セキュアエンドポイント：Microsoft攻撃の表面縮小によりコネクタのアップデートがブロックされる

はじめに

このドキュメントでは、Microsoft Intuneによって管理されているシステムで、コピーまたは偽装されたシステムツール機能を使用したMicrosoft Intune攻撃サーフェス削減ブロックによって引き起こされる問題について説明します。これらの機能が原因で、セキュアエンドポイントの更新が失敗します。

機能のマニュアルを参照してください。https://learn.microsoft.com/en-us/defender-endpoint/attack-surface-reduction

問題

これらのエラーとインジケータに示される、セキュアエンドポイントのアップグレードまたはインストールに関する問題が発生する可能性があります。

この機能がセキュアエンドポイントのアップデートに干渉していることを特定するために使用できるさまざまなインジケータがあります。

インジケータ#1:導入時に、インストールの最後にこのポップアップウィンドウが表示されます。ポップアップは非常に迅速であり、インストールが完了すると他のエラーの記憶がないことに注意してください。

インジケータ#2:インストール後、UIでセキュアエンドポイントが無効状態になっていることに注目してください。

また、タスクマネージャ – >サービスにSecure Endpoint Service(sfc.exe)が完全に見つからない

インジケータ#3:Cisco Secure EndpointのC:\Program Files\Cisco\AMP\バージョンの場所に移動し、サービスを手動で開始しようとすると、ローカル管理者アカウントのアクセスが拒否されることがあります

インジケータ#4:診断バンドルの一部であるimmpro_install.logを調査すると、次の出力に類似した同様のアクセス拒否が確認できます。

Example #1:

(5090625, +0 ms) Aug 22 09:56:33 [17732]: ERROR: Util::GetFileSHA256: unable to generate file fp: C:\Program Files\Cisco\AMP\8.4.1.30307\sfc.exe, 0
(5090625, +0 ms) Aug 22 09:56:33 [17732]: ERROR: VerifyFile: Failed to grab hash of C:\Program Files\Cisco\AMP\8.4.1.30307\sfc.exe, aborting
(5090625, +0 ms) Aug 22 09:56:33 [17732]: ERROR: VerifyAllInstalledFiles: Failed to verify $AMP_INSTALL$\8.4.1.30307\sfc.exe  

Example #2:

(1737859, +0 ms) Sept 11 14:04:05 [20180]: ERROR: imn_error: fp_gen_internal: failed to open file C:\Program Files\Cisco\AMP\8.4.1.30299\sfc.exe : 5 : Access is denied.
(1737859, +0 ms) Sept 11 14:04:05 [20180]: ERROR: Util::GetFileSHA256: unable to generate file fp: C:\Program Files\Cisco\AMP\8.4.1.30299\sfc.exe, 0
(1737859, +0 ms) Sept 11 14:04:05 [20180]: ERROR: VerifyFile: Failed to grab hash of C:\Program Files\Cisco\AMP\8.4.1.30299\sfc.exe, aborting
(1737859, +0 ms) Sept 11 14:04:05 [20180]: ERROR: VerifyAllInstalledFiles: Failed to verify $AMP_INSTALL$\8.4.1.30299\sfc.exe

インジケータ#5:Windowsセキュリティの下を移動し、保護履歴ログを確認する場合は、次のタイプのログメッセージを探します。

これらはすべて、セキュアエンドポイントがサードパーティアプリケーションによってブロックされていることを示しています。このシナリオでは、この問題は、Intune管理対象エンドポイントで誤って構成された、または構成されていない攻撃対象領域の縮小 – コピーまたは偽装されたシステム機能の使用をブロックする機能を使用した場合に発生します。

回避策

この機能の設定については、アプリケーション開発者に相談するか、このナレッジベースで詳細を調べることをお勧めします。

すぐに修復するには、Intuneの管理対象エンドポイントを制限の少ないポリシーに移動するか、適切な手順が行われるまで、この機能を一時的に明示的にオフにします。

これは、Intune管理ポータルで、セキュリティで保護されたエンドポイント接続を復元するための一時的な手段として使用された設定です。

注意：この問題が発生する場合は、sfc.exeが見つからないため、フルインストールを開始する必要があります