Microsoft Defender HVA-beskyttelse blokerer angreb

Introduktion

High-value assets (HVA'er) såsom domænecontrollere, identitetssystemer og forretningskritiske servere er fortsat primære mål i moderne angreb. Microsofts seneste vejledning viser, hvordan Microsoft Defender tilføjer aktivbevidst beskyttelse, så sikkerhedsteams bedre kan registrere risikabel aktivitet på de systemer, der betyder mest.

Hvad er nyt i Microsoft Defender HVA-beskyttelse

Microsoft forklarede, hvordan Defender styrker beskyttelsen af kritisk infrastruktur ved at bruge kontekst fra Microsoft Security Exposure Management. I stedet for at behandle alle endpoints ens justerer Defender registrering og forebyggelse baseret på hvert aktivs rolle og følsomhed.

Fremhævede nøglefunktioner omfatter:

• Automatisk HVA-identifikation på tværs af on-premises-, hybride og cloudmiljøer
• Aktivklassificering og eksponeringskortlægning for enheder, identiteter, cloudressourcer og eksterne angrebsflader
• Rollebevidst anomaliregistrering der lærer normal adfærd for kritiske systemer
• Endpoint-beskyttelse tilpasset Tier-0-aktiver hvor små signaler kan indikere et større kompromis
• Automatisk afbrydelse af angreb for at inddæmme aktive trusler, før de spreder sig

Angrebsscenarie fra virkeligheden

Microsoft delte en reel angrebskæde, der startede med en interneteksponeret server, bevægede sig lateralt gennem miljøet og til sidst nåede en domænecontroller. Angriberen brugte relay-teknikker og privilegeret adgang til at forsøge at udtrække NTDS.DIT-databasen fra Active Directory med ntdsutil.exe.

På en standardserver kunne nogle af de observerede handlinger se administrative ud. Men fordi Defender genkendte målet som en domain controller, behandlede den adfærden som højrisiko. Ifølge Microsoft blokerede Defender kommandoen og udløste automatisk afbrydelse, herunder deaktivering af den kompromitterede Domain Admin-konto.

Hvorfor det er vigtigt for IT- og sikkerhedsteams

Denne opdatering understreger et praktisk sikkerhedsprincip: Ikke alle aktiver bør beskyttes på samme måde. Domænecontrollere, certifikatmyndigheder, Exchange, SharePoint og identitetsinfrastruktur har langt større konsekvenser ved kompromittering.

For administratorer er fordelen bedre signalkvalitet. Defender kan prioritere alarmer og forebyggelsesbeslutninger ved hjælp af aktivets forretningsmæssige og sikkerhedsmæssige rolle, hvilket hjælper med at reducere falske negativer på kritiske systemer.

Anbefalede næste skridt

Sikkerhedsteams bør gennemgå, om deres mest kritiske aktiver er korrekt identificeret og dækket af Microsoft Defender og Security Exposure Management.

Anbefalede handlinger:

• Bekræft, at domænecontrollere og identitetssystemer er tagget eller genkendt som kritiske aktiver
• Gennemgå angrebsstier og eksponeringsdata for Tier-0-infrastruktur
• Undersøg administrative værktøjer og scripts, der kører på kritiske servere
• Bekræft, at funktioner til automatisk afbrydelse af angreb er aktiveret, hvor det understøttes
• Revurder overvågning af interneteksponerede servere, der kan blive indledende adgangspunkter

Organisationer, der bruger Microsoft Defender, bør betragte HVA-bevidst beskyttelse som en central del af deres strategi for forsvar af identitet og infrastruktur, især fordi angribere fortsat går efter de systemer med størst driftsmæssig betydning.