Kötü Amaçlı Davranış Savunması, sunucularınızdaki kötü amaçlı faaliyetleri tespit eder, engeller ve bu faaliyetlere yanıt verir. Varlıklarınızı korumak için sistem ve özel savunma kurallarının nasıl yapılandırılacağını öğrenin.
Senaryolar
Kötü Amaçlı Davranış Savunması, sistem savunma kuralları ve özel savunma kurallarını destekler.
Özel savunma kuralları, sistem savunma kurallarına göre önceliklidir.
|
Kural türü |
Açıklama |
|
sistem savunma kuralı |
Sistem savunma kuralları iki türe ayrılır: Network Threat Prevention ve Process Protection.
|
|
özel savunma kuralı |
Belirli davranışlara izin vermek veya bunları engellemek için Custom Defense Rule oluşturun. Kötü Amaçlı Davranış Savunmasında özel savunma kuralları için en iyi uygulamalar. |
Sistem savunma kurallarını yönetme
İşlem Savunması, Security Center'ın Gelişmiş sürümünde kullanılabilir. Kurumsal ve Ultimate sürümler tüm sistem savunma kurallarını içerir.
Security Center konsolu içinde oturum açın.
Sol gezinme bölmesinde seçeneğini belirleyin. Konsolun sol üst köşesinde varlıklarınız için bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.
-
Malicious Behavior Defense sayfasında, hedef sistem savunma kuralını bulmak ve yönetmek için System Defense Rule sekmesine tıklayın.
-
Bir kuralı etkinleştirme veya devre dışı bırakma
İş süreçlerinize uygun olmayan veya varlığınızın güvenlik puanını etkileyen bir kuralı devre dışı bırakabilirsiniz.
ÖnemliBir sistem savunma kuralını devre dışı bıraktığınızda Security Center bu kural ile ilişkili güvenlik risklerini algılamayı ve raporlamayı durdurur. Sonuç olarak ilgili uyarılar Alert sayfasında görünmez. Lütfen dikkatli olun.
Bir veya daha fazla hedef kural seçin.
Kural listesinin altındaki Batch Enable veya Batch Disable seçeneğine tıklayın.
-
Ana makineleri yönetme
ÖnemliBir varlığı bir kuraldan kaldırdığınızda bu kural artık varlığı korumaz. Lütfen dikkatli olun.
Belirli bir sunucuyu Kötü Amaçlı Davranış Savunmasının koruma kapsamından çıkarmak için (örneğin, bir sunucu fidye yazılımı tuzağı koruması tarafından engellendiyse) Ana Makine Kural Yönetimi > Kötü Amaçlı Davranış Savunması sayfasına gidin, ilgili savunma kuralını (fidye yazılımı önleme kuralı gibi) seçin ve sunucuyu koruma kapsamından kaldırın.
Yönetmek istediğiniz sistem savunma kuralını bulun ve İşlemler sütununda Manage Assets seçeneğine tıklayın.
Host Management panelinde kural için varlık ekleyin veya kaldırın ve ardından OK seçeneğine tıklayın.
-
Özel savunma kuralları oluşturma
Normal iş faaliyetlerinde yanlış pozitif sonuçları önlemek için bir komut satırı veya işlem hash'i gibi belirli davranışlara izin vermek üzere özel bir savunma kuralı oluşturun.
Security Center konsolu içinde oturum açın.
Sol gezinme bölmesinde seçeneğini belirleyin. Konsolun sol üst köşesinde varlıklarınız için bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.
Malicious Behavior Defense sayfasında Custom Defense Rule sekmesine tıklayın ve ardından Create Rule seçeneğine tıklayın.
-
Create Rule panelinde iş ihtiyaçlarınıza göre bir Rule Type seçin, parametreleri yapılandırın, kural için Action değerini ayarlayın ve ardından Next seçeneğine tıklayın.
