Tag: Microsoft Defender

Nowy Microsoft Defender for Business dostępny w wersji preview - grafika
18.03.2022
Dominik Mostowski

Nowy Microsoft Defender for Business dostępny w wersji preview

Zgodnie z zapowiedziami z minionego Ignite 2021, Microsoft udostępnia w wersji preview kolejny produkt z rodziny bezpieczeństwa – Microsoft Defender for Business. Młodszy brat znanego już od kilku lat systemu klasy EDR, Microsoft Defender for Endpoint, oferuje rozwiązanie klasy Enterprise dla organizacji do 300 użytkowników, wprowadzając jednocześnie zmiany w licencjonowaniu i pozycjonowaniu produktów z rodziny Defender.

To, jakie są obecnie wersje systemu Defender dla stacji roboczych (w zasadzie końcówek, ponieważ serwery także mieszczą się w tym zakresie), wymaga pewnego uporządkowania. Najlepiej te dane prezentuje poniższa tabela:

(2) These capabilities are optimized for small and medium-sized businesses.

 

Szczegółowe porównanie wersji Defendera znajduje się na witrynie Compare Microsoft Defender for Business to Microsoft Defender for Endpoint Plans 1 and 2

 

Z powyższego widać, że Defender for Business jest idealnym rozwiązaniem także dla dużych organizacji, które niekoniecznie są w stanie wykorzystać narzędzia do huntingu, jednak licencjonowanie mówi wprost – MDB jest dla organizacji poniżej 300 użytkowników. Szczegóły cennika nie są jeszcze znane, jednak patrząc na ofertę rozwiązań Microsoft M365 Business Premium vs E3/E5 można być praktycznie pewnym że będzie to świetna propozycja dla wielu firm i instytucji.

Dodatkowe elementy, które zapewnia nam MDB, to między innymi web content filtering oraz zarządzanie firewallem systemowym. Te funkcje zdecydowanie ułatwiają kompleksowe zaadresowanie potrzeb w zakresie zabezpieczenia stacji. Same stacje, czy to Windows 10/11, czy też macOS, Linux, a nawet urządzenia mobilne Android oraz iOS, podłączymy do MDB bez najmniejszego problemu.

O zaletach systemów EDR nie trzeba nikogo przekonywać, a dodatkowym motorem do wdrożenia MDB jest możliwość rezygnacji z wykorzystywanego rozwiązania tradycyjnie nazywanego systemem antywirusowym na rzecz wbudowanego w Win10/11 Windows Defendera. Prostota wdrożenia za pomocą Microsoft Endpoint Managera na pewno zostanie zauważona przez organizacje z niego korzystające.

Może zabrzmi to przewrotnie, ale systemy EDR można poniekąd traktować jako bezobsługowe. Mechanizmy AIR (Automated investigation and response) mogą reagować automatycznie, usuwając zagrożenie i „cofając” wszystkie wyrządzone szkody. w ramach modułu EDR pozwala na wyśledzenie każdego zdarzenia, które się pojawiło od momentu rozpoczęcia incydentu, aż do jego ujawnienia i zatrzymania. Bezpieczeństwo wprost z chmury!

 

Jak uruchomić nowego Defendera for Business?
Dla firm zainteresowanych przetestowaniem rozwiązania MDB mamy propozycję specjalną. Integrity Partners jako partner Microsoft specjalizujący się we wdrożeniach Modern Workplace oraz Security oferuje swoim klientom możliwość włączenia licencji próbnych narzędzia Defender for Business. Liczba licencji jest ograniczona, zachęcamy do kontaktu z nami – i przeprowadzenia 90 dniowego testu opisanych funkcji we własnym środowisku.*

[*] Uwaga: preview nie będzie widoczny dla klientów posiadających wyższe pakiety usług, jak np. Defender for Endpoint Plan 2

 

Czytaj więcej
Analiza konfiguracji Exchange Online Protection, Defender for Office 365 oraz nowy analizator konfiguracji
3.12.2020
Dominik Mostowski

Analiza konfiguracji Exchange Online Protection, Defender for Office 365 oraz nowy analizator konfiguracji

EOP – Exchange Online Protection – zestaw rozwiązań zabezpieczeń poczty dostępny w każdej (każdej!) subskrypcji O365/M365, w której mamy usługę Exchange Online.

Defender for Office 365 – (poprzednio nazywany Office 365 Advanced Threat Protection) – zestaw rozwiązań zabezpieczeń nie tylko poczty, ale także plików w usługach MS Teams i Sharepoint, dostępny w planach E5 (O365 E5, M365 E5, w dodatkach M365 E5 Security oraz jako produkt stand-alone).

