Freigeben über

Aktivieren des Exploit-Schutzes

  • Artikel

Gilt für:

Tipp

Möchten Sie Defender für Endpunkt erfahren? Registrieren Sie sich für eine kostenlose Testversion

Der Exploit-Schutz trägt zum Schutz vor Schadsoftware bei, die Exploits verwendet, um Geräte zu infizieren und sich zu verbreiten. Der Exploit-Schutz umfasst mehrere Maßnahmen zur Risikominderung, die entweder auf das Betriebssystem oder auf einzelne Apps angewendet werden können.

Wichtig

.NET 2.0 ist mit einigen Exploit-Schutzfunktionen nicht kompatibel, insbesondere mit EAF (Export Address Filtering) und Import Address Filtering (IAF). Wenn Sie .NET 2.0 aktiviert haben, wird die Verwendung von EAF und IAF nicht unterstützt.

Viele der Features des Enhanced Mitigation Experience Toolkits (EMET) sind auch im Exploit-Schutz enthalten.

Voraussetzungen

Dieser Abschnitt enthält Empfehlungen für die erfolgreiche Bereitstellung des Exploit-Schutzes.

  • Einrichten der Überwachung für Anwendungsabstürze (Ereignis-ID 1000 und/oder Ereignis-ID 1001) und/oder Hängen (Ereignis-ID 1002)

  • Aktivieren der vollständigen Speicherabbildsammlung im Benutzermodus

  • Überprüfen Sie, welche Anwendungen bereits mit "Control Flow Guard" (CFG) kompiliert wurden, die sich in erster Linie auf die Minimierung von Speicherbeschädigungsrisiken konzentrieren. Verwenden Sie das Dumpbin-Tool, um zu ermitteln, ob es mit CFG kompiliert wurde. Für diese Anwendungen können Sie die Aktivierung der Erzwingung für DEP, ASRL, SEHOP und ACG überspringen.

  • Verwenden Sie methoden für sichere Bereitstellungen.

Warnung

Wenn Sie keine sicheren Bereitstellungsmethoden testen und nicht verwenden, können Sie zu Produktivitätsausfällen der Endbenutzer beitragen.

Sichere Bereitstellungsmethoden

Sichere Bereitstellungsmethoden (SDP): Sichere Bereitstellungsprozesse und -verfahren definieren, wie Änderungen an Ihrer Workload sicher vorgenommen und bereitgestellt werden. Die Implementierung von SDP erfordert, dass Sie über Bereitstellungen im Rahmen des Risikomanagements nachdenken. Sie können das Risiko von Produktivitätsausfällen von Endbenutzern in Ihren Bereitstellungen minimieren und die Auswirkungen problematischer Bereitstellungen auf Ihre Benutzer begrenzen, indem Sie SDP implementieren.

Beginnen Sie mit einer kleinen Gruppe von Windows-Geräten (z. B. 10 bis 50), und verwenden Sie diese als Testumgebung, um festzustellen, welche der 21 Risikominderungen nicht mit exploit-Schutz kompatibel sind. Entfernen Sie die Entschärfungen, die nicht mit der Anwendung kompatibel sind. Wiederholen Sie dies mit den Anwendungen, die Sie als Ziel verwenden. Sobald Sie das Gefühl haben, dass die Richtlinie für die Produktion bereit ist.

Beginnen Sie mit dem Push zuerst mit den Benutzerakzeptanztests (User Acceptance Testing, UAT), bestehend aus IT-Administratoren, Sicherheitsadministratoren und Helpdeskmitarbeitern. Dann zu 1 %, 5 %, 10 %, 25 %, 50 %, 75 % und schließlich zu 100 % Ihrer Umgebung.

