Attivit\u00e0 6: Quarantena degli endpoint attraverso l’isolamento della rete e dei servizi<\/strong><\/a><\/td>\n| Isolare le macchine infette dalla rete<\/td>\n | Esegue script di isolamento reattivi basati su trigger di minaccia<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\nPrerequisiti per la risposta ai malware basata su RMM<\/h2>\nPrima di procedere alla configurazione della risposta ai malware basata su RMM, assicurati che l’ambiente soddisfi i seguenti requisiti:<\/p>\n \n- Una piattaforma RMM<\/strong> con funzionalit\u00e0 di scripting, avvisi e automazione (per esempio, NinjaOne)<\/li>\n
- Software antivirus attivo<\/strong> sugli endpoint, come Microsoft Defender o strumenti di terze parti come SentinelOne o Bitdefender<\/li>\n
- PowerShell 5.1 o versioni successive, oppure accesso a CMD<\/strong> per lo scripting di comandi AV<\/li>\n
- Accesso ai log delle scansioni antivirus<\/strong> o ai log degli eventi di sicurezza di Windows per il monitoraggio delle minacce<\/li>\n
- Configurazioni GPO opzionali<\/strong> per applicare le impostazioni antivirus e abilitare la protezione in tempo reale<\/li>\n<\/ul>\n
Attivit\u00e0 1: Utilizzo di PowerShell per rilevare e mettere in quarantena i malware<\/h2>\n\ud83d\udccc Caso d’uso:<\/strong><\/p>\nPowerShell consente agli amministratori IT di eseguire script tramite RMM per scansionare le minacce, registrare gli eventi di rilevamento e agire. \u00c8 funzionalmente integrato con Microsoft Defender, e consente la gestione delle minacce sia manuale che automatizzata.<\/p>\n Di seguito sono riportate le attivit\u00e0 consigliate che puoi eseguire con PowerShell per prevenire o rispondere in modo proattivo alle minacce malware attraverso uno strumento RMM.<\/p>\n \n- Apri PowerShell come amministratore. Premi il tasto Windows, digita PowerShell<\/strong>, quindi clicca con il pulsante destro del mouse su Windows PowerShell<\/strong> e seleziona Esegui come amministratore<\/strong>.<\/li>\n
- Esegui i seguenti comandi:<\/li>\n<\/ol>\n
\n- \n
\n- Per avviare una scansione rapida:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
Start-MpScan -ScanType QuickScan<\/code><\/strong><\/p>\n\n- \n
\n- Per esaminare le minacce rilevate:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
Get-MpThreatDetection | Format-List<\/code><\/strong><\/p>\n\n- \n
\n- Per mettere in quarantena le minacce:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
Remove-MpThreat -ThreatID <ID> -Quarantine<\/code><\/strong><\/p>\n\n- \n
\n- Per essere certo che la protezione in tempo reale sia abilitata:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
Set-MpPreference -DisableRealtimeMonitoring $false<\/code><\/strong><\/p>\n\ud83d\udca1<\/em>Ruolo dello strumento RMM<\/strong>: L’RMM \u00e8 uno strumento efficace per aiutare gli amministratori di sistema a pianificare le scansioni giornaliere, registrare le minacce e mettere in quarantena le infezioni sugli endpoint.<\/p>\nAttivit\u00e0 2: Utilizzo di CMD per la scansione antivirus e la quarantena<\/h2>\n\ud83d\udccc Caso d’uso:<\/strong><\/p>\nI dispositivi pi\u00f9 vecchi possono beneficiare della scansione da riga di comando tramite MpCmdRun.exe<\/strong>. Questa attivit\u00e0 \u00e8 utile anche quando l’accesso a PowerShell \u00e8 limitato e il sistema richiede un’esecuzione semplificata degli script tramite i file batch di RMM.