Office-Kommunikationsanwendung am Erstellen von untergeordneten Prozessen hindern
Dieser Registry-Wert steuert eine Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\26190899-1602-49e8-8b27-eb1d0a1ce869
Dieser Registry-Wert steuert eine Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus. Der Wert ist vom Typ DWORD; 1 aktiviert die Regel im Blockierungsmodus.
Die Regel verhindert, dass Outlook untergeordnete Prozesse erstellt. Dadurch kann aus Outlook heraus gestarteter Code keine weiteren Programme wie Skriptinterpreter, Befehlszeilenwerkzeuge oder andere ausführbare Dateien als Kindprozesse von Outlook ausführen. Die Blockierung betrifft die Prozesserstellung; Outlook selbst bleibt ausführbar und seine regulären Funktionen sollen weiterhin zur Verfügung stehen.
Hinweise
Sicherheit
Die Regel erschwert Angriffe, bei denen manipulierte Inhalte, Sicherheitslücken oder Social Engineering dazu verwendet werden, aus Outlook heraus Schadcode zu starten. Sie schützt außerdem vor Techniken, die Outlook-Regeln oder Outlook-Formulare nach einer Kompromittierung von Benutzeranmeldeinformationen zur Ausführung weiterer Prozesse missbrauchen.
Der Schutz ist auf die Prozesserstellung durch die betreffende Office-Kommunikationsanwendung begrenzt. Er stellt keine allgemeine Anwendungskontrolle dar, untersucht nicht sämtliche von Outlook verarbeiteten Inhalte und ersetzt weder den Malware-Schutz noch andere ASR-Regeln. Insbesondere ist diese Regel nicht mit der separaten Regel gleichzusetzen, die untergeordnete Prozesse für alle unterstützten Office-Anwendungen blockiert.
Mögliche Nebenwirkungen
Outlook-Erweiterungen, benutzerdefinierte Formulare oder Geschäftsprozesse können beeinträchtigt werden, wenn sie für ihre Funktion externe Programme als untergeordnete Prozesse von Outlook starten müssen. Die Regel unterstützt Ausschlüsse nur eingeschränkt.
Hinweise
Die Regel ist von Microsoft Defender Antivirus abhängig. Für die Wirksamkeit von ASR-Regeln müssen Microsoft Defender Antivirus im aktiven Modus und dessen Echtzeitschutz eingeschaltet sein.
Microsoft dokumentiert die Regel für Windows 10 ab Version 1709, Windows 11 sowie unterstützte Windows-Server-Versionen. Auf Windows Server 2012 R2 und Windows Server 2016 setzt die Unterstützung das moderne einheitliche Microsoft-Defender-for-Endpoint-Lösungspaket voraus.
Die Regel wird nur erzwungen, wenn Office unter %ProgramFiles% oder %ProgramFiles(x86)% installiert ist. Der Registry-Wert befindet sich im computerbezogenen Bereich und gilt daher auf Geräteebene.
Microsoft-Dokumentation
Microsoft Learn: Referenz zu den Regeln zur Verringerung der Angriffsfläche
Microsoft Learn: Übersicht über Regeln zur Verringerung der Angriffsfläche