A Defesa contra Comportamento Malicioso identifica, bloqueia e responde a atividades maliciosas em seus servidores. Saiba como configurar regras de defesa do sistema e personalizadas para proteger seus ativos.
Cenários
A Defesa contra Comportamento Malicioso oferece suporte a regras de defesa do sistema e regras de defesa personalizadas.
As regras de defesa personalizadas têm precedência sobre as regras de defesa do sistema.
|
Tipo de regra |
Descrição |
|
regra de defesa do sistema |
As regras de defesa do sistema incluem dois tipos: Network Threat Prevention e Process Protection.
|
|
regra de defesa personalizada |
Crie uma Custom Defense Rule para permitir ou bloquear comportamentos específicos. Best practices for custom defense rules in Malicious Behavior Defense. |
Gerencie regras de defesa do sistema
A Process Defense está disponível na edição Advanced do Security Center. As edições Enterprise e Ultimate incluem todas as regras de defesa do sistema.
Faça login no console do Security Center.
No painel de navegação à esquerda, escolha . No canto superior esquerdo do console, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.
-
Na página Malicious Behavior Defense, clique em System Defense Rule para localizar e gerenciar a regra de defesa do sistema desejada.
-
Ative ou desative uma regra
Desative regras inadequadas para o seu negócio ou que afetem a pontuação de segurança do ativo.
ImportanteAo desativar uma regra de defesa do sistema, o Security Center interrompe a detecção e o relatório dos riscos de segurança associados. Consequentemente, os alertas relacionados não aparecerão na página Alert. Prossiga com cautela.
Selecione uma ou mais regras alvo.
Clique em Batch Enable ou Batch Disable abaixo da lista de regras.
-
Gerencie hosts
ImportanteApós remover um ativo de uma regra, ele deixará de ser protegido por essa regra. Prossiga com cautela.
Para remover um servidor específico do escopo de proteção da Defesa contra Comportamento Malicioso (por exemplo, se um servidor for bloqueado pela proteção de isca contra ransomware), acesse a página Host Rule Management > Malicious Behavior Defense, selecione a regra de defesa correspondente (como a regra anti-ransomware) e remova o servidor do escopo de proteção.
Localize a regra de defesa do sistema que deseja gerenciar e clique em Manage Assets na coluna Actions.
No painel Host Management, adicione ou remova ativos da regra e clique em OK.
-
Crie regras de defesa personalizadas
Para evitar falsos positivos em atividades normais de negócios, crie uma regra de defesa personalizada para colocar comportamentos específicos na lista de permissões, como uma linha de comando ou hash de processo.
Faça login no console do Security Center.
No painel de navegação à esquerda, escolha . No canto superior esquerdo do console, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.
Na página Malicious Behavior Defense, clique em Custom Defense Rule e, em seguida, clique em Create Rule.
-
No painel Create Rule, selecione um Rule Type conforme suas necessidades de negócios, configure os parâmetros, defina a Action da regra e clique em Next.
Os parâmetros variam conforme o tipo de regra. Tipos de regras de lista de permissões disponíveis:
Hash de processo
Linha de comando
Rede de processo
-
Interceptação de rede (IP/domínio de origem)
Configure regras de lista de bloqueios ou lista de permissões para endereços IP de origem ou domínios. Quando um alerta de segurança indicar um shell reverso ou uma conexão de saída maliciosa persistente, bloqueie IPs de origem de ataque específicos criando regras personalizadas de interceptação de rede. Adicione à lista de bloqueios IPs ou domínios maliciosos fornecidos pelo suporte ao cliente ou pelas equipes de segurança para interceptação.
Por exemplo, após tratar um alerta de shell reverso ou de conexão de saída maliciosa persistente, se o IP de origem do atacante tiver sido confirmado e o processo malicioso encerrado, bloqueie o IP executando as etapas a seguir:
Na página Malicious Behavior Defense, clique em Custom Defense Rule e, em seguida, clique em Create Rule.
Selecione Network Interception como tipo de regra, adicione o IP de origem do atacante confirmado ou o domínio malicioso à lista de bloqueios, defina a ação como Block e selecione os servidores onde a regra terá efeito.
Recomendamos também configurar regras de grupo de segurança para proteção: crie uma regra de negação de grupo de segurança para a instância alvo no console do ECS e adicione o IP malicioso confirmado às listas de negação de saída e entrada para bloquear imediatamente o tráfego malicioso. Para mais informações, consulte a documentação de configuração de regras de grupo de segurança na documentação do ECS.
Leitura/Escrita de arquivo
Operação de registro
Carregamento de biblioteca de vínculo dinâmico
Renomeação de arquivo
Exemplos de configuração: Best practices for custom defense rules in Malicious Behavior Defense.