Aktivieren von Exploit-Schutzminderungen

Sie können jede Risikominderungsfunktionen separat aktivieren. Dazu können Sie eine der folgenden Methoden verwenden:

Der Exploit-Schutz ist in Windows 10 und Windows 11 standardmäßig konfiguriert. Sie können die einzelnen Risikominderungsfunktionen auf "Ein", "Aus" oder den Standardwert festlegen. Einige Risikominderungsfunktionen bieten mehr Optionen. Sie können diese Einstellungen als XML-Datei exportieren und auf anderen Geräten anwenden.

Sie können Risikominderungsfunktionen auch in den Überwachungsmodus versetzen. Im Überwachungsmodus können Sie testen, wie die Risikominderungen funktionieren (und Ereignisse überprüfen), ohne die normale Verwendung des Geräts zu beeinträchtigen.

Windows-Sicherheit-App

  1. Öffnen Sie die Windows-Sicherheit-App, indem Sie entweder das Schildsymbol in der Taskleiste anklicken oder über das Startmenü nach Sicherheit suchen.

  2. Wählen Sie die Kachel App- und Browsersteuerung (oder das App-Symbol auf der linken Menüleiste) und dann Exploit-Schutzeinstellungen aus.

  3. Wechseln Sie zu den Programmeinstellungen, und wählen Sie die App aus, auf die Sie Risikominderungsfunktionen anwenden möchten.

    • Wenn die App, die Sie konfigurieren möchten, bereits aufgeführt ist, wählen Sie sie aus, und klicken Sie dann auf Bearbeiten.
    • Wenn die App nicht aufgeführt ist, wählen Sie oben in der Liste Programm zum Anpassen hinzufügen aus, und wählen Sie dann aus, wie Sie die App hinzufügen möchten.
    • Wählen Sie Nach Programmnamen hinzufügen, damit die Risikominderung auf alle laufenden Prozesse mit diesem Namen angewendet wird. Geben Sie eine Datei samt ihrer Erweiterung an. Sie können einen vollständigen Pfad angeben, um die Risikominderung auf die App mit diesem Namen an diesem Speicherort zu beschränken.
    • Wählen Sie Genauen Dateipfad auswählen, um über ein Standard-Windows-Explorer-Fenster die gewünschte Datei zu suchen und auszuwählen.

  4. Nach dem Auswählen der App wird eine Liste aller Risikominderungsfunktionen angezeigt, die angewendet werden können. Wenn Sie Überwachung auswählen, wird die Entschärfung nur im Überwachungsmodus angewendet. Sie werden benachrichtigt, wenn Sie den Prozess oder die App neu starten müssen oder Windows neu starten müssen.

  5. Wiederholen Sie die Schritte 3 bis 4 für alle Apps und Risikominderungsfunktionen, die Sie konfigurieren möchten.

  6. Suchen Sie im Abschnitt Systemeinstellungen die Risikominderung, die Sie konfigurieren möchten, und legen Sie dann eine der folgenden Einstellungen fest. Für Apps, die im Abschnitt Programmeinstellungen nicht einzeln konfiguriert sind, gelten die hier festgelegten Einstellungen.

    • Standardmäßig aktiviert: Die Risikominderung ist für Apps aktiviert, für die sie nicht im App-spezifischen Abschnitt in den Programmeinstellungen festgelegt wurde.
    • Standardmäßig deaktiviert: Die Risikominderung ist für Apps deaktiviert, für die sie nicht im App-spezifischen Abschnitt in den Programmeinstellungen festgelegt wurde.
    • Standardwert verwenden: Die Risikominderung ist entweder aktiviert oder deaktiviert, abhängig von der Standardkonfiguration, die durch die Windows 10- oder Windows 11-Installation eingerichtet wurde. Der Standardwert (Ein oder Aus) wird immer neben der Bezeichnung Standardwert verwenden für die einzelnen Risikominderungen angegeben.

  7. Wiederholen Sie Schritt 6 für alle Risikominderungsfunktionen auf Systemebene, die Sie konfigurieren möchten. Klicken Sie auf Übernehmen, wenn Sie mit der Einrichtung Ihrer Konfiguration fertig sind.

