Attack Surface Reduction Rules – ASR w Microsoft Defender

Attack Surface Reduction Rules (ASR) to zestaw reguł bezpieczeństwa w Microsoft Defender, których zadaniem jest blokowanie typowych technik wykorzystywanych przez atakujących, zanim incydent rozwinie się w pełny atak.

To bardzo ważne rozróżnienie:

ASR nie próbuje tylko rozpoznać konkretnego malware. Próbuje zablokować zachowanie, które jest często wykorzystywane w atakach.

Schemat:

                 Attack
                   |
          +--------+--------+
          |                 |
      Malware            Legit App
          |                 |
          +--------+--------+
                   |
             Suspicious
              behavior
                   |
                   v
          +----------------+
          |   ASR Rules    |
          +----------------+
                   |
             BLOCK / AUDIT

Dlaczego ASR jest potrzebne?

Współczesny atak często wykorzystuje legalne komponenty Windows.

Przykładowo:

Phishing email
      ↓
Office document
      ↓
Macro / script
      ↓
PowerShell
      ↓
Credential theft
      ↓
Lateral movement

Problem polega na tym, że:

PowerShell sam w sobie nie jest malware.

Podobnie:

• Word,
• Excel,
• WMI,
• PowerShell,
• Windows Script Host,
• rundll32,

są normalnymi elementami systemu.

ASR może ograniczać konkretne sposoby wykorzystywania tych narzędzi.

ASR działa bardziej jak „zakazy zachowania”

Tradycyjny antywirus:

plik.exe
   ↓
Signature / ML / Behavior
   ↓
Malware?

ASR:

Application
   ↓
Action
   ↓
Is this behavior commonly abused?
   ↓
BLOCK

Czyli:

"Nie zabijaj wszystkich narzędzi."

tylko:

"Zablokuj konkretne niebezpieczne zastosowanie
legalnego narzędzia."

Przykład: Office → PowerShell

Załóżmy, że użytkownik otwiera złośliwy dokument.

WINWORD.EXE
      |
      v
PowerShell
      |
      v
Download payload
      |
      v
Execution

To jest klasyczny łańcuch ataku.

ASR może ograniczyć możliwość uruchamiania określonych procesów potomnych przez aplikacje Office.

Schemat:

Office
  |
  +---- Normal action ----> ALLOW
  |
  +---- Suspicious child
              |
              v
             ASR
              |
              v
            BLOCK

Jedna z najbardziej znanych reguł

Jedna z istotnych reguł dotyczy:

Block all Office applications from creating child processes

Czyli:

Word
  |
  X
cmd.exe
powershell.exe
wscript.exe
etc.

Nie oznacza to:

„PowerShell jest zablokowany”.

Chodzi o konkretną relację:

Office nie powinien tworzyć podejrzanych procesów potomnych.

To ogromna różnica.

ASR i ransomware

ASR posiada również reguły związane z zachowaniami typowymi dla ransomware.

Przykładowa koncepcja:

Application
     |
     v
Suspicious file modification
     |
     v
Mass encryption behavior
     |
     v
ASR / Defender
     |
     v
BLOCK

Celem jest przerwanie ataku zanim wszystkie dane zostaną zaszyfrowane.

Oczywiście ASR nie jest zamiennikiem backupu.

ASR i kradzież poświadczeń

Jedną z ważnych klas reguł są te ograniczające zachowania związane z credential theft.

Atak może wyglądać:

Compromised Process
       |
       v
Credential Access
       |
       v
Windows Credentials
       |
       v
Lateral Movement

Reguły ASR mogą ograniczać określone sposoby uzyskiwania dostępu do danych uwierzytelniających.

ASR i LSASS

Szczególnie istotnym celem ataków jest:

LSASS (Local Security Authority Subsystem Service).

Atakujący może próbować uzyskać dostęp do pamięci LSASS:

Attacker Process
       |
       v
Open LSASS
       |
       v
Credential Dumping

Jedna z reguł ASR może ograniczać:

Block credential stealing from the Windows local security authority subsystem (lsass.exe)

Schemat:

Process
   |
   v
Access LSASS
   |
   v
+----------------+
| ASR Protection |
+----------------+
   |
   v
BLOCK

To bardzo istotna warstwa przeciwko credential dumping.

ASR i USB

ASR obejmuje również reguły związane z potencjalnie niebezpiecznymi scenariuszami z wykorzystaniem urządzeń wymiennych.

