Microsoft тестирует автоматическую изоляцию устройств в Defender for Endpoint
Новая возможность будет добавлена в инструмент автоматического срыва атаки, однако новое исследование предупреждает: его нужно настраивать, чтобы он сам не стал вектором атаки.
Microsoft тестирует новую возможность автоматической изоляции устройств в инструменте auto attack disruption в Defender for Endpoint, чтобы помочь специалистам по безопасности сдерживать кибератаки, уже идущие в корпоративных сетях.
Компания объявила о функции в начале месяца в колонке о новых возможностях Defender. Пока неизвестно, когда автоматическая изоляция устройств выйдет в полноценный production.
Однако новое исследование SANS Institute предупреждает: при определенных условиях злоумышленник может использовать новую функцию, чтобы отключить все учетные записи пользователей.
Вывод, по словам Йоханнеса Ульриха, декана исследований института, в том, что автономные AI action tools нужно настраивать и тестировать так же тщательно, как и любую другую автоматизацию.
«Автоматическая изоляция и срыв атаки — не новые концепции, — сказал Ульрих в письме. — Подобные идеи уже использовались в open source и коммерческих инструментах. Эта функция особенно важна для организаций с недоукомплектованными командами ИБ, поскольку она автоматизирует реагирование на атаку. Но такие возможности нужно тщательно настраивать. Если оставить их без конфигурации, атакующие смогут задерживать реагирование, нарушая работу учетных записей администраторов».
Тем не менее в сегодняшней среде такие инструменты важны. Роберт Эндерле, ИТ-консультант и глава Enderle Group, отметил, что современные автоматизированные атаки с использованием malware и ransomware развиваются на машинной скорости, а значит, время реакции человека фактически устарело.
К тому моменту, когда аналитик увидит тревожный сигнал, атакующий, по его словам, уже закрепился в системе или начал шифровать файлы. Автоматическая изоляция устройств Microsoft действует как «быстрый логический air gap. Она мгновенно разрывает сетевые соединения устройства, отрезая command and control (C2) атакующего и останавливая утечку данных. В автоматизированной атаке нужна автоматизированная защита».
Он сказал, что второе преимущество, часто более важное для выживания предприятия, — ограничение blast radius. Злоумышленники почти всегда используют скомпрометированный ПК как плацдарм для lateral movement по корпоративной сети, ища более ценные цели, например domain controllers, отметил он.
«Мгновенно помещая этот первый endpoint в карантин, вы удерживаете угрозу там, где она возникла. Вы не даете одной скомпрометированной ноутбук-машине превратиться в катастрофу для всей компании», — сказал он.
Эндерле добавил, что есть и огромное преимущество для форензики. «Раньше инстинктом часто было буквально выдернуть шнур питания, что уничтожает критически важную volatile memory, или физически выдернуть сетевой кабель, что полностью ослепляет вашу удаленную команду безопасности. Логическая изоляция устройства при сохранении защищенного канала связи с сервисами безопасности сохраняет место инцидента. Это не дает атакующему развернуть wiper malware или уничтожить журналы, а Security Operations Center (SOC) получает время, чтобы безопасно расследовать и устранить проблему без паники из-за активно распространяющейся инфекции».
Как работает автоматический срыв атаки
Automatic attack disruption доступен организациям, которые подписаны на Microsoft Defender XDR, унифицированный облачный пакет безопасности, который обнаруживает и расследует кибератаки на endpoint-устройствах PC, серверов и IoT. Он также управляет гибридными идентичностями и защищает email и инструменты для совместной работы. За счет этого он сопоставляет данные, чтобы выявлять атаки и реагировать на них.
Скоро появляющаяся возможность auto-isolation блокирует большую часть сетевого трафика, при этом оставляя устройство подключенным к сервисам безопасности. Microsoft заявляет, что действие ограничено по времени и привязано к конкретному инциденту; операторы безопасности могут снять изоляцию в любой момент.
Широкая функция automatic attack disruption использует AI, чтобы ограничить lateral movement атакующих. «Attack disruption использует весь спектр наших signals extended detection and response (XDR), учитывая всю атаку целиком, чтобы действовать на уровне инцидента», — сказала Microsoft в подробной колонке о инструменте. «Эта возможность отличается от известных методов защиты, таких как prevention и blocking на основе одного индикатора компрометации».
