Deception ב-Microsoft Defender XDR – חלק 2: איך מגדירים אותו להשפעה מרבית
פורסם ב-28 באפריל 2025
מבוא: בהמשך לצלילה לעומק ליכולת ה-Deception המובנית של Microsoft Defender XDR,
היום נעבור על איך להגדיר אותה נכון, כדי שהסביבה שלכם תקבל את מלוא ההגנה שהיכולת הזו מציעה.
תהליך ההגדרה פשוט אבל חזק כשעושים אותו נכון.
הנה כל מה שצריך לדעת.
שלב 1: הפעילו את יכולת ה-Deception
כברירת מחדל ה-deception כבוי, ואתם צריכים להפעיל אותו ידנית:
- עברו אל Settings > Endpoints.
- תחת General, בחרו Advanced features.
- מצאו את Deception capabilities והעבירו ל-On.
כשמפעילים אותו, נוצר אוטומטית כלל ברירת מחדל:
- נוצרים חשבונות ו-hosts פיתיון (decoys).
- מוטמנים פיתיונות (lures) במכשירי Windows client בכל הארגון.
המטרה: הגנה בסיסית כבר מההפעלה, ובמקביל מרחב להתאמה אישית בהמשך.
שלב 2: הבינו את כלל ה-Deception המוגדר כברירת מחדל
כלל ברירת המחדל מכסה את כל המכשירים (ברמת הארגון), אבל כרגע הפיתיונות מוטמנים רק ב-Windows clients.
אפשר לערוך את כלל ברירת המחדל אם רוצים:
- להתאים אילו מכשירים מקבלים פיתיונות.
- לכוונן decoys ו-lures לפי הצרכים הספציפיים שלכם.
טיפ מקצועי: גם בלי כללים מותאמים, ההגדרה המוגדרת כברירת מחדל כבר נותנת כיסוי חזק בשכבה הראשונה.
שלב 3: צרו והתאימו כללי Deception
אפשר ליצור עד 10 כללי deception.
כדי ליצור כלל חדש:
- עברו אל Settings > Endpoints > Rules > Deception Rules.
- בחרו Add Deception Rule.
בחלונית יצירת הכלל:
- הוסיפו שם ותיאור.
- בחרו סוגי lures (אפשר לבחור Basic, Advanced או שניהם).
- הגדירו את ה-scope: כל ה-Windows clients או לפי תגיות ספציפיות.
לאחר מכן המערכת מתחילה ליצור decoys אוטומטית 🛠️.
שלב 4: נהלו Decoys ו-Hosts
- סקרו או ערכו את חשבונות ה-decoy וה-hosts שנוצרו אוטומטית.
- אפשר להוסיף decoys משלכם אם צריך.
⚠️ חשוב:
- תמיד צרו שמות משתמש ושמות host ייחודיים ל-decoys.
- הימנעו משימוש בכתובות IP אמיתיות או בכתובות נפוצות כמו 127.0.0.1 או 10.0.0.1.
- מומלץ להשתמש בכתובות IP של sandbox אם זה זמין.
זה עוזר למנוע false positives במהלך חקירות אירועים.
שלב 5: התאימו והעלו Lures
כשמגדירים lures:
- בחרו בין lures שנוצרים אוטומטית ל-lures מותאמים.
- כדי להעלות lure משלכם:
- אפשר להשתמש בכל סוג קובץ (חוץ מ-.DLL או .EXE).
- הגבילו את הגודל ל-10 MB לקובץ.
טיפים ל-lures מותאמים יעילים:
- הזכירו חשבונות או hosts של decoys בתוכן קובץ ה-lure.
- הפכו את ה-lures לאטרקטיביים לתוקפים (למשל סיסמאות מזויפות, קובצי הגדרות פנימיים).
אפשר גם להחליט:
- אם להטמין lures בכל המכשירים שבהיקף.
- אם ה-lure יהיה מוסתר או גלוי.
שלב 6: סקירה אחרונה ושמירה
לפני השמירה:
- סקרו את כל הסעיפים (scope, decoys, lures).
- בצעו עריכות אם צריך.
- בחרו Save.
הפריסה המלאה ברשת שלכם עשויה לקחת 12–24 שעות.
אפשר לעקוב אחר ההתקדמות בחלונית Deception Rules.
אפשר גם לייצא את פרטי הכלל למטרות ביקורת ותיעוד.
שלב 7: ניהול כללים קיימים
כדי לערוך, להשבית או למחוק כלל deception:
- בחרו את הכלל בחלונית Deception Rules.
- בחרו Edit, Turn off או Delete לפי הצורך.
היגיינה טובה:
- סקרו מדי פעם את כללי ה-deception הפעילים.
- עדכנו lures ו-decoys אם הסביבה או נוף האיומים משתנים.
למידע נוסף:
https://learn.microsoft.com/en-us/defender-xdr/configure-deception