Attack Surface Reduction (ASR)-Regeldemonstrationen

Verwenden Sie die Testdateien, Skripts und Verfahren in diesem Artikel, um bestimmte ASR-Regeln (Attack Surface Reduction) in Microsoft Defender for Endpoint zu veranschaulichen.

ASR-Regeln zielen auf riskantes Softwareverhalten auf Windows-Geräten ab, das Angreifer häufig durch Schadsoftware ausnutzen (z. B. Das Starten von Skripts, die Dateien herunterladen, das Ausführen von verschleierten Skripts und das Einfügen von Code in andere Prozesse). Weitere Informationen zu ASR-Regeln finden Sie unter Übersicht über Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR).

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass Ihr Testgerät die folgenden Anforderungen erfüllt:

• Windows 10, Version 1709 (Oktober 2017) oder höher.
• Microsoft Defender Antivirus aktiviert und im aktiven Modus.

Eine vollständige Liste der Anforderungen, unterstützten Betriebssysteme und Modi finden Sie in der Übersicht über die Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR). Die Methoden, die Sie zum Aktivieren von ASR-Regeln verwenden können, finden Sie unter Bereitstellungs- und Konfigurationsmethoden für ASR-Regeln.

Einrichten der Demonstration

$p = Get-MpPreference;0..([math]::Min($p.AttackSurfaceReductionRules_Ids.Count,$p.AttackSurfaceReductionRules_Actions.Count)-1) | % {[pscustomobject]@{Id=$p.AttackSurfaceReductionRules_Ids[$_];Action=$p.AttackSurfaceReductionRules_Actions[$_]}} | Format-Table -AutoSize

1. Bevor Sie das Setupskript ausführen, erlauben Sie dessen Ausführung, indem Sie die Ausführungsrichtlinie für die aktuelle Sitzung auf RemoteSigned festlegen. Führen Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten aus:

   Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
   

   RemoteSigned ist sicherer als Unrestricted weil sie weiterhin nicht signierte Skripts blockiert, die aus dem Internet heruntergeladen werden, und der Process Bereich setzt die Änderung zurück, wenn Sie die Sitzung schließen.

   Tipp

   Da das Setupskript nicht signiert ist, blockiert RemoteSigned es, wenn das Skript weiterhin die Kennzeichnung „aus dem Internet heruntergeladen“ trägt (Mark of the Web). Vergewissern Sie sich in diesem Fall, dass das Skript von einer vertrauenswürdigen Quelle stammt, und heben Sie dann die Blockierung auf, bevor Sie es ausