Personalizar a proteção de exploração

Aplica-se a:

• Plano 1 do Microsoft Defender para Ponto de Extremidade
• Plano 2 do Microsoft Defender para Ponto de Extremidade
• Microsoft Defender XDR

Deseja experimentar o Defender para Ponto de Extremidade? Inscreva-se para uma avaliação gratuita.

A proteção de exploração aplica automaticamente uma série de técnicas de mitigação de exploração nos processos do sistema operacional e aplicativos individuais.

Defina essas configurações usando o aplicativo Segurança do Windows em um dispositivo individual. Em seguida, exporte a configuração como um arquivo XML para que você possa implantar em outros dispositivos. Use a Política de Grupo para distribuir o arquivo XML para vários dispositivos ao mesmo tempo. Você também pode configurar as mitigações com o PowerShell.

Este artigo lista todas as mitigações disponíveis no Exploit Protection. Ele indica se a mitigação pode ser aplicada no sistema ou nos aplicativos individuais e fornece uma breve descrição de como a mitigação funciona.

Ele também descreve como habilitar ou configurar as mitigações usando os provedores de serviços de configuração Segurança do Windows, PowerShell (CSPs) e o gerenciamento de dispositivo móvel (MDM). Essa é a primeira etapa na criação de uma configuração que você pode implantar na sua rede. A próxima etapa envolve geração, exportação, importação e implantação da configuração em vários dispositivos.

Mitigações de proteção de exploração

Todas as mitigações podem ser configuradas nos aplicativos individuais. Algumas mitigações também podem ser aplicadas no nível do sistema operacional.

Você pode definir todas as mitigações como ativado, desativado ou com seu valor padrão. Algumas mitigações têm opções adicionais indicadas na descrição na tabela.

Os valores padrão são sempre especificados entre colchetes na opção Usar padrão em cada mitigação. No exemplo a seguir, o padrão da Prevenção de Execução de Dados é "Ativado".

A configuração Usar padrão das configurações de mitigação indica nossa recomendação de um nível base de proteção para uso diário dos usuários domésticos. As implantações corporativas devem considerar a proteção necessária das suas necessidades individuais, e talvez precisem modificar a configuração fora dos padrões.

Quanto aos cmdlets do PowerShell associados às mitigações, consulte a Tabela de referência do PowerShell na parte inferior deste artigo.

Configurar as mitigações no nível do sistema com o aplicativo Segurança do Windows

1. Abra o aplicativo Segurança do Windows selecionando o ícone de escudo na barra de tarefas ou pesquisando o menu Iniciar para Segurança do Windows.

2. Selecione o bloco Controle e navegador da Web (ou o ícone na barra de menu a esquerda) e então selecione Explorar proteção.

3. Na seção Configurações do sistema, localize a mitigação que você quer definir e especifique uma das configurações a seguir. Os aplicativos que não estão configurados individualmente na seção Configurações do programa usam as configurações definidas aqui:

   • Ativado por padrão - A mitigação está ativada para os aplicativos que não têm essa mitigação definida na seção específica Configurações do programa
   • Desativado por padrão - A mitigação está desabilitada para os aplicativos que não têm essa mitigação definida na seção específica Configurações do programa
   • Uso padrão - A mitigação está tanto habilitada quanto desabilitada, dependendo da configuração padrão configurada na instalação do Windows 10 ou Windows 11; o valor padrão (Ativado ou Desativado) está sempre especificado próximo ao rótulo Uso padrão de cada atenuação

   Observação

   Você pode ver a janela Controle da Conta do Usuário ao alterar algumas configurações. Insira as credenciais de administrador para aplicar a configuração.

   Alterar algumas configurações pode exigir a reinicialização.

4. Repita isso em todas as mitigações no nível do sistema que você quer configurar.

5. Acesse a seção Configurações do programa e escolha o aplicativo ao qual você quer aplicar mitigações:

   1. Se o aplicativo que você quer configurar já estiver listado, escolha-o e selecione Editar
   2. Se o aplicativo não estiver listado, na parte superior da lista, selecione Adicionar o programa a ser personalizado e escolha como você quer adicionar o aplicativo:
      • Use Adicione pelo nome do programa para que a mitigação seja aplicada a qualquer processo em execução com esse nome. Especifique um arquivo com uma extensão. Você pode inserir um caminho completo para limitar a mitigação apenas ao aplicativo com esse nome nesse local.
      • Use Escolha o caminho exato do arquivo para usar uma janela padrão do seletor de arquivos Windows Explorer para localizar e selecionar o arquivo desejado.