Uruchamiając każdy tenant usługi Microsoft, w którym będziemy korzystali z poczty Exchange Online, należy dokonać konfiguracji, a przynajmniej przeglądu i zapoznać się z konfiguracją domyślną usługi EOP.

Uruchamiając tenant z dostępnymi licencjami Defender for Office 365, należy dokonać konfiguracji elementów zaawansowanych. Domyślnie nie są włączone czy przypisane do naszych użytkowników.

Zarówno funkcje dostępne w Defender się zmieniają, jak też zmieniają się czasami wytyczne i dobre praktyki. Jak w tym się nie pogubić, być na bieżąco z najlepszą możliwą konfiguracją, szczególnie dla narzędzi zaawansowanych? Mamy do dyspozycji 3 rozwiązania, popatrzmy co oferują.

1.  Manualny przegląd konfiguracji

Dlaczego nie jest dobry? 😊 Bo jest manualny! I nie pokazuje wszystkiego. Trzeba się „przeklikać” przez każde ustawienie, jeśli mamy kilka polityk np. dla różnych grup pracowników, trzeba to zrobić dla każdej z nich. A dodatkowo, nie wszystkie ustawienia są dostępne w GUI, część należy ustawiać przez Powershell, a jednocześnie nie mamy łatwego odniesienia do dodatkowych informacji.

Na szczęście, wszystko możemy wykonać w jednym portalu – https://protection.office.com/threatpolicy (lub dla samego EOP w portalu ECP Exchange https://outlook.office.com/ecp/).

2. ORCA

Nazwa pochodzi od „Office 365 Advanced Threat Protection Recommended Configuration Analyzer”.

Jest to narzędzie uruchamiane w PowerShell, dające w wyniku, dane wyświetlane w postaci witryny html. Pobieranie narzędzia wykonujemy poprzez Install-Module-Name ORCA, wygenerowanie raportu przez Get-ORCAReport, jednak każdorazowo przed wykonaniem raportu zalecane jest wykonanie aktualizacji modułu przez Update-Module ORCA.

Co dostajemy w rezultacie uruchomienia? Bardzo ładnie przedstawione wyniki skanu naszej konfiguracji wraz z rekomendacjami

Skanowane są ustawienia tenanta, reguł transportowych Exchange, oraz całej konfiguracji EOP z Defender.

Konfiguracja i status

Jak widać, 48 ustawień jest zgodnych z zaleceniami Microsoft, natomiast w 10 możemy coś poprawić, a dla 1 dostaniemy dodatkowe informacje. (Proszę zapamiętać – 48 – 10 – 1).

Dla ustawień, gdzie Micorosft sugeruje weryfikację, czy możliwa jest poprawa, dostaniemy zestaw wartości aktualnych, rekomendowanych, oraz łącza gdzie możemy uzyskać więcej informacji na ten temat.

Ustawienie musimy jednak odnaleźć samodzielnie, nie mamy z tego poziomu możliwości włączenia jakiejś opcji czy zmiany wartości. Ale tu uwaga, mamy rozwiązanie trzecie!

3. Analizator konfiguracji w portalu

Dostępny w portalu Protection (https://protection.office.com/threatpolicy) analizator konfiguracji jest prawie najlepszym rozwiązaniem. Dlaczego? O tym 2 słowa w podsumowaniu.

Daje nam wyniki podobne jak ORCA, jednak widać że zaleceń jest 9 nie 10 (to ten sam tenant). Dodatkowo, należy pamiętać ze Analizator pokazuje domyślnie zalecenia poziomu Standard, natomiast poniższy wynik to zalecenia ścisłe, strict.

Nie jest to „klikalne”, nie rozwinie się nam nic więcej (może w przyszłości będzie jakieś okienko wyskakiwało), więc nie jest łatwo ustalić o jakie konkretnie ustawienie chodzi albo o nim doczytać. Lecz, co jest bardzo fajnego? Jak przewiniemy ekran w prawo, możemy dane ustawienie po prostu włączyć😊

Narzędzie na pewno ma potencjał i nie odradzam go, w żadnym wypadku. W materiale video możecie zobaczyć dokładnie jak to działa.
https://youtu.be/H73d6QedCWE

 

Podsumowanie

Narzędzie Analizatora na pewno będzie się rozwijało i spełni moje oczekiwania w 100%. Ja jednak osobiście zostaję przy ORCA z kilku powodów:

– bezpośrednie odnośniki do Microosft Docs, gdzie można szczegółowo doczytać o danym ustawieniu, a co za tym idzie wykonujemy zmiany z głową, a nie tylko klikając. Oczywiście znając te wszystkie konfiguracje można sobie znacznie ułatwić pracę wspierając się analizatorem do wprowadzania konfiguracji,

