בחודשים האחרונים סקרנו עשרות הגדרות של Microsoft Defender, ויש נושא שחוזר שוב ושוב: שימוש יתר בהחרגות (exclusions) של תיקיות, סוגי קבצים ואפילו תהליכים שאסור לעולם להחריג.
יש סיבות לגיטימיות להגדיר החרגות (ביצועים, false positives, תאימות), אבל צריך לטפל בהן בזהירות. כל החרגה = פחות נראות. כל החרגה = יותר סיכון.
Microsoft פרסמה מדריך שימושי מאוד בשם Common mistakes to avoid when defining exclusions, וזו חובת קריאה. הנה סיכום מעשי, עם כמה תובנות מהשטח.
1החרגת פריטים "מהימנים"
העובדה שקובץ או תיקייה נראים בטוחים לא אומרת שצריך להחריג אותם. malware מסתתר לא פעם במקומות מוכרים ומחקה שמות לגיטימיים.
הימנעו מהחרגת התיקיות האלה (Windows):
- %systemdrive%, C:\, C:\Temp\, %Windir%\Temp
- %ProgramFiles%\Java, %ProgramFiles%\Contoso\
- C:\Users\, C:\Users\<User>\AppData\Local\Temp\
- C:\Windows\Prefetch, C:\Windows\System32\Spool, CatRoot2
הימנעו מהחרגת התיקיות האלה (macOS/Linux): /, /bin, /sbin, /usr/lib
2סיומות קבצים שאסור להחריג
תוקפים מנצלים סיומות מוכרות כדי להפיל payloads או להריץ סקריפטים. ובכל זאת אנחנו מוצאים לא פעם החרגות של סוגי קבצים שלמים כמו .exe או .dll.
אל תחריגו את הסיומות הבאות: .7z, .bat, .bin, .cab, .cmd, .com, .cpl, .dll, .exe, .fla, .gif, .gz, .hta, .inf, .java, .jar, .job, .jpeg, .jpg, .js, .ko, .msi, .ocx, .png, .ps1, .py, .rar, .reg, .scr, .sys, .tar, .tmp, .url, .vbe, .vbs, .wsf, .zip
אם אתם חייבים להחריג משהו כמו .gif או .jpg, ודאו ש:
- בסביבה שלכם נאכפת מדיניות patch ועדכונים קפדנית.
- ההחרגה מוגבלת למיקום או לתהליך ספציפי, ולא חלה על כל המערכת.
3תהליכים בסיכון גבוה שאסור להחריג לעולם
החרגת תהליכים היא עסק מסוכן. התהליכים האלה מנוצלים לא פעם בתקיפות, ואסור להחריג אותם בשום מקרה.
Windows: powershell.exe, cmd.exe, cscript.exe, wscript.exe, java.exe, mshta.exe, dotnet.exe, outlook.exe, excel.exe, winword.exe, schtasks.exe, svchost.exe, psexec.exe, wmic.exe, dbgsvc.exe, msbuild.exe, AcroRd32.exe ועוד.
macOS/Linux: bash, sh, zsh, python, python3, java
גם תהליכים כמו iexplore.exe או fsi.exe יכולים לשמש כנשק.
4שימוש בשם קובץ בלבד, בלי נתיב מלא
ראינו סביבות שבהן קבצים מוחרגים לפי שם בלבד, כמו scan.exe. זה רעיון רע, כי malware יכול להשתמש באותו שם קובץ ולנחות במיקום אחר.
שיטה מומלצת: השתמשו תמיד בנתיב מלא, למשל C:\Program Files\Contoso\scan.exe, ולא רק scan.exe.
5רשימה אחת לכל עומסי העבודה
לא הייתם מחילים את אותה מדיניות אבטחה על domain controller ועל שרת קבצים, אז אל תשתמשו גם ברשימת החרגות ענקית אחת. פצלו את ההחרגות לפי תפקיד השרת: ל-IIS, ל-SQL Server, ל-SharePoint ול-RDS יש צרכים שונים והחרגות שונות.
6שימוש לא נכון במשתני סביבה כ-wildcards
זו טעות קלאסית. Defender Antivirus רץ ב-system context, כלומר הוא יכול לפתור רק משתנים ברמת המערכת, לא משתני משתמש.
- %UserProfile% לא יעבוד.
- %ProgramFiles% ו-%SystemRoot% בסדר.
הימנעו ממשתני סביבה של משתמש בהחרגות, אלא אם אתם באמת מבינים את הקשר הריצה.
לפני שמוסיפים החרגה
החרגות יכולות להיות הכרחיות, אבל הן גם מסוכנות. בכל פעם שאתם מחריגים תיקייה, תהליך או סוג קובץ, אתם עלולים לתת לתוקפים אזור בטוח. לפני כל החרגה, שאלו:
- האם ההחרגה הזו באמת נחוצה?
- האם אפשר להגביל אותה בצורה צרה יותר?
- האם יש פתרון אחר שלא מפחית את ההגנה?
החרגות הן רק חלק מהגדרות האבטחה שנשחקות עם הזמן. Griffin31 בודק את הגדרות הטננט שלכם באופן רציף ומראה מה לתקן קודם.