6. Depois de selecionar o aplicativo, você verá uma lista de todas as mitigações que podem ser aplicadas. Para habilitar a mitigação, marque a caixa de seleção e altere o controle deslizante para Ativado. Selecione as opções adicionais. Escolher Auditoria aplicará a mitigação somente no modo de auditoria. Você será notificado se precisar reiniciar o processo ou o aplicativo ou se precisar reiniciar o Windows.

7. Repita essas etapas em todos os aplicativos e mitigações que você quer configurar. Selecione Aplicar quando terminar de configurar sua configuração.

Você já pode exportar essas configurações como um arquivo XML ou continuar a configurar as mitigações específicas do aplicativo.

Exportar a configuração como um arquivo XML permite que você copie a configuração de um dispositivo para outros dispositivos.

Referência do PowerShell

Você pode usar o aplicativo de Segurança do Windows para configurar o Exploit Protection ou usar os cmdlets do PowerShell.

As definições de configuração que foram modificadas mais recentemente sempre serão aplicadas, independentemente de você usar o PowerShell ou a Segurança do Windows. Isso significa que, se você usar o aplicativo para configurar uma mitigação e usar o PowerShell para configurar a mesma mitigação, o aplicativo será atualizado para mostrar as alterações que você fez com o PowerShell. Se você usar o aplicativo para alterar a mitigação novamente, essa alteração será aplicada.

Você pode usar o verbo do PowerShell Get ou Set com o cmdlet ProcessMitigation. Usar Get listará o status de configuração atual de quaisquer mitigações que foram habilitadas no dispositivo – adicione o cmdlet -Name e o app exe para ver mitigações apenas para esse aplicativo:

Get-ProcessMitigation -Name processName.exe

Use Set para configurar cada mitigação no seguinte formato:

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Onde:

• <Escopo>:
  • -Name para indicar que as mitigações devem ser aplicadas a um aplicativo específico. Especifique o executável do aplicativo após esse sinalizador.
  • -System para indicar que a mitigação deve ser aplicada no nível do sistema
• <Ação>:
  • -Enable para habilitar a mitigação
  • -Disable para desabilitar a mitigação
• <Mitigação>:
  • O cmdlet da mitigação, conforme definido na tabela cmdlets de mitigação abaixo, juntamente com subopções (entre espaços). Cada mitigação está separada por uma vírgula.

Por exemplo, para habilitar a mitigação de Prevenção de Execução de Dados (DEP) com emulação de conversão de ATL e para um executável chamado testing.exe na pasta C:\Apps\LOB\tests, e para impedir que esse executável crie processos filho, você usaria o seguinte comando:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP, EmulateAtlThunks, DisallowChildProcessCreation

Se você quisesse aplicar o DEP no nível do sistema, usaria o seguinte comando:

Set-Processmitigation -System -Enable DEP

Para desabilitar mitigações, você pode substituir -Enable por -Disable. Entretanto, quanto às mitigações no nível do aplicativo, essa ação forçará a mitigação a ser desabilitada apenas nesse aplicativo.

Se precisar restaurar a mitigação de volta para o padrão do sistema, você precisará incluir o -Remove cmdlet também, como no exemplo a seguir:

Set-Processmitigation -Name test.exe -Remove -Disable DEP

Você também pode definir as mitigações como modo de resposta. Em vez de usar o cmdlet do PowerShell na mitigação, use o cmdlet Modo de Auditoria, conforme especificado na tabela cmdlets de mitigação abaixo.

Por exemplo, para habilitar Proteção de Código Arbitrário (ACG) no modo de auditoria do testing.exe usado anteriormente, use o seguinte comando:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable AuditDynamicCode

Você pode desabilitar o modo de auditoria usando o mesmo comando, mas substituindo -Enable por -Disable.

Tabela de referência do PowerShell

Essa tabela lista os cmdlets do PowerShell (e o cmdlet de modo de auditoria associado) que podem ser usados para configurar as mitigações.

[1]: Use o seguinte formato para habilitar módulos EAF para dlls para um processo:

Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll,dllName2.dll

[2]: A auditoria para essa mitigação não está disponível por meio de cmdlets do PowerShell.

Personalizar a notificação

Para obter mais informações sobre como personalizar a notificação quando uma regra é disparada e um aplicativo ou arquivo é bloqueado, consulte Segurança do Windows.

Confira também

• Proteger dispositivos contra abusos
• Avalar a proteção contra exploração
• Habilitar a proteção de exploração
• Importar, exportar e implantar configurações da proteção de exploração