– wylistowane są także funkcje ustawione zgodnie z rekomendacjami,

– plik raportu ORCA „odkłada” się na komputerze. Co prawda analizator ma funkcje historii co jest bardzo przydatne, jednak co plik to plik 😊. Jednocześnie, ORCA ma więcej opcji generowania raportów, np. do CosmosDB, skąd można je zaciągać np. przez PowerBI (więcej o parametryzacji wyników – https://github.com/cammurray/orca#supported-outputs )

– i na koniec – administrując wieloma tenantami można wykonywać skrypt automatycznie dla większej ilości klientów, jednocześnie składując wyniki w jednym miejscu.

Zapraszam także do kontaktu z nami, jeśli potrzebujesz wsparcia.

Czytaj więcej
Czas zwiększyć świadomość phishingową – rozszerzenie możliwości symulatora ataków w Microsoft Defender for Office 365
25.09.2020
Kuba Borkowski

Czas zwiększyć świadomość phishingową – rozszerzenie możliwości symulatora ataków w Microsoft Defender for Office 365

Phishing nie znika – on tylko rośnie!

Kilka słów wstępu dot. naszego głównego bohatera, czyli phishingu – zdawać by się mogło, że wraz z rozwojem technologii, zobaczymy coraz to nowsze rodzaje ataków i zagrożeń. Faktycznie regularnie pojawiają się raporty o nowych wektorach ataku i włamaniach o dotąd niespotykanej skali. Jednak niezmiennie najpopularniejszy jest phishing – najprostsza i, wydawać by się mogło, najmniej skuteczna metoda ataku (nic bardziej mylnego!). Tutaj do gry wchodzi rozwiązanie w ramach pakietu Microsoft Defender for Office 365.

W pierwszym kwartale 2020 zaobserwowano wzrost ataków phishingowych do rozmiarów nienotowanych od 2016 roku [1]!

Żeby podkreślić jeszcze fakt, że to nie jest tylko wyciąganie pojedynczych informacji – 22% wycieków danych wynikało lub zawierało w sobie właśnie ataki phishingowe[2]!

Nie tylko technologia, ale ŚWIADOMOŚĆ

Sama formuła ‘phish’ nie do końca oddaje różnorodność ataków, które za tym się kryją. To trochę tak, jak każdą osobę w IT określić mianem informatyka – programistów, oficerów bezpieczeństwa, architektów etc. Oprócz typowego podmieniania odnośnika lub podszywania się pod inną osobę – zaobserwowano sporo technik nieco bardzie wysublimowanych, a co za tym idzie – trudniejszych do wykrycia.

Przykłady – zyskujący na popularności zombie phishing, gdzie atakujący przejmują konto i następnie wykorzystują stare konwersacje mailowe i odpowiedzi na nie, do których dodają jakiś link phishngowy. Jako potencjalny cel takiego ataku – znamy odbiorcę, znamy temat rozmowy.

Idąc dalej – chyba każdy z nas doświadczył już odnośników skróconych (bitly itd.) czy kierujących na znane serwisy jak np. google drive.

Dlatego właśnie tak ważne jest, aby zadbać o świadomość użytkowników – informować ich o różnych metodach ataku, o tym jak rozpoznawać podrobione wiadomości, co zrobić, kiedy mamy wątpliwości, jak reagować i, co BARDZO ważne (a często zapominane), przekonywać ich do zgłaszania wszelkich prób!

Microsoft Defender for Office 365 – Zrobimy swój własny phishing, z blackjackiem i …

Jak najlepiej budować świadomość użytkowników? Symulacjami!

W ramach Microsoft Defender for Office 365 w planie 2, mamy dostępne bardzo fajne narzędzie jakim jest symulator ataków. W dużym skrócie – dzięki niemu możemy sami tworzyć wiadomości „phishingowe” wysyłane do naszych użytkowników. Dorzucamy tam np. odnośnik do zewnętrznej strony czy pdf z ‘fakturą od dostawcy’ i patrzymy kto to u nas kliknie na taki podrobiony element lub, co chyba gorsze, poda poświadczenia na podrzuconej stronie.

Samo rozwiązanie działa bardzo fajnie, jednak wymaga sporo przygotowania po naszej stronie (mało szablonów) i nie daje wielu możliwości symulacji (tylko dwie opcje – załącznik lub odnośnik). W najbliższym czasie jednak się to zmieni – poznajcie nową odsłonę Attack Simulator!

