כיצד למנוע פרצות ב-Windows 11 באמצעות הגנה מפני פרצות והקשחתם

החדשות הטובות הן ש-Windows 11 כולל ארסנל של תכונות אבטחה מתקדמות (רבות מהן ירשו ושופרו מ-EMET הישן) ושילובן עם אסטרטגיית הקשחה טובה מאפשרות... להפחית באופן משמעותי את משטח ההתקפה ולעצור אפילו פרצות יום אפס.בשורות הבאות תראו, שלב אחר שלב, כיצד למנוע פרצות ב-Windows 11 על ידי ניצול מיטבי של Exploit Protection, Microsoft Defender, בקרות גישה, sandboxing, הקשחת מערכת ושיטות ניהול נאותות.

מהי הגנה מפני ניצול לרעה ב-Windows 11 ולמה זה חשוב?

ב-Windows 11, מה שנקרא הגנה מפני ניצול לרעה זוהי קבוצה של אמצעי הפחתה המיושמים הן על מערכת ההפעלה עצמה והן על תוכניות ספציפיות. מטרתה להקשות ככל האפשר על תוכנות זדוניות יכולים לנצל פגמי אבטחה, לפגוע בזיכרון או להחדיר קוד לתהליכים לגיטימיים.

רבות מהיכולות שהוצעו בעבר על ידי EMET משולבות כעת באופן טבעי ב-Windows, כך אין עוד צורך להתקין כלים חיצוניים כדי להפעיל אמצעי הפחתה ברמה גבוההיתר על כן, ניתן לשלב אותם עם פתרונות כגון Microsoft Defender for Endpoint כדי לספק נראות מפורטת של האירועים, הבלוקים והביקורות שנוצרו על ידי הגנות אלו.

ניתן להגדיר הגנה מפני ניצול לרעה בשני תחומים עיקריים: הפחתות ברמת המערכת (אשר משפיעים על כל התהליכים שאין להם תצורה ספציפית) ו- הפחתות לפי יישום (תצורות מכווננות עדינות עבור קבצי הרצה ספציפיים). יתר על כן, רבות מההפחתות הללו תומכות מצב ביקורת, אידיאלי לבדיקת מדיניות אגרסיבית מבלי לשבש את סביבת הייצור.

דרישות מוקדמות ושיטות עבודה מומלצות לפריסת אמצעי הפחתה

לפני שאתם מתחילים להפעיל אמצעי הפחתה באופן אקראי, חשוב מאוד להכין את הסביבה שלכם כראוי. תצורה לקויה עלולה להוביל לקריסות, אי תאימות או אובדן פרודוקטיביות, לכן מומלץ לעשות זאת. התייחסו לפריסת הגנה מפני ניצול לרעה כפרויקט ניהול סיכונים.

הצעד הראשון הוא לאפשר מערכת ניטור חזקה: הגדר רישום אירועים עם auditpol ו-wevtutil כדי שיוכל לאסוף את שגיאות יישום (ID 1000 ו-1001) וקריסות מערכת (ID 1002)זה יעזור לך לקבוע אם שינויים כלשהם בתהליכי הפחתה גורמים לבעיות בתוכניות ספציפיות.

זה גם מאוד שימושי להפעיל את גיוס מחדש של זריקות זיכרון משתמש מלאקבצי dump אלה מאפשרים לצוותי אבטחה או תמיכה לנתח בפירוט מדוע תהליך קורס לאחר הפעלת אמצעי הפחתה ספציפי, ובמקרים רבים להסתמך על כלים כגון האקר תהליכים למחקר.

צעד חכם נוסף הוא לבדוק אילו יישומים קריטיים כבר עוברים קומפילציה עם טכנולוגיות מודרניות כגון בקרת זרימת הגנה (CFG)מתמקד במניעת פרצות שפוגעות בזיכרון. ניתן להשתמש בכלי dumpbin כדי לבדוק אם קובץ בינארי כולל CFG. ברבים מאלה אפליקציות, לא יהיה צורך לאכוף הקלות נוספות כגון DEP, ASLR, SEHOP או ACGכי הם כבר מגיעים עם הגנות סטנדרטיות.

כל זה משולב במה שמיקרוסופט מכנה נהלים של פריסה מאובטחת (נהלי פריסה מאובטחת, SDP)הרעיון הוא ליישם שינויי אבטחה בשלבים, תוך בדיקה תחילה על קבוצה קטנה של ציוד כדי למזער את הסיכון להשבתות נרחבות.

כיצד לפרוס הגנה מפני ניצול לרעה מבלי לפגוע בסביבה

גישה מומלצת היא לבחור בין 10 ו-50 מכשירי Windows אתם בוחרים מערכות מייצגות ומשתמשים בהן כמעבדה. במערכות אלו, אתם בודקים את 21 פתרונות ההפחתה הזמינים, מזהים איזו מהן פוגעת באיזו אפליקציה, ומשפרים את המדיניות עבור הארגון שלכם או עבור זרימת העבודה שלכם.

אמצעי הקלה שמתגלים כלא תואמים לאפליקציה קריטית עשויים השבת אותם רק עבור קובץ ההפעלה הספציפי הזה.תוך שמירה על פעילותם בשאר המערכת. לאחר מכן, חוזרים על התהליך עם היישומים המרכזיים (דפדפנים, חבילת אופיס, תוכנות עסקיות וכו') עד שיהיה לכם סט יציב של כללים.

כאשר המדיניות בשלה, היא מתפתחת לראשונה בסביבה של בדיקת קבלת משתמשים (UAT) מורכב ממנהלי IT, צוות אבטחה ותמיכה. אם הכל ילך כמתוכנן, תוכלו להתחיל להגדיל: 1%, 5%, 10%, 25%, 50%, 75%, ולבסוף, 100% מהקבוצות.

אם אתם מנהלים מכשירים רבים, אין זה הגיוני להגדיר כל אחד מהם באופן ידני. Windows 11 מאפשר לכם לעשות זאת. ייצוא תצורת הגנה מפני ניצול לרעה לקובץ XML וליישם אותו באופן מרכזי באמצעות Intune, Microsoft Configuration Manager, MDM או Group Policy.

הגדרת הגנה מפני ניצול לרעה מאפליקציית האבטחה של Windows

עבור צוות בודד או לבדיקות, הדרך הישירה ביותר לעבוד עם Exploit Protection היא דרך האפליקציה. אבטחת חלונותמשם ניתן להתאים את הפעולות המקלות ברמת המערכת והאפליקציה, וכן לייצא את פרופיל ה-XML.

כדי לגשת, פשוט פתחו את סמל המגן במגש המערכת או חפשו "אבטחת Windows" בתפריט התחל. ברגע שנכנס, היכנס שליטה באפליקציות ובדפדפנים וחפשו את הקישור ל הגנה מפני פגיעויות / תצורת הגנה מפני פגיעויות.

הקטע מחולק לשני בלוקים: תצורת המערכתהיכן מתאימים את המדדים הגלובליים, ו הגדרות התוכניתשבו אתה מבצע כוונון עדין לפי קובץ הרצה. אפשרויות אופייניות לכל אמצעי הפחתה הן:

• מופעל כברירת מחדל: חל על כל האפליקציות שאין להן ערך משלהן.
• מושבת כברירת מחדלהוא אינו בשימוש אלא אם כן הוא נכפה באפליקציה ספציפית.
• השתמש בערך ברירת מחדל: מכבד את הערך ש-Windows 11 מגיע איתו מהמפעל (מופעל או מושבת, מסומן בסוגריים).

חלק מההקלות מקבלות מצב מיוחד של ביקורתבמקרה כזה, המערכת רושמת אירועים כאילו הייתה פעולה פעילה, אך זה לא באמת חוסם את הפעולהזה מושלם לראות מה ישבור מדיניות אגרסיבית לפני יישומה.

אם ברצונך להתאים יישום ספציפי, בהגדרות התוכנית תוכל לבחור אחד מהרשימה או להשתמש באפשרויות הוסף תוכנית להתאמה אישיתאו לפי שם קובץ ההפעלה (משפיע על כל תהליך עם שם זה, מגביל באופן אופציונלי לפי נתיב), או על ידי בחירת ה נתיב קובץ מדויק באמצעות תיבת הדו-שיח של סייר Windows.

