Ochrona HVA w Microsoft Defender blokuje ataki

Wprowadzenie

Zasoby wysokiej wartości (HVA), takie jak kontrolery domeny, systemy tożsamości i serwery krytyczne dla biznesu, pozostają głównym celem nowoczesnych ataków. Najnowsze wskazówki Microsoft pokazują, jak Microsoft Defender dodaje ochronę uwzględniającą rolę zasobu, aby zespoły bezpieczeństwa mogły lepiej wykrywać ryzykowne działania na systemach, które mają największe znaczenie.

Co nowego w ochronie HVA w Microsoft Defender

Microsoft wyjaśnił, jak Defender wzmacnia ochronę infrastruktury krytycznej, wykorzystując kontekst z Microsoft Security Exposure Management. Zamiast traktować wszystkie endpointy tak samo, Defender dostosowuje wykrywanie i zapobieganie na podstawie roli i wrażliwości każdego zasobu.

Wśród wyróżnionych możliwości znajdują się:

• Automatyczna identyfikacja HVA w środowiskach on-premises, hybrydowych i cloud
• Klasyfikacja zasobów i mapowanie ekspozycji dla urządzeń, tożsamości, zasobów cloud i zewnętrznych powierzchni ataku
• Wykrywanie anomalii uwzględniające rolę zasobu, które uczy się normalnego zachowania systemów krytycznych
• Zabezpieczenia endpointów dostrojone dla zasobów Tier-0, gdzie niewielkie sygnały mogą wskazywać na poważne naruszenie
• Automatyczne zakłócanie ataków, aby powstrzymać aktywne zagrożenia przed ich rozprzestrzenieniem

Rzeczywisty scenariusz ataku

Microsoft udostępnił rzeczywisty łańcuch ataku, który rozpoczął się od serwera dostępnego z internetu, przemieszczał się lateralnie po środowisku i ostatecznie dotarł do kontrolera domeny. Atakujący wykorzystał techniki relay i uprzywilejowany dostęp, próbując wyodrębnić bazę danych NTDS.DIT z Active Directory za pomocą ntdsutil.exe.

Na standardowym serwerze część zaobserwowanych działań mogłaby wyglądać na administracyjne. Jednak ponieważ Defender rozpoznał cel jako domain controller, potraktował to zachowanie jako wysokie ryzyko. Według Microsoft Defender zablokował polecenie i uruchomił automatyczne zakłócanie ataku, w tym wyłączenie przejętego konta Domain Admin.

Dlaczego ma to znaczenie dla zespołów IT i bezpieczeństwa

Ta aktualizacja wzmacnia praktyczną zasadę bezpieczeństwa: nie każdy zasób powinien być chroniony w ten sam sposób. Kontrolery domeny, certificate authorities, Exchange, SharePoint i infrastruktura tożsamości mają znacznie większy wpływ na organizację w przypadku przejęcia.

Dla administratorów korzyścią jest lepsza jakość sygnałów. Defender może nadawać priorytet alertom i decyzjom prewencyjnym na podstawie biznesowej i bezpieczeństwa roli zasobu, pomagając ograniczać false negatives w systemach krytycznych.

Zalecane kolejne kroki

Zespoły bezpieczeństwa powinny sprawdzić, czy ich najważniejsze zasoby są prawidłowo zidentyfikowane i objęte przez Microsoft Defender oraz Security Exposure Management.

Zalecane działania:

• Zweryfikuj, czy kontrolery domeny i systemy tożsamości są oznaczone lub rozpoznawane jako zasoby krytyczne
• Przejrzyj ścieżki ataku i dane ekspozycji dla infrastruktury Tier-0
• Zbadaj narzędzia administracyjne i skrypty uruchamiane na serwerach krytycznych
• Potwierdź, że funkcje automatycznego zakłócania ataków są włączone tam, gdzie są obsługiwane
• Ponownie oceń monitoring serwerów dostępnych z internetu, które mogą stać się punktami początkowego dostępu

Organizacje korzystające z Microsoft Defender powinny traktować ochronę uwzględniającą HVA jako kluczowy element strategii obrony tożsamości i infrastruktury, zwłaszcza że atakujący nadal koncentrują się na systemach o najwyższym wpływie operacyjnym.