Erweiterten Schutz vor Ransomware verwenden
Dieser `DWORD`-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\c1db55ab-c21a-4637-bb3f-a12568109d35
Dieser DWORD-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus. Der Wert 1 versetzt die Regel in den Blockmodus.
Die Regel verwendet lokale und cloudbasierte Heuristiken, um Dateien zu erkennen, deren Eigenschaften Ransomware ähneln. Sie blockiert dabei nicht nur Dateien mit bereits bekanntem schlechtem Ruf, sondern kann auch bislang unbekannte Dateien ohne positive Reputation sperren.
Dateien werden von dieser Regel nicht blockiert, wenn Microsofts Cloudauswertung sie als unschädlich einstuft, wenn sie gültig signiert sind oder wenn ihre Verbreitung hoch genug ist, um sie nicht als Ransomware zu bewerten.
Hinweise
Sicherheit
Die Regel ergänzt den Schutz vor Ransomware, indem sie verdächtige oder noch nicht ausreichend vertrauenswürdige Dateien an der Ausführung hindern kann. Sie stellt eine zusätzliche Schutzebene dar; ihre heuristische Bewertung erfasst nicht zwangsläufig jede Ransomware-Variante.
Der Registry-Wert aktiviert ausschließlich diese einzelne ASR-Regel. Andere ASR-Regeln und der überwachte Ordnerzugriff werden dadurch nicht aktiviert.
Mögliche Nebenwirkungen
Auch legitime, neue oder wenig verbreitete Dateien können blockiert werden, solange sie noch keine ausreichende Reputation besitzen. Solche Blockierungen können später entfallen, wenn die Vertrauens- und Reputationsbewertung der Datei durch unauffällige Nutzung steigt.
Die Regel unterstützt Ausschlüsse nur eingeschränkt. Dadurch können Kompatibilitätsprobleme mit wenig verbreiteter oder intern entwickelter Software schwieriger einzugrenzen sein als bei ASR-Regeln mit vollständiger Ausschlussunterstützung.
Hinweise
Die Regel setzt Microsoft Defender Antivirus und den cloudbasierten Schutz voraus. Ohne aktivierten cloudbasierten Schutz kann sie ihre vorgesehene Wirkung nicht entfalten.
Microsoft führt die Regel für Windows 10 ab Version 1803, Windows 11 sowie unterstützte Windows-Server-Versionen auf. Bei einer Bereitstellung über Microsoft Intune mit der modernen einheitlichen Lösung wird sie unter Windows Server 2012 R2 und Windows Server 2016 nicht unterstützt.
Microsoft-Dokumentation
Microsoft Learn: Konfigurieren von Regeln und Ausschlüssen für die Verringerung der Angriffsfläche