Informations de référence sur les règles de réduction de la surface d’attaque

Cet article fournit des informations sur Microsoft Defender pour point de terminaison règles de réduction de la surface d’attaque (règles ASR) :

• Versions de système d’exploitation prises en charge par les règles ASR
• Règles ASR prises en charge des systèmes de gestion de configuration
• Par règle ASR, détails de l’alerte et de la notification
• Règle ASR en matrice GUID
• Modes de règle ASR
• Descriptions par règle

Configuration requise

Systèmes d’exploitation pris en charge

• Windows

Règles de réduction de la surface d’attaque par type

Les règles de réduction de la surface d’attaque sont classées comme l’un des deux types suivants :

• Standard règles de protection : ensemble minimal de règles que Microsoft recommande de toujours activer, pendant que vous évaluez l’effet et les besoins de configuration des autres règles ASR. Ces règles ont généralement un effet minime ou nul sur l’utilisateur final.

• Autres règles : règles qui nécessitent une certaine mesure de suivre les étapes de déploiement documentées [Planifier > le test (audit) > Activer (modes bloquer/avertir)], comme indiqué dans le guide de déploiement des règles de réduction de la surface d’attaque.

Pour obtenir la méthode la plus simple permettant d’activer les règles de protection standard, consultez Option de protection standard simplifiée.

¹ Cette règle ASR ne respecte pas Microsoft Defender exclusions antivirus. Pour plus d’informations sur la configuration des exclusions ASR par règle, consultez Configurer les exclusions de réduction de la surface d’attaque par règle.

² Cette règle ASR ne respecte pas Microsoft Defender pour point de terminaison indicateurs de compromission (IOC) pour les fichiers ou les certificats.

³ Actuellement, cette règle ASR n’est peut-être pas disponible dans la configuration de la stratégie de réduction de la surface d’attaque Intune en raison d’un problème de back-end connu. Toutefois, la règle existe toujours et est disponible via d’autres méthodes. Par exemple, Microsoft Defender pour point de terminaison la gestion des paramètres de sécurité, le fournisseur de services de configuration (CSP), Add-MpPreference ou la configuration de stratégie ASR Intune existante dans les règles créées avant le problème.

⁴ Cette règle ASR ne respecte pas Microsoft Defender pour point de terminaison indicateurs de compromission (IOC) pour les certificats.

Systèmes d’exploitation pris en charge par les règles ASR

Le tableau suivant répertorie les systèmes d’exploitation pris en charge pour les règles actuellement publiées en disponibilité générale. Les règles sont répertoriées par ordre alphabétique dans ce tableau.

^*Actuellement, cette règle ASR peut ne pas être disponible dans la configuration de la stratégie de réduction de la surface d’attaque Intune en raison d’un problème de back-end connu. Toutefois, la règle existe toujours et est disponible via d’autres méthodes. Par exemple, Microsoft Defender pour point de terminaison la gestion des paramètres de sécurité, le fournisseur de services de configuration (CSP), Add-MpPreference ou la configuration de stratégie ASR Intune existante dans les règles créées avant le problème).

Règles ASR prises en charge des systèmes de gestion de configuration

Les liens vers des informations sur les versions du système de gestion de la configuration référencées dans ce tableau sont répertoriés sous ce tableau.

(1) Vous pouvez configurer des règles de réduction de la surface d’attaque par règle à l’aide du GUID de n’importe quelle règle.

^*Actuellement, cette règle ASR peut ne pas être disponible dans la configuration de la stratégie de réduction de la surface d’attaque Intune en raison d’un problème de back-end connu. Toutefois, la règle existe toujours et est disponible via d’autres méthodes. Par exemple, Microsoft Defender pour point de terminaison la gestion des paramètres de sécurité, le fournisseur de services de configuration (CSP), Add-MpPreference ou la configuration de stratégie ASR Intune existante dans les règles créées avant le problème).

• Configuration Manager CB 1710
• Configuration Manager CB 1802
• Microsoft Configuration Manager CB 1710
• System Center Configuration Manager (SCCM) CB 1710
  SCCM est maintenant Microsoft Configuration Manager.

Par règle ASR, détails de l’alerte et de la notification

Les notifications toast sont générées pour toutes les règles en mode Bloc. Les règles dans un autre mode ne génèrent pas de notifications toast.

