Función Reducción de superficie de ataque en Windows Defender

Reducción de superficie de ataque es una función de Windows Defender Exploit Guard que evita que las acciones utilizadas por el malware que busca vulnerabilidades infecten las computadoras. Windows Defender Exploit Guard es un nuevo conjunto de capacidades de prevención de invasiones que Microsoft presentó como parte de Windows 10 v1709. Los cuatro componentes de Windows Defender Exploit Guard incluyen:

• Protección de red
• Acceso a carpetas controladas
• Protección contra exploits
• Reducción de superficie de ataque

Una de las principales capacidades, como se mencionó anteriormente, es Attack Reducción de superficie, que protege contra acciones comunes de software malicioso que se ejecutan en dispositivos con Windows 10.

Comprenda qué es la reducción de superficie de ataque y por qué es tan importante.

Función de reducción de superficie de ataque de Windows Defender

Los correos electrónicos y las aplicaciones de oficina son la parte más importante de la productividad de cualquier empresa. Son la forma más fácil para que los atacantes cibernéticos ingresen a sus computadoras y redes e instalen malware. Los hackers pueden usar directamente macros de oficina y scripts para realizar directamente explotaciones que operan por completo en la memoria y que a menudo son indetectables mediante análisis antivirus tradicionales.

Lo peor es que para que un malware obtenga una entrada, solo necesita que el usuario habilite macros en un archivo de Office de aspecto legítimo o para abrir un archivo adjunto de correo electrónico que pueda comprometer la máquina.

Aquí es donde Attack Surface Reduction llega al rescate.

Ventajas de Attack Surface Reduction

Attack Surface Reduction offers un conjunto de inteligencia incorporada que puede bloquear los comportamientos subyacentes utilizados por estos documentos maliciosos para ejecutar sin obstaculizar los escenarios productivos. Al bloquear comportamientos maliciosos, independientemente de la amenaza o el exploit, Attack Surface Reduction puede proteger a las empresas de ataques nunca antes vistos y equilibrar sus requisitos de productividad y riesgo de seguridad.

ASR cubre tres comportamientos principales :

1. Aplicaciones de Office
2. Scripts y
3. Correos electrónicos

Para aplicaciones de Office, la regla de Reducción de superficies de ataque puede:

1. Bloquear aplicaciones de Office para crear contenido ejecutable
2. Bloquear aplicaciones de Office para crear procesos secundarios
3. Bloquear aplicaciones de Office desde inyectar código en otro proceso
4. Bloquear las importaciones de Win32 desde código de macro en Office
5. Bloquear código de macro ofuscado

Muchas veces las macros de oficina maliciosas pueden infectar una PC al inyectar y ejecutar ejecutables. La reducción de superficie de ataque puede proteger contra esto y también contra DDEDownloader que recientemente ha infectado PC en todo el mundo. Este exploit utiliza la ventana emergente Dynamic Data Exchange en documentos oficiales para ejecutar un descargador de PowerShell mientras se crea un proceso hijo que la regla ASR bloquea eficientemente.

Para el script, la regla de Reducción de superficie de ataque puede:

• Bloquear JavaScript malicioso, VBScript y Códigos de PowerShell que se han ofuscado
• Bloquear JavaScript y VBScript para ejecutar la carga descargada de Internet

Para correo electrónico, ASR puede:

• Bloquear la ejecución del contenido ejecutable eliminado del correo electrónico (webmail / mail-client)

Ahora al día, ha habido un aumento posterior en el phishing de lanza y hasta los correos electrónicos personales de los empleados son el blanco. ASR permite a los administradores empresariales aplicar políticas de archivos en correo electrónico personal tanto para webmail como para clientes de correo en dispositivos de la compañía para protegerlos de amenazas.

Cómo funciona la reducción de superficies de ataque

ASR funciona a través de reglas identificadas por su ID de regla única. Para configurar el estado o el modo de cada regla, se pueden administrar con:

• Directiva de grupo
• PowerShell
• MDM CSPs

Se pueden usar cuando solo se deben habilitar algunas reglas o las reglas son para habilitarse en modo individual.

Para cualquier línea de aplicaciones comerciales que se ejecute dentro de su empresa, existe la posibilidad de personalizar las exclusiones basadas en archivos y carpetas si sus aplicaciones incluyen comportamientos inusuales que pueden verse afectados por la detección de ASR.

La reducción de la superficie de ataque requiere que Windows Defender Antivirus sea el AV principal y requiere la activación de la función de protección en tiempo real. La línea de base de seguridad de Windows 10 sugiere que la mayoría de las reglas en el modo de bloqueo mencionadas anteriormente deberían estar habilitadas para proteger sus dispositivos de cualquier amenaza.

Para obtener más información, puede visitar docs.microsoft.com.