W organizacji można np. ograniczać wykonywanie określonych zachowań pochodzących z:

USB
 |
 v
Executable
 |
 v
Execution

To ma szczególne znaczenie w środowiskach, w których użytkownicy regularnie korzystają z pendrive’ów.

ASR i skrypty

Wiele ataków wykorzystuje skrypty:

PowerShell
VBScript
JavaScript
WMI
MSHTA

Nie trzeba ich całkowicie wyłączać.

ASR może ograniczać określone sposoby ich wykorzystywania.

To właśnie jedna z największych zalet modelu:

Tool ≠ Threat

ale:

Tool + Suspicious Behavior = Risk

ASR i LOLBins

ASR świetnie wpisuje się w problem LOLBins (Living off the Land Binaries).

Atakujący wykorzystuje legalne narzędzie systemowe:

rundll32.exe
mshta.exe
powershell.exe
wscript.exe
regsvr32.exe

zamiast dostarczać klasyczny malware.

Schemat:

Attacker
   |
   v
Legitimate Windows Tool
   |
   v
Malicious Action

ASR próbuje ograniczać niebezpieczne zachowania, a nie zakładać, że każde użycie legalnego narzędzia jest złe.

ASR – Block, Audit, Warn

To bardzo ważne podczas wdrażania.

Reguły ASR można stosować w różnych trybach, m.in.:

Audit
 ↓
Monitor only


Warn
 ↓
User can respond


Block
 ↓
Action prevented

Najbezpieczniejszym sposobem wdrożenia w organizacji jest często:

Audit
   ↓
Collect telemetry
   ↓
Analyze
   ↓
Tune exclusions
   ↓
Pilot
   ↓
Block

Nie:

Enable everything
 ↓
Production
 ↓
Chaos

Dlaczego Audit Mode jest tak ważny?

Załóżmy, że firma ma:

5000 endpoints

i włącza agresywną regułę bez testów.

Może się okazać:

5000 computers
      |
      v
Legacy applications
      |
      v
Compatibility problems

Audit pozwala najpierw zobaczyć:

"What would have been blocked?"

Dopiero później przechodzimy do:

BLOCK

ASR + Microsoft Defender for Endpoint

I tutaj idealnie łączymy z poprzednim tematem.

                 Endpoint
                    |
              ASR Rules
                    |
           +--------+--------+
           |                 |
         BLOCK              AUDIT
           |                 |
           v                 v
        Prevent          Telemetry
                             |
                             v
                  Defender for Endpoint
                             |
                             v
                        Investigation

ASR może zatrzymać zachowanie, a MDE pozwala później analizować zdarzenia i korelować je z innymi aktywnościami.

ASR + Exploit Protection

To dwa różne mechanizmy.

Exploit Protection:

Exploit Mitigations
 |
 +-- DEP
 +-- ASLR
 +-- CFG
 +-- etc.

ASR:

Attack Behavior Reduction
 |
 +-- Office abuse
 +-- Credential theft
 +-- Scripts
 +-- Ransomware-related behavior
 +-- Other attack techniques

Można je połączyć:

                Windows Endpoint
                       |
          +------------+------------+
          |                         |
 Exploit Protection                ASR
          |                         |
 Exploit Mitigation          Attack Behavior
          |                         |
          +------------+------------+
                       |
                    Defender

ASR + HVCI + WDAC

Jeszcze ciekawszy model:

                    Windows
                       |
       +---------------+---------------+
       |               |               |
      HVCI            WDAC            ASR
       |               |               |
 Kernel Integrity   Code Policy    Attack Behavior
       |               |               |
       +---------------+---------------+
                       |
                      MDE
                       |
                Detection/Response

Każda warstwa odpowiada na inne pytanie:

Przykład kompletnego ataku

Załóżmy klasyczny phishing:

1. Phishing email
       ↓
2. Malicious Office document
       ↓
3. Office starts child process
       ↓
4. PowerShell
       ↓
5. Credential access
       ↓
6. Lateral movement
       ↓
7. Ransomware

Teraz defense in depth:

Office
  |
  X ← ASR
  |
PowerShell
  |
  X ← ASR / Defender
  |
Credential Access
  |
  X ← Credential protections
  |
Lateral Movement
  |
  X ← Identity / Network controls
  |
Ransomware
  |
  X ← Defender / ASR / EDR

Nie ma jednej magicznej reguły.

Chodzi o przerwanie łańcucha ataku w wielu miejscach.

ASR nie zastępuje antywirusa

To bardzo ważne:

ASR
 ≠
Antivirus

ASR jest warstwą redukcji powierzchni ataku.