Wenn Sie dem Abschnitt Programmeinstellungen eine App hinzufügen und dort einzelne Entschärfungseinstellungen konfigurieren, werden diese über der Konfiguration für die gleichen Risikominderungen berücksichtigt, die im Abschnitt Systemeinstellungen angegeben sind. Die folgende Matrix und Beispiele veranschaulichen, wie Standardeinstellungen funktionieren:

Aktiviert in den Programmeinstellungen Aktiviert in den Systemeinstellungen Verhalten
Ja Nein Wie in den Programmeinstellungen festgelegt
Ja Ja Wie in den Programmeinstellungen festgelegt
Nein Ja Wie in den Systemeinstellungen festgelegt
Nein Nein Standardwert wie in der Option Standardwert verwenden festgelegt

Beispiel 1: Michael konfiguriert die Datenausführungsverhinderung im Abschnitt "Systemeinstellungen" als standardmäßig deaktiviert.

Michael fügt die App test.exe zum Abschnitt Programmeinstellungen hinzu. In den Optionen für diese App aktiviert Michael unter Datenausführungsverhinderung die Option Systemeinstellungen außer Kraft setzen und legt den Schalter auf Ein fest. Im Abschnitt Programmeinstellungen sind keine anderen Apps aufgeführt.

Das Ergebnis ist, dass die Datenausführungsverhinderung nur für test.exe aktiviert ist. Für alle anderen Apps wird DEP nicht angewendet.

Beispiel 2: Hannah konfiguriert die Datenausführungsverhinderung in den "Systemeinstellungen" als standardmäßig deaktiviert.

Hannah fügt die App test.exe zum Abschnitt Programmeinstellungen hinzu. In den Optionen für diese App aktiviert Hannah unter Datenausführungsverhinderung die Option Systemeinstellungen außer Kraft setzen und legt den Schalter auf Ein fest.

Hannah fügt außerdem die App miles.exe zum Abschnitt Programmeinstellungen hinzu und setzt Ablaufsteuerungsschutz (Control Flow Guard, CFG) auf Ein. Hannah aktiviert die Option Systemeinstellungen außer Kraft setzen für diese App weder für die Datenausführungsverhinderung noch für andere Risikominderungen.

Das Ergebnis ist, dass die Datenausführungsverhinderung für test.exe aktiviert ist. DEP wird für keine andere App aktiviert, einschließlich miles.exe. Für miles.exe ist hingegen der Ablaufsteuerungsschutz aktiviert.

  1. Öffnen Sie die Windows-Sicherheit-App, indem Sie entweder das Schildsymbol in der Taskleiste anklicken oder über das Startmenü nach Windows-Sicherheit suchen.

  2. Wählen Sie die Kachel App- und Browsersteuerung (oder das App-Symbol auf der linken Menüleiste) und dann Exploit-Schutz aus.

  3. Wechseln Sie zu den Programmeinstellungen, und wählen Sie die App aus, auf die Sie Risikominderungsfunktionen anwenden möchten.

    • Wenn die App, die Sie konfigurieren möchten, bereits aufgeführt ist, wählen Sie sie aus, und klicken Sie dann auf Bearbeiten.
    • Wenn die App nicht aufgeführt ist, wählen Sie oben in der Liste Programm zum Anpassen hinzufügen aus, und wählen Sie dann aus, wie Sie die App hinzufügen möchten.
      • Wählen Sie Nach Programmnamen hinzufügen, damit die Risikominderung auf alle laufenden Prozesse mit diesem Namen angewendet wird. Geben Sie eine Datei samt einer Erweiterung an. Sie können einen vollständigen Pfad angeben, um die Risikominderung auf die App mit diesem Namen an diesem Speicherort zu beschränken.
      • Wählen Sie Genauen Dateipfad auswählen, um über ein Standard-Windows-Explorer-Fenster die gewünschte Datei zu suchen und auszuwählen.