<\/p>\nDi seguito sono riportate le attivit\u00e0 consigliate utilizzando lo strumento a riga di comando di Microsoft Defender (MpCmdRun.exe<\/strong>) che puoi eseguire con Prompt dei comandi per prevenire o rispondere in modo proattivo alle minacce malware attraverso uno strumento RMM.<\/p>\n\n- Premi la combinazione di tasti Windows <\/strong>+ X<\/strong>, quindi seleziona Prompt dei comandi (esegui come amministratore)<\/strong> o Terminale di Windows (esegui come amministratore)<\/strong>. Se utilizzi il Terminale Windows, assicurati di essere in una scheda del Prompt dei comandi<\/strong> e non di PowerShell.<\/li>\n
- Esegui i seguenti comandi:<\/li>\n<\/ol>\n
\n- \n
\n- Per eseguire una scansione rapida:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\"%ProgramFiles%\\Windows Defender\\MpCmdRun.exe\" -Scan -ScanType 1<\/code><\/strong><\/p>\n\n- \n
\n- Per eseguire una scansione completa:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\"%ProgramFiles%\\Windows Defender\\MpCmdRun.exe\" -Scan -ScanType 2<\/code><\/strong><\/p>\n\n- \n
\n- Per visualizzare la cronologia delle minacce in quarantena:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\"%ProgramFiles%\\Windows Defender\\MpCmdRun.exe\" -GetFiles<\/code><\/strong><\/p>\n\ud83d\udca1 Ruolo dello strumento RMM<\/strong>: Utilizza l’automazione RMM per distribuire script CMD per la scansione pianificata o condizionale, soprattutto sui dispositivi con ambienti di scripting limitati.<\/p>\nAttivit\u00e0 3: Monitoraggio dei log degli eventi alla ricerca di attivit\u00e0 di malware<\/h2>\n\ud83d\udccc Caso d’uso:<\/strong><\/p>\nGli amministratori IT possono sfruttare la capacit\u00e0 dei log di Microsoft Defender di tenere traccia di tutte le principali azioni del sistema. Possono utilizzarlo come fonte per monitorare l’attivit\u00e0 delle minacce.<\/p>\n \n- Apri il Visualizzatore eventi premendo la combinazione di tasti Windows <\/strong>+ R<\/strong>, digitando eventvwr.msc<\/strong> e premendo Invio<\/strong>.<\/li>\n
- Vai su:
\nRegistri di applicazioni e servizi <\/strong>> Microsoft <\/strong>> Windows <\/strong>> Windows Defender <\/strong>> Operativo<\/strong><\/li>\n- Cerca gli ID evento<\/strong> pertinenti:\n
\n- 1116<\/strong>: Rilevato malware<\/li>\n
- 1117<\/strong>: Azione intrapresa<\/li>\n
- 2001<\/strong>: Minaccia rimossa<\/li>\n
- 5007<\/strong>: Registro di sistema modificato (forse da un malware)<\/li>\n<\/ul>\n<\/li>\n
- A questo punto puoi utilizzare PowerShell per monitorare questi log eseguendo il seguente comando:<\/li>\n<\/ol>\n
Get-WinEvent -LogName \"Microsoft-Windows-Windows Defender\/Operational\" | Where-Object {$_.Id -eq 1116}<\/code><\/strong><\/p>\n\ud83d\udca1 Ruolo dello strumento RMM<\/strong>: I criteri RMM possono essere configurati per rilevare questi eventi e attivare la correzione automatica. Queste azioni possono includere la messa in quarantena dell’endpoint o la generazione di un ticket di assistenza.<\/p>\nAttivit\u00e0 4: Utilizzo degli indicatori di registro, DisableAntiSpyware e DisableAntiVirus, per l’isolamento e l’hardening<\/h2>\n\ud83d\udccc Caso d’uso:<\/strong><\/p>\nGli amministratori IT possono utilizzare le impostazioni del registro per un rapido rafforzamento del sistema. Gli indicatori di registro forniscono inoltre informazioni sullo stato della protezione antivirus e aiutano a identificare gli endpoint che devono essere isolati.<\/p>\n \n- Apri PowerShell come amministratore. Premi il tasto Windows, digita PowerShell<\/strong>, quindi clicca con il pulsante destro del mouse su Windows PowerShell<\/strong> e seleziona Esegui come amministratore<\/strong>.<\/li>\n
