Blockieren des Diebstahls von Anmeldeinformationen aus dem Subsystem der lokalen Windows-Sicherheitsautorität
Dieser Registry-Wert steuert die ASR-Regel zum Schutz des Prozesses `lsass.exe` (Local Security Authority Subsystem Service).
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2
Dieser Registry-Wert steuert die ASR-Regel zum Schutz des Prozesses lsass.exe (Local Security Authority Subsystem Service). Der Wert ist vom Typ DWORD; die Wertdaten 1 aktivieren die Regel im Blockierungsmodus.
Die Regel verhindert, dass nicht vertrauenswürdige Prozesse den LSASS-Prozessspeicher direkt auslesen. Fordert ein Prozess über OpenProcess() das Zugriffsrecht PROCESS_VM_READ für lsass.exe an, verweigert die Regel diesen Zugriff. Der betreffende Prozess wird dadurch nicht grundsätzlich an der Ausführung gehindert.
Hinweise
Sicherheit
LSASS verarbeitet Windows-Anmeldungen und kann sicherheitsrelevante Anmeldeinformationen im Arbeitsspeicher enthalten. Das Blockieren direkter Speicherzugriffe erschwert das Auslesen solcher Daten, beispielsweise von Klartextkennwörtern oder NTLM-Hashes, durch Schadsoftware und Werkzeuge zum Diebstahl von Anmeldeinformationen.
Die Regel schützt gezielt den LSASS-Prozessspeicher. Sie ersetzt keine allgemeine Prozess-, Konten- oder Zugriffssteuerung und verhindert nicht jede Form des Diebstahls oder Missbrauchs von Anmeldeinformationen.
Mögliche Nebenwirkungen
Legitime Programme, die LSASS-Prozesse untersuchen oder mit weitreichenden Prozessrechten öffnen, können blockierte Zugriffsversuche und zahlreiche Ereignisprotokolleinträge verursachen. Ein solches Ereignis weist für sich allein nicht auf Schadsoftware hin.
Programme, deren Funktion tatsächlich vom direkten Zugriff auf den LSASS-Prozessspeicher abhängt, können beeinträchtigt werden. Microsoft dokumentiert insbesondere Kompatibilitätsprobleme mit Quest Dirsync Password Sync. Bei anderen Programmen kann lediglich der nicht benötigte LSASS-Zugriff entfallen, während die eigentliche Programmfunktion erhalten bleibt.
Hinweise
Die Regel ist von Microsoft Defender Antivirus abhängig. Für die Wirksamkeit von ASR-Regeln müssen Microsoft Defender Antivirus und dessen Echtzeitschutz aktiv sein.
Wenn der Schutz der lokalen Sicherheitsautorität (LSA-Schutz) aktiviert ist, bietet diese ASR-Regel laut Microsoft keinen zusätzlichen Schutz. Sie unterstützt außerdem keinen Warnmodus und verfügt nur über eingeschränkte Unterstützung für Ausschlüsse.
Die Regel wird ab Windows 10 Version 1803 sowie unter Windows 11, Windows Server 2012 R2, Windows Server 2016 und Windows Server 2019 oder höher unterstützt.
Microsoft-Dokumentation
Microsoft Learn: Häufig gestellte Fragen zur Verringerung der Angriffsfläche