Ausführbare Inhalte aus E-Mail-Client und Web-E-Mail blockieren
Dieser `DWORD`-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\be9ba2d9-53ea-4cdc-84e5-9b1eeee46550
Dieser DWORD-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus. Der Wert 1 aktiviert die Regel im Blockierungsmodus.
Die Regel blockiert die Weitergabe ausführbarer Inhalte aus E-Mails, die mit Microsoft Outlook, Outlook.com oder anderen verbreiteten Webmailanbietern geöffnet wurden. Erfasst werden insbesondere:
- ausführbare Dateien wie
.exe,.dllund.scr; - Skriptdateien wie
.ps1,.vbsund.js; - Archivdateien wie
.zip.
Die GUID be9ba2d9-53ea-4cdc-84e5-9b1eeee46550 bezeichnet ausschließlich diese ASR-Regel.
Hinweise
Weitere Wirkungen
Blockierungen können als ASR-Ereignisse protokolliert und in Microsoft Defender for Endpoint mit dem Aktionstyp AsrExecutableEmailContentBlocked ausgewertet werden. Die Regel unterstützt außerdem EDR-Warnungen und lokale Benutzerbenachrichtigungen. Deren Erzeugung hängt von der konfigurierten Cloudschutzebene in Microsoft Defender Antivirus ab.
Sicherheit
Die Regel verringert die Angriffsfläche für Schadsoftware, die über ausführbare E-Mail-Inhalte, Skripte oder Archive auf ein Gerät gelangen soll. Die Blockierung ist nicht darauf beschränkt, dass eine Datei bereits als Schadsoftware erkannt wurde.
Der Schutz gilt nur für die von dieser Regel erfassten Inhalte und Herkunftswege. Andere E-Mail-Bedrohungen oder ausführbare Inhalte aus anderen Quellen werden dadurch nicht automatisch blockiert.
Mögliche Nebenwirkungen
Auch legitime ausführbare Dateien, Skripte und Archive aus E-Mail-Clients oder Webmail können blockiert werden. Dadurch können Arbeitsabläufe beeinträchtigt werden, bei denen solche Dateien beispielsweise für Softwareverteilung, Support oder Automatisierung per E-Mail bereitgestellt werden.
Hinweise
Die Regel ist von Microsoft Defender Antivirus abhängig. Für die Durchsetzung von ASR-Regeln müssen Microsoft Defender Antivirus im aktiven Modus und dessen Echtzeitschutz eingeschaltet sein.
Die Regel wird ab Windows 10 Version 1709 sowie unter Windows 11 und unterstützten Windows-Server-Versionen unterstützt. Unter Windows Server 2012 R2 und Windows Server 2016 setzt die Unterstützung das moderne einheitliche Lösungspaket voraus.
Microsoft-Dokumentation
Microsoft Learn: Übersicht über ASR-Regeln