- Esegui i seguenti comandi:<\/li>\n<\/ol>\n
\n- \n
\n- Per verificare se Defender \u00e8 disabilitato:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
Get-ItemProperty -Path \"HKLM:\\SOFTWARE\\Microsoft\\Windows Defender\" -Name \"DisableAntiSpyware\",\"DisableAntiVirus\"<\/code><\/strong><\/p>\n\n- \n
\n- Per riabilitare Defender:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Microsoft\\Windows Defender\" -Name \"DisableAntiSpyware\" -Value 0<\/code><\/strong><\/p>\nSet-ItemProperty -Path \"HKLM:\\SOFTWARE\\Microsoft\\Windows Defender\" -Name \"DisableAntiVirus\" -Value 0<\/code><\/strong><\/p>\n\n- \n
\n- Per abilitare la protezione della rete:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
Set-MpPreference -EnableNetworkProtection Enabled<\/code><\/strong><\/p>\n\ud83d\udca1 Ruolo dello strumento RMM<\/strong>: Il monitoraggio delle chiavi di registro tramite RMM consente di rilevare le modifiche dannose e supporta azioni rapide di ripristino o rollback.<\/p>\nAttivit\u00e0 5: Applicazione delle impostazioni antivirus tramite Criteri di gruppo<\/h2>\n\ud83d\udccc Caso d’uso:<\/strong><\/p>\nGli oggetti dei Criteri di gruppo (GPO) possono imporre una linea di base stabile tra i dispositivi, garantendo che le impostazioni di protezione e scansione in tempo reale rimangano attive.<\/p>\n \n- Apri i Criteri di gruppo come amministratore. Premi il tasto Windows<\/strong>, digita gpedit.msc<\/strong>, quindi premi la combinazione di tasti Ctrl<\/strong> + Maiusc<\/strong> + Invio<\/strong> per eseguire come amministratore.<\/li>\n
- Vai su: Configurazione del computer<\/strong> > Modelli amministrativi<\/strong> > Windows<\/strong> Componenti<\/strong> > Microsoft Defender Antivirus<\/strong><\/li>\n
- Controlla le seguenti impostazioni e verifica che siano configurate correttamente:<\/li>\n<\/ol>\n
\n\n\nImpostazione<\/strong><\/td>\nStato consigliato<\/strong><\/td>\n<\/tr>\n\n“Disattiva Microsoft Defender Antivirus”<\/strong><\/td>\n| Disabilitato<\/td>\n<\/tr>\n | \n“Consenti al servizio antimalware di rimanere sempre in funzione”<\/strong><\/td>\n| Abilitato<\/td>\n<\/tr>\n | \n“Disattiva la protezione in tempo reale”<\/strong><\/td>\n| Disabilitato<\/td>\n<\/tr>\n | \n“Attiva il monitoraggio del comportamento”<\/strong><\/td>\n| Abilitato<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n \ud83d\udca1 Ruolo dello strumento RMM<\/strong>: La combinazione di GPO e RMM garantisce che gli endpoint siano conformi ai criteri di sicurezza e siano sempre pronti a rispondere ai malware.<\/p>\nAttivit\u00e0 6: Quarantena degli endpoint attraverso l’isolamento della rete e dei servizi<\/h2>\n\ud83d\udccc Caso d’uso:<\/strong><\/p>\nQuesta attivit\u00e0 \u00e8 fondamentale quando i malware sono classificati come ad alto rischio. Gli amministratori IT possono utilizzare PowerShell per disabilitare la connettivit\u00e0 e i servizi a rischio.<\/p>\n \n- Apri PowerShell come amministratore. Premi il tasto Windows, digita PowerShell<\/strong>, quindi clicca con il pulsante destro del mouse su Windows PowerShell<\/strong> e seleziona Esegui come amministratore<\/strong>.<\/li>\n
- Esegui i seguenti comandi:<\/li>\n<\/ol>\n
| | | | | | |
|