Rozbudowany symulator ataków w ramach Microsoft Defender for Office 365

Pierwsza wiadomość – dostajemy dużo więcej gotowych szablonów! Spodziewam się, że na początku większość z nich będzie dostępna w języku angielskim, ale (jak Ci którzy korzystają z obecnej formy attack simulator wiedzą) wersja polska z czasem na pewno się pojawi.

Co ważne – możemy planować kampanie w czasie, z podziałem np. na odpowiednie grupy użytkowników czy strefy czasowe.

Microsoft, żeby zapewnić kompletność oferty, podjął współpracę z firmą Terranova Security – odpowiedzialni są oni za część kolejną (post-symulacyjną) czyli wszelkiego rodzaju szkolenia użytkowników. To chyba największa różnica w stosunku do tego co mamy dostępne obecnie (czyli wbudowanej strony z generycznymi informacjami dla tych którzy się ‘złapali’ na symulacje phishu lub alternatywnie możliwość wskazania wew. witryny).

Szkolenia dla użytkowników będą dzielić się na kilka różnych wątków (rozróżnienie różnych ataków, np. malware, phishing, social engineering etc.) i zawierać różne metody przekazu – nagrania wideo, tekst czy odnośniki do zewnętrznych materiałów. Dodatkowo miałem okazję zobaczyć autentyczne przykłady maili wyłudzających dane i ćwiczenia dla użytkownika, który ma wskazać, dlaczego np. dana wiadomość jest podrobiona.

Nie ma niestety informacji o wsparciu dla naszego rodzimego języka polskiego – nie spodziewałbym się dostępności w najbliższym czasie (ale może pozytywnie się zaskoczę 😊).

Ważne do odnotowania – wszystkie powyższe elementy (uczenie, symulacje itd.) oczywiście są mierzalne i posiadają konkretne raportowanie.
Więcej informacji na temat Attack Phishing Simulator znajduje się na stronie Microsoft.

Co, gdzie, kiedy?

Z wersji obecnej symulatora ataków (gdzie możemy uruchamiać kampanie z odnośnikiem lub załącznikiem) możecie korzystać już teraz – wystarczy dodatek Office 365 ATP (lub obecnie Microsoft Defender for Office 365) Plan 2 (lub subskrypcja, która taki plan posiada – Microsoft 365 E5).

[1] Phishing Activity Trends Report, APWG, Q1 2020, Published 11 May 2020

[2] Verizon’s 2020 Data Breach Investigation Report

Czytaj więcej
11.06.2019
Integrity Partners

Microsoft Defender ATP dla komputerów Mac

Program Microsoft Defender ATP dla komputerów Mac nie jest jeszcze powszechnie dostępny. Wersja testowa programu Microsoft Defender Advanced Threat Protection dla komputerów Mac została udostępniona jedynie klientom korporacyjnym, którzy zostali zaakceptowani do programu poglądowego.

Od momentu udostępnienia przedpremierowej wersji programu trwają nieustanne prace nad ulepszeniem produktu. Do tej pory zmniejszono już czas potrzebny na pojawienie się urządzeń w Centrum zabezpieczeń Microsoft Defender natychmiast po wdrożeniu. Ulepszona została obsługa zabezpieczeń i poprawiono komfort użytkowania programu.

Aktualizacja programu Microsoft Defender ATP dla komputerów Mac obejmuje:

Zwiększoną dostępność
Poprawioną wydajność
Ulepszony monitoring produktów klienta
Lokalizacje w 37 językach
Ulepszone zabezpieczenia anty-sabotażowe
Możliwość przesyłania opinii za pośrednictwem interfejsu.
Możliwość ustawiania preferencji dotyczących chmury w dowolnym miejscu, nie tylko w USA.

Metody i narzędzia do zainstalowania programu Microsoft Defender ATP dla komputerów  Mac.

Pierwszym krokiem w instalacji programu Microsoft Defender ATP dla Mac jest posiadanie subskrypcji ATP Microsoft Defender i dostęp do portalu ATP Microsoft Defender.

Metody wdrożenia:

Za pomocą narzędzia wiersza poleceń:

Ręczne wdrożenie

Za pomocą narzędzi innych firm:

Wdrożenie oparte na usłudze Microsoft Intune
Wdrożenie oparte na JAMF
Inne produkty MDM

Wymagania systemowe:

MacOS wersja: 10.14 (Mojave), 10.13 (High Sierra), 10.12 (Sierra)
Miejsce na dysku podczas podglądu: 1 GB

Wersje beta systemu MacOS nie są obsługiwane.

Po włączeniu usługi konieczne może być skonfigurowanie sieci, aby umożliwić połączenia wychodzące między nią, a punktami końcowymi.

