ב-Microsoft Defender XDR הייתה יכולת Deception, בתצוגה מקדימה (public preview): חשבונות, מכשירים וקבצים מזויפים, שנקראו decoys ו-lures, נשתלו ב-endpoints, והתראה עלתה ברגע שתוקף נגע בהם. המטרה הייתה לתפוס תנועה רוחבית בשלב מוקדם.
Microsoft הודיעה על הוצאת היכולת משימוש בהודעה MC1137611 במרכז ההודעות של Microsoft 365. דפי התיעוד של Deception מפנים היום לדף של automatic attack disruption.
מה קרה ומתי
| תאריך | מה השתנה |
|---|---|
| 18 באוגוסט 2025 | טננטים חדשים כבר לא יכולים להפעיל Deception. |
| 31 באוקטובר 2025 | היכולת הוסרה: ה-decoys וה-lures הקיימים נמחקו, והאפשרויות שלה ירדו מהפורטל. |
מה זה אומר אם הפעלתם Deception
- אין מה לכבות. Microsoft מחקה את ה-decoys וה-lures בעצמה, ולא נדרשת פעולה מהמנהלים.
- התראות Deception לא יגיעו יותר. נהלים, playbooks או כללי התראה שמחכים לתג Deception או למילה deceptive בכותרת ההתראה לא יופעלו. עדכנו אותם.
- עדכנו את התיעוד הפנימי ואת מי שצריך לדעת, כמו צוות ה-SOC או ספק השירות שלכם.
מה מחליף אותו: automatic attack disruption
Deception חיכה שתוקף ייגע בפיתיון. Automatic attack disruption פועל אחרת: הוא מצליב אותות מנקודות קצה, זהויות, דואר ואפליקציות SaaS לאירוע אחד בביטחון גבוה, מזהה את הנכסים שבשליטת התוקף, ובולם אותם אוטומטית בזמן שהתקיפה עדיין מתרחשת. בין הפעולות:
- הכלת מכשיר: חסימת התקשורת ממכשיר חשוד בכל המכשירים שמחוברים ל-Defender for Endpoint.
- השבתת משתמש ב-Active Directory וב-Microsoft Entra ID, וביטול הסשנים הפעילים שלו.
- הכלת משתמש: חסימת התקשורת של משתמש חשוד בכל המכשירים המחוברים, כדי לצמצם תנועה רוחבית והצפנה מרחוק.
- אפליקציית OAuth שנפרצה: פעולות הגנה דרך Defender for Cloud Apps.
צוות האבטחה נשאר בשליטה: אפשר לבטל כל פעולה אוטומטית, ולהחריג משתמשים, מכשירים וכתובות IP קריטיים. אירוע שבו בוצעה פעולה מסומן בתג Attack Disruption ובפס צהוב בראש דף האירוע.
מה לבדוק עכשיו
- רישוי automatic attack disruption זמין בין השאר ב-Microsoft 365 E5, ב-Defender for Endpoint Plan 2 וב-Microsoft Defender for Business, שכלול ב-Business Premium.
- פריסה כל מוצר Defender מבצע את הפעולות שלו. בלי Defender for Endpoint אין הכלת מכשירים, ובלי סנסור של Defender for Identity בבקר התחום אין השבתת חשבונות ב-Active Directory.
- רמת האוטומציה ב-Settings > Endpoints > Device groups בדקו את עמודת Remediation level. ההמלצה של Microsoft היא Full - remediate threats automatically.
- ביקורת תיבות דואר ב-Exchange Online ודאו שנרשמים לפחות האירועים MailItemsAccessed, UpdateInboxRules, MoveToDeletedItems, SoftDelete ו-HardDelete.
- החרגות ונהלים החריגו רק נכסים שאסור לבלום אוטומטית, ותעדו למה. הוסיפו לנהלי התגובה מה עושים כשאירוע מגיע עם התג Attack Disruption, ואיך משחררים נכס אחרי החקירה.
רוצים לדעת אילו הגדרות אבטחה ב-Microsoft 365 חסרות אצלכם? Griffin31 בודק את הטננט שלכם באופן רציף ומראה מה לתקן קודם.