Office-Anwendungen am Erstellen ausführbarer Inhalte hindern
Dieser Registry-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) in Microsoft Defender Antivirus.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\3b576869-a4ec-4529-8536-b80a7769e899
Dieser Registry-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) in Microsoft Defender Antivirus. Der Datentyp DWORD mit dem Wert 1 aktiviert die Regel im Blockiermodus.
Die Regel verhindert, dass Office-Anwendungen wie Word, Excel und PowerPoint ausführbare Inhalte als potenziellen Bestandteil eines Angriffs auf dem Datenträger ablegen und verwendbar machen. Microsoft Defender blockiert dabei insbesondere den Zugriff auf beziehungsweise die Ausführung von Code, den eine Office-Anwendung auf den Datenträger geschrieben hat. Ebenso kann die Ausführung nicht vertrauenswürdiger Dateien blockiert werden, die durch zugelassene Office-Makros gespeichert wurden.
Die Regel unterbindet nicht generell das Speichern gewöhnlicher Office-Dokumente und ist nicht mit der separaten ASR-Regel zum Erstellen untergeordneter Prozesse zu verwechseln.
Hinweise
Sicherheit
Die Regel erschwert Angriffe, bei denen manipulierte Office-Dokumente oder Makros ausführbaren Schadcode auf dem Gerät ablegen. Dadurch wird insbesondere ein Weg eingeschränkt, über den Schadsoftware einen Neustart überdauern und dauerhaft auf dem System verbleiben kann.
Der Schutz ist auf die von dieser ASR-Regel erkannten Vorgänge beschränkt. Er ersetzt weder die Prüfung von Office-Dateien noch andere Schutzmaßnahmen gegen Makros, Schadsoftware oder nicht vertrauenswürdige Anwendungen.
Mögliche Nebenwirkungen
Legitime Office-basierte Abläufe können beeinträchtigt werden, wenn sie ausführbare Inhalte erzeugen, auf solche Inhalte zugreifen oder von Makros gespeicherte ausführbare Dateien starten. In diesen Fällen kann Microsoft Defender den Zugriff oder die Ausführung blockieren.
Hinweise
Die Regel setzt Microsoft Defender Antivirus und RPC voraus. Für ASR-Regeln muss Microsoft Defender Antivirus aktiv sein; außerdem muss der Echtzeitschutz eingeschaltet sein. Der Installationsort der Office-Anwendungen beeinflusst die Anwendung dieser konkreten Regel nicht.
Für diese Regel werden Dateiausschlüsse nur eingeschränkt unterstützt.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – Defender