Demonstrationen Microsoft Defender for Endpoint Angriffsflächenverringerungsregeln - Microsoft Defender for Endpoint (2024)

Gilt für:

• Microsoft Defender für Endpunkt Plan 2
• Microsoft Defender für Unternehmen
• Microsoft Defender für Endpunkt Plan 1
• Microsoft Defender Antivirus

Regeln zur Verringerung der Angriffsfläche zielen auf bestimmte Verhaltensweisen ab, die in der Regel von Schadsoftware und schädlichen Apps verwendet werden, um Computer zu infizieren, z. B.:

• Ausführbare Dateien und Skripts, die in Office-Apps oder Web-E-Mail verwendet werden und versuchen, Dateien herunterzuladen oder auszuführen
• Skripts, die verschleiert oder anderweitig verdächtig sind
• Von Apps durchgeführte Verhaltensweisen, die nicht während der normalen täglichen Arbeit initiiert werden

Szenarioanforderungen und Einrichtung

• Windows 11, Windows 10 1709 Build 16273 oder höher
• Windows Server 2022, Windows Server 2019, Windows Server 2016 oder Windows Server 2012 R2 mit dem Unified MDE Client.
• Microsoft Defender Antivirus
• Microsoft 365 Apps (Office; erforderlich für Office-Regeln und -Beispiel)
• Herunterladen von PowerShell-Skripts zur Verringerung der Angriffsfläche

PowerShell-Befehle

Add-MpPreference -AttackSurfaceReductionRules_Ids BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550 -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EfC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 3B576869-A4EC-4529-8536-B80A7769E899 -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84 -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids D3E037E1-3EB8-44C8-A917-57927947596D -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids D1E49AAC-8F56-4280-B9BA-993A6D77406C -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids B2B3F03D-6A65-4F7B-A9C7-1C7EF74A9BA4 -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids C1DB55AB-C21A-4637-BB3F-A12568109D35 -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 01443614-CD74-433A-B99E-2ECDC07BFC25 -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 56a863a9-875e-4185-98a7-b882c64b5ce5 -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2 -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids e6db77e5-3df2-4cf1-b95a-636979351e5b -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids a8f5898e-1dc8-49a9-9878-85004b8a61e6 -AttackSurfaceReductionRules_Actions EnabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 26190899-1602-49E8-8B27-EB1D0A1CE869 -AttackSurfaceReductionRules_Actions AuditModeAdd-MpPreference -AttackSurfaceReductionRules_Ids 7674BA52-37EB-4A4F-A9A1-F0F9A1619A2C -AttackSurfaceReductionRules_Actions AuditMode

Regelzustände

Überprüfen der Konfiguration

Get-MpPreference

Testdateien

Hinweis: Einige Testdateien verfügen über mehrere eingebettete Exploits und lösen mehrere Regeln aus.

Szenarien

Setup

Laden Sie dieses Setupskript herunter, und führen Sie es aus. Legen Sie vor dem Ausführen der Skriptausführungsrichtlinie mit diesem PowerShell-Befehl auf Uneingeschränkt fest:

Set-ExecutionPolicy Unrestricted

Sie können stattdessen die folgenden manuellen Schritte ausführen:

1. Create einen Ordner unter c: "demo" mit dem Namen "c:\demo"
2. Speichern Sie diese sauber-Datei in c:\demo.
3. Aktivieren Sie alle Regeln mithilfe des PowerShell-Befehls.

Szenario 1: Verringerung der Angriffsfläche blockiert eine Testdatei mit mehreren Sicherheitsrisiken

1. Aktivieren aller Regeln im Blockmodus mithilfe der PowerShell-Befehle (Sie können alle einfügen)
2. Laden Sie die Testdatei/-dokumente herunter, und öffnen Sie sie, und aktivieren Sie die Bearbeitung und den Inhalt, wenn Sie dazu aufgefordert werden.

Erwartete Ergebnisse für Szenario 1

Die Benachrichtigung "Aktion blockiert" sollte sofort angezeigt werden.

Szenario 2: ASR-Regel blockiert die Testdatei mit der entsprechenden Sicherheitsanfälligkeit

1. Konfigurieren Sie die Regel, die Sie testen möchten, mit dem PowerShell-Befehl aus dem vorherigen Schritt.

   Beispiel: Add-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EfC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions Enabled

2. Laden Sie die Testdatei/das Dokument für die Regel herunter, die Sie testen möchten, und öffnen Sie sie, und aktivieren Sie die Bearbeitung und den Inhalt, wenn Sie dazu aufgefordert werden.

   Beispiel: Blockieren der Erstellung untergeordneter Prozesse durch Office-Anwendungen D4F940AB-401B-4EFC-AADC-AD5F3C50688A

   See Also

   Configure ASR Rules via Endpoint Security with Microsoft Intune - EndpointCave

Erwartete Ergebnisse in Szenario 2

Die Benachrichtigung "Aktion blockiert" sollte sofort angezeigt werden.

Szenario 3 (Windows 10 oder höher): ASR-Regel blockiert die Ausführung von nicht signierten USB-Inhalten

1. Konfigurieren Sie die Regel für den USB-Schutz (B2B3F03D-6A65-4F7B-A9C7-1C7EF74A9BA4).

Add-MpPreference -AttackSurfaceReductionRules_Ids B2B3F03D-6A65-4F7B-A9C7-1C7EF74A9BA4 -AttackSurfaceReductionRules_Actions Enabled

3. Laden Sie die Datei herunter, legen Sie sie auf einen USB-Stick, und führen Sie sie aus . Blockieren Der Ausführung nicht vertrauenswürdiger oder nicht signierter ausführbarer Dateien auf usb-Wechselmedien

Erwartete Ergebnisse in Szenario 3

Die Benachrichtigung "Aktion blockiert" sollte sofort angezeigt werden.

Szenario 4: Was würde ohne Verringerung der Angriffsfläche passieren?

1. Deaktivieren Sie alle Regeln zur Verringerung der Angriffsfläche mithilfe von PowerShell-Befehlen im Bereinigungsabschnitt.

2. Laden Sie alle Testdateien/-dokumente herunter, und aktivieren Sie die Bearbeitung und den Inhalt, wenn Sie dazu aufgefordert werden.

Erwartete Ergebnisse für Szenario 4

• Die Dateien in c:\demo sind verschlüsselt, und Es sollte eine Warnmeldung angezeigt werden.
• Führen Sie die Testdatei erneut aus, um die Dateien zu entschlüsseln.

Bereinigen

Herunterladen und Ausführen dieses sauber-Skripts

Alternativ können Sie die folgenden manuellen Schritte ausführen:

Add-MpPreference -AttackSurfaceReductionRules_Ids BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550 -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EfC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 3B576869-A4EC-4529-8536-B80A7769E899 -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84 -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids D3E037E1-3EB8-44C8-A917-57927947596D -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids D1E49AAC-8F56-4280-B9BA-993A6D77406C -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids B2B3F03D-6A65-4F7B-A9C7-1C7EF74A9BA4 -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids C1DB55AB-C21A-4637-BB3F-A12568109D35 -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 01443614-CD74-433A-B99E-2ECDC07BFC25 -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 56a863a9-875e-4185-98a7-b882c64b5ce5 -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2 -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids e6db77e5-3df2-4cf1-b95a-636979351e5b -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids a8f5898e-1dc8-49a9-9878-85004b8a61e6 -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 26190899-1602-49E8-8B27-EB1D0A1CE869 -AttackSurfaceReductionRules_Actions DisabledAdd-MpPreference -AttackSurfaceReductionRules_Ids 7674BA52-37EB-4A4F-A9A1-F0F9A1619A2C -AttackSurfaceReductionRules_Actions Disabled

Bereinigen der C:\demo-Verschlüsselung durch Ausführen der Verschlüsselungs-/Entschlüsselungsdatei

Siehe auch

Bereitstellungsleitfaden für Regeln zur Verringerung der Angriffsfläche

Referenz zu Regeln zur Verringerung der Angriffsfläche

Microsoft Defender for Endpoint : Demonstrationsszenarien