  4. Nach dem Auswählen der App wird eine Liste aller Risikominderungsfunktionen angezeigt, die angewendet werden können. Wenn Sie Überwachung auswählen, wird die Entschärfung nur im Überwachungsmodus angewendet. Sie werden benachrichtigt, wenn Sie den Prozess oder die App neu starten müssen oder Windows neu starten müssen.

  5. Wiederholen Sie die Schritte 3 bis 4 für alle Apps und Risikominderungsfunktionen, die Sie konfigurieren möchten. Klicken Sie auf Übernehmen, wenn Sie mit der Einrichtung Ihrer Konfiguration fertig sind.

Intune

  1. Melden Sie sich beim Azure-Portal an, und öffnen Sie die Intune.

  2. Wechseln Sie zu Gerätekonfiguration>Konfigurationsprofile>Profil erstellen.

  3. Benennen Sie das Profil, wählen Sie Windows 10 und höher aus, wählen Sie Vorlagen für Profiltyp und endpoint protection unter Vorlagenname aus.

    Erstellen eines Endpunkt-Schutz-Profils

  4. Wählen SieWindows Defender ExploitGuard-Exploit-Schutz>konfigurieren> aus.

  5. Laden Sie eine XML-Datei mit den Exploit-Schutzeinstellungen hoch:

    Die Einstellung

  6. Klicken Sie auf OK, um jedes geöffnete Blatt zu speichern, und dann auf Erstellen.

  7. Wählen Sie die Profil-Registerkarte Zuweisungen aus, weisen Sie die Richtlinie Allen Benutzern und allen Geräten zu, und klicken Sie dann auf Speichern.

MDM

Verwenden Sie den Konfigurationsdienstanbieter ./Vendor/MSFT/Policy/Config/ExploitGuard/ExploitProtectionSettings, um Exploit-Schutzminderungen zu aktivieren oder zu deaktivieren oder den Überwachungsmodus zu verwenden.

Microsoft Configuration Manager

Endpunktsicherheit

  1. Wechseln Sie Microsoft Configuration Manager zu Endpunktsicherheit>Angriffsfläche reduzieren.

  2. Wählen SieRichtlinienplattform>erstellenund unter Profil die Option Exploit-Schutz aus. Wählen Sie dann Erstellen aus.

  3. Geben Sie einen Namen und eine Beschreibung an, und klicken Sie dann auf Weiter.

  4. Wählen XML-Datei auswählen aus, und navigieren Sie zum Speicherort der Exploit-Schutz-XML-Datei. Wählen Sie die Datei aus, und klicken Sie anschließend auf Weiter.

  5. Konfigurieren Sie Bereichstags und Zuweisungen bei Bedarf.

  6. Überprüfen Sie unter Überprüfen und erstellen Ihre Konfigurationseinstellungen, und klicken Sie dann auf Erstellen.

Ressourcen und Compliance

  1. Wechseln Sie Microsoft Configuration Manager zu Bestand und Compliance>Endpoint Protection>Windows Defender Exploit Guard.

  2. Wählen Sie Start>Exploit Guard-Richtlinie erstellen aus.

  3. Geben Sie einen Namen und eine Beschreibung an, klicken Sie auf Exploit-Schutz und dann auf Weiter.

  4. Navigieren Sie zum Speicherort der Exploit-Schutz-XML-Datei, und klicken Sie auf Weiter.

  5. Überprüfen Sie die Einstellungen und klicken Sie dann auf Weiter.

  6. Klicken Sie nach erfolgter Erstellung der Richtlinie auf Schließen.

Gruppenrichtlinien

  1. Öffnen Sie auf Ihrem Gruppenrichtlinie Verwaltungsgerät die Gruppenrichtlinie Management Console. Klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinie Objekt, das Sie konfigurieren möchten, und wählen Sie Bearbeiten aus.