Чтобы использовать automatic attack disruption, ИТ как минимум нужно включить Microsoft Defender for Endpoint Plan 2. Эффективность выше, если также развернуты Defender for Identity, Defender for Office 365 и Defender for Cloud apps. Администраторам также нужно настроить соответствующие права доступа и мониторинг.
Возможные операционные сбои
Академическая работа SANS Institute студента Марсио Энрикеса отмечает, что AI systems, принимающие автономные решения вроде containment, действительно улучшают время реакции и масштабируемость. Но они также опираются на threshold-based логику, основанную на telemetry. «Даже работая на данных уровня всей компании, они не всегда учитывают влияние на уровне системы при принятии решений о применении мер», — говорится в работе, и это может вызывать непреднамеренные сбои при масштабном включении. «Это создает разрыв между потребностью в быстрых защитных действиях и способностью организации поддерживать операционную непрерывность».
Исследование рассматривало этот разрыв, оценивая, как autonomous containment, зависящий от пороговых значений, может приводить к тому, что автор называет «large-scale operational disruption».
Энрикес увидел пример этого во время реального инцидента безопасности весной 2025 года. Пользователь в одной из организаций попался на phishing-сообщение и ввел свои учетные данные на вредоносном сайте. Defender обнаружил это и в течение нескольких минут инициировал автоматические меры containment, включая отключение затронутой учетной записи, принудительный сброс пароля и ограничение входа на нескольких управляемых устройствах.
Однако из-за того, что аналитики безопасности не поняли, что это было автоматическое применение политик, сначала они решили, что произошел lateral movement или масштабная компрометация. Это привело к экстренной эскалации с участием руководства по безопасности, пока дальнейшее расследование не показало, что распространение мер сдерживания было вызвано Defender.
«Событие демонстрирует эффективность autonomous containment в быстром прерывании активных угроз, — написал Энрикес. — В то же время оно показывает, как автоматические ответные действия могут создавать операционные эффекты на уровне всей компании, которые не сразу прозрачны для человека».
Может быть использовано как оружие
Чтобы проверить, может ли threat actor воспользоваться слабым местом в automatic attack disruption в Defender XDR, Энрикес создал гибридную корпоративную среду с 18 «пользователями» и запустил adversarial activity, имитирующую поведение hands-on-keyboard сразу для нескольких идентичностей, чтобы вызвать в Defender пороги обнаружения с высокой уверенностью через тактику атаки, которую он называет Autonomous Defense Induced Disruption (ADID). По сути, она заставляет automatic disruption в Defender выдать высокий уровень уверенности, что сеть подвергается атаке.
«Результаты показали, что при достижении порогов уверенности обнаружения автоматические действия отключили все [18] идентичностей Active Directory, включая локального доменного администратора, сделав домен недоступным», — написал Энрикес.
«Исследование подчеркивает необходимость governance controls, защит с учетом привилегий и ограничений на уровне системы, чтобы предотвратить operational disruption, вызванный автономным containment», — заключил он.
Рекомендация Microsoft: оставить auto attack disruption включенным
Представитель Microsoft заявил, что компания не комментирует исследовательскую работу.
Однако, по его словам, рекомендация Microsoft — держать automatic attack disruption включенным по умолчанию. «Отказ от этой функции существенно повышает риск, особенно для multi-domain, multi-stage атак, таких как HumOR [human intelligence operations, например social engineering], BEC [business email compromise] и AiTM [adversary in the middle], где даже дополнительные минуты пребывания в системе могут обернуться серьезным бизнес-ущербом».
«В то же время, — отметила Microsoft, — мы понимаем, что командам безопасности нужен контроль над автономными действиями. Поэтому функция спроектирована с granular controls. Администраторы безопасности могут настраивать уровни автоматизации по группам устройств и выборочно исключать пользователей, устройства или IP ranges в зависимости от операционных потребностей. Рекомендуемый подход — точечная, осознанная настройка, а не полный отказ от функции. Клиенты сохраняют полную видимость предпринимаемых действий и могут в любой момент отменить автоматические реакции».
Первоначально этот материал был опубликован на CSOonline.
Материал — перевод статьи с английского.
Оригинал: Microsoft previews automatic device isolation in Defender for Endpoint