לאחר שתבחרו את האפליקציה, תראו את כל האמצעים להפחתת הסיכון הזמינים עבורה. תוכלו להפעיל אותם, להשבית אותם או להעביר אותם למצב ביקורת. אם תפעילו את תיבת הסימון עבור "ביטול תצורת המערכת" עבור פתרון ספציפי, מה שאתה שולח הוא תמיד תצורת התוכנית, גם אם תצורת המערכת מציינת אחרת.

דוגמאות מעשיות של שילוב הפחתות

האופן שבו אפשרויות מערכת ותוכנית משולבות יכול להיות מעט מבלבל. ההתנהגות הכללית היא ש הגדרות ברמת התוכנית מקבלות עדיפות על פני הגדרות ברמת המערכת במקרה של התנגשות, ואם לא הוגדר דבר, הערך "השתמש בערך ברירת מחדל" יישלח.

דמיינו שמישהו מגדיר את מניעת ביצוע נתונים (DEP) ברמת המערכת כ"מושבת כברירת מחדל". אם לאחר מכן תוסיף את test.exe בהגדרות התוכנית, סמן את האפשרות לעקוף את הגדרות המערכת והגדר את DEP ל"מופעל", התוצאה בפועל היא ש רק test.exe יעבוד עם DEPבעוד ששאר היישומים לא יחול עליהם.

בתרחיש מעט יותר מורכב, דמיינו מנהל אשר משאיר את DEP מושבת כברירת מחדל במערכת, יוצר ערך תוכנית עבור test.exe כאשר DEP מופעל ועוקף את המדיניות הגלובלית, וערך נוסף עבור miles.exe כאשר מפעיל רק את בקרת הזרמת הגנת (CFG) מבלי לגעת ב- DEP. התוצאה המעשית היא ש- test.exe יפעיל את DEP, ל- miles.exe עדיין יהיה CFG אך ללא DEP, ושאר המערכת תמשיך ללא DEP.

מודל זה מאפשר כוונון עדין של ההגנה על יישומים קריטייםמבלי לכפות את אותה רמת הקשחה על תוכניות מדור קודם או רגישות במיוחד.

אמצעי הפחתה זמינים וכיצד הם מסייעים נגד פרצות

הגנה מפני ניצול לרעה כוללת קבוצה רחבה מאוד של אמצעי הפחתה, רבים מהם ירשו מ-EMET אך משולבים וממוטבים ב-Windows 10/11. חלקם ניתנים להחלת על המערכת והיישומים כולה, אחרים רק ברמת האפליקציה.

בין החשובים ביותר עבור מניעת פרצות ב-Windows 11 כולל:

• בקרת זרימה (CFG)מבטיח שקריאות עקיפות עוקבות אחר מסלולים מתוכננים, ובכך מונע סטיות זדוניות מזרימת הביצוע.
• מניעת ביצוע נתונים (DEP)מונע ביצוע קוד באזורי זיכרון המסומנים כנתונים בלבד (ערימות, מחסניות).
• ASLR וגרסאות שונותכופה העברת תמונה מחדש (ForceRelocateImages) ומחלק את הקצאות הזיכרון באופן אקראי (BottomUp, HighEntropy), מה שמסבך פרצות המבוססות על כתובות סטטיות.
• סאהופמאמת את שלמות שרשראות טיפול בחריגים, ומנתק טכניקת ניצול קלאסית.
• ACG (שומר קוד שרירותי)מונע הכנסת קוד בר-הפעלה שאינו מגיע מתמונות לגיטימיות וחוסם שינויים בדפי קוד.
• חסימת תמונות מרוחקות או בעלות שלמות נמוכהאוסר טעינת קבצים בינאריים ממשאבי רשת או עם תגיות שלמות נמוכות, שיטה הנפוצה על ידי תוכנות זדוניות.
• הגנה על שלמות הקודמגביל את העלאת הקבצים הבינאריים לאלו שנחתמו על ידי מיקרוסופט, WHQL או מקורות מהימנים, עם אפשרות לכלול את חנות מיקרוסופט.
• השבתת קריאות מערכת של Win32kמבודד יישומים מסוימים מטבלת הקריאות של Win32k, ובכך מקל על התקפות המכוונות לתת-מערכת זו.
• יצירת תהליך ילד לא מותרת: מונע מאפליקציה ליצור תהליכי צאצא, אידיאלי להכיל פקודות מאקרו או מציגים שלא אמורים להפעיל שום דבר אחר.
• EAF ו-IAF (סינון כתובות ייצוא/ייבוא): זיהוי גישה חשודה לטבלאות פונקציות שיוצאו/יובאו, אופייניות לשרשראות ROP מורכבות.