Pour les règles dont l’état de la règle est spécifié :

• Les règles ASR avec \ASR Rule, Rule State\ combinaisons sont utilisées pour exposer des alertes (notifications toast) sur Microsoft Defender pour point de terminaison uniquement pour les appareils définis au niveau Highdu bloc cloud.
• Les appareils qui ne sont pas définis au niveau High du bloc cloud ne génèrent pas d’alertes pour les ASR Rule, Rule State combinaisons.
• Les alertes de détection et de réponse de point de terminaison (EDR) sont générées pour les règles ASR dans les états spécifiés, pour les appareils définis au niveau High+du bloc cloud.
• Les notifications toast se produisent en mode bloc uniquement et pour les appareils définis au niveau Highdu bloc cloud.

^*Actuellement, cette règle ASR peut ne pas être disponible dans la configuration de la stratégie de réduction de la surface d’attaque Intune en raison d’un problème de back-end connu. Toutefois, la règle existe toujours et est disponible via d’autres méthodes. Par exemple, Microsoft Defender pour point de terminaison la gestion des paramètres de sécurité, le fournisseur de services de configuration (CSP), Add-MpPreference ou la configuration de stratégie ASR Intune existante dans les règles créées avant le problème).

Règle ASR en matrice GUID

^*Actuellement, cette règle ASR peut ne pas être disponible dans la configuration de la stratégie de réduction de la surface d’attaque Intune en raison d’un problème de back-end connu. Toutefois, la règle existe toujours et est disponible via d’autres méthodes. Par exemple, Microsoft Defender pour point de terminaison la gestion des paramètres de sécurité, le fournisseur de services de configuration (CSP), Add-MpPreference ou la configuration de stratégie ASR Intune existante dans les règles créées avant le problème).

Modes de règle ASR

L’avertissement est un type de bloc qui avertit les utilisateurs des actions potentiellement risquées via une fenêtre contextuelle d’avertissement. Les utilisateurs peuvent sélectionner OK pour appliquer le bloc, ou sélectionner Débloquer pour contourner le bloc pendant les prochaines 24 heures. Après 24 heures, l’utilisateur doit autoriser à nouveau le bloc.

Le mode d’avertissement pour les règles ASR est pris en charge uniquement dans Windows 10 version 1809 ou ultérieure. Les versions antérieures de Windows 10 avec une règle de mode d’avertissement affectée sont en fait en mode Bloc.

Dans PowerShell, vous pouvez créer une règle ASR en mode avertissement en spécifiant le paramètre AttackSurfaceReductionRules_Actions avec la valeur Warn. Par exemple :

Add-MpPreference -AttackSurfaceReductionRules_Ids 56a863a9-875e-4185-98a7-b882c64b5ce5 -AttackSurfaceReductionRules_Actions Warn

Descriptions par règle

Bloquer les abus de conducteurs vulnérables exploités signés

Cette règle empêche une application d’écrire un pilote signé vulnérable sur le disque. Les applications locales avec des privilèges suffisants peuvent exploiter des pilotes signés vulnérables pour accéder au noyau. Les pilotes signés vulnérables permettent aux attaquants de désactiver ou de contourner les solutions de sécurité, ce qui aboutit à la compromission du système.

La règle Bloquer l’abus des pilotes signés vulnérables exploités n’empêche pas le chargement d’un pilote existant déjà sur le système.

nom de Intune :Block abuse of exploited vulnerable signed drivers

nom de Configuration Manager : pas encore disponible

GUID : 56a863a9-875e-4185-98a7-b882c64b5ce5

Type d’action de chasse avancée :

• AsrVulnerableSignedDriverAudited
• AsrVulnerableSignedDriverBlocked

Empêcher Adobe Reader de créer des processus enfants

Cette règle empêche les attaques en empêchant Adobe Reader de créer des processus.

Les programmes malveillants peuvent télécharger et lancer des charges utiles et sortir d’Adobe Reader par le biais d’une ingénierie sociale ou d’exploits. En empêchant Adobe Reader de générer des processus enfants, les programmes malveillants qui tentent d’utiliser Adobe Reader comme vecteur d’attaque sont empêchés de se propager.

nom de Intune :Process creation from Adobe Reader (beta)

nom de Configuration Manager : pas encore disponible

GUID : 7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c

Type d’action de chasse avancée :

• AsrAdobeReaderChildProcessAudited
• AsrAdobeReaderChildProcessBlocked

Dépendances : antivirus Microsoft Defender

Empêcher toutes les applications Office de créer des processus enfants

Cette règle empêche les applications Office de créer des processus enfants. Les applications Office incluent Word, Excel, PowerPoint, OneNote et Access.