-
No painel Create Rule, selecione os ativos aos quais a regra será aplicada e clique em Complete.
Novas regras personalizadas são ativadas por padrão. Posteriormente, edite as regras e gerencie seus servidores alvo.
Visualize e trate alertas de segurança
Os tipos de alerta e os métodos de tratamento variam conforme o tipo de regra.
Defesa de processos
O Security Center gera alertas de Precise Defense com base nas regras de Process Protection. Para visualizar e tratar esses alertas:
Faça login no console do Security Center.
-
No painel de navegação à esquerda, escolha . No canto superior esquerdo do console, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.
NotaSe você ativou o Agentic SOC, no painel de navegação à esquerda, escolha . No canto superior esquerdo do console, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.
-
Na página Alert, clique em CWPP e, em seguida, clique em Precise Defense.
-
Na lista de alertas, visualize os alertas bloqueados automaticamente. Para falsos positivos, clique em Details na coluna Actions e proceda conforme descrito a seguir.
Exemplo: tratamento de um falso positivo para Suspicious Worm Script Behavior.
No painel de detalhes do alerta, registre as seguintes informações:
Registre o nome da regra de defesa do sistema que detectou e reportou o alerta. Neste exemplo, a regra é Malicious Destruction of Client Process.
Registre o ATT&CK Attack Stage do alerta. Neste exemplo, é Impact and Damage.
Registre o nome e o endereço IP do ativo afetado.
No painel de navegação à esquerda, escolha . No canto superior esquerdo do console, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.
-
Na lista de regras de defesa do sistema, localize a regra que reportou o alerta.
Para encontrar a regra, insira seu nome, Suspicious Worm Script Behavior, na caixa de pesquisa.
Também é possível localizar a regra clicando em Impact and Damage no menu ATT&CK Attack Stage à esquerda.
-
Na lista de regras de defesa do sistema, localize a regra chamada Suspicious Worm Script Behavior e gerencie-a.
-
Para interromper os alertas desta regra, clique em
na coluna Switch para desativá-la.ImportanteAo desativar uma regra de defesa do sistema, o Security Center interrompe a detecção e o relatório dos riscos de segurança associados a essa regra. Consequentemente, os alertas relacionados não aparecerão na página Alert. Prossiga com cautela.
-
Para tratar apenas este falso positivo, clique em Manage Assets na coluna Actions e remova o ativo afetado da lista de proteção da regra.
Alternativamente, trate o falso positivo na página Alert. Assess and handle security alerts.
ImportantePara restaurar a proteção após tratar este alerta, adicione o ativo novamente na aba System Defense Rules da página Malicious Behavior Defense.
-
Defesa de rede
Com base nas regras de Network Threat Prevention, o Security Center bloqueia automaticamente ataques básicos de rede e exibe os dados relacionados na página Security Alerts > Network Defense Alert. Network defense alerts (formerly Attack Analysis).
Para produtos cloud recém-adquiridos, aguarde cerca de 3 horas para que o Security Center sincronize os dados de ataque de rede antes de visualizar as informações de análise de ataque relacionadas.
Alertas defensivos indicam que o Security Center bloqueou os ataques automaticamente. Nenhuma ação manual é necessária.
Faça login no console do Security Center.
-
No painel de navegação à esquerda, escolha . No canto superior esquerdo do console, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.
NotaSe você ativou o Agentic SOC, no painel de navegação à esquerda, escolha . No canto superior esquerdo do console, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.
-
Na página Alert, clique em CWPP e, em seguida, clique em Network Defense Alert para visualizar as informações relacionadas.
-
(Opcional) Utilize regras de grupo de segurança e regras de firewall de rede em conjunto para bloquear endereços maliciosos e aprimorar a defesa.
Bloqueie o IP de origem do atacante por meio de regras de grupo de segurança: crie uma regra de negação de grupo de segurança para a instância alvo no console do ECS e adicione o IP malicioso confirmado às listas de negação de saída e entrada para bloquear imediatamente o tráfego malicioso. Para mais informações, consulte a documentação de configuração de regras de grupo de segurança na documentação do ECS.
Adicione endereços maliciosos à lista de bloqueios do firewall do servidor: após obter IPs ou domínios maliciosos do suporte ao cliente ou de alertas de segurança, configure regras de lista de bloqueios no firewall interno do servidor (como iptables, firewalld ou Windows Firewall) ou adicione regras de interceptação de rede correspondentes nas regras de defesa personalizadas do Security Center.
NotaAo receber um aviso de risco de ransomware ou outra notificação de evento de segurança, entre em contato com o suporte ao cliente ou com a equipe de suporte técnico para obter endereços IP ou domínios maliciosos e adicione-os à lista de bloqueios para interceptação usando os métodos anteriores.