רבים מההפחתות הללו ניתנים גם ליישם מצב ביקורתרישום של מה שהיו חוסמים מבלי להתערב בפועל. אחרים, כמו CFG או DEP, פועלים רק במצב יישומי.

בגרסאות הנוכחיות של Windows 11, אמצעי הקלה ישנים יותר של EMET כגון ריסוס NullPage או ערימה הם כבר משולבים ישירות בליבת המערכת, ולכן הם נחשבים פעילים תמיד ואינם דורשים תצורה נוספת.

ניהול מרכזי: Intune, MDM, Configuration Manager ו-GPO

בסביבות ארגוניות, הגנה מפני פרצות ניצול מנוהלת בדרך כלל באופן מרכזי. זה כרוך בהתחלה עם מחשב "ראשי" שבו אמצעי הפחתה מוגדרים באמצעות אבטחת Windows, ולאחר מכן... ייצוא התצורה לקובץ XML.

עם Microsoft Intune, תוכל לעבור לקטע של פרופילי תצורת המכשירצור פרופיל חדש עבור Windows 10 ואילך, ובחר את התבנית מתוך הגנת נקודות קצה לאחר מכן, טען את קובץ ה-XML עם אפשרויות ההגנה מפני ניצול לרעה. לאחר מכן, הקצה את הפרופיל לכל המשתמשים והמכשירים או לקבוצות ספציפיות.

אם אתם עובדים עם ספק שירותי תצורה כללי של MDM, תוכלו להשתמש ב-CSP. ./Vendor/MSFT/Policy/Config/ExploitGuard/ExploitProtectionSettings כדי להחיל או להשבית אמצעי הפחתה, וכן להפעיל מצב ביקורת.

ישנן שתי גישות במנהל התצורה של מיקרוסופט. אבטחת נקודות קצה → צמצום משטחי התקפה ניתן ליצור מדיניות "הגנה מפני פגיעויות", לבחור את קובץ ה-XML ולהפיץ אותו. מאזור נכסים ותאימות → הגנת נקודות קצה → Defender Windows משמר ניצול ניתן גם להעלות את קובץ ה-XML, לסקור את התצורה ולפרוס את ההנחיה המתקבלת.

מדיניות קבוצתית נותרה שיטה נוספת הנמצאת בשימוש נרחב: פשוט פתחו את קונסולת ניהול ה-GPO, ערכו את האובייקט הרצוי ונווטו אל תצורת מחשב ← תבניות ניהול ← רכיבי Windows ← Windows Defender ← הגנה מפני פגיעויותשם תמצא את האפשרות להשתמש בערכת תצורה משותפת ולהצביע על הנתיב שבו נמצא ה-XML.

PowerShell לצפייה והתאמה מדויקת של פעולות הקלה

בנוסף לממשק הגרפי, Windows 11 מציע cmdlet חזק מאוד לניהול ההגנות הללו: Get-ProcessMitigation / Set-ProcessMitigationבעזרתו ניתן לבדוק ולשנות את הסטטוס של כל אמצעי הפחתה ברמת המערכת או האפליקציה.

אם ברצונך לראות את הפעולות המקלות המשפיעות על תהליך ספציפי, פשוט הפעל פקודה כזו: Get-ProcessMitigation - שם processName.exeכדי לשנות הגדרות, התחביר הכללי הוא:

תחביר כללי: Set-ProcessMitigation -<scope> <objetivo> -<acción> <mitigation, opciones>

איפה הוא היקף זה יכול להיות -Name (עבור אפליקציה ספציפית) או -System (עבור המערכת כולה); הפעולה יכולה להיות -לְאַפשֵׁר o -השבת; ופעולות להפחתת השפעות הן מילות מפתח כגון DEP, CFG, BottomUp, DynamicCode, DisallowChildProcessCreation וכו'.

