Microsoft 以外の HIPS から攻撃面の縮小ルールへの移行

  • 適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

この記事では、一般的なルールをMicrosoft Defender for Endpointにマップするのに役立ちます。 ASR ルールの詳細については、「 攻撃面の縮小 (ASR) ルールの概要」を参照してください。

Microsoft HIPS 以外の製品から攻撃面の縮小ルールに移行するときのシナリオ

特定のファイルの作成をブロックする

  • 適用対象: すべてのプロセス
  • プロセス: N/A
  • 操作: ファイルの作成
  • Files/フォルダー、レジストリ キー/値、プロセス、またはサービスの例:
    • .jaff
    • .krab
    • .locky
    • .lukitus
    • .odin
    • .wnry
    • .zepto
  • 攻撃面の縮小ルール:
    • ASR ルールは、侵害のインジケーター (IOC) ではなく、攻撃手法をブロックします。
    • 特定のファイル拡張子をブロックすることは、デバイスの侵害を防ぐことがないため、常に役立つわけではありません。 攻撃者がペイロードの新しい種類の拡張機能を作成するまで、攻撃を部分的に阻止するだけです。
  • その他の推奨機能:
    • Microsoft では、ウイルス対策、クラウド保護、動作ブロックMicrosoft Defender有効にすることを強くお勧めします。
    • Microsoft では、ランサムウェア攻撃に対するより高いレベルの保護を提供する、ASR ルール 「 ランサムウェアに対する高度な保護を使用 する (c1db55ab-c21a-4637-bb3f-a12568109d35)」などの他の防止対策を推奨しています。
    • Microsoft Defender for Endpointは、特定のアラートをトリガーする自動開始拡張機能ポイント (ASEP) 手法など、これらのレジストリ キーの多くを監視します。 使用されるレジストリ キーには、最小限のローカル 管理または信頼されたインストーラー特権が必要です。 Microsoft では、最小限の管理アカウントまたは権限を持つロックダウン環境を使用することをお勧めします。 セキュリティに関するより広範な推奨事項の一部として SeDebugPrivilege を無効にするなど、他のシステム構成を有効にすることができます。

特定のレジストリ キーの作成をブロックする

  • 適用対象: すべてのプロセス
  • プロセス: N/A
  • 操作: レジストリの変更
  • Files/フォルダー、レジストリ キー/値、プロセス、またはサービスの例:
    • HKCU\Environment\UserInitMprLogonScript
    • HKCU\Software\Microsoft\HtmlHelp Author\location
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs*\StartExe
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*\Debugger
    • HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit*\MonitorProcess
  • 攻撃面の縮小ルール:
    • ASR ルールは、侵害のインジケーター (IOC) ではなく、攻撃手法をブロックします。
    • 特定のファイル拡張子をブロックすることは、デバイスの侵害を防ぐことがないため、常に役立つわけではありません。 攻撃者がペイロードの新しい種類の拡張機能を作成するまで、攻撃を部分的に阻止するだけです。
  • その他の推奨機能:
    • Microsoft では、ウイルス対策、クラウド保護、動作ブロックMicrosoft Defender有効にすることを強くお勧めします。
    • Microsoft では、ランサムウェア攻撃に対するより高いレベルの保護を提供する、 ランサムウェアに対する高度な保護 (c1db55ab-c21a-4637-bb3f-a12568109d35) を使用する ASR ルールなど、その他の防止対策をお勧めします。
    • Microsoft Defender for Endpointは、特定のアラートをトリガーする自動開始拡張機能ポイント (ASEP) 手法など、これらのレジストリ キーの多くを監視します。 使用されるレジストリ キーには、最小限のローカル 管理または信頼されたインストーラー特権が必要です。 Microsoft では、最小限の管理アカウントまたは権限を持つロックダウン環境を使用することをお勧めします。 セキュリティに関するより広範な推奨事項の一部として SeDebugPrivilege を無効にするなど、他のシステム構成を有効にすることができます。

信頼されていないプログラムがリムーバブル ドライブから実行されないようにブロックする

Mshta が特定の子プロセスを起動できないようにブロックする

  • 適用対象: Mshta
  • プロセス:
    • mshta.exe
  • 操作: プロセスの実行
  • Files/フォルダー、レジストリ キー/値、プロセス、またはサービスの例:
    • cmd.exe
    • powershell.exe
    • regsvr32.exe
  • 攻撃面の縮小ルール: 子プロセスの mshta.exe を防ぐための特定の ASR 規則はありません。 この種類のコントロールは、 Windows のエクスプロイト保護 または アプリケーションコントロールで使用できます。
  • その他の推奨機能:
    • アプリケーション制御を有効にして、mshta.exe がまったく実行されないようにします。 organizationで基幹業務アプリの mshta.exeが必要な場合は、mshta.exe が子プロセスを起動できないように特定のエクスプロイト保護規則を構成します。