Poniższa tabela zawiera listę usług i powiązanych z nimi adresów URL, z którymi sieć musi się połączyć. Należy upewnić się, że nie ma reguł zapory ani filtrowania sieci, które odmawiałyby dostępu do tych adresów URL lub może być konieczne utworzenie dla nich reguły zezwalającej:

W celu uzyskania dodatkowych informacji na temat rejestrowania, odinstalowywania lub znanych problemów, odwiedź stronę Zasoby.

Czytaj więcej
18.04.2019
Integrity Partners

Zunifikowana platforma ochrony punktów końcowych – ATP systemu Windows Defender

Ulepszona redukcja powierzchni ataku, ochrona najnowszej generacji, sprawne wykrywanie i reagowanie na naruszenia, to tylko kilka z wielu nowych możliwości zunifikowanej platformy ochrony punktów końcowych ATP systemu Windows Defender.

Nowe zasady redukcji powierzchni ataku

Ulepszona redukcja powierzchni ataku chroni urządzenia bezpośrednio na poziomie stacji roboczej:

– Blokada Office przed tworzeniem procesów potomnych.

– Blokada Adobe Reader przed tworzeniem procesów potomnych.

Te nowe reguły pozwalają zapobiegać tworzeniu procesów potomnych z programu Outlook i Adobe Reader, bezpośrednio na poziomie stacji roboczej. Pomagają także wyeliminować wiele typów ataków.

Aktualizacje Emergency Security Intelligence

W przypadku ataku zespół ATP systemu Windows Defender może wysłać żądanie awaryjne do wszystkich urządzeń przedsiębiorstwa podłączonych do chmury, w celu natychmiastowego pobrania dedykowanych aktualizacji.

Od indywidualnych powiadomień do incydentów

Gdy ataki stają się coraz bardziej zaawansowane, analitycy bezpieczeństwa stają przed wyzwaniem rekonstrukcji historii ataku. Obejmuje to identyfikację wszystkich powiązanych alertów i artefaktów na wszystkich zagrożonych maszynach, a następnie skorelowanie ich wszystkich na całej osi czasu ataku. W przypadku incydentów powiązane alarmy są grupowane razem z maszynami i odpowiednimi zautomatyzowanymi dochodzeniami, prezentując w ten sposób wszystkie zebrane dowody oraz zasięg i zakres ataku.

Automatyzacja reakcji na ataki, bez plików

Windows Defender ATP może od teraz wykorzystywać zautomatyzowane funkcje śledcze pamięci do obciążania regionów pamięci i wykonywania wymaganych działań naprawczych. Dzięki tej nowej możliwości przechodzimy do w pełni zautomatyzowanego procesu, zmniejszając przez to obciążenie zespołów bezpieczeństwa.

Analiza zagrożeń

Analiza zagrożeń to zestaw interaktywnych raportów o zagrożeniach publikowany przez zespół badawczy Microsoft. Pulpit analityczny „Zagrożenie” obejmuje opis techniczny i dane o zagrożeniu. Zawiera także zalecenia mające na celu powstrzymanie i zapobieganie określonych zagrożeń oraz zwiększenie odporności organizacji.

Integracja z Microsoft Information Protection

Integracja Azure Information Protection (AIP) z Data Discovery, zapewnia widoczność oznaczonych plików przechowywanych na punktach końcowych. Analizy pulpitu i dziennika AIP obejmują pliki wykryte na urządzeniach systemu Windows wraz z informacjami o ryzyku związanym z urządzeniami  programu Windows Defender ATP.

Integracja z Microsoft Cloud App Security

Windows Defender ATP w unikalny sposób integruje się z Microsoft Cloud App Security. Windows Defender ATP zapewnia uproszczone wykrywania aplikacji Cloud App Security, ponieważ zasila je sygnałami punktów końcowych, zmniejszając potrzebę gromadzenia sygnałów przez korporacyjne serwery proxy. Umożliwia to bezproblemowe zbieranie sygnałów, nawet gdy punkty końcowe znajdują się poza siecią korporacyjną.

Innowacje, które działają dla Ciebie dzisiaj i w przyszłości

Możesz przetestować wszystkie nowe i istniejące funkcje, rejestrując się w bezpłatnej, 60-dniowej, w pełni funkcjonalnej wersji Windows Defender ATP . Możesz także przetestować redukcję powierzchni ataku poprzez uruchomienie symulacji DIY .

Czytaj więcej
Ten serwis używa plików "cookies" zgodnie z POLITYKĄ PRYWATNOŚCI. Brak zmiany ustawień przeglądarki oznacza jej akceptację. View more
Rozumiem