Alle Office-Anwendungen am Erstellen von untergeordneten Prozessen hindern
Dieser Registry-Wert steuert die Microsoft-Defender-Regel zur Verringerung der Angriffsfläche mit der GUID `d4f940ab-401b-4efc-aadc-ad5f3c50688a`.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\d4f940ab-401b-4efc-aadc-ad5f3c50688a
Dieser Registry-Wert steuert die Microsoft-Defender-Regel zur Verringerung der Angriffsfläche mit der GUID d4f940ab-401b-4efc-aadc-ad5f3c50688a. Der Wert ist vom Typ DWORD; die Wertdaten 1 versetzen diese einzelne Regel in den Blockierungsmodus.
Im Blockierungsmodus verhindert Microsoft Defender Antivirus, dass erfasste Office-Anwendungen untergeordnete Prozesse erstellen. Damit können diese Anwendungen keine anderen Programme als neue Prozesse starten. Microsoft nennt für diese Regel Word, Excel, PowerPoint, OneNote und Access.
Der Wert wirkt computerweit und steuert ausschließlich diese ASR-Regel. Er aktiviert oder konfiguriert nicht automatisch andere Regeln zur Verringerung der Angriffsfläche.
Hinweise
Sicherheit
Die Regel unterbricht einen häufig missbrauchten Angriffsweg, bei dem schädliche Makros oder Exploitcode aus einer Office-Anwendung heraus zusätzliche Programme und Nutzlasten starten. Dadurch lassen sich beispielsweise Prozessstarts einer Eingabeaufforderung, von PowerShell oder anderer ausführbarer Komponenten durch die erfassten Office-Anwendungen blockieren.
Der Schutz ist auf das Erstellen untergeordneter Prozesse begrenzt. Die Regel blockiert nicht grundsätzlich Makros, verhindert nicht jede Form der Codeausführung innerhalb von Office und ersetzt keine gesonderten Regeln gegen das Erstellen ausführbarer Inhalte oder andere Office-basierte Angriffstechniken.
Mögliche Nebenwirkungen
Auch legitime Office-basierte Geschäftsanwendungen und Dokumentworkflows können untergeordnete Prozesse verwenden. Funktionen, die beispielsweise eine Eingabeaufforderung, PowerShell oder ein anderes externes Programm aufrufen, können deshalb fehlschlagen oder nur eingeschränkt arbeiten. Die Regel unterscheidet bei der Prozesserstellung nicht danach, ob der beabsichtigte Zweck schädlich oder legitim ist.
Hinweise
Die Regel ist von Microsoft Defender Antivirus abhängig. ASR-Regeln setzen voraus, dass Microsoft Defender Antivirus aktiv als primäre Antivirenlösung ausgeführt wird und der Echtzeitschutz eingeschaltet ist.
Die Regel wird nur erzwungen, wenn Office unter %ProgramFiles% oder %ProgramFiles(x86)% installiert ist. Microsoft führt sie für Windows 10 ab Version 1709, Windows 11 sowie Windows Server 2012 R2, Windows Server 2016 und Windows Server 2019 oder höher als unterstützt.
Microsoft-Dokumentation
Microsoft Learn: Referenz zu den Regeln zur Verringerung der Angriffsfläche
Microsoft Learn: Übersicht über Regeln zur Verringerung der Angriffsfläche