  2. Wechseln Sie im Gruppenrichtlinien-Verwaltungs-Editor zu Computerkonfiguration, und wählen Sie Administrative Vorlagen aus.

  3. Erweitern Sie die Struktur auf Windows-Komponenten>Windows Defender Exploit Guard>Exploit Protection>Verwenden Sie einen allgemeinen Satz von Exploit-Schutzeinstellungen.

  4. Wählen Sie Aktiviert aus, geben Sie den Speicherort der XML-Datei an, und klicken Sie dann auf OK.

PowerShell

Sie können das PowerShell-Verb Get oder Set mit dem Cmdlet ProcessMitigation verwenden. Mithilfe von Get werden die aktuellen Status aller Risikominderungen aufgelistet, die auf dem Gerät aktiviert sind. Fügen Sie das Cmdlet und die -Name App-EXE hinzu, um Die Entschärfungen nur für diese App anzuzeigen:

Get-ProcessMitigation -Name processName.exe

Wichtig

Nicht konfigurierte Risikominderungen auf Systemebene weisen den Status NOTSET auf.

  • Bei Einstellungen auf Systemebene gibt NOTSET an, dass die Standardeinstellung für diese Risikominderung angewendet wurde.
  • Bei Einstellungen auf App-Ebene gibt NOTSET an, dass die Einstellung auf Systemebene für diese Risikominderung angewendet wird. Die Standardeinstellung für die einzelnen Risikominderungen auf Systemebene wird in Windows-Sicherheit angezeigt.

Verwenden Sie Set, um die einzelnen Risikominderungen im folgenden Format zu konfigurieren:

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Dabei gilt:

  • <Bereich>:
    • -Name, um anzugeben, dass die Risikominderungen auf eine bestimmte App angewendet werden sollen. Geben Sie die ausführbare Datei der App nach diesem Flag an.
      • -System, um anzugeben, dass die Risikominderungen auf Systemebene angewendet werden sollen.
  • <Aktion>:
    • -Enable, um die Risikominderung zu aktivieren
    • -Disable, um die Risikominderung zu deaktivieren
  • <Entschärfung>:
    • Das Cmdlet für die Risikominderung zusammen mit allen untergeordneten Optionen (umgeben von Leerzeichen). Die einzelnen Risikominderungen sind durch ein Komma getrennt.

Um beispielsweise die Risikominderung "Datenausführungsverhinderung" (Data Execution Prevention, DEP) mit ATL-Thunkemulation und für eine ausführbare Datei namens testing.exe im Ordner C:\Apps\LOB\tests zu aktivieren und zu verhindern, dass diese ausführbare Datei untergeordnete Prozesse erstellt, verwenden Sie den folgenden Befehl:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP, EmulateAtlThunks, DisallowChildProcessCreation

Wichtig

Trennen Sie die einzelnen Risikominderungsoptionen durch Kommas.

Wenn Sie die Datenausführungsverhinderung auf Systemebene anwenden möchten, verwenden Sie den folgenden Befehl:

Set-Processmitigation -System -Enable DEP

Um Risikominderungen zu deaktivieren, können Sie -Enable durch -Disable ersetzen. Bei Risikominderungen auf App-Ebene erzwingt diese Aktion jedoch, dass die Risikominderung nur für diese App deaktiviert wird.

Wenn Sie die Risikominderung wieder auf die Systemstandardeinstellung zurücksetzen müssen, müssen Sie auch das cmdlet -Remove einschließen, wie im folgenden Beispiel gezeigt:

Set-Processmitigation -Name test.exe -Remove -Disable DEP

In der folgenden Tabelle sind die einzelnen Risikominderungen (und ggf. Überwachungen) aufgeführt, die mit den Cmdlet-Parametern -Enable oder -Disable verwendet werden sollen.