La création de processus enfants malveillants est une stratégie de programme malveillant courante. Les programmes malveillants qui abusent d’Office en tant que vecteur exécutent souvent des macros VBA et exploitent du code pour télécharger et tenter d’exécuter davantage de charges utiles. Toutefois, certaines applications métier légitimes peuvent également générer des processus enfants à des fins bénignes. Par exemple, la génération d’une invite de commandes ou l’utilisation de PowerShell pour configurer les paramètres du Registre.

nom de Intune :Office apps launching child processes

nom de Configuration Manager :Block Office application from creating child processes

GUID : d4f940ab-401b-4efc-aadc-ad5f3c50688a

Type d’action de chasse avancée :

• AsrOfficeChildProcessAudited
• AsrOfficeChildProcessBlocked

Dépendances : antivirus Microsoft Defender

Bloquer le vol d’informations d’identification à partir du sous-système d’autorité de sécurité locale Windows

Cette règle permet d’empêcher le vol d’informations d’identification en verrouillant le service LSASS (Local Security Authority Subsystem Service).

LSASS authentifie les utilisateurs qui se connectent sur un ordinateur Windows. Credential Guard dans Windows empêche normalement les tentatives d’extraction d’informations d’identification à partir de LSASS. Certaines organisations ne peuvent pas activer Credential Guard sur tous leurs ordinateurs en raison de problèmes de compatibilité avec les pilotes de carte à puce personnalisés ou d’autres programmes qui se chargent dans l’autorité de sécurité locale (LSA). Dans ce cas, les attaquants peuvent utiliser des outils tels que Mimikatz pour récupérer des mots de passe en texte clair et des hachages NTLM à partir de LSASS.

Par défaut, l’état de cette règle est défini sur non configuré (désactivé). Dans la plupart des cas, de nombreux processus effectuent des appels à LSASS pour obtenir des droits d’accès qui ne sont pas nécessaires. Par exemple, lorsque le blocage initial de la règle ASR entraîne un appel ultérieur pour un privilège inférieur qui réussit. Pour plus d’informations sur les types de droits généralement demandés dans les appels de processus à LSASS, consultez Traiter les droits de sécurité et d’accès.

L’activation de cette règle n’offre pas de protection supplémentaire si la protection LSA est activée, car la règle ASR et la protection LSA fonctionnent de la même façon. Toutefois, si vous ne pouvez pas activer la protection LSA, vous pouvez configurer cette règle pour fournir une protection équivalente contre les programmes malveillants qui ciblent lsass.exe.

nom de Configuration Manager :Block credential stealing from the Windows local security authority subsystem

GUID : 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2

Type d’action de chasse avancée :

• AsrLsassCredentialTheftAudited
• AsrLsassCredentialTheftBlocked

Dépendances : antivirus Microsoft Defender

Problèmes connus : Ces applications et la règle « Bloquer le vol d’informations d’identification du sous-système d’autorité de sécurité locale Windows » sont incompatibles :

Pour obtenir un support technique, contactez l’éditeur du logiciel.

Bloquer le contenu exécutable du client de messagerie et de la messagerie web

Cette règle empêche les e-mails ouverts dans l’application Microsoft Outlook, ou Outlook.com et d’autres fournisseurs de messagerie web populaires de propager les types de fichiers suivants :

• Fichiers exécutables (tels que .exe, .dll ou .scr)

• Fichiers de script (tels qu’un fichier PowerShell.ps1, Visual Basic .vbs ou JavaScript .js)

• Archive fichiers (tels que .zip et autres)

nom de Intune :Execution of executable content (exe, dll, ps, js, vbs, etc.) dropped from email (webmail/mail client) (no exceptions)

Microsoft Configuration Manager nom :Block executable content from email client and webmail

GUID : be9ba2d9-53ea-4cdc-84e5-9b1eeee46550

Type d’action de chasse avancée :

• AsrExecutableEmailContentAudited
• AsrExecutableEmailContentBlocked

Dépendances : antivirus Microsoft Defender

Bloquer l’exécution des fichiers exécutables, sauf s’ils répondent à un critère de prévalence, d’âge ou de liste de confiance