לדוגמה, אם ברצונך להפעיל DEP עם אמולציית thunks ATL ולמנוע תהליכי צאצא עבור C:\Apps\LOB\tests\testing.exe, תוכל להשתמש במשהו כמו Set-ProcessMitigation - שם c:\apps\lob\tests\testing.exe - הפעלת DEP, EmulateAtlThunks, DisallowChildProcessCreationכדי לכפות DEP כלל-מערכתי, תשתמשו Set-ProcessMitigation-System-Enable DEP.

אם עליך להחזיר פתרון נזק לברירת המחדל של המערכת לאחר שינויו עבור אפליקציה, עליך לשלב -לְהַסִיר עם פעולה והפחתת פעולות, לדוגמה: Set-ProcessMitigation -Name test.exe -Remove -Disable DEP.

אמצעי הקלה המקבלים מצב ביקורת משתמשים בפרמטרים ספציפיים, כגון AuditDynamicCode, AuditImageLoad, AuditFont, AuditChildProcessוכו'. כדי להפעיל אותם, הם נכללים ברשימה באמצעות -Enable; כדי לבטל אותם, הם מועברים ל- -Disable עם אותו תחביר.

ניטור אירועי הגנה מפני ניצול לרעה ב-Defender וב-Event Viewer

חלק מכריע במניעת ניצול לרעה הוא עוקב אחר מה שקורה באמתאם אתה משתמש ב-Microsoft Defender for Endpoint, תוכל להשתמש בסריקת האיומים המתקדמת כדי לראות את כל האירועים הקשורים ל-Exploit Guard (הכוללים את Exploit Protection).

שאילתה בסיסית יכולה להיות משהו כזה: DeviceEvents | where ActionType startswith 'ExploitGuard' and ActionType !contains 'NetworkProtection'זה מחזיר לך את הפרות שנבדקו או חסומות הקשורים לאמצעי הפחתה כגון ACG, EAF, IAF, חסימת תהליכי ילדים, הגנה על שלמות קוד וכו'.

לכל צמצום יש אמצעים נלווים מסוימים. סוגי פעולה ספציפיים, לדוגמה ExploitGuardAcgEnforced/ExploitGuardAcgAudited עבור ACG, ExploitGuardChildProcessBlocked עבור חסימת תהליכי צאצא, ExploitGuardRopExploitBlocked עבור גילוי ROP ‏(SimExec, CallerCheck, StackPivot), או ExploitGuardWin32SystemCallBlocked עבור קריאות Win32k שנדחו.

אם אין לך Defender for Endpoint, תמיד תוכל להשתמש ב... מציג אירועים של Windowsביומן היישומים, ספק "הקלות אבטחה" מייצר מספר רב של מזהים (1-24) עבור אירועי ביקורת ויישומים של ACG, תהליך צאצא, תמונות מרוחקות, מקורות לא מהימנים, EAF, IAF, ROP וכו'.

בנוסף, רכיבים כגון WER (אבחון) מנפיקים מזהים הקשורים ל בלוק CFGWin32K יכול לתעד אירועים ספציפיים כאשר הוא מזהה מקורות לא מהימנים. טלמטריה זו היא בעלת ערך רב לשיפור המדיניות ולהבנת ההשפעה האמיתית של כללי ההקשחה שלך.

הקשחה נוספת ב-Windows 11 מפני פרצות גישה ותוכנות כופר

הגנה מפני פרצות היא רק חלק אחד בפאזל. Windows 11 משלבת תכונות אבטחה נוספות שכאשר משולבות ביעילות, הם עושים הבדל גדול בכל הנוגע לעצירת פרצות, תוכנות כופר והתקפות דפדפן..

אחד החשובים ביותר הוא ה- גישה מבוקרת לתיקיותהגנה זו נועדה במיוחד לחסום שינויים חשודים בספריות קריטיות, ובכך להגן מפני תוכנות כופר וריגול נתונים. המערכת פועלת באמצעות רשימה לבנה של יישומים מהימנים המורשים לשנות נתיבים מסוימים (מסמכים, תמונות, תיקיות עבודה וכו').

