Microsoft está probando una nueva función en Defender for Endpoint que permitirá bloquear el tráfico hacia y desde dispositivos no detectados, con el objetivo de evitar la propagación de ataques dentro de la red. Esta medida busca frustrar los intentos de movimiento lateral por parte de actores maliciosos.
Contención automática de direcciones IP
La función se implementa mediante la contención de las direcciones IP asociadas a dispositivos que no han sido detectados ni integrados en Defender for Endpoint. Esta acción se lleva a cabo automáticamente gracias al mecanismo de interrupción automática de ataques, un recurso ya disponible en otros contextos.
Según Microsoft, la contención de una dirección IP maliciosa ocurre cuando el sistema identifica que está vinculada a un dispositivo no detectado o no incorporado. Esta política se aplica automáticamente para bloquear la comunicación entrante y saliente con dichos dispositivos.
Funcionalidad complementaria
Esta nueva función se suma a otras ya disponibles en Defender for Endpoint, como el aislamiento automático de cuentas de usuario comprometidas. Esta característica permite interrumpir ataques manuales con teclado y evitar la propagación de amenazas dentro de la red.
Además, desde junio de 2022, Defender for Endpoint también puede aislar dispositivos Windows no administrados o pirateados, bloqueando toda comunicación hacia y desde ellos para impedir que los atacantes se expandan por las redes de las víctimas.
Compatibilidad con sistemas Linux
Microsoft ha comenzado a probar la compatibilidad del aislamiento de dispositivos en entornos Linux integrados. Esta función está disponible para el público general en macOS y Linux desde octubre de 2023.
Disponibilidad de la nueva función
La nueva función estará disponible en dispositivos que ejecuten Windows 10, Windows Server 2012 R2, Windows Server 2016 y Windows Server 2019+. Esta actualización forma parte del conjunto de medidas implementadas por Microsoft para mejorar la protección contra amenazas cibernéticas.