Dlatego architektura powinna wyglądać raczej:

Security Baseline
      +
Defender Antivirus
      +
ASR
      +
Exploit Protection
      +
HVCI
      +
WDAC
      +
Defender for Endpoint

ASR nie zastępuje patchowania

Podobnie jak Exploit Protection:

CVE
 ↓
Patch
 ↓
Vulnerability fixed

ASR:

CVE / Attack Technique
 ↓
ASR
 ↓
Certain exploitation behavior blocked

Najlepiej:

Patch
 +
ASR
 +
Exploit Protection

Jak zarządzać ASR?

W środowisku Microsoft można nimi zarządzać centralnie, np. przez rozwiązania takie jak:

• Microsoft Intune,
• Microsoft Defender portal,
• Group Policy,
• Microsoft Configuration Manager.

Dzięki temu można wdrożyć jednolitą politykę:

                    Organization
                         |
                    ASR Policy
                         |
          +--------------+--------------+
          |              |              |
        PC-01          PC-02          PC-03
          |              |              |
        ASR            ASR            ASR

PowerShell

Na pojedynczym komputerze można sprawdzić konfigurację reguł ASR za pomocą:

Get-MpPreference

Szczególnie interesujące są ustawienia:

AttackSurfaceReductionRules_Ids
AttackSurfaceReductionRules_Actions

Przykładowo:

(Get-MpPreference).AttackSurfaceReductionRules_Ids

oraz:

(Get-MpPreference).AttackSurfaceReductionRules_Actions

Pozwala to sprawdzić, jakie reguły są skonfigurowane i jakie akcje zostały do nich przypisane.

Najważniejsze reguły ASR

Niektóre szczególnie interesujące kategorie obejmują:

Office
 |
 +-- Block Office applications from creating child processes

Credential Access
 |
 +-- Block credential stealing from LSASS

Ransomware
 |
 +-- Block ransomware-related behavior

Scripts
 |
 +-- Restrict suspicious script behavior

USB / Removable Media
 |
 +-- Restrict risky execution scenarios

Microsoft posiada więcej reguł, a ich dokładny zestaw i identyfikatory mogą zmieniać się wraz z rozwojem Defendera.

Najważniejsza idea ASR

Najlepiej zapamiętać:

Traditional AV:

"Is this file malicious?"


ASR:

"Is this behavior commonly abused
by attackers?"

To bardzo istotna zmiana sposobu myślenia.

Legalny:

WINWORD.EXE

nie jest problemem.

Ale:

WINWORD.EXE
      ↓
powershell.exe
      ↓
download payload
      ↓
execute

jest już zupełnie innym scenariuszem.

Cały model bezpieczeństwa Windows

Po naszych ostatnich tematach mamy już naprawdę konkretną architekturę:

                         HARDWARE
                            |
                    TPM 2.0 / Secure Boot
                            |
                         VBS
                            |
                         HVCI
                            |
                 +----------+----------+
                 |                     |
                WDAC            Exploit Protection
                 |                     |
                 +----------+----------+
                            |
                           ASR
                            |
                       Defender AV
                            |
                           MDE
                            |
                     SOC / Sentinel

ASR znajduje się więc bardzo ciekawie pomiędzy klasycznymi zabezpieczeniami endpointa a EDR: część ataków może zostać zatrzymana już na poziomie samego zachowania, zanim MDE będzie musiał prowadzić pełne dochodzenie.

TL;DR

Attack Surface Reduction Rules to reguły Microsoft Defender, które ograniczają typowe zachowania wykorzystywane przez atakujących — np. nadużywanie Office, kradzież poświadczeń, określone działania skryptów czy zachowania charakterystyczne dla ransomware.

Najlepszy model wdrożenia:

Audit → analiza telemetryki → test/pilot → Block → monitoring wyjątków.

I właśnie dlatego ASR jest jedną z ciekawszych funkcji Defendera dla środowisk enterprise: nie tylko wykrywa atak, ale próbuje ograniczyć możliwości atakującego jeszcze zanim jego łańcuch ataku się rozwinie.

Polecane wpisy

Bitwa konsol

Nie tak dawno poznaliśmy dokładne specyfikację nowej konsoli Xbox. Wiemy już że w odróżnieniu od PlayStation 4 Pro będzie posiadała Czytaj dalej

Gra nie chce się uruchomić Windows 10

Jeśli gra nie chce się uruchomić na systemie Windows 10, oto kilka sugestii, które mogą pomóc rozwiązać ten problem: [caption Czytaj dalej