כדי להגדיר את זה, אתה נכנס ל הגדרות ← פרטיות ואבטחה ← אבטחת Windows ← הגנה מפני וירוסים ואיומים ובתוך "הגנה מפני כופר", אתם מנהלים גישה מבוקרת לתיקיות ולתיקיות מוגנות. בדרך זו אתם מבטיחים ש... רק תוכנות לגיטימיות יכולות להצפין או לשנות את הקבצים הרגישים שלך.

קטע מפתח נוסף הוא SmartScreen בתוך "בקרת יישומים ודפדפנים"רכיב זה מנתח בזמן אמת את descargas, הקבצים הניתנים להרצה והדפים שבהם אתם מבקרים, תוך השוואה למוניטין של הענן כדי לעצור ניסיונות רבים של הורדת פישינג או תוכנות זדוניות.

מומלץ להפעיל אפשרויות כמו "בדיקת אפליקציות וקבצים", "SmartScreen עבור Microsoft Edge" ו"הגנה מפני פישינג", ובכך לשמור על סינון אגרסיבי למדי ש... זה עוצר פרצות שמגיעות דרך דפדפן או דוא"ל..

עבור תרחישים מסוכנים יותר, Windows Sandbox הוא מציל חיים. הוא פועל כמכונה וירטואלית קלת משקל במיוחד המשולבת במערכת (במהדורות Pro/Enterprise), אידיאלי לפתיחת קבצים מצורפים חשודים, בדיקת תוכנות לא ידועות או ביקור באתרים מפוקפקים. כל מה שקורה בפנים הוא נהרס כאשר החלון סגור., מבלי לגעת במתקן הראשי שלך.

בידוד ליבות, VBS, HCCI ואתחול בטוח

Windows 11 מושקע רבות בבידוד המבוסס על חומרהאפשרויות כמו ה- בידוד ליבה ושלמות זיכרון הם מבודדים תהליכים קריטיים כך שלא ניתן יהיה לתמרן אותם על ידי קוד שרירותי בזיכרון, מה שמסבך מאוד פרצות שמכוונות לגרעין או למנהלי התקנים פגיעים.

פונקציות אלו מסתמכות על טכנולוגיות כגון אבטחה מבוססת וירטואליזציה (VBS) ו שלמות קוד מוגן על ידי היפר-ויזור (HVCI), אשר מציבות רכיבים רגישים בסביבה נפרדת (מצב מאובטח וירטואלי) ואוכפות מדיניות חתימת קוד מחמירה.

כדי שכל זה יעבוד אתה צריך הפעלת וירטואליזציה של חומרה ב-BIOS/UEFI ולוודא שהמחשב עומד בדרישות Windows 11, כולל TPM 2.0. מומלץ גם להפעיל את אתחול אתחול מאובטחמה שמבטיח שרק רכיבים חתומים ומהימנים ייטענו במהלך האתחול.

שילוב של Secure Boot, TPM, VBS ו-HVCI מספק בסיס איתן מאוד למניעת התקפות שטוענות ערכות רוט, משנות את הקושחה או מנסות להחדיר את עצמן לגרעין. אמנם שום דבר אינו חסין תקלות, אך שכבות אלו מבטיחות ש... ניצול פגיעויות ברמה נמוכה הוא יקר ומורכב הרבה יותר..

אם ברצונך ללמוד עוד על אופן פעולתו ותצורתו של בידוד זה, עיין במאמר בנושא בידוד ליבה ב-Windows 11.

אמצעי הקשחה מומלצים נוספים עבור Windows 11

מעבר להקלות ספציפיות, ישנם מספר שיטות כלליות אשר מסייעים רבות במניעת פרצות תקיפה ולהגביל את השפעתן אם הן מבוצעות:

שמור האנטי-וירוס של Microsoft Defender (או Microsoft Defender עבור נקודות קצה) פעיל ומעודכן זה חיוני. הגנה בזמן אמת, חתימות עדכניות וניתוח קבוע מזהים ניסיונות ניצול רבים לפני שהם מצליחים לשרשר בהצלחה את הפגיעות.

