瞭解並使用受攻擊面縮小功能

受攻擊面是您的組織容易受到網絡威脅和攻擊的所有地方。 適用於端點的 Defender 包含數個功能，可協助減少您的受攻擊面。 觀看下列影片，以深入瞭解受攻擊面縮小。

必要條件

支援的作業系統

• Windows

設定受攻擊面縮小功能

若要在您的環境中設定受攻擊面減少，請遵循下列步驟：

1. 啟用 Microsoft Edge 的硬體型隔離。

2. 啟用受攻擊面縮小規則。

3. 啟用應用程式控制。

   1. 檢閱 Windows 中的基底原則。 請參閱 範例基本原則。

   2. 請參閱 Windows Defender 應用程式控制 設計指南。

   3. 請參閱部署 Windows Defender 應用程式控制 (WDAC) 原則。

4. 啟用受控資料夾存取。

5. 啟用 裝置控制。

6. 開啟網路保護。

7. 啟用 Web 保護。

8. 啟用漏洞利用保護。

9. 設定網路防火牆。

   1. 取得 具有進階安全性的 Windows 防火牆概觀。

   2. 使用 Windows 防火牆設計指南 來決定您要如何設計防火牆原則。

   3. 使用 Windows 防火牆部署指南 ，以進階安全性設定貴組織的防火牆。

測試適用於端點的 Microsoft Defender 中的受攻擊面減少

身為組織安全性小組的一部分，您可以將受攻擊面縮小功能設定為在稽核模式中執行，以查看其運作方式。 您可以在稽核模式中啟用下列受攻擊面減少安全性功能：

• 受攻擊面縮小規則
• 入侵防護
• 網路保護
• 受控資料夾存取權
• 裝置控制

稽核模式可讓您查看啟用此功能時會 發生的情況記錄 。

您可以在測試功能運作方式時啟用稽核模式。 僅針對測試啟用稽核模式，有助於防止稽核模式影響您的企業營運應用程式。 您還可以了解在一定時間段內發生了多少次可疑的文件修改嘗試。

這些功能不會阻止或阻止修改應用程序、腳本或文件。 不過，Windows 事件記錄檔會記錄事件，就像功能已完全啟用一樣。 使用稽核模式時，您可以檢閱事件記錄檔，以查看啟用該功能後會產生什麼影響。

若要尋找稽核項目，請移至 應用程式和服務>Microsoft>Windows>Defender>作業。

使用適用於端點的 Defender 來取得每個事件的更多詳細數據。 這些詳細數據對於調查受攻擊面縮小規則特別有幫助。 使用適用於端點的 Defender 主控台可讓您 在警示時間表和調查案例中調查問題。

您可以使用 群組原則、PowerShell 和設定服務提供者 (CSP) 啟用稽核模式。

例如，您可以在稽核模式中測試受攻擊面縮小規則，再在封鎖模式中啟用它們。 受攻擊面減少規則已預先定義，以強化常見的已知受攻擊面。 您可以使用數種方法來實作受攻擊面縮小規則。 下列受攻擊面縮小規則部署文章中記載了慣用的方法：

• 受攻擊面縮小規則部署概觀
• 規劃受攻擊面縮小規則部署
• 測試受攻擊面縮小規則
• 啟用受攻擊面縮小規則
• 操作受攻擊面減少規則

檢視受攻擊面縮小事件

檢閱事件檢視器中的受攻擊面縮小事件，以監視哪些規則或設定正在運作。 您還可以確定是否有任何設置太“嘈雜”或影響您的日常工作流程。

當您評估功能時，檢閱事件會很方便。 您可以啟用功能或設定的稽核模式，然後檢閱如果完全啟用它們會發生什麼情況。

本節列出所有事件、其相關聯的功能或設定，並說明如何建立自訂檢視以篩選特定事件。

如果您有 E5 訂用帳戶，並使用適用於端點的 適用於端點的 Microsoft Defender，請取得事件、封鎖和警告的詳細報告，作為 Windows 安全性的一部分。

使用自定義檢視來檢閱受攻擊面縮小功能

在 Windows 事件檢視器中建立自訂檢視，以只查看特定功能和設定的事件。 最簡單的方法是將自訂視圖匯入為 XML 檔案。 您可以直接從此頁面複製 XML。

您也可以手動導覽至與功能相對應的事件區域。

匯入現有的 XML 自訂檢視

1. 建立空白的 .txt 檔案，並將您要使用的自訂檢視的 XML 複製到 .txt 檔案中。 針對您要使用的每個自訂檢視執行此動作。 重新命名檔案，如下所示 (確保您將類型從 .txt 變更為 .xml) ：

   • 受控資料夾存取事件自訂檢視： cfa-events.xml
   • 惡意探索保護事件自訂檢視： ep-events.xml
   • 受攻擊面減少事件自訂檢視： asr-events.xml
   • 網路/保護事件自訂檢視： np-events.xml

2. 在 [開始] 功能表中鍵入 [事件檢視器]，然後開啟 [事件檢視器]。

3. 選取 動作>匯入自訂檢視...

   

4. 導覽至您擷取所需自訂檢視的 XML 檔案的位置，然後選取它。

5. 選取 [開啟]。

6. 它會建立自訂檢視，以篩選以僅顯示與該功能相關的事件。

直接複製 XML

1. 在「開始」功能表中鍵入事件檢視器，然後開啟 Windows 事件檢視器。

2. 在左側面板的 [動作] 底下，選取 [建立自訂檢視...]

   

3. 移至 XML 索引標籤，然後選取 手動編輯查詢。 您會看到警告，指出如果您使用 XML 選項，則無法使用 [篩選器] 索引標籤來編輯查詢。 選取 [是]。

4. 將您要從中篩選事件的功能的 XML 程式碼貼到 XML 區段中。

5. 選取 [確定]。 指定篩選器的名稱。 此動作會建立自訂檢視，以篩選為僅顯示與該功能相關的事件。

受攻擊面縮小規則事件的 XML

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=5007)]]</Select>
  </Query>
</QueryList>

受控資料夾存取事件的 XML

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=5007)]]</Select>
  </Query>
</QueryList>

惡意探索保護事件的 XML

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

網路保護事件的 XML

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

受攻擊面減少事件清單

所有受攻擊面減少事件都位於 [應用程式和服務記錄] > Microsoft > Windows 底下，然後是下表所列的資料夾或提供者。

您可以在 Windows 事件檢視器中存取這些事件：

1. 開啟 [開始] 功能表並輸入 [事件檢視器]，然後選取 [事件檢視器] 結果。

2. 展開 [應用程式和服務記錄] > [Microsoft > Windows ]，然後移至下表中 [提供者/來源 ] 底下列出的資料夾。

3. 按兩下子項目以查看事件。 捲動瀏覽事件以找到您要尋找的事件。

   

深入瞭解受攻擊面減少的資源

如影片中所述，適用於端點的 Defender 包含數個受攻擊面縮小功能。 使用下列資源來深入瞭解：