Microsoft готовится запустить новую защитную функциональность в Defender for Endpoint, и звучит она довольно круто: теперь подозрительные и неизвестные устройства в корпоративной сети будут автоматически отрезаться от коммуникации. Цель — помешать атакующим перемещаться по сети и заражать другие машины.
Как это работает? Всё просто: если устройство не подключено к Defender for Endpoint или еще не обнаружено системой, его IP-адрес автоматически блокируется.
Это значит, что оно не сможет ни отправлять, ни принимать трафик. Такая «изоляция по IP» делается автоматически благодаря механизму «automatic attack disruption» — он в реальном времени выявляет угрозы и блокирует их, пока те не успели распространиться.
Важно: блокировка происходит точечно — по конкретным портам и направлениям трафика. Если система видит, что какое-то устройство угрожает «критическому активу», она не просто включает блокировку, а применяет подходящую политику в зависимости от роли устройства.
Если вдруг блокировка оказалась ложной тревогой, администратор может легко её снять — в Центре уведомлений есть опция «Содержащийся IP» → «Отменить», и связь будет восстановлена.
Поддержка:
- Windows 10.
- Windows Server 2012 R2 / 2016 / 2019+.
