Regeln zur Verringerung der Angriffsfläche konfigurieren

Zweck

Registry-Schlüssel anzeigen (2)

• HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\ExploitGuard_ASR_Rules
• HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\<ASR rule GUID>

Diese computergestützte Richtlinie legt für einzelne Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) den Betriebsmodus fest. ASR-Regeln sind eine Funktion von Microsoft Defender Antivirus und erkennen bestimmte riskante Verhaltensweisen, die häufig bei Schadsoftware und Angriffen auftreten. Welche Aktivität betroffen ist, bestimmt die jeweils durch ihre GUID identifizierte Regel.

Der Wert ExploitGuard_ASR_Rules kennzeichnet die Aktivierung der ADMX-Richtlinie. Die einzelnen Regelzustände werden als Werte unter dem Unterschlüssel Rules gespeichert; der jeweilige Wertname ist die GUID der ASR-Regel. Folgende Wertdaten sind definiert:

• 0 – Aus: Die Regel ist ausdrücklich deaktiviert.
• 1 – Blockieren: Die Regel verhindert erkannte, von ihr erfasste Aktivitäten.
• 2 – Überwachen: Erkennungen werden protokolliert, die Aktivität wird jedoch nicht verhindert.
• 5 – Nicht konfiguriert: Die Regel wird nicht ausdrücklich aktiviert. Dieser Zustand entspricht funktional „Aus“, vermeidet jedoch bestimmte Konflikte mit anderen Richtlinien.
• 6 – Warnen: Die Regel blockiert zunächst und ermöglicht eine zeitlich begrenzte Aufhebung der Blockierung, sofern die betreffende Regel und die eingesetzte Windows- und Defender-Version diesen Modus unterstützen.

Ist die Richtlinie selbst deaktiviert oder nicht konfiguriert, konfiguriert sie keine ASR-Regeln.

Hinweise

Weitere Wirkungen

Erkennungen im Überwachungsmodus sowie Blockierungen können in Windows-Ereignissen und – bei entsprechender Defender-for-Endpoint-Anbindung – in Berichten, Warnungen und erweiterten Suchdaten erscheinen. Bei Regeln im Modus „Blockieren“ oder „Warnen“ kann Windows außerdem eine Benachrichtigung auf dem Gerät anzeigen.

Die Einstellung wirkt nur auf die durch GUIDs aufgeführten Regeln. Sie aktiviert nicht automatisch sämtliche verfügbaren oder später ergänzten ASR-Regeln.

Sicherheit

Im Blockierungsmodus verringern die ausgewählten Regeln die Angriffsfläche, indem sie jeweils definierte Verhaltensweisen unterbinden, beispielsweise bestimmte Prozessstarts, Skriptaktivitäten, Codeeinschleusungen oder den Missbrauch vertrauenswürdiger Anwendungen. Der genaue Schutzumfang hängt von der jeweiligen Regel ab.

Der Überwachungsmodus erzeugt Erkennungsdaten, verhindert die erkannte Aktivität aber nicht. Der Wert 0 deaktiviert die betreffende Schutzregel ausdrücklich. Der Wert 5 aktiviert sie ebenfalls nicht, unterscheidet sich jedoch bei der Auflösung konkurrierender Richtlinien von einer ausdrücklichen Deaktivierung.

Im Warnmodus kann eine Blockierung vorübergehend aufgehoben werden. Bei aktuellen Microsoft-Defender-Plattformversionen ist dafür eine Administratorgenehmigung erforderlich. Einige ASR-Regeln unterstützen den Warnmodus nicht.

Mögliche Nebenwirkungen

ASR-Regeln bewerten Verhalten und nicht ausschließlich bekannte Schadsoftware. Legitime Fachanwendungen, Office-Automatisierungen, Skripte oder Verwaltungswerkzeuge können deshalb Aktivitäten ausführen, die eine Regel im Blockierungs- oder Warnmodus erfasst. Abhängig von der Regel können dadurch Prozessstarts, Makrofunktionen, Skriptabläufe oder andere Programmfunktionen fehlschlagen.

Art und Umfang möglicher Kompatibilitätsprobleme richten sich nach den ausgewählten Regel-GUIDs und den auf dem Gerät eingesetzten Anwendungen. Der Überwachungsmodus protokolliert entsprechende Erkennungen, ohne die Aktivität zu blockieren.

Hinweise

Für die Durchsetzung von ASR-Regeln muss Microsoft Defender Antivirus als primäre Antivirenlösung aktiviert sein und sich im aktiven Modus befinden. Außerdem muss der Echtzeitschutz eingeschaltet sein. Bestimmte Regeln oder deren Benachrichtigungs- und Warnfunktionen haben zusätzliche Anforderungen an Betriebssystem, Defender-Plattform, Cloudschutz oder unterstützte Anwendungen.

Die Richtlinienzuordnung ist für Geräte vorgesehen und wird von Microsoft für Windows 10 ab Version 1709 dokumentiert. Die Verfügbarkeit einzelner ASR-Regeln unterscheidet sich nach Windows- und Windows-Server-Version. Bei älteren Gruppenrichtlinienvorlagen kann die Kategorie noch „Windows Defender Antivirus“ statt „Microsoft Defender Antivirus“ heißen; beide Bezeichnungen verweisen auf denselben Richtlinienbereich.

Microsoft-Dokumentation

Microsoft Learn: Konfigurieren von ASR-Regeln und -Ausschlüssen

Microsoft Learn: Defender-Richtlinien-CSP – AttackSurfaceReductionRules

Microsoft Learn: Übersicht über Regeln zur Verringerung der Angriffsfläche

Siehe auch

• Eintrag in der Referenz