Cosa sono le Attack Surface Reduction rules

Le Attack Surface Reduction (ASR) rules sono un set di regole di Microsoft Defender for Endpoint che riducono la superficie d’attacco bloccando i comportamenti tipicamente sfruttati dal malware, indipendentemente dal fatto che esista una firma antivirus per la minaccia specifica. A differenza dell’antivirus, che ragiona su “questo file è malevolo?”, le ASR ragionano su “questa azione è tipica di un attacco?” — ad esempio un documento Office che genera un processo figlio, o uno script che invoca payload offuscati.

Requisito fondamentale: le ASR richiedono che Microsoft Defender Antivirus sia attivo come antivirus primario (real-time protection abilitata). Se l’AV è in stato passivo o disabilitato, le regole non vengono valutate.

Le modalità: Audit, Block, Warn

Ogni regola si configura con uno stato indipendente dalle altre:

  • Not configured / Disabled: la regola non agisce.
  • Audit: l’azione viene consentita ma registrata nei log/report. È la modalità di osservazione, non protegge ma misura l’impatto.
  • Block: l’azione viene bloccata ed è la modalità di enforcement effettivo.
  • Warn (solo device Windows gestiti): blocca ma mostra all’utente un prompt che permette di sbloccare temporaneamente l’azione. Utile in transizione, ma non adatto a scenari server o non presidiati.

Questa granularità per-regola è la chiave: si porta in Block solo ciò che è stato validato, lasciando in Audit il resto.

Scenari coperti

Le regole più rilevanti d’esame indirizzano vettori concreti:

  • Macro Office: bloccare la creazione di processi figli da app Office, l’iniezione di codice, o l’esecuzione di contenuti eseguibili scaricati da macro. Copre il classico phishing con allegato .docm.
  • Script offuscati e potenzialmente malevoli: bloccare JavaScript/VBScript che lanciano contenuti scaricati, o l’esecuzione di script offuscati (PowerShell/JS/VBS).
  • Furto di credenziali: la regola “Block credential stealing from the Windows local security authority subsystem (lsass.exe)” ostacola strumenti tipo Mimikatz che leggono le credenziali dalla memoria di LSASS.
  • Altri vettori: USB non attendibili, ransomware (advanced protection), abuso di driver vulnerabili, persistenza via WMI.

Strategia di rollout: prima Audit, poi Block

L’approccio raccomandato — e la logica dietro molte domande — è incrementale:

  1. Distribuire tutte le regole target in Audit su un pilota rappresentativo.
  2. Monitorare i report in Microsoft Defender portal (Reports > Attack surface reduction rules) o via advanced hunting nella tabella DeviceEvents, per capire quali applicazioni legittime (LOB app, tool amministrativi, gestionali con macro) verrebbero bloccate.
  3. Definire esclusioni mirate (per file o cartella, a livello globale o per singola regola) per i falsi positivi confermati.
  4. Promuovere in Block una regola alla volta, ripartendo per anelli (ring deployment) su gruppi crescenti.

Le ASR si distribuiscono via Microsoft Intune (Endpoint security > Attack surface reduction, profilo ASR rules), Group Policy, PowerShell o Configuration Manager. Con Intune il profilo dedicato è preferibile perché evita il classico conflitto: se più profili impostano la stessa regola con valori diversi, si genera un conflitto e la regola non viene applicata.

ASR nel contesto endpoint security

Le ASR sono uno dei pilastri del nodo Endpoint security di Intune, accanto a:

  • Microsoft Defender Antivirus — protezione basata su firme + cloud-delivered protection.
  • Microsoft Defender Firewall — controllo del traffico e regole di rete.
  • Endpoint Detection and Response (EDR) — telemetria, rilevamento comportamentale e risposta di Defender for Endpoint, con onboarding dei device.
  • Altre superfici di ASR: Controlled folder access (anti-ransomware), Exploit protection, Web/Network protection.

Il modello è difesa in profondità: l’antivirus ferma il file noto, le ASR fermano la tecnica, l’EDR rileva e risponde a ciò che è passato.

Trappole tipiche d’esame

  • Scenario: attivi subito le ASR in Block in tutta l’organizzazione e alcune LOB app smettono di funzionare → la risposta giusta è prima deployare in Audit, analizzare i report, aggiungere esclusioni e poi passare a Block.
  • Scenario: una ASR rule non blocca nulla nonostante sia in Block → verifica che Microsoft Defender Antivirus sia il primario/real-time attivo; in stato passivo le ASR non funzionano.
  • Scenario: devi impedire il dump delle credenziali con Mimikatz → seleziona la regola Block credential stealing from lsass.exe, non l’antivirus generico.
  • Scenario: la stessa regola è definita in due profili Intune con valori diversi e non viene applicata → è un conflitto di policy; consolida la regola in un unico profilo.
  • Scenario: vuoi bloccare ma consentire all’utente di sbloccare caso per caso su device Windows gestiti → usa la modalità Warn, non Audit (che non blocca affatto).