Windows Defender Attack Surface Reduction Rules Uygulamaları

Yazan:FatihYazı kategorisi Blue TeamEtiketler:,

Saldırı tehdit yüzeyinin azaltılması noktasında, uç noktadaki istemcilerde tüm sıkılaştırmaların yapılması, işletim sistemi ve uygulamaların düzenli olarak güncellenmesi, kurulu antivirus veya EDR gibi uygulamalara ait politikaların olabildiğince yüksek güvenlik seviyelerinde ayarlanması vd. gibi birçok önlem almak mümkün. Saldırganların yüksek motivasyonları ve istemci tarafında insan faktörü olduğu sürece günün sonunda saldırganların kullandıkları atak vektörlerinin savunmayı aşması olasılıklar arasında… Saldırıların %100 engellenmesinin mümkün olmadığı varsayımı daha doğrusu gerçeği altında alınması gereken tüm önlemler alındıktan sonrası personelin tehditleri izleme, değerlendirme ve aksiyon alma yeteneklerine kalıyor.

İşin hikaye kısmını geçtikten sonra, yukarıda da bahsettiğim bazı hususlarda fayda sağlayabileceğini düşündüğüm Windows Defender‘in “Attack Surface Reduction (ASR)” kurallarını inceleyerek istemci veya sunucularda ekstra ne tür sıkılaştırmalar yapabiliriz sorusuna cevap aramaya çalışalım. ASR‘yi Windows işletim sistemiyle çalışan uç noktadaki varlıkların atak yüzeylerini malware, ransomware türü saldırılara karşı önlemlerin alınması noktasında tanımlanabilecek kural setleri olarak tanımlayabiliriz.

Kurallar aşağıdaki işletim sistemi sürümlerine uygulanabiliyor:

  • Windows 10 Pro, 1709 veya sonrası
  • Windows 10 Enterprise, 1709 veya sonrası
  • Windows Server, 1803 veya sonrası
  • Windows Server 2019

Kural setlerinin üzerinden geçerek konuyu biraz daha açarak yazıya devam edelim. Bir sonraki adımda kurallarla GUID’leri eşleştirip GPO oluşturacağız.

Uygulamaya geçelim. Öncelikle bir GPO oluşturalım. Sonrasında

  • Group Policy Management Editor > Computer configuration >Administrative templates > Windows components > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Attack surface reduction

yolunu izleyelim. Bir sonraki adımda test senaryosu için farklı GUID‘leri ve value değerlerini girelim. Value değerlerinin anlamları (Kuralları önce 2 değerinde çalıştırıp, sonrasında sonuçları izlemenizi şiddetle tavsiye ederim):

0 : Disable (ASR kuralının kapatılması)
1 : Block (ASR kuralının açılması)
2 : Audit (ASR kurallarının açılmadan önce izlenmesi ve incelenmesi)

6 : Warn (ASR kurallarıyla ilgili son kullanıcıya inisiyatif verilmesi)

Gpupdate yapalım ve sonrasında Get-MpPreference komutuyla GPO’nun uygulanma sonucunu kontrol edelim.

İsteğe bağlı olarak sonrasında bu bağlantıdan Microsoft’un test scriptlerini çalıştırarak sonuçları inceleyebiliriz.

Takip edilmesi gereken loglar aşağıdaki şekilde:

  • 5007: ASR kural ayarı değiştirildi.
  • 1121: ASR kuralı engelleme gerçekleştirdi.
  • 1122: ASR kuralı denetim modunda tespit gerçekleştirdi.

Örnek ekran görüntüsü

Faydalı olması dileğiyle…

Kaynaklar:

  1. https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/enable-attack-surface-reduction?view=o365-worldwide#group-policy
  2. https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/enable-attack-surface-reduction?view=o365-worldwide#group-policy
  3. https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/demystifying-attack-surface-reduction-rules-part-1/ba-p/1306420
  4. https://demo.wd.microsoft.com/Page/ASR
  5. https://www.petervanderwoude.nl/post/working-with-attack-surface-reduction-rules-to-reduce-the-attack-surface-of-application/

Birisi “Windows Defender Attack Surface Reduction Rules Uygulamaları” üzerinde düşündü

  1. Geri bildirim: Windows ve Office Uygulamaları İçin Sıkılaştırma Kontrolleri – CSEC BLOG

Yorum bırakın

Bu site, istenmeyenleri azaltmak için Akismet kullanıyor. Yorum verilerinizin nasıl işlendiği hakkında daha fazla bilgi edinin.