Cette règle empêche le lancement des fichiers exécutables, tels que .exe, .dll ou .scr. Par conséquent, le lancement de fichiers exécutables non approuvés ou inconnus peut être risqué, car il peut ne pas être clair au départ si les fichiers sont malveillants.

nom de Intune :Executables that don't meet a prevalence, age, or trusted list criteria

nom de Configuration Manager :Block executable files from running unless they meet a prevalence, age, or trusted list criteria

GUID : 01443614-cd74-433a-b99e-2ecdc07bfc25

Type d’action de chasse avancée :

• AsrUntrustedExecutableAudited
• AsrUntrustedExecutableBlocked

Dépendances : antivirus Microsoft Defender, protection cloud

Bloquer l’exécution de scripts potentiellement obfusqués

Cette règle détecte les propriétés suspectes dans un script obfusqué.

L’obfuscation de script est une technique courante que les auteurs de programmes malveillants et les applications légitimes utilisent pour masquer la propriété intellectuelle ou réduire les temps de chargement des scripts. Les auteurs de programmes malveillants utilisent également l’obfuscation pour rendre le code malveillant plus difficile à lire, ce qui empêche l’examen de près par les humains et les logiciels de sécurité.

nom de Intune :Obfuscated js/vbs/ps/macro code

nom de Configuration Manager :Block execution of potentially obfuscated scripts

GUID : 5beb7efe-fd9a-4556-801d-275e5ffc04cc

Type d’action de chasse avancée :

• AsrObfuscatedScriptAudited
• AsrObfuscatedScriptBlocked

Dépendances : antivirus Microsoft Defender, interface d’analyse anti-programme malveillant (AMSI), Protection cloud

Empêcher JavaScript ou VBScript de lancer le contenu exécutable téléchargé

Cette règle empêche les scripts de lancer du contenu téléchargé potentiellement malveillant. Les logiciels malveillants écrits en JavaScript ou VBScript agissent souvent comme un téléchargeur pour extraire et lancer d’autres programmes malveillants à partir d’Internet. Bien qu’elles ne soient pas courantes, les applications métier utilisent parfois des scripts pour télécharger et lancer des programmes d’installation.

nom de Intune :js/vbs executing payload downloaded from Internet (no exceptions)

nom de Configuration Manager :Block JavaScript or VBScript from launching downloaded executable content

GUID : d3e037e1-3eb8-44c8-a917-57927947596d

Type d’action de chasse avancée :

• AsrScriptExecutableDownloadAudited
• AsrScriptExecutableDownloadBlocked

Dépendances : antivirus Microsoft Defender, AMSI

Empêcher les applications Office de créer du contenu exécutable

Cette règle empêche les applications Office, notamment Word, Excel et PowerPoint, d’être utilisées comme vecteur pour conserver du code malveillant sur le disque. Les programmes malveillants qui abusent d’Office en tant que vecteur peuvent tenter d’enregistrer des composants malveillants sur le disque qui survivraient à un redémarrage de l’ordinateur et persistaient sur le système. Cette règle se défend contre cette technique de persistance en bloquant l’accès (ouvrir/exécuter) au code écrit sur le disque. Cette règle bloque également l’exécution des fichiers non approuvés qui ont pu être enregistrés par des macros Office autorisées à s’exécuter dans des fichiers Office.

nom de Intune :Office apps/macros creating executable content

nom de Configuration Manager :Block Office applications from creating executable content

GUID : 3b576869-a4ec-4529-8536-b80a7769e899

Type d’action de chasse avancée :

• AsrExecutableOfficeContentAudited
• AsrExecutableOfficeContentBlocked

Dépendances : antivirus Microsoft Defender, RPC

Empêcher les applications Office d’injecter du code dans d’autres processus

Cette règle bloque les tentatives d’injection de code des applications Office dans d’autres processus.

Les attaquants peuvent tenter d’utiliser des applications Office pour migrer du code malveillant vers d’autres processus via l’injection de code, de sorte que le code peut se faire passer pour un processus propre. Il n’existe pas d’objectif commercial légitime connu pour l’utilisation de l’injection de code.

