Attack Surface Reduction и macro/script controls
Политики, които блокират високорискови behavior patterns: Office child processes, credential stealing, suspicious scripts, unsigned macros.
Какво е
Политики, които блокират високорискови behavior patterns: Office child processes, credential stealing, suspicious scripts, unsigned macros.
Как работи
Спира често използвани attacker primitives дори когато конкретният malware hash е неизвестен.
Пример: ClickFix
Фалшива страница инструктира потребителя да копира команда и да я постави в Run/PowerShell. Няма attachment, който email scanner да quarantine-не. ASR/script controls могат да ограничат това, което командата успява да направи след user execution.
Типична грешка
Да се disable-не цял ASR rule за организацията, защото една legacy апликация се чупи. По-добре targeted exception с owner и срок.
Как да проверим, че работи
Започнете в audit mode, анализирайте business impact, после enforce-вайте поетапно и следете exception drift.
Практическа имплементация
- Block internet-origin macros.
- Constrain PowerShell/script interpreters.
- Disable unnecessary Windows Script Host.
- Use constrained language / code signing where appropriate.
Какво НЕ решава
Може да създаде compatibility issues и изисква staged rollout.
Предпазва най-силно от
- ClickFix · Социално инженерство и phishing
- Fileless malware · Malware и злонамерен код
- Impair Defenses · Exploitation, persistence и attack-chain техники
- Living off the Land (LOTL) · Malware и злонамерен код
- Macro malware · Malware и злонамерен код
- Process Injection · Exploitation, persistence и attack-chain техники