Microsoft Defender внедряет автоматическую изоляцию устройств для борьбы с кибератаками

Корпорация Microsoft представила новую функцию в составе инструмента автоматического прерывания атак для Defender for Endpoint. Обновление позволяет автоматически изолировать скомпрометированные устройства, помогая специалистам по безопасности оперативно локализовать угрозы внутри ИТ-сетей.

Механизм защиты и скорость реакции

В экспертных обзорах отмечается, что современные атаки с использованием вредоносного ПО и программ-вымогателей происходят на скоростях, исключающих возможность эффективного реагирования со стороны человека. К тому моменту, когда аналитик замечает сигнал тревоги, злоумышленники зачастую успевают закрепиться в системе или начать шифрование файлов.

Функция автоматической изоляции Microsoft действует как мгновенный «логический разрыв». Она блокирует большинство сетевых соединений устройства, пресекая связь с командно-контрольными серверами злоумышленников и останавливая вывод данных. Такая мера предотвращает горизонтальное перемещение хакеров по корпоративной сети в поисках более ценных целей, таких как контроллеры домена.

Помимо защиты, решение дает преимущества для последующего криминалистического анализа (форензики):

• Сохранение данных в критически важной оперативной памяти, которые могли быть уничтожены при физическом отключении питания.
• Поддержание защищенного канала связи с сервисами безопасности для удаленного исследования инцидента.
• Предотвращение запуска вредоносных программ-стирателей (вайперов), уничтожающих системные логи.

Риски использования автономных систем

Несмотря на технологические преимущества, специалисты института SANS предупреждают о возможных побочных эффектах. В исследовательском документе отмечается, что при определенных условиях злоумышленник может использовать эту функцию для блокировки всех учетных записей пользователей.

В рамках тестирования была продемонстрирована тактика под названием ADID (сбой, вызванный автономной защитой). Суть метода заключается в имитации подозрительной активности от лица нескольких учетных записей. Это вводит алгоритмы защиты в заблуждение, заставляя систему присвоить инциденту высокий уровень достоверности. В ходе эксперимента это привело к автоматической блокировке всех 18 идентификаторов в тестовой среде, включая учетную запись администратора домена, что сделало сеть полностью недоступной.

Позиция Microsoft и рекомендации по настройке

Представители Microsoft рекомендуют оставлять функцию автоматического прерывания атак включенной по умолчанию. По мнению компании, отказ от автоматизации существенно повышает риски, особенно в случае многоэтапных атак и компрометации корпоративной почты (BEC), где даже несколько минут промедления могут привести к значительным убыткам.

Для минимизации рисков случайных сбоев разработчики предусмотрели гибкие инструменты управления:

• Возможность настройки уровней автоматизации для отдельных групп устройств.
• Исключение конкретных пользователей, устройств или диапазонов IP-адресов из алгоритмов автоматической блокировки.
• Полная видимость действий системы и возможность мгновенной отмены изоляции сотрудниками службы безопасности.

Для использования новой возможности организациям требуется активация Microsoft Defender XDR и соответствующая настройка прав доступа для администраторов безопасности.