Microsoft Defender for Endpoint se confruntă cu o eroare software care generează un val de alerte false privind versiunile învechite de BIOS (Basic Input/Output System), afectând în special dispozitivele Dell. Bug-ul, înregistrat cu referința DZ1163521, face ca echipele de securitate să primească notificări constante prin care li se cere să actualizeze firmware-ul, deși acesta este deja la zi. Această situație a creat confuzie și a sporit volumul de muncă administrativă, forțând specialiștii IT să irosească timp prețios investigând alerte care nu reprezintă amenințări reale.

Cauza problemei a fost identificată de Microsoft ca fiind o eroare de cod în logica Defender for Endpoint. Această eroare face ca platforma să interpreteze greșit datele despre versiunea BIOS de pe dispozitivele Dell, semnalând incorect sistemele actualizate ca fiind vulnerabile. Problema nu provine dintr-o vulnerabilitate a BIOS-ului Dell, ci dintr-o eroare de procesare internă a soluției de securitate de la Microsoft, subliniind dificultățile gestionării centralizate a versiunilor de firmware specifice diferiților producători de hardware.

Microsoft a confirmat că echipa sa de ingineri a dezvoltat deja un pachet corectiv și se pregătește să îl implementeze. Deși statusul problemei este încă "DESCHIS," se așteaptă ca soluția să fie distribuită în jurul datei următoarei actualizări programate. Până la implementarea completă a corecției, organizațiile afectate sunt sfătuite să urmărească avertismentul DZ1163521 și să verifice manual statutul BIOS-ului pe dispozitivele Dell semnalate, pentru a distinge între alerte false și probleme de securitate autentice.

10 Măsuri Practice de Verificare a Alertelor False de BIOS

1. Urmărește Informația Oficială de la Microsoft

Scop: Monitorizarea evoluției incidentului și planificarea intervenției imediat după lansarea corecției de către Microsoft.

• Pasul 1 (Unde te uiți): Intră pe Portalul de Administrare Microsoft (M365 sau Azure) și accesează secțiunea Service Health (Starea Serviciului).
• Pasul 2 (Ce cauți): Caută incidentul cu numărul specific DZ1163521.
• Pasul 3 (Ce faci): Bazează-ți deciziile doar pe actualizările din acest portal. Nu acționa până când Microsoft nu anunță că a lansat patch-ul.

2. Află care este Adevărata Versiune Nouă de BIOS

Scop: Deosebirea alertelor false de cele reale.

• Pasul 1 (Identificarea): Notează modelul exact al calculatorului Dell care dă alerta.
• Pasul 2 (Verificarea): Intră pe site-ul oficial Dell Support sau folosește aplicația lor (Dell Command | Update).
• Pasul 3 (Referința): Află și notează cea mai recentă versiune de BIOS pe care o oferă Dell. Aceasta este versiunea de referinta cu care vei face comparația.

3. Verifică Ce Versiune de BIOS Ai Tu Acum

Scop: Extragerea informației direct de pe calculatorul care generează alerta.

• Pasul 1 (Comanda rapidă): Pe calculatorul afectat, deschide PowerShell (caută-l în meniul Start).
• Pasul 2 (Ce scrii): Tastează comanda: Get-CimInstance -ClassName Win32_BIOS | Select-Object SMBIOSBIOSVersion
• Pasul 3 (Notează): Rezultatul primit este versiunea ta actuală.

4. Decide: Alertă Falsă sau Reală?

Scop: Folosirea datelor adunate pentru a lua o decizie.

• Pasul 1 (Compară): Compară versiunea găsită pe calculatorul tău (Pasul 3) cu versiunea cea mai nouă de pe site-ul Dell (Pasul 2).
• Pasul 2 (Decizia): Dacă versiunea ta este identică cu cea mai nouă, alerta din Defender este un Fals Pozitiv (eroare cauzată de bug-ul DZ1163521).
• Pasul 3 (Documentează): Înregistrează (într-un fișier sau sistem intern) verificarea și confirmarea alertei false.

5. Izolează Alertele pentru a Preveni Confuzia

Scop: Oprirea temporara a alertelor false pentru a nu distrage echipa IT de la probleme reale.

• Pasul 1 (Filtrare): În portalul Microsoft Defender, mergi la secțiunea de rapoarte de vulnerabilitate.
• Pasul 2 (Gruparea): Creează un grup de dispozitive (numit, de exemplu, "Dell-BIOS-Verificat") care include calculatoarele validate ca fiind actualizate corect.
• Pasul 3 (Suprimarea): Aplică o regulă de suprimare temporară pe acest grup, astfel încât aceste alerte false de BIOS să fie ascunse din tabloul de bord principal, dar fără a dezactiva alte alerte importante.

6. Concentrează-te pe Amenințările Reale

Scop: Să te asiguri că echipa ta nu ignoră pericolele autentice din cauza alertelor false (oboseala de alertă).

• Pasul 1 (Instruire): Instruiește analiștii să ignore alertele de BIOS de la Dell care apar pe lista de dispozitive izolate (Pasul 5).
• Pasul 2 (Prioritizare): Cere-le să se concentreze pe alte amenințări cu risc mare (precum malware, tentative de phishing sau vulnerabilități critice de aplicații).

7. Pregătește Implementarea Soluției

Scop: Să poti aplica corecția imediat ce Microsoft o eliberează.

• Pasul 1 (Planul): Stabilește un plan rapid de testare pentru momentul în care Microsoft anunță rezolvarea bug-ului (Pasul 1).
• Pasul 2 (Testarea): Când patch-ul este disponibil, aplică-l pe un grup pilot (câteva calculatoare test) înainte de a-l distribui la nivel mare.
• Pasul 3 (Verificare): Asigură-te că pe calculatoarele test, alertele false au dispărut.

8. Aplică Corecția pe Toate Calculatoarele

Scop: Să poti rezolva problema la nivelul întregii organizații.

• Pasul 1 (Distribuție): După confirmarea că patch-ul funcționează (Pasul 7), distribuie-l pe toate dispozitivele Dell afectate.
• Pasul 2 (Monitorizare): Urmărește tabloul de bord Defender pentru a te asigura că volumul de alerte false de BIOS revine la zero.

9. Revino la Setările Normale

Scop: Să te asiguri că sistemul tău de securitate funcționează din nou la capacitate maximă.

• Pasul 1 (Curățenie): Mergi înapoi la secțiunea de filtrare (Pasul 5).
• Pasul 2 (Eliminare): Șterge toate regulile și grupurile temporare pe care le-ai creat pentru a masca alertele.
• Pasul 3 (Confirmare): Verifică dacă Defender for Endpoint raportează corect vulnerabilitățile BIOS (atunci când ele sunt reale) de acum înainte.

10. Documentează Întregul Incident

Scop: Să înveți din această eroare și să fii pregătit mai bine pentru viitor.

• Pasul 1 (Înregistrare): Înregistrează în sistemul tău de ticketing (ex: Jira) cât timp a durat incidentul (de la prima alertă până la rezolvarea finală).
• Pasul 2 (Analiză): Calculează câte ore au pierdut echipele IT și de Securitate cu verificarea manuală a acestor alerte false.
• Pasul 3 (Îmbunătățire): Folosește aceste date pentru a îmbunătăți procedurile interne, astfel încât răspunsul la următorul Fals Pozitiv major să fie mult mai rapid.

Pentru mai multe sfaturi și informații despre securitatea cibernetică, vizitează regulat sigurantapenet.ro

Sursa