Il problema dell'esclusione invisibile in Microsoft Defender

Introduzione

I team di sicurezza spesso danno per scontato che, se una policy può essere interrogata, possa anche essere verificata. Questa ipotesi diventa fragile quando le esclusioni di Microsoft Defender possono essere occultate dall'output di PowerShell. Il problema non è semplicemente che le esclusioni esistano. È che la traccia di audit che le riguarda potrebbe non riflettere più la realtà, lasciando i difensori con un sistema dall'aspetto più pulito di quello che in realtà è in esecuzione sull'endpoint.

Fatti rapidi

• Microsoft Defender Antivirus supporta esclusioni per file, cartelle, processi, estensioni e indirizzi IP.
• Le esclusioni sono progettate per ridurre l'attrito per il software affidabile ed evitare scansioni non necessarie.
• Le esclusioni nascoste possono indebolire la fiducia nei controlli di routine basati su PowerShell.
• Il metodo di occultamento non è stato stabilito nel materiale disponibile.
• Le informazioni disponibili supportano un'analisi del rischio, non un'affermazione confermata di compromissione completa.

Corpo

Negli strumenti difensivi, le esclusioni sono una funzionalità legittima con un lato rischioso. Un'esclusione di percorso può impedire la scansione di una directory. Un'esclusione di processo può impedire alla protezione di ispezionare un programma in esecuzione. Le esclusioni basate su estensioni e indirizzi IP possono restringere ciò che il motore di sicurezza osserva. Questa flessibilità aiuta gli amministratori a ottimizzare i sistemi, ma offre anche a un aggressore un punto in cui nascondersi se riesce a modificare la policy.

Ciò che rende la situazione particolarmente preoccupante è l'aspetto della gestione. PowerShell è comunemente usato per ispezionare e gestire le impostazioni di Windows, quindi se un'esclusione può essere nascosta da queste query, il normale ciclo di verifica del difensore può fallire. Il pericolo non è solo l'evasione sull'endpoint. È la possibilità che gli operatori credano di aver controllato la policy mentre l'eccezione rilevante resta invisibile al comando utilizzato.

Al momento della stesura, le informazioni pubbliche non hanno stabilito in modo completo la causa tecnica alla radice, l'ambito totale degli utenti interessati o se i sistemi a valle siano stati compromessi. Le prove disponibili supportano un rischio di visibilità, non una conclusione definitiva su furto, ransomware o un impatto operativo diffuso.

Dal punto di vista di Netcrook, la lezione è semplice: i controlli di sicurezza devono essere osservabili oltre che applicabili. Se un'impostazione può essere nascosta dalle comuni query amministrative, i difensori dovrebbero trattare quella lacuna stessa come un segnale di minaccia. I fallimenti di visibilità possono essere pericolosi quanto la disattivazione diretta di un controllo, perché ritardano la scoperta e indeboliscono la fiducia nei controlli di routine.

Conclusione

L'avvertimento più ampio è che la sicurezza endpoint non riguarda solo il blocco del malware. Riguarda anche il garantire che le regole restino visibili, verificabili e coerenti. Quando un aggressore può far sparire un'esclusione dalla visuale su cui fanno affidamento i difensori, il compromesso può iniziare nel silenzio anziché in un allarme.

WIKICROOK

• Esclusione: Una regola che indica al software di sicurezza di ignorare un target specifico durante la scansione.
• PowerShell: La shell a riga di comando e di automazione di Microsoft usata per l'amministrazione e l'auditing.
• Defender Antivirus: La protezione antimalware integrata di Microsoft per gli endpoint Windows.
• Piano di gestione: Il livello amministrativo usato per configurare e ispezionare i controlli di sicurezza.
• Falso positivo: Un file o processo innocuo identificato erroneamente come malevolo.