicativo com esse nome nesse local.
     • Use Escolha o caminho exato do arquivo para usar uma janela padrão do seletor de arquivos Windows Explorer para localizar e selecionar o arquivo desejado.

4. Depois de selecionar o aplicativo, você verá uma lista de todas as mitigações que podem ser aplicadas. Escolher Auditoria aplica a mitigação apenas no modo de auditoria. Será notificado se precisar de reiniciar o processo ou aplicação ou se precisar de reiniciar o Windows.

5. Repita as etapas 3 a 4 para todos os aplicativos e mitigações que você deseja configurar. Selecione Aplicar quando terminar de configurar sua configuração.

Habilitar a proteção contra exploração usando Microsoft Intune

Para configurar a proteção contra exploits através de uma política de redução da superfície de Ataque de Segurança de Ponto Final Microsoft Intune, consulte Criar uma política de segurança de ponto final (abre-se num novo separador na documentação do Intune). Ao criar a política, utilize estas definições:

• Tipo de política: Redução da superfície de ataque
• Plataforma: Windows 10, Windows 11 e Windows Server
• Perfil: Exploit Protection
• Definições de configuração: defina Definições do Exploit Protection como Configurado e, em seguida, navegue para e selecione o ficheiro XML de proteção contra exploits

Para obter mais informações sobre como criar um ficheiro XML de proteção contra exploits, veja Importar, exportar e implementar configurações de proteção contra exploits.

Para obter mais informações sobre as políticas de redução da superfície de ataque no Microsoft Intune, consulte Política de redução da superfície de ataque para segurança de pontos finais no Intune.

Habilitar a proteção de exploração usando o MDM

Use o CSP (provedor de serviços de configuração) ExploitGuard ExploitProtectionSettings para habilitar ou desabilitar mitigações de proteção de exploração ou usar o modo de auditoria.

Habilitar a proteção contra exploração usando Microsoft Configuration Manager

Você pode implantar a proteção de exploração por meio de Gerenciador de Configurações usando o nó segurança do ponto de extremidade ou o workspace Ativos e Conformidade.

Habilitar a proteção de exploração do nó segurança do ponto de extremidade

Para criar uma política de proteção de exploração no Microsoft Configuration Manager usando o nó segurança do ponto de extremidade, siga estas etapas:

1. Em Microsoft Configuration Manager, aceda aEndpoint Security Attack surface reduction (Redução da superfície do Ataque de Segurança > de Ponto Final).

2. Selecione CriarPlataforma de > e, em Perfil, selecione Exploit Protection. Selecione Criar.

3. Especifique um nome e uma descrição e escolha Avançar.

4. Escolha Selecione Arquivo XML e navegue até o local do arquivo XML de proteção contra exploração. Selecione o arquivo e escolha Avançar.

5. Configure Marcas de escopo e Atribuições se necessário.

6. Em Revisar e criar, analise suas definições de configuração e depois escolha Criar.

Habilitar a proteção de exploração do workspace Ativos e Conformidade

Para criar uma política de proteção de exploração no Microsoft Configuration Manager usando o workspace Ativos e Conformidade, siga estas etapas:

1. No Microsoft Configuration Manager, aceda a Ativos e Compatibilidade>Endpoint Protection>Windows Defender Exploit Guard.

2. Selecione Base>Criar Política do Exploit Guard.

3. Especifique um nome e uma descrição, seleciona Exploit protection, e escolha Avançar.

4. Navegue até o local do arquivo XML do Exploit Protection e selecione Avançar.

5. Examine as configurações e escolha Avançar para criar a política.

6. Depois que a política for criada, selecione Fechar.

Habilitar a proteção de exploração usando a Política de Grupo

Execute as seguintes etapas para configurar a proteção de exploração por meio da Política de Grupo:

1. No dispositivo de gestão Política de Grupo, abra a Consola de Gestão do Política de Grupo. Clique com o botão direito do rato no Objeto Política de Grupo que pretende configurar e selecione Editar.

2. No Editor de Gerenciamento de Política de Grupo, acesse Configuração do Computador e selecione Modelos Administrativos.

3. Expanda a árvore para componentes> doWindows Windows Defender Exploit Guard>Exploit Protection>Utilize um conjunto comum de definições de proteção contra exploits.

4. Selecione Habilitado e digite a localização do Arquivo XML, e depois escolha OK.

Habilitar a proteção de exploração usando o PowerShell

Você pode usar o verbo do PowerShell Get ou Set com o cmdlet ProcessMitigation. A utilização Get lista a configuração atual status de quaisquer mitigações ativadas no dispositivo. Para examinar as mitigações de proteção de exploração atualmente aplicadas a um aplicativo específico, adicione o -Name parâmetro e o executável do aplicativo:

Get-ProcessMitigation -Name processName.exe

Use Set para habilitar ou desabilitar uma ou mais mitigações de proteção de exploração no nível do sistema ou do aplicativo. A sintaxe geral é:

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Onde:

• <Âmbito>:
  • -Name para indicar que as mitigações devem ser aplicadas a um aplicativo específico. Especifique o executável do aplicativo após esse sinalizador.
    • -System para indicar que a mitigação deve ser aplicada no nível do sistema
• <Ação>:
  • -Enable para habilitar a mitigação
  • -Disable para desabilitar a mitigação
• <Mitigação>:
  • A mitigação do cmdlet juntamente com quaisquer subopções (entre espaços). Cada mitigação está separada por uma vírgula.

O exemplo a seguir habilita o DEP com a emulação de thunk da ATL e bloqueia a criação de processo filho para um aplicativo de linha de negócios chamado testing.exe na pasta C:\Apps\LOB\tests:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP, EmulateAtlThunks, DisallowChildProcessCreation

Para habilitar o DEP como uma mitigação em todo o sistema que se aplica a todos os processos, use o seguinte comando:

Set-Processmitigation -System -Enable DEP

Para desabilitar mitigações, você pode substituir -Enable por -Disable. No entanto, para mitigações no nível do aplicativo, substituir por -Enable-Disable força a mitigação a ser desabilitada somente para esse aplicativo.

Para remover uma substituição de DEP específica do aplicativo e restaurar a mitigação de volta para o padrão do sistema, inclua o -Remove cmdlet, conforme mostrado no exemplo a seguir:

Set-Processmitigation -Name test.exe -Remove -Disable DEP

As lista das tabelas a seguir, as Mitigações individuais (a Auditorias, quando disponíveis) a serem usadas com o -Enable ou -Disable parâmetros cmdlet.

[1]: Para habilitar a Exportação de Filtragem de Endereços Plus (EAF+) para um processo específico e limitar o monitoramento a DLLs selecionadas, use o seguinte formato:

Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll,dllName2.dll

[2]: A auditoria para esta mitigação não está disponível através de cmdlets do PowerShell.

Personalizar notificações de proteção de exploração

Para obter informações sobre como personalizar a notificação quando uma regra é disparada e um aplicativo ou arquivo é bloqueado, consulte Segurança do Windows.

Remover mitigações de proteção de exploração

Para redefinir (desfazer ou remover) mitigações de proteção de exploração, consulte Redefinir ou remover mitigações de proteção de exploração.

Confira também

• Avalar a proteção contra exploração
• Configurar e auditar as mitigações de proteção contra abusos
• Importar, exportar e implantar configurações da proteção de exploração