Ativar a implementação das regras de redução da superfície de ataque (ASR)

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Este artigo faz parte do Guia de implementação das regras de redução da superfície de ataque (ASR).

Depois de testar as regras do ASR no modo de Auditoria, passe-as para Bloquear ou Avisar, começando pelo seu primeiro anel de implementação. Este artigo aborda como mover as regras ASR do modo Auditoria para o modo Bloquear ou Avisar no seu primeiro anel de implantação, e depois alargar de forma segura a sua implementação através de anéis adicionais.

Diagrama dos passos para implementar regras ASR: transição de Auditoria para Modo de bloqueio e, em seguida, expandir para anéis adicionais.

Passo 1: Transitar o ASR de Auditoria para Bloqueio

Efetue os seguintes passos para mudar as regras ASR do modo de Auditoria para o modo de Bloqueio ou de Aviso no seu primeiro anel de implementação.

  1. Depois de determinar todas as exclusões necessárias para as regras no modo de Auditoria, comece a definir algumas regras no modo Bloquear ou Avisar. Comece com a regra com o menor número de eventos acionados. Para obter instruções, veja Configurar regras e exclusões de redução da superfície de ataque (ASR).

  2. Reveja a atividade da regra ASR. Reveja também o feedback dos seus campeões.

  3. Refine exclusões ou crie novas exclusões conforme necessário.

Sugestão

As exclusões de regras são preferíveis a desativar regras ou a voltar a colocá-las no modo Auditoria.

Tire partido do modo Aviso nas regras disponíveis para limitar as interrupções. O modo de aviso permite-lhe capturar eventos acionados e ver potenciais interrupções sem realmente bloquear o acesso do utilizador (podem clicar na notificação de aviso). Para obter mais informações, veja Modos de regras ASR.

Passo 2: Expanda a implementação para o anel n + 1

Quando tiver a certeza de que configurou corretamente as regras ASR para o anel 1, pode alargar o âmbito da sua implementação ao anel seguinte (anel n + 1).

O processo de implantação para cada anel seguinte é:

  1. Ative as regras do ASR no Modo de auditoria .

  2. Reveja a atividade da regra ASR.

  3. Crie exclusões conforme necessário.

  4. Reveja a atividade da regra ASR e ajuste as exclusões.

  5. Defina as regras para o modo Bloqueio.

  6. Reveja a atividade da regra ASR.

  7. Crie exclusões conforme necessário.

  8. Desative as regras problemáticas ou mude-as novamente para o Modo de auditoria .

Conteúdos relacionados

  • Last updated on