Microsoft Defender for Endpoint: настройка корпоративной EDR-защиты

Антивирус — это прошлый век. Microsoft Defender for Endpoint (ранее ATP) — это EDR-решение корпоративного уровня, встроенное в Windows. Наши инженеры развернули его в десятках компаний.

Что такое Defender for Endpoint?

• Антивирус нового поколения: облачная аналитика, ML-модели
• EDR: непрерывный мониторинг процессов, сети, реестра
• Threat & Vulnerability Management
• Attack Surface Reduction (ASR)
• Automated Investigation & Remediation
• Threat Hunting через KQL

Какие лицензии нужны?

• Plan 1: ASR, антивирус. В Microsoft 365 E3
• Plan 2: полный EDR, Threat Hunting. В Microsoft 365 E5
• Defender for Business: SMB до 300 пользователей. В Microsoft 365 Business Premium

Как развернуть через Intune?

1. security.microsoft.com -> Settings -> Endpoints -> Onboarding
2. Deployment method: Microsoft Intune
3. Скачать onboarding package
4. В Intune: Endpoint security -> EDR -> Create policy
5. Назначить на группу устройств

# Альтернатива: onboarding через GPO
# Computer Configuration -> Windows Components ->
# Microsoft Defender for Endpoint -> Onboarding -> Enable

Как настроить ASR-правила?

# Блокировать exe из email
Set-MpPreference -AttackSurfaceReductionRules_Ids BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550   -AttackSurfaceReductionRules_Actions Enabled

# Блокировать процессы из Office
Set-MpPreference -AttackSurfaceReductionRules_Ids 3B576869-A4EC-4529-8536-B80A7769E899   -AttackSurfaceReductionRules_Actions Enabled

# Блокировать обфусцированные скрипты
Set-MpPreference -AttackSurfaceReductionRules_Ids 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC   -AttackSurfaceReductionRules_Actions Enabled

Как работает Automated Investigation?

1. Анализ алерта и сбор артефактов
2. Корреляция с MITRE ATT&CK
3. Определение затронутых устройств
4. Автоматическое устранение: карантин файла, остановка процесса

Как использовать Threat Hunting через KQL?

// Подозрительные PowerShell-команды за 7 дней
DeviceProcessEvents
| where Timestamp > ago(7d)
| where FileName == "powershell.exe"
| where ProcessCommandLine has_any ("-enc", "bypass", "downloadstring", "iex")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine

// Lateral movement через PsExec
DeviceProcessEvents
| where Timestamp > ago(7d)
| where FileName == "psexec.exe"
| project Timestamp, DeviceName, ProcessCommandLine

// Подозрительные сетевые подключения
DeviceNetworkEvents
| where RemotePort in (4444, 5555, 8888, 9001)
| project Timestamp, DeviceName, RemoteIP, RemotePort

Как настроить Web Content Filtering?

Блокировка опасных категорий: фишинговые сайты, сайты для взрослых, азартные игры, торренты — всё настраивается через Security Center без установки прокси-сервера.

Как интегрировать с SIEM?

• Microsoft Sentinel: нативная интеграция
• Splunk: через API
• Elasticsearch: через Logstash

Какие типичные ошибки?

• Не включены ASR-правила
• Широкие исключения — malware маскируется
• Нет уведомлений — алерты копятся, никто не смотрит
• Отсутствие процесса Incident Response

Как правильно настроить исключения без ущерба для безопасности?

Исключения — это палка о двух концах. С одной стороны, без них 1С и другие бизнес-приложения будут тормозить. С другой — широкие исключения создают дыры. Наши инженеры рекомендуют исключать конкретные процессы по хешу, а не по пути. Используйте Indicators of Compromise (IoC) в Security Center для мониторинга исключённых путей. Регулярно пересматривайте список исключений — раз в квартал минимум.

Когда обратиться к профессионалам?

• Когда нужно развернуть EDR на 50+ рабочих мест
• Когда произошёл инцидент безопасности
• Когда нужен аудит текущей конфигурации
• Когда нужна настройка ASR без ложных срабатываний