לאס עדכוני Windows ויישומים של צד שלישי הם נותרים קו ההגנה הראשון. פגמים קריטיים כמו CVE-2023-28252 (פגיעות של הסלמת הרשאות במערכת הקבצים CLFS, שנוצלה לפריסת תוכנת הכופר Nokoyawa) מדגימים שפושעים אינם מהססים להשתמש ב-"יום אפס" נגד ארגונים בינוניים וגדולים; סקור את המדיניות שלך בנושא. עדכוני חלונות כדי לאזן בין מהירות ליציבות.

כאשר מיקרוסופט משחררת תיקונים לבעיות אלו, חיוני יש ליישם אותם בהקדם האפשרי, במיוחד בשרתים וציוד עם נתונים רגישים.השארת מערכות ללא עדכון פותחת את הדלת לשימוש בניצול תקלות ציבוריות או ניצול תקלות בשוק השחור נגד הארגון שלך.

ברמת הרשת, יש ליישם כללים מחמירים ב חומת האש של Windows זה עוזר להפחית את שטח הפנים החשוף, ומאפשר רק את התעבורה הנכנסת/יוצאת שבאמת נחוצה; כמו כן, בדקו כיצד לזהות פורטים פתוחים של רשת כדי להגביל את החשיפה. הפעלת מצב "חמקנות" או שקט ברשתות ציבוריות גם מקשה על תוקף לזהות אותך בקלות.

בסביבות מקצועיות, כדאי לשקול פתרונות מתקדמים יותר כגון EDR, פלטפורמות זיהוי ותגובה מנוהלים ומודיעין איומיםשירותים אלה מאפשרים זיהוי פעילות חריגה, חקירה מעמיקה של אירועים ותגובה לפני שתקיפה מצפינה או גונבת מידע.

גיבויים, בקרת יישומים ושירותים מינימליים

לא משנה כמה טוב מוגדרות אמצעי ההפחתה שלך, תמיד קיים סיכון שיורי כלשהו. לכן חשוב לשלב מניעת פרצות עם מדיניות גיבוי חזקה, באופן אידיאלי לפי כלל 3-2-1 (שלושה עותקים, על שני מדיות שונות, אחד מחוץ למיקום הראשי).

בצע גיבויים קבועים של מסמכים, תצורות ונתונים קריטיים, בדוק שחזורים מעת לעת, ושמור לפחות עותק לא מקוון אחד. זה עושה את ההבדל בין פחד לאסון מוחלט. כאשר משהו משתבש; זה כולל גם גיבויים של הרישום (ראה כיצד ליצור אחד) גיבוי רישום) כחלק מהתוכנית שלך.

שכבה נוספת ויעילה מאוד היא בקרת יישומיםבמהדורות מקצועיות, ניתן להשתמש ב-AppLocker או במדיניות מקבילה כדי להגדיר אילו קבצים בינאריים, סקריפטים ומתקינים מורשים לפעול; לדוגמה, ניתן לתמוך במדיניות זו באמצעות כלי ביקורת הרשאות. AccessChkזה ממזער את האפשרות של הורדה והפעלת מטען שרירותי של ניצול לרעה.

לבסוף, כבו שירותים ותכונות שאינך משתמש/ת בהן זה עוזר לצמצם עוד יותר את משטח ההתקפה. ככל שפחות שירותים חשופים ופחות רכיבים מופעלים, כך יהיו פחות הזדמנויות לתוקף למצוא פגיעויות. לקבלת נהלים ומדריכים מעשיים בנושא זה, ראה כיצד שינוי שירותים ב-Windows 11עם זאת, חשוב לתעד שינויים ביסודיות ולבדוק מעת לעת מה פעיל ומה לא.

על ידי שילוב מושכל של Exploit Protection, תכונות אבטחה מתקדמות של Windows 11, עדכונים מהירים, אנטי-וירוס מודרני, הקשחת מערכת, בקרת יישומים וגיבויים טובים, תוכלו להשיג... ניצול לרעה הופך להיות קשה יותר ויותר לפגוע בצוות או בארגון שלך.אפילו כשמדובר בפגיעויות של יום אפס או בקמפיינים מתוחכמים במיוחד של תוכנות כופר.