Cette règle s’applique à Word, Excel, OneNote et PowerPoint.

nom de Intune :Office apps injecting code into other processes (no exceptions)

nom de Configuration Manager :Block Office applications from injecting code into other processes

GUID : 75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84

Type d’action de chasse avancée :

• AsrOfficeProcessInjectionAudited
• AsrOfficeProcessInjectionBlocked

Dépendances : antivirus Microsoft Defender

Problèmes connus : Ces applications et la règle « Bloquer les applications Office d’injecter du code dans d’autres processus » sont incompatibles :

Pour obtenir un support technique, contactez l’éditeur du logiciel.

Empêcher l’application de communication Office de créer des processus enfants

Cette règle empêche Outlook de créer des processus enfants, tout en autorisant les fonctions Outlook légitimes. Cette règle protège contre les attaques d’ingénierie sociale et empêche l’exploitation du code d’abuser des vulnérabilités dans Outlook. Il protège également contre les règles et les attaques de formulaires Outlook que les attaquants peuvent utiliser quand les informations d’identification d’un utilisateur sont compromises.

nom de Intune :Process creation from Office communication products (beta)

Configuration Manager nom : non disponible

GUID : 26190899-1602-49e8-8b27-eb1d0a1ce869

Type d’action de chasse avancée :

• AsrOfficeCommAppChildProcessAudited
• AsrOfficeCommAppChildProcessBlocked

Dépendances : antivirus Microsoft Defender

Bloquer la persistance via un abonnement aux événements WMI

Cette règle empêche les programmes malveillants d’utiliser WMI à mauvais escient pour obtenir une persistance sur un appareil.

Les menaces sans fichier emploient diverses tactiques pour rester cachées, éviter d’être vues dans le système de fichiers et obtenir un contrôle d’exécution périodique. Certaines menaces peuvent utiliser à mauvais escient le dépôt WMI et le modèle d’événement pour rester cachées.

nom de Intune :Persistence through WMI event subscription

Configuration Manager nom : non disponible

GUID : e6db77e5-3df2-4cf1-b95a-636979351e5b

Type d’action de chasse avancée :

• AsrPersistenceThroughWmiAudited
• AsrPersistenceThroughWmiBlocked

Dépendances : antivirus Microsoft Defender, RPC

Bloquer les créations de processus provenant des commandes PSExec et WMI

Cette règle empêche l’exécution des processus créés via PsExec et WMI . PsExec et WMI peuvent exécuter du code à distance. Il existe un risque de programmes malveillants qui abusent des fonctionnalités de PsExec et WMI à des fins de commande et de contrôle, ou de propager une infection sur le réseau d’un organization.

nom de Intune :Process creation from PSExec and WMI commands

nom de Configuration Manager : Non applicable

GUID : d1e49aac-8f56-4280-b9ba-993a6d77406c

Type d’action de chasse avancée :

• AsrPsexecWmiChildProcessAudited
• AsrPsexecWmiChildProcessBlocked

Dépendances : antivirus Microsoft Defender

Bloquer le redémarrage de l’ordinateur en mode sans échec

Cette règle empêche l’exécution de certaines commandes pour redémarrer des machines en mode sans échec. En mode sans échec, de nombreux produits de sécurité sont désactivés ou fonctionnent dans une capacité limitée. Cet effet permet aux attaquants de lancer davantage de commandes de falsification, ou d’exécuter et de chiffrer tous les fichiers sur l’ordinateur. Cette règle bloque l’utilisation abusive du mode sans échec en empêchant les commandes couramment utilisées comme bcdedit et bootcfg de redémarrer des machines en mode sans échec. Le mode sans échec est toujours accessible manuellement à partir de l’environnement de récupération Windows.

nom de Intune :Block rebooting machine in Safe Mode

nom de Configuration Manager : pas encore disponible

GUID : 33ddedf1-c6e0-47cb-833e-de6133960387

Type d’action de chasse avancée :

• AsrSafeModeRebootedAudited
• AsrSafeModeRebootBlocked
• AsrSafeModeRebootWarnBypassed

Dépendances : antivirus Microsoft Defender

Bloquer les processus non approuvés et non signés qui s’exécutent à partir d’USB

Avec cette règle, les administrateurs peuvent empêcher l’exécution de fichiers exécutables non signés ou non approuvés à partir de lecteurs usb amovibles, y compris les cartes SD. Les types de fichiers bloqués incluent les fichiers exécutables (tels que .exe, .dll ou .scr)

nom de Intune :Untrusted and unsigned processes that run from USB

nom de Configuration Manager :Block untrusted and unsigned processes that run from USB

