Blockieren des Missbrauchs von anfälligen signierten Treibern (Gerät)
Dieser Registry-Wert steuert die ASR-Regel mit der GUID `56a863a9-875e-4185-98a7-b882c64b5ce5` für den gesamten Computer.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\56a863a9-875e-4185-98a7-b882c64b5ce5
Dieser Registry-Wert steuert die ASR-Regel mit der GUID 56a863a9-875e-4185-98a7-b882c64b5ce5 für den gesamten Computer. Der DWORD-Wert 1 versetzt die Regel in den Blockierungsmodus.
Die Regel verhindert, dass Anwendungen Treiberdateien auf dem Gerät speichern, die zwar digital signiert sind, aber bekannte ausnutzbare Sicherheitslücken enthalten. Sie wirkt damit gegen Angriffe, bei denen ein solcher Treiber gezielt auf ein System übertragen und anschließend missbraucht werden soll.
Hinweise
Weitere Wirkungen
Bei einer Blockierung kann Windows eine Benutzerbenachrichtigung anzeigen. Microsoft Defender verwendet für entsprechende Blockierungsereignisse den Aktionstyp AsrVulnerableSignedDriverBlocked. Die Regel erzeugt laut Microsoft jedoch keine eigene EDR-Warnung in Microsoft Defender for Endpoint.
Sicherheit
Angreifer können verwundbare signierte Treiber mit ausreichenden lokalen Berechtigungen ausnutzen, um Code im Betriebssystemkernel auszuführen. Ein erfolgreicher Angriff kann es ermöglichen, Sicherheitssoftware zu deaktivieren oder zu umgehen und dadurch das System weiter zu kompromittieren.
Die Regel erschwert diesen als „Bring Your Own Vulnerable Driver“ bekannten Angriffsweg, indem sie bereits das Speichern erkannter anfälliger Treiber verhindert. Sie verleiht oder entzieht Benutzern selbst keine allgemeinen Administrator-, Datei- oder Datenträgerrechte.
Mögliche Nebenwirkungen
Eine legitime Anwendung, ein Installationsprogramm oder ein Aktualisierungsprozess kann beeinträchtigt werden, wenn dabei ein von Microsoft als anfällig erkannter signierter Treiber auf dem Gerät gespeichert werden soll. Die Installation des betreffenden Treibers oder davon abhängige Programmfunktionen können dadurch fehlschlagen.
Hinweise
Die Regel verhindert nicht, dass ein anfälliger Treiber geladen wird, der sich bereits auf dem Computer befindet. Sie ersetzt daher keine Kontrollmechanismen, die das Laden solcher Treiber unterbinden, beispielsweise die Microsoft-Sperrliste für anfällige Treiber oder App Control for Business.
Für diese Regel nennt Microsoft keine zusätzlichen regelspezifischen Abhängigkeiten. Es gelten jedoch die allgemeinen Voraussetzungen für ASR-Regeln, insbesondere ein aktiver Microsoft Defender Antivirus mit aktiviertem Echtzeitschutz.
Microsoft-Dokumentation
Microsoft Learn: Referenz zu den Regeln zur Verringerung der Angriffsfläche
Microsoft Learn: Übersicht über Regeln zur Verringerung der Angriffsfläche
Microsoft Learn: Referenz zur Computerkonfiguration für Windows Server 2025