Parametreler kural türüne göre değişir. Kullanılabilir izin listesi kural türleri şunlardır:
İşlem hash'i
Komut satırı
İşlem Ağı
-
Ağ engelleme (kaynak IP/alan adı)
Kaynak IP adresleri veya alan adları için kara liste veya beyaz liste kuralları yapılandırabilirsiniz. Bir güvenlik uyarısı ters kabuk veya kalıcı kötü amaçlı giden bağlantıyı gösterdiğinde özel ağ engelleme kuralları oluşturarak belirli saldırı kaynağı IP'lerini engelleyebilirsiniz. Müşteri hizmetleri veya güvenlik ekipleri tarafından sağlanan kötü amaçlı IP'ler veya alan adları da engelleme amacıyla kara listeye eklenebilir.
Örneğin, bir ters kabuk uyarısını veya kalıcı kötü amaçlı giden bağlantı uyarısını işledikten sonra saldırgan kaynak IP'si doğrulanmışsa ve kötü amaçlı işlem sonlandırılmışsa aşağıdaki adımları uygulayarak IP'yi engelleyebilirsiniz:
Malicious Behavior Defense sayfasında Custom Defense Rule sekmesine tıklayın ve ardından Create Rule seçeneğine tıklayın.
Kural türü olarak Ağ Engelleme seçeneğini belirleyin, doğrulanmış saldırgan kaynak IP'sini veya kötü amaçlı alan adını kara listeye ekleyin, eylemi Engelle olarak ayarlayın ve ardından kuralın etkili olacağı sunucuları seçin.
Koruma için güvenlik grubu kurallarını da yapılandırmanızı öneririz: ECS konsolunda hedef örnek için bir güvenlik grubu reddetme kuralı oluşturun ve kötü amaçlı trafiği hemen engellemek için doğrulanmış kötü amaçlı IP'yi hem giden hem de gelen reddetme listelerine ekleyin. Daha fazla bilgi için ECS belgelerindeki güvenlik grubu kuralı yapılandırma belgelerine bakın.
Dosya Okuma/Yazma
Kayıt Defteri İşlemi
Dinamik Bağlantılı Kitaplık Yükleme
Dosya Yeniden Adlandırma
Yapılandırma örnekleri: Kötü Amaçlı Davranış Savunmasında özel savunma kuralları için en iyi uygulamalar.
-
Create Rule panelinde kuralı uygulamak için varlıkları seçin ve ardından Complete seçeneğine tıklayın.
Yeni özel kurallar varsayılan olarak etkindir. Daha sonra kuralları düzenleyebilir ve hedef sunucularını yönetebilirsiniz.
Güvenlik uyarılarını görüntüleme ve işleme
Uyarı türleri ve işleme yöntemleri kural türüne göre değişir.
İşlem savunması
Security Center, Process Protection kurallarına dayanarak Precise Defense uyarıları oluşturur. Bu uyarıları görüntülemek ve işlemek için:
Security Center konsolu içinde oturum açın.
-
Sol gezinme bölmesinde seçeneğini belirleyin. Konsolun sol üst köşesinde varlıklarınız için bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.
NotAgentic SOC özelliğini etkinleştirdiyseniz sol gezinme bölmesinde seçeneğini belirleyin. Konsolun sol üst köşesinde varlıklarınız için bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.
-
Alert sayfasında CWPP sekmesine tıklayın ve ardından Precise Defense altındaki sayıya tıklayın.
-
Uyarı listesinde otomatik olarak engellenen uyarıları görüntüleyin. Yanlış pozitif durumlar için Actions sütununda Details seçeneğine tıklayın ve aşağıdaki şekilde işlem yapın.
Örnek: Şüpheli Solucan Betiği Davranışı için yanlış pozitif durumu işleme.
Uyarı ayrıntıları panelinde aşağıdaki bilgileri kaydedin:
Uyarıyı tespit eden ve raporlayan sistem savunma kuralının adını kaydedin. Bu örnekte kural İstemci İşleminin Kötü Amaçlı Yok Edilmesi şeklindedir.
Uyarının ATT&CK Attack Stage değerini kaydedin. Bu örnekte değer Impact and Damage şeklindedir.
Etkilenen varlığın adını ve IP adresini kaydedin.
Sol gezinme bölmesinde seçeneğini belirleyin. Konsolun sol üst köşesinde varlıklarınız için bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.
-
Sistem savunma kuralları listesinde uyarıyı raporlayan kuralı bulun.