GUID : b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4

Type d’action de chasse avancée :

• AsrUntrustedUsbProcessAudited
• AsrUntrustedUsbProcessBlocked

Dépendances : antivirus Microsoft Defender

Bloquer l’utilisation des outils système copiés ou usurpés d’identité

Cette règle bloque l’utilisation des fichiers exécutables identifiés en tant que copies des outils système Windows. Ces fichiers sont des doublons ou des imposteurs des outils système d’origine. Certains programmes malveillants peuvent essayer de copier ou d’emprunter l’identité des outils système Windows pour éviter la détection ou obtenir des privilèges. L’autorisation de ces fichiers exécutables peut entraîner des attaques potentielles. Cette règle empêche la propagation et l’exécution de tels doublons et imposteurs des outils système sur les machines Windows.

nom de Intune :Block use of copied or impersonated system tools

nom de Configuration Manager : pas encore disponible

GUID : c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb

Type d’action de chasse avancée :

• AsrAbusedSystemToolAudited

• AsrAbusedSystemToolBlocked

• AsrAbusedSystemToolWarnBypassed

Dépendances : antivirus Microsoft Defender

Bloquer la création de webshell pour les serveurs

Cette règle bloque la création de scripts d’interpréteur de commandes web sur Microsoft Server, rôle Exchange. Un script d’interpréteur de commandes web est un script conçu qui permet à un attaquant de contrôler le serveur compromis.

Un interpréteur de commandes web peut inclure des fonctionnalités telles que la réception et l’exécution de commandes malveillantes, le téléchargement et l’exécution de fichiers malveillants, le vol et l’exfiltrage d’informations d’identification et d’informations sensibles, et l’identification de cibles potentielles.

nom de Intune :Block Webshell creation for Servers

GUID : a8f5898e-1dc8-49a9-9878-85004b8a61e6

Dépendances : antivirus Microsoft Defender

Bloquer les appels d’API Win32 à partir de macros Office

Cette règle empêche les macros VBA d’appeler des API Win32. Office VBA active les appels d’API Win32. Les programmes malveillants peuvent abuser de cette fonctionnalité, comme appeler des API Win32 pour lancer un shellcode malveillant sans écrire quoi que ce soit directement sur le disque. La plupart des organisations ne s’appuient pas sur la possibilité d’appeler des API Win32 dans leur fonctionnement quotidien, même si elles utilisent des macros d’autres façons.

nom de Intune :Win32 imports from Office macro code

nom de Configuration Manager :Block Win32 API calls from Office macros

GUID : 92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b

Type d’action de chasse avancée :

• AsrOfficeMacroWin32ApiCallsAudited
• AsrOfficeMacroWin32ApiCallsBlocked

Dépendances : antivirus Microsoft Defender, AMSI

Utiliser une protection avancée contre les rançongiciels

Cette règle fournit une couche supplémentaire de protection contre les rançongiciels. Il utilise à la fois les heuristiques client et cloud pour déterminer si un fichier ressemble à un ransomware. Cette règle ne bloque pas les fichiers qui ont une ou plusieurs des caractéristiques suivantes :

• Le fichier n’est pas partagé dans le cloud Microsoft.
• Le fichier est un fichier signé valide.
• Le fichier est suffisamment répandu pour ne pas être considéré comme un ransomware.

La règle a tendance à errer du côté de la prudence pour empêcher les rançongiciels.

nom de Intune :Advanced ransomware protection

nom de Configuration Manager :Use advanced protection against ransomware

GUID : c1db55ab-c21a-4637-bb3f-a12568109d35

Type d’action de chasse avancée :

• AsrRansomwareAudited
• AsrRansomwareBlocked

Dépendances : antivirus Microsoft Defender, protection cloud

Voir aussi

• Vue d’ensemble du déploiement des règles de réduction de la surface d’attaque

• Planifier le déploiement des règles de réduction de la surface d’attaque

• Règles de réduction de la surface d’attaque de test

• Activer les règles de réduction de la surface d’attaque

• Opérationnaliser les règles de réduction de la surface d’attaque

• Rapport sur les règles de réduction de la surface d’attaque

• Informations de référence sur les règles de réduction de la surface d’attaque

• Exclusions pour Microsoft Defender pour point de terminaison et antivirus Microsoft Defender

• Résoudre les problèmes liés aux règles de réduction de la surface d’attaque