Reglas de reducción de la superficie de ataque (ASR): GUID

Las reglas de reducción de la superficie de ataque (ASR) son bloqueos de comportamiento integrados en el Antivirus de Microsoft Defender. En lugar de reconocer un archivo malicioso, detienen un comportamiento que el malware necesita y que el software legítimo rara vez tiene: Word lanzando PowerShell, un script que ejecuta un ejecutable recién descargado, un proceso desconocido que lee la memoria de LSASS. Como no dependen de firmas, frenan tanto el malware nuevo como el antiguo.

Además, vienen gratis con Windows, se configuran por directiva de grupo y tienen un modo de auditoría. El principal motivo por el que no están habilitadas en todas partes es el miedo a romper una aplicación de negocio. Esta guía te da la lista completa de reglas y un despliegue que gestiona ese riesgo.

Requisitos

• El Antivirus de Microsoft Defender como antivirus principal, con la protección en tiempo real activada (no en modo pasivo).
• La protección entregada en la nube activada, ya que algunas reglas dependen de ella (en particular la regla de prevalencia).
• Windows 10 / Windows Server 2019 o posterior para el conjunto completo; unas pocas reglas tienen una compatibilidad más limitada (la regla de webshells es para servidores).

Las reglas

Microsoft sigue añadiendo reglas; las dos más recientes son las de modo seguro y de herramientas del sistema copiadas, al final de la tabla. Mantén al día la plataforma de Defender (Microsoft exige que no vaya más de dos versiones por detrás para ASR) y consulta la referencia de reglas ASR cuando aparezcan reglas nuevas.

Cada regla admite uno de estos estados: 0 Disabled, 1 Block, 2 Audit, 5 Not configured, 6 Warn. Warn permite al usuario saltarse un bloqueo durante 24 horas, lo que resulta útil para las reglas más ruidosas en los puestos de trabajo. No lo admiten las reglas de LSASS ni de inyección de código de Office, ni se puede usar a través de Configuration Manager.

Despliegue

1. Protección estándar directamente en bloqueo

Las tres reglas de protección estándar rara vez chocan con software legítimo. Ponlas en modo de bloqueo en todas partes, con una excepción: en los dispositivos administrados por Configuration Manager, cuyo cliente depende mucho de WMI, Microsoft pide probar primero la regla de persistencia WMI en modo de auditoría.

$std = "56a863a9-875e-4185-98a7-b882c64b5ce5",
       "9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2",
       "e6db77e5-3df2-4cf1-b95a-636979351e5b"
Add-MpPreference -AttackSurfaceReductionRules_Ids $std `
  -AttackSurfaceReductionRules_Actions Enabled,Enabled,Enabled

2. Todo lo demás en auditoría durante dos a cuatro semanas

En directiva de grupo: Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Attack Surface Reduction > Configure Attack Surface Reduction rules. Habilítala y añade una línea por regla, con el GUID en Value name y el estado en Value. En Intune, usa un perfil Attack surface reduction rules en Endpoint security. Para un laboratorio:

Add-MpPreference -AttackSurfaceReductionRules_Ids d4f940ab-401b-4efc-aadc-ad5f3c50688a `
  -AttackSurfaceReductionRules_Actions AuditMode

Usa Add-MpPreference y no Set-MpPreference cuando añadas reglas de una en una: Set- sustituye la lista completa.

3. Leer los eventos

Los eventos de ASR están en Applications and Services Logs > Microsoft > Windows > Windows Defender > Operational:

Cada evento indica el GUID de la regla, la ruta del proceso y el destino. Agrupa por regla y proceso en todo el parque. Normalmente encontrarás una lista corta de colisiones reales: un complemento de gestión documental que lanza un auxiliar, una aplicación de negocio que escribe ejecutables desde una macro VBA, un agente de administración lanzado a través de WMI.

Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |
  Where-Object Id -in 1121,1122 |
  Select-Object TimeCreated, Id, Message -First 50

4. Excluir de forma acotada y después bloquear

Corrige lo que puedas (actualiza el complemento, firma el script, sustituye la macro). Para el resto, prefiere las exclusiones por regla, disponibles en las versiones actuales de la plataforma de Defender, a las exclusiones globales de ASR:

# Exclusión global de ASR (se aplica a todas las reglas): úsala con moderación y con rutas completas
Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Program Files\Contoso\DocHelper.exe"

Nunca excluyas powershell.exe, cmd.exe, wscript.exe, carpetas completas en las que el usuario puede escribir como %TEMP% o %APPDATA%, ni los propios binarios de Office. Eso no acota la regla: la desactiva.

Después, pasa las reglas a bloqueo anillo por anillo (TI, usuarios piloto y luego todos), vigilando el volumen de eventos 1121 tras cada paso.

5. Verificar en el equipo

$p = Get-MpPreference
for ($i = 0; $i -lt $p.AttackSurfaceReductionRules_Ids.Count; $i++) {
  "{0}  {1}" -f $p.AttackSurfaceReductionRules_Ids[$i], $p.AttackSurfaceReductionRules_Actions[$i]
}

Si las reglas configuradas por GPO o Intune no aparecen, comprueba que Defender sea el antivirus activo (Get-MpComputerStatus | Select AMRunningMode debe devolver Normal) y que no existan directivas locales y administradas en conflicto.

Protección contra vulnerabilidades

La hermana de ASR es la protección contra vulnerabilidades (exploit protection, sucesora de EMET), que se configura en Seguridad de Windows > Control de aplicaciones y navegador > Protección contra vulnerabilidades o mediante un XML exportado aplicado con la directiva Use a common set of exploit protection settings. Los valores predeterminados de todo el sistema (DEP, ASLR ascendente, CFG, SEHOP) deben permanecer activados. Merece la pena añadir mitigaciones por aplicación para las aplicaciones heredadas expuestas, pero pruébalas: forzar ASLR obligatorio en un binario antiguo puede hacer que se bloquee.

Get-ProcessMitigation -System

Lista de comprobación

• El Antivirus de Defender es el principal, con protección en tiempo real y en la nube activadas
• Las tres reglas de protección estándar en modo de bloqueo en todas partes
• Resto de reglas en auditoría de 2 a 4 semanas, eventos 1122 revisados
• Regla PSExec/WMI solo donde no se use Configuration Manager
• Exclusiones acotadas, por regla cuando sea posible, documentadas y con responsable
• Reglas en modo de bloqueo por anillos; evento 5007 supervisado para detectar manipulaciones

Las reglas ASR están entre las configuraciones con mayor retorno de Windows. Para el antivirus del que dependen, consulta la guía de endurecimiento de Microsoft Defender; para detener por completo los ejecutables desconocidos, el control de aplicaciones.