Kuralı bulmak için arama kutusuna Şüpheli Solucan Betiği Davranışı adını girin.
Soldaki ATT&CK Attack Stage menüsünde Impact and Damage seçeneğine tıklayarak da kuralı bulabilirsiniz.
-
Sistem savunma kuralı listesinde Suspicious Worm Script Behavior adlı kuralı bulun ve yönetin.
-
Bu kuraldan gelen uyarıları durdurmak için Switch sütunundaki
simgesine tıklayarak kuralı devre dışı bırakın.ÖnemliBir sistem savunma kuralını devre dışı bıraktığınızda Security Center bu kural ile ilişkili güvenlik risklerini algılamayı ve raporlamayı durdurur. Sonuç olarak ilgili uyarılar Alert sayfasında görünmez. Lütfen dikkatli olun.
-
Yalnızca bu yanlış pozitif durumu işlemek için İşlemler sütununda Manage Assets seçeneğine tıklayın ve etkilenen varlığı kuralın koruma listesinden kaldırın.
Alternatif olarak yanlış pozitif durumu Alert sayfasında işleyin. Güvenlik uyarılarını değerlendirme ve işleme.
ÖnemliBu uyarıyı işledikten sonra korumayı geri yüklemek için Kötü Amaçlı Davranış Savunması sayfasının Sistem Savunma Kuralları sekmesinde varlığı yeniden ekleyin.
-
Ağ savunması
Network Threat Prevention kurallarına dayanarak Security Center temel ağ saldırılarını otomatik olarak engeller ve ilgili verileri Güvenlik Uyarıları > Network Defense Alert sayfasında görüntüler. Ağ savunma uyarıları (eski adıyla Saldırı Analizi).
Yeni satın alınan cloud ürünleri için Security Center'ın ağ saldırısı verilerini senkronize etmesi yaklaşık 3 saat sürer; bu süreden sonra ilgili saldırı analizi bilgilerini görüntüleyebilirsiniz.
Savunma uyarıları saldırıların Security Center tarafından otomatik olarak engellendiğini gösterir. Manuel eylem gerekmez.
Security Center konsolu içinde oturum açın.
-
Sol gezinme bölmesinde seçeneğini belirleyin. Konsolun sol üst köşesinde varlıklarınız için bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.
NotAgentic SOC özelliğini etkinleştirdiyseniz sol gezinme bölmesinde seçeneğini belirleyin. Konsolun sol üst köşesinde varlıklarınız için bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.
-
Alert sayfasında CWPP sekmesine tıklayın ve ardından ilgili bilgileri görüntülemek için Network Defense Alert altındaki sayıya tıklayın.
-
(Gerekirse) Gelişmiş savunma için kötü amaçlı adresleri engellemek amacıyla güvenlik grubu kurallarını ve ağ güvenlik duvarı kurallarını birlikte kullanın.
Saldırgan kaynak IP'sini güvenlik grubu kuralları aracılığıyla engelleyin: ECS konsolunda hedef örnek için bir güvenlik grubu reddetme kuralı oluşturun ve kötü amaçlı trafiği hemen engellemek için doğrulanmış kötü amaçlı IP'yi hem giden hem de gelen reddetme listelerine ekleyin. Daha fazla bilgi için ECS belgelerindeki güvenlik grubu kuralı yapılandırma belgelerine bakın.
Kötü amaçlı adresleri sunucu güvenlik duvarı kara listesine ekleyin: müşteri hizmetlerinden veya güvenlik uyarılarından kötü amaçlı IP'ler veya alan adları elde ettikten sonra sunucunun dahili güvenlik duvarında (iptables, firewalld veya Windows Güvenlik Duvarı gibi) kara liste kuralları yapılandırın veya Security Center'ın özel savunma kurallarında ilgili ağ engelleme kurallarını ekleyin.
NotBir fidye yazılımı riski uyarısı veya başka bir güvenlik olayı bildirimi aldığınızda kötü amaçlı IP veya alan adı adreslerini elde etmek için müşteri hizmetleri veya teknik destek ekibiyle iletişime geçebilir ve ardından bunları engelleme amacıyla yukarıdaki yöntemleri kullanarak kara listeye ekleyebilirsiniz.