Exploit-Schutz (EDR)

Erforderliche Rolle: SSÜ Administratorgruppe und SSÜ Analystengruppe.

Diese Kategorie von Verringerungssteuerungen deckt Verringerungen ab, die für Ihre Assets in Form der Konfiguration des Endpunktschutz-Agents verfügbar sind. Dies gilt für Endpunktschutz-Agents wie CrowdStrike und MicrosoftMicrosoft Azure Event Hubs SCCM sowie die MicrosoftMicrosoft Azure Event Hubs Defender Mitigation Control Integration und SentineOne.

Einstellungen für die Exploit-Minderung wie „Randomization des Adressbereich-Layouts erzwingen“ und „DEP erzwingen“ können in Endpunktschutz-Tools wie CrowdStrikeaktiviert werden. SSÜ erkennt diese Konfiguration auf Geräten automatisch mithilfe der in der Anwendung enthaltenen Richtlinien und der API-Integration mit Endpunktschutz-Tools.

Voraussetzungen für die Erkennung von Exploit Protection (EDR) mit CrowdStrike

1. Vergewissern Sie sich, dass CrowdStrike Service Graph Connector aktiviert ist. Diese Anwendung ist im ServiceNow Store verfügbar. Die Installations- und Konfigurationsinformationen sind in der App-Liste enthalten. Weitere Informationen finden Sie unter Installieren und konfigurieren Sie die CrowdStrike -Integrationen für die Überwachung der Verringerungssteuerung.
2. Vergewissern Sie sich, dass die CrowdStrike -API-Integration im Sicherheitsstatus-Überwachung -Arbeitsbereich aktiviert ist.

Steuerungen und Richtlinien zur Risikominderung in Exploit Protection (EDR) CrowdStrike

Voraussetzungen für die Erkennung von Exploit Protection (EDR) mit MicrosoftMicrosoft Azure Event Hubs SCCM und der MicrosoftMicrosoft Azure Event Hubs Integration für die Steuerungsminderungssteuerung von Defender

MicrosoftMicrosoft Azure Event Hubs SCCM-Anmeldeinformationen, die die Rolle „Skriptautoren“ enthalten. Die Rolle „Skriptautoren“ bietet die erforderlichen Berechtigungen zum Erstellen eines Skripts, das zum Importieren von Risikominderungsinformationen auf dem SCCM-Server erforderlich ist.

Weitere Informationen finden Sie unter Installieren und konfigurieren Sie Service Graph Connector für Microsoft SCCM und die Microsoft Defender Mitigation Control Integration.

Steuerungen und Richtlinien zur Risikominderung in Exploit Protection (EDR) mit Microsoft SCCM und der Integration der Microsoft Defender Mitigation Control:

• Defender – Exploit-Mitigation – CFG

  MicrosoftMicrosoft Azure Event Hubs Flow-Schutz für Defender-Steuerung.

• Defender – Exploit Mitigation – DEP

  MicrosoftMicrosoft Azure Event Hubs Verhinderung der Datenausführung mit Defender.

• Defender – Exploit-Verringerung – Obligatorische ASLR und Bottom-Up-ASLR

  MicrosoftMicrosoft Azure Event Hubs Defender Force ASLR.

• MITRE Behandelte Taktiken: Anfänglicher Zugriff, Ausführung, Berechtigungszugriff, Umgehung der Verteidigung, Eskalation von Berechtigungen, Seitliche Bewegung.
• MITRE Techniken, die von dieser Verringerung behandelt werden: Drive-by-Kompromittierung (Erstzugriff), Exploitation für Client-Ausführung (Ausführung), Schwachstelle für den Zugriff auf Anmeldeinformationen (Zugriff auf Anmeldeinformationen), Schwachstelle für die Umgehung der Verteidigung (Umgehung der Verteidigung), Ausnutzung der Eskalation der Berechtigung (Umgehung der Verteidigung), Ausnutzung von Remote-Services (Lateral Bewegung).

Voraussetzungen für die Erkennung von Exploit Protection (EDR) mit der SentinelOne Integration für die Verringerungssteuerung