子プロセスの起動から Outlook をブロックする

  • 適用対象: Outlook
  • プロセス:
    • outlook.exe
  • 操作: プロセスの実行
  • Files/フォルダー、レジストリ キー/値、プロセス、またはサービスの例:
    • powershell.exe
  • 攻撃面の縮小ルール:
  • その他の推奨機能:

Office アプリが子プロセスを起動できないようにブロックする

  • 適用対象: Office
  • プロセス:
    • excel.exe
    • powerpnt.exe
    • winword.exe
  • 操作: プロセスの実行
  • Files/フォルダー、レジストリ キー/値、プロセス、またはサービスの例:
    • EQNEDT32.EXE
    • cmd.exe
    • mshta.exe
    • powershell.exe
    • regsrv32.exe
    • wscript.exe
  • 攻撃面の縮小ルール:
  • その他の推奨機能: N/A

Office アプリによる実行可能コンテンツの作成をブロックする

  • 適用対象: Office
  • プロセス:
    • winword.exe
    • powerpnt.exe
    • excel.exe
  • 操作: ファイルの作成
  • Files/フォルダー、レジストリ キー/値、プロセス、またはサービスの例:
    • C:\ProgramData**.com
    • C:\ProgramData**.exe
    • C:\ProgramData**.scf
    • C:\Users*AppData\Local\Temp**.com
    • C:\Users*\AppData**.exe
    • C:\Users*\AppData**.scf
    • C:\Users*\Desktop**.exe
    • C:\Users*\Downloads**.exe
    • C:\Users\Public**.exe
  • 攻撃面の縮小ルール:

特定の種類のファイルの読み取りから Wscript をブロックする

子プロセスの起動をブロックする

  • 適用対象: Adobe Acrobat
  • プロセス:
    • AcroRd32.exe
    • Acrobat.exe
  • 操作: プロセスの実行
  • Files/フォルダー、レジストリ キー/値、プロセス、またはサービスの例:
    • cmd.exe
    • powershell.exe
    • wscript.exe
  • 攻撃面の縮小ルール:
  • その他の推奨機能: N/A

実行可能コンテンツのダウンロードまたは作成をブロックする

  • 適用対象: CertUtil
  • プロセス:
    • certutil.exe
  • 操作: ファイルの作成
  • Files/フォルダー、レジストリ キー/値、プロセス、またはサービスの例:
    • *.exe
  • 攻撃面の縮小ルール:
    • ASR ルールは、これらのシナリオをサポートしていません。これは、Microsoft Defenderウイルス対策保護に含まれているためです。
  • その他の推奨機能:
    • Microsoft Defenderウイルス対策では、CertUtil が実行可能なコンテンツを作成またはダウンロードできなくなります。

重要なシステム コンポーネントの停止からプロセスをブロックする

特定の起動プロセスの試行をブロックする

  • 適用対象: 特定のプロセス
  • プロセス: 特定のプロセス
  • 操作: プロセスの実行
  • Files/フォルダー、レジストリ キー/値、プロセス、またはサービスの例:
    • tor.exe
    • bittorrent.exe
    • cmd.exe
    • powershell.exe
    • その他
  • 攻撃面の縮小ルール:
    • 全体的に、ASR ルールはアプリケーション マネージャーとして機能するように設計されていません。
  • その他の推奨機能:

Microsoft Defenderウイルス対策構成に対する未承認の変更をブロックする

  • 適用対象: すべてのプロセス
  • プロセス:
    • *
  • 操作: レジストリの変更
  • Files/フォルダー、レジストリ キー/値、プロセス、またはサービスの例:
    • HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\DisableAntiSpyware
    • HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Policy Manager\AllowRealTimeMonitoring
    • その他
  • 攻撃面の縮小ルール: ASR ルールは、組み込みの保護Microsoft Defender for Endpoint含まれているため、これらのシナリオをサポートしていません。
  • その他の推奨機能:
    • Microsoft Defender for Endpointの改ざん防止は、Microsoft Defenderウイルス対策に関連付けられているレジストリ キーに対する未承認の変更を防ぎます。 例:
    • DisableAntiVirus
    • DisableAntiSpyware
    • DisableRealtimeMonitoring
    • DisableOnAccessProtection
    • DisableBehaviorMonitoring
    • DisableIOAVProtection
    • その他

関連コンテンツ

  • Last updated on