{{Microsoft Defender HVA zaštita blokira napade}}

{{## Uvod High-value assets (HVA) kao što su domain controllers, identity sistemi i poslovno kritični serveri ostaju primarne mete u savremenim napadima. Najnovije Microsoft smernice pokazuju kako Microsoft Defender dodaje zaštitu zasnovanu na svesti o resursima, kako bi security timovi mogli bolje da otkriju rizične aktivnosti na sistemima koji su najvažniji.

Šta je novo u Microsoft Defender HVA zaštiti

Microsoft je objasnio kako Defender jača zaštitu kritične infrastrukture korišćenjem konteksta iz Microsoft Security Exposure Management. Umesto da tretira sve endpoint uređaje isto, Defender prilagođava detekciju i prevenciju na osnovu uloge i osetljivosti svakog resursa.

Istaknute ključne mogućnosti uključuju:

• Automatsku identifikaciju HVA resursa u on-premises, hybrid i cloud okruženjima
• Klasifikaciju resursa i mapiranje izloženosti za uređaje, identitete, cloud resurse i spoljne attack surface oblasti
• Detekciju anomalija zasnovanu na ulozi resursa koja uči normalno ponašanje kritičnih sistema
• Endpoint zaštite podešene za Tier-0 resurse gde mali signali mogu ukazivati na veliki kompromis
• Automatsko ometanje napada radi zadržavanja aktivnih pretnji pre nego što se prošire

Scenario napada iz prakse

Microsoft je podelio stvarni lanac napada koji je započeo na serveru izloženom internetu, lateralno se kretao kroz okruženje i na kraju stigao do domain controller servera. Napadač je koristio relay tehnike i privilegovani pristup da pokuša izdvajanje NTDS.DIT Active Directory baze pomoću ntdsutil.exe.

Na standardnom serveru, neke od uočenih radnji mogle bi delovati kao administrativne. Ali pošto je Defender prepoznao cilj kao domain controller, takvo ponašanje je tretirao kao visokorizično. Prema Microsoft-u, Defender je blokirao komandu i pokrenuo automatizovano ometanje, uključujući onemogućavanje kompromitovanog Domain Admin naloga.

Zašto je ovo važno za IT i security timove

Ovo ažuriranje dodatno potvrđuje praktičan bezbednosni princip: ne treba svaki resurs štititi na isti način. Domain controllers, certificate authorities, Exchange, SharePoint i identity infrastruktura imaju znatno veći uticaj ako budu kompromitovani.

Za administratore, prednost je bolji kvalitet signala. Defender može da daje prioritet alertovima i odlukama o prevenciji koristeći poslovnu i bezbednosnu ulogu resursa, što pomaže da se smanji broj propuštenih detekcija na kritičnim sistemima.

Preporučeni sledeći koraci

Security timovi bi trebalo da provere da li su njihovi najkritičniji resursi pravilno identifikovani i obuhvaćeni kroz Microsoft Defender i Security Exposure Management.

Preporučene aktivnosti:

• Proverite da li su domain controllers i identity sistemi označeni ili prepoznati kao kritični resursi
• Pregledajte attack path putanje i podatke o izloženosti za Tier-0 infrastrukturu
• Istražite administrativne alate i skripte koje se izvršavaju na kritičnim serverima
• Potvrdite da su funkcije automatskog ometanja napada omogućene tamo gde su podržane
• Ponovo procenite nadzor servera izloženih internetu koji mogu postati početne tačke pristupa

Organizacije koje koriste Microsoft Defender treba da tretiraju HVA-aware zaštitu kao ključni deo svoje strategije odbrane identiteta i infrastrukture, posebno dok napadači nastavljaju da ciljaju sisteme sa najvećim operativnim uticajem.}}