Risikominderungstyp Gilt für Cmdlet-Parameterschlüsselwort für Risikominderung Cmdlet-Parameter für den Überwachungsmodus
Ablaufsteuerungsschutz (Control Flow Guard, CFG) System- und App-Ebene CFG, StrictCFG, SuppressExports Überwachung nicht verfügbar
Datenausführungsverhinderung (DATA Execution Prevention, DEP) System- und App-Ebene DEP, EmulateAtlThunks Überwachung nicht verfügbar
Erzwingen von zufälligen Abbildern (obligatorisches ASLR) System- und App-Ebene ForceRelocateImages Überwachung nicht verfügbar
Zufällige Speicherbelegungen (Bottom-Up ASLR) System- und App-Ebene BottomUp, HighEntropy Überwachung nicht verfügbar
Überprüfen von Ausnahmeketten (SEHOP) System- und App-Ebene SEHOP, SEHOPTelemetry Überwachung nicht verfügbar
Überprüfen der Heapintegrität System- und App-Ebene TerminateOnError Überwachung nicht verfügbar
Arbitrary Code Guard (ACG) Nur auf App-Ebene DynamicCode AuditDynamicCode
Bilder mit niedriger Integrität blockieren Nur auf App-Ebene BlockLowLabel AuditImageLoad
Remoteimages blockieren Nur auf App-Ebene BlockRemoteImages Überwachung nicht verfügbar
Nicht vertrauenswürdige Schriftarten blockieren Nur auf App-Ebene DisableNonSystemFonts AuditFont, FontAuditOnly
Codeintegritätsschutz Nur auf App-Ebene BlockNonMicrosoftSigned, AllowStoreSigned AuditMicrosoftSigned, AuditStoreSigned
Deaktivieren von Erweiterungspunkten Nur auf App-Ebene ExtensionPoint Überwachung nicht verfügbar
Win32k-Systemaufrufe deaktivieren Nur auf App-Ebene DisableWin32kSystemCalls AuditSystemCall
Untergeordnete Prozesse nicht zulassen Nur auf App-Ebene DisallowChildProcessCreation AuditChildProcess
Export-Adressfilterung (EAF) Nur auf App-Ebene EnableExportAddressFilterPlus, EnableExportAddressFilter[1] Überwachung nicht verfügbar [2]
Import-Adressfilterung (IAF) Nur auf App-Ebene EnableImportAddressFilter Überwachung nicht verfügbar [2]
Simulieren der Ausführung (SimExec) Nur auf App-Ebene EnableRopSimExec Überwachung nicht verfügbar [2]
Überprüfen des API-Aufrufs (CallerCheck) Nur auf App-Ebene EnableRopCallerCheck Überwachung nicht verfügbar [2]
Überprüfen der Handleverwendung Nur auf App-Ebene StrictHandle Überwachung nicht verfügbar
Überprüfen der Integrität von Imageabhängigkeiten Nur auf App-Ebene EnforceModuleDepencySigning Überwachung nicht verfügbar
Überprüfen der Stapelintegrität (StackPivot) Nur auf App-Ebene EnableRopStackPivot Überwachung nicht verfügbar [2]

[1]: Verwenden Sie das folgende Format, um EAF-Module für DLLs für einen Prozess zu aktivieren:

Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll,dllName2.dll

[2]: Die Überwachung auf diese Entschärfung ist nicht über PowerShell-Cmdlets verfügbar.

Anpassen der Benachrichtigung

Informationen zum Anpassen der Benachrichtigung, wenn eine Regel ausgelöst und eine App oder Datei blockiert wurde, finden Sie unter Windows-Sicherheit.

Entfernen der Exploit-Schutzminderungen

Informationen zum Zurücksetzen (Rückgängigmachen oder Entfernen) der Exploit-Schutzminderungen finden Sie in der Referenz zum Exploit-Schutz.

Siehe auch

Tipp

Möchten Sie mehr erfahren? Engage mit der Microsoft-Sicherheitscommunity in unserer Tech Community: Microsoft Defender for Endpoint Tech Community.