Demonstrações de regras de redução da superfície de ataque

Este artigo fornece ficheiros de teste, scripts e procedimentos para demonstrar regras de redução da superfície de ataque (ASR) no Microsoft Defender para Ponto de Extremidade.

As regras ASR visam o comportamento de software de risco em dispositivos Windows que os atacantes exploram frequentemente através de software maligno (por exemplo, iniciar scripts que transferem ficheiros, executar scripts ocultados e injetar código noutros processos). Para obter mais informações sobre as regras do ASR, veja Descrição geral das regras de redução da superfície de ataque (ASR).

Pré-requisitos

• Windows 10 versão 1709 (outubro de 2017) ou posterior.
• Windows Server 2012 R2 ou versões posteriores.
  • Windows Server 2012 R2 e Windows Server 2016 requerem a Funcionalidade na solução unificada moderna.
• Azure Local (anteriormente conhecido como Azure Stack hyper-converged infrastructure (HCI)) SO versão 23H2 ou posterior.
• Transferir e extrair os scripts do PowerShell de redução da superfície de ataque

Comandos do PowerShell

Para ativar todas as regras do ASR disponíveis, execute o seguinte comando numa janela elevada do PowerShell (uma janela do PowerShell que abriu depois de selecionar Executar como administrador):

Add-MpPreference -AttackSurfaceReductionRules_Ids 01443614-cd74-433a-b99e-2ecdc07bfc25,33ddedf1-c6e0-47cb-833e-de6133960387,3b576869-a4ec-4529-8536-b80a7769e899,56a863a9-875e-4185-98a7-b882c64b5ce5,5beb7efe-fd9a-4556-801d-275e5ffc04cc,75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84,92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b,9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2,a8f5898e-1dc8-49a9-9878-85004b8a61e6,b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4,be9ba2d9-53ea-4cdc-84e5-9b1eeee46550,c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb,c1db55ab-c21a-4637-bb3f-a12568109d35,d1e49aac-8f56-4280-b9ba-993a6d77406c,d3e037e1-3eb8-44c8-a917-57927947596d,d4f940ab-401b-4efc-aadc-ad5f3c50688a,e6db77e5-3df2-4cf1-b95a-636979351e5b,26190899-1602-49e8-8b27-eb1d0a1ce869,7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c -AttackSurfaceReductionRules_Actions Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,AuditMode,AuditMode

Os nomes das regras do ASR e os valores GUID associados estão listados na secção Ficheiros de teste .

Verificar a configuração

Para verificar o estado das regras do ASR, execute o seguinte comando numa janela elevada do PowerShell:

$p = Get-MpPreference

$ids     = @($p.AttackSurfaceReductionRules_Ids)
$actions = @($p.AttackSurfaceReductionRules_Actions)

for ($i = 0; $i -lt [Math]::Min($ids.Count, $actions.Count); $i++) {
    [pscustomobject]@{
        RuleId = $ids[$i]
        Action = $actions[$i]
    }
}

Os estados de regras disponíveis estão descritos na tabela seguinte:

Testar ficheiros

A tabela seguinte associa os nomes das regras ASR aos valores GUID correspondentes.

Cenários

Configurar

1. Execute o seguinte comando numa janela elevada do PowerShell para definir a política de execução como Unrestricted:

   Set-ExecutionPolicy Unrestricted
   

2. Transfira, extraia e execute este script de configuração.

   Em alternativa, pode efetuar os seguintes passos manuais:

   1. Crie a pasta C:\Demo.
   2. Guarde este ficheiro limpo em C:\Demo.
   3. Ative todas as regras com o comando do PowerShell.

Cenário 1: a redução da superfície de ataque bloqueia um ficheiro de teste com múltiplas vulnerabilidades

1. Ative todas as regras no Modo de bloqueio com o comando do PowerShell.
2. Transfira e abra os ficheiros/documentos de teste. Se lhe for pedido, ative a edição e o conteúdo.

Resultado esperado:

Deverá ver imediatamente uma notificação "Ação bloqueada".

Cenário 2: a regra ASR bloqueia o ficheiro de teste com a vulnerabilidade correspondente

1. Configure a regra individual que pretende testar. Por exemplo, para ativar a regra Bloquear todas as aplicações do Office de criar processos subordinados , execute o seguinte comando numa janela elevada do PowerShell:

   Add-MpPreference -AttackSurfaceReductionRules_Ids d4f940ab-401b-4efc-aadc-ad5f3c50688a -AttackSurfaceReductionRules_Actions Enabled
   

2. Transfira e abra o ficheiro/documento de teste da regra que pretende testar. Se lhe for pedido, ative a edição e o conteúdo. Por exemplo:

   Bloquear a criação de processos subordinados em todas as aplicações do Office

Resultado esperado:

Deverá ver imediatamente uma notificação "Ação bloqueada".

Cenário 3: A regra ASR bloqueia a execução de ficheiros não fidedignos a partir de unidades USB

1. Ative a opção Bloquear processos não fidedignos e não assinados que são executados a partir da regra ASR USB ao executar o seguinte comando numa janela elevada do PowerShell:

   Add-MpPreference -AttackSurfaceReductionRules_Ids b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4 -AttackSurfaceReductionRules_Actions Enabled
   

2. Transfira o seguinte ficheiro para uma pen USB (diretamente ou copie-o para a pen USB depois de o transferir para outro local):

   Bloquear a Execução de executáveis não fidedignos ou não assinados dentro de suportes de dados USB amovíveis

3. Execute o ficheiro a partir da pen USB.

Resultado esperado:

Deverá ver imediatamente uma notificação "Ação bloqueada".

Cenário 4: O que aconteceria sem a redução da superfície de ataque

1. Desative todas as regras de redução da superfície de ataque com o comando do PowerShell na secção Limpeza .

2. Transfira qualquer ficheiro/documento de teste. Se lhe for pedido, ative a edição e o conteúdo.

Resultado esperado:

• Os ficheiros em C:\Demo estão encriptados e deverá receber uma mensagem de aviso.
• Execute novamente o ficheiro de teste para desencriptar os ficheiros.

Limpar

Transfira, extraia e execute este script de limpo.

Em alternativa, pode executar o seguinte comando numa janela elevada do PowerShell para desativar todas as regras do ASR:

Add-MpPreference -AttackSurfaceReductionRules_Ids 01443614-cd74-433a-b99e-2ecdc07bfc25,33ddedf1-c6e0-47cb-833e-de6133960387,3b576869-a4ec-4529-8536-b80a7769e899,56a863a9-875e-4185-98a7-b882c64b5ce5,5beb7efe-fd9a-4556-801d-275e5ffc04cc,75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84,92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b,9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2,a8f5898e-1dc8-49a9-9878-85004b8a61e6,b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4,be9ba2d9-53ea-4cdc-84e5-9b1eeee46550,c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb,c1db55ab-c21a-4637-bb3f-a12568109d35,d1e49aac-8f56-4280-b9ba-993a6d77406c,d3e037e1-3eb8-44c8-a917-57927947596d,d4f940ab-401b-4efc-aadc-ad5f3c50688a,e6db77e5-3df2-4cf1-b95a-636979351e5b,26190899-1602-49e8-8b27-eb1d0a1ce869,7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c -AttackSurfaceReductionRules_Actions Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled

Limpe a encriptação C:\Demo ao executar o ficheiro encriptar/desencriptar.

Conteúdo relacionado

• Descrição geral das regras de redução da superfície de ataque (ASR)
• Guia de implantação de regras de redução de superfície de ataque (ASR)
• Microsoft Defender para Ponto de Extremidade - cenários de demonstração