Microsoft Defender HVA Protection Blocks Critical Attacks

Введение

Ц активы (HVA), такие как контроллеры доменов, системы идентификации и критически важные для бизнеса серверы, остаются приоритетными целями в современных атаках. Послед рекомендации Microsoft показывают, как Microsoft Defender добавляет защиту с учетом типа актива, чтобы команды безопасности могли лучше выявлять рискованнуюность системах, которые наиболее важны.

Что нового в Microsoft Defender HVA protection

Microsoft объяснила, как Defender усиливает защит критической инфраструктуры, используя контекст из Microsoft Security Exposure Management. Вместо одинакового подхода всем endpoint-устройствам Defender корректирует обнаружение и предотвращение на основе роли и чувствительности каждого актива.

Ключевые возможности, которые были выделены:

Авическое определение HVA в on-premises, hybrid и cloud-средах

• Классификация активов и построение exposure graph для устройств, identities, cloudресурсов и внешних поверхностей атаки
• **Role-aware anomaly detection которая изучает нормальное поведение критических систем
• Endpoint-защита, настроенная для актив Tier-0, где небольшие сигналы могут указывать на серьезный компромисс
• Автомат attack disruption для сдерживания активных угроз до их распространения

Реальный сценарий атаки

Microsoft поделилась реальной цепочкой атаки которая началась с internet-facing сервера, затем перемещалась по среде lateral movement и в конечном итоге достигла контроллера домена. Злоумышленник использовал relay-техники и привилегированный доступ для попытки извлечения базы данных Active Directory DS.DIT с помощью ntdsutil.exe.

На стандартном сервере некоторые из наблюдаемых действий могли бы выглядеть как административные. Но поскольку Defender распознал целевой узел как контроллер домена, онценил поведение как высокорисковое. По данным Microsoft, Defender заблокировал команду и запустил automated attack disruption, включая отключение скомпромированной учетной записи Domain.

Почему это важно для IT- и security-команд

Это обновление подтверждает важныйческий принцип безопасности: не все активы должны защищаться одинаково. Контроллеры доменов, certificate authorities, Exchange, SharePoint и identity infrastructure имеют значительно более высокий уровень влияния в случае компрометации.

Для администраторов преимущество заключается в улучшении качества сигналов. Defender может приоритизировать предупреждения и решения по предотвращению, используя бизнес- и security-роль актива, что помогает снизить число false negatives на критических системах.

Рекомендуемые следующие шаги

Командам безопасности следует проверить, что наиболее критичные активы правильно идентифицированы и защищены с помощью Microsoft Defender и Security Exposure Management.

Рекомендуемые действия:

• Убедитесь, что контроллеры доменов и системы идентификации помечены или распознаны как критические активы
• Просмотрите attack paths и данные об exposure для инфраструктуры Tier-0
• Проверьте административные инструменты и скрипты, запускаемые на критических серверах
• Подтвердите, что функции automated attack disruption включены там, где они поддерживаются
• Пересмотрите мониторинг internet-facing серверов, которые могут стать точкой первоначального доступа

Организациям, использующим Microsoft Defender, следует рассматривать HVA-aware protection как ключевую часть стратегии защиты identity- и infrastructure-среды, особенно на фоне того, что злоумышленники продолжают нацеливаться на системы с наибольшим операционным влиянием.