Defender XDR: בלימה של נכסים קריטיים ו-Shadow IT
פורסם ב-16 באפריל 2025
מבוא: Microsoft Defender XDR ממשיך לשפר את יכולות ה-Automatic Attack Disruption שלו, ועוזר לארגונים לבלום תקיפות מוקדם יותר ובצורה מדויקת יותר.
העדכון האחרון מביא שתי יכולות חדשות חשובות:
- בלימה מדויקת (granular) של נכסים קריטיים
- בלימה של כתובות IP שמקושרות למכשירים לא מנוהלים (Shadow IT)
הפוסט הזה נותן סקירה מהירה של השינויים, איך הם עובדים, ומה כדאי לדעת לפני שמפעילים אותם.
סקירה: למה Automatic Attack Disruption חשוב
תוקפים משתפרים כל הזמן, עם טכניקות תנועה לרוחב, הסלמת הרשאות וניצול נכסים לא מנוהלים.
אסטרטגיות בלימה מסורתיות דרשו לא פעם בידוד מלא של המכשיר, שיכול היה לשבש את הפעילות העסקית, במיוחד כשהיו מעורבות תשתיות קריטיות.
הגישה של Microsoft משפרת זאת בהצגת בלימה ממוקדת:
- הגבלת הפעולות של התוקף בלי לנתק את המכשיר לגמרי
- צמצום ההשפעה על המשכיות תפעולית
- זיהוי וחסימה אוטומטיים של מכשירים לא מנוהלים מסוכנים
מה חדש?
בלימה מדויקת של נכסים קריטיים
היקף:
חל על Domain Controllers, שרתי DNS, שרתי DHCP ומערכות קריטיות אחרות.
איך זה עובד:
במקום בידוד מלא, Defender for Endpoint מגביל בצורה חכמה רק את יכולות הרשת וערוצי התקשורת שמנוצלים בדרך כלל בתקיפות.
השפעה:
- תוקפים מאבדים את היכולת לנוע לרוחב או להסלים הרשאות.
- שירותי רשת חיוניים ממשיכים לפעול.
- המשכיות עסקית נשמרת גם במהלך אירועים פעילים.
בלימה של כתובות IP ממכשירים לא מנוהלים
היקף:
מכוון ל-Shadow IT, ל-BYOD ולכל מכשיר לא מנוהל שאפשר לנצל בתנועה לרוחב.
איך זה עובד:
כשמזוהה פעילות זדונית ממכשיר לא מוכר או לא מנוהל, כתובת ה-IP המשויכת אליו נבלמת אוטומטית, וכך נחסמת האינטראקציה שלה עם נכסים מנוהלים.
השפעה:
- מקטין סיכונים הקשורים למכשירים מחוץ להיקף הניהול שלכם.
- מונע מתקיפות בשלב מוקדם להסלים דרך נקודות חולשה ברשת.
שיקולים טכניים חשובים
דרישות מוקדמות
- רישוי: נדרש M365 E5, Defender for Endpoint Plan 2 או רישוי אבטחה מקביל (הרשימה המלאה זמינה כאן).
- פריסה: ב-Defender for Endpoint, device discovery צריך להיות מוגדר ל-Standard Discovery כדי לאפשר בלימה ברמת המכשיר.
- הגדרות אוטומציה: מכשירים צריכים להיות משויכים לקבוצות עם Full automation מופעל בהגדרות פורטל Defender, כדי לאפשר תגובה אוטומטית בלי אישור ידני.
- גרסת לקוח מינימלית: במכשירי endpoint צריכה להיות גרסת Sense Agent v10.8470 ומעלה לפעולות בלימת משתמשים.
- הרשאות: שינויי הגדרות דורשים תפקיד Global Administrator או Security Administrator ב-Entra ID או ב-M365 Admin Center.
ניהול פעולות בלימה
פעולות הבלימה גלויות וניתנות לניהול במלואן:
- Incident Graph: מכשירים שנבלמו וחשבונות משתמשים שהושעו מסומנים בבירור. אפשר לבצע ידנית פעולות שחרור לאחר הפחתת הסיכון.
- Action Center: כל פעולות ה-disruption נרשמות במרכז ב-Action Center.
- Advanced Hunting: אפשר לעקוב אחר אירועי בלימה באמצעות שאילתות KQL, למשל:
DeviceEvents| where ActionType contains "ContainedDevice"מעקב אחר חשבונות שהושבתו לאחר Attack Disruption:
- Attack disruption ב-Microsoft Defender XDR משתמש בפעולות התיקון של Defender for Identity כדי להשבית חשבונות שנפרצו.
- כברירת מחדל, ה-sensor של Defender for Identity מריץ את הפעולות האלה תחת חשבון LocalSystem ב-domain controller.
- השאילתה הבאה מוצאת חשבונות משתמשים שהושבתו, ידנית או על ידי attack disruption אוטומטי:
let AllDomainControllers =DeviceNetworkEvents| where TimeGenerated > ago(7d)| where LocalPort == 88| where LocalIPType == "FourToSixMapping"| extend DCDevicename = tostring(split(DeviceName,".")[0])| distinct DCDevicename;IdentityDirectoryEvents| where TimeGenerated > ago(90d)| where ActionType == "Account disabled"| where Application == "Active Directory"| extend ACTOR_DEVICE = tolower(tostring(AdditionalFields.["ACTOR.DEVICE"]))| where isnotempty( ACTOR_DEVICE)| where ACTOR_DEVICE in (AllDomainControllers)| project TimeGenerated, TargetAccountUpn, ACTOR_DEVICEהחרגות ידניות:
- אפשר להחריג ידנית כתובות IP או subnets דרך פורטל Defender XDR אם צריך, אבל יש להשתמש בזה בזהירות.
סיכום:
העדכון הזה מחזק את היכולת של Defender XDR:
- לבלום תקיפות מוקדם יותר ב-kill chain.
- למזער שיבושים בתשתית קריטית.
- לכסות נכסים לא מנוהלים אוטומטית.
פריסה נכונה, רישוי נכון ומדיניות אוטומציה מלאה הם המפתח להפקת המרב מהיכולת הזו.
תיעוד מלא והוראות הגדרה:
https://learn.microsoft.com/en-gb/defender-xdr/automatic-attack-disruption-exclusions