מטרה
מדריך מעשי ל-הקמה ויצירה של Attack Surface Reduction, כולל ניווט מדויק, בדיקות לפני שינוי, אימות תוצאה ו-Rollback.
דרישות מוקדמות
- חשבון ניהול עם התפקיד המינימלי הדרוש לפעולה
- MFA פעיל לחשבון הניהול
- תיעוד הערך הקיים לפני שינוי
- חלון שינוי מאושר אם הפעולה משפיעה על משתמשים
ביצוע צעד אחר צעד
- רשום את שם ה-Tenant/Subscription/Device/Server והגרסה הרלוונטית. ודא שאתה עובד בסביבה הנכונה ולא בייצור אחר.
- היכנס אל Microsoft Defender portal עם חשבון הניהול המורשה.
- נווט בדיוק אל:
Endpoint security > Attack surface reduction. אם התפריט לא מופיע, בדוק Role/License לפני ניסיון לעקוף את ההרשאה. - צור אובייקט חדש עבור Attack Surface Reduction; השתמש בשם מתועד, Scope מינימלי וערכי ברירת מחדל בטוחים.
- מלא רק את השדות הדרושים. אל תפעיל הרשאות רחבות, Public access או Allow Any אם אין דרישה מפורשת.
- לחץ Save / Apply / Create רק לאחר Review. אם המוצר מציג Summary, קרא אותו במלואו לפני אישור.
- המתן ל-Propagation/Task completion. אל תריץ שוב את אותה פעולה בזמן שהיא עדיין Running או Pending.
- אמת את התוצאה בממשק ובמידת האפשר גם באמצעות
Get-MpPreference | Select AttackSurfaceReductionRules_Ids. חפש מצב Healthy/Enabled/Success או את הערך החדש שהוגדר. - בצע בדיקה פונקציונלית מהצד של המשתמש/הלקוח ולא רק מהפורטל: Sign-in, traffic, mail flow, sync, backup או service access לפי הנושא.
- תעד את השינוי: מה היה לפני, מה שונה, מי אישר, תוצאת הבדיקה ומהי פעולת ה-Rollback. אם הבדיקה נכשלה — החזר את הערך הקודם לפני ניסיון נוסף.
פקודות ובדיקות
Get-MpPreference | Select AttackSurfaceReductionRules_Idsאימות הצלחה
- ודא שהמצב הסופי של Attack Surface Reduction תואם לדרישה ושאין Alerts/Errors חדשים. בדיקת CLI מומלצת:
Get-MpPreference | Select AttackSurfaceReductionRules_Ids. - בצע בדיקה גם מזווית המשתמש/הלקוח ולא רק ממסך הניהול.
- שמור צילום/פלט של המצב התקין לצורך השוואה עתידית.
Rollback וטיפול בתקלה
- השתמש ב-Export/Backup שבוצע לפני השינוי והחזר את ההגדרה הקודמת. עבור Lifecycle: Audit/disable rule and rollback assignment.
- אם אין ודאות לגבי ההשפעה, עצור לפני Delete/Reset והחזר את הערך האחרון הידוע כתקין.
זהירות: אין להחיל שינוי רחב על All users / Any / 0.0.0.0/0 בלי בדיקת השפעה ואישור מתאים.
מקור רשמי: Microsoft — Microsoft Defender official documentation. שמות תפריטים עשויים להשתנות עם עדכוני שירות; יש לאמת את המסך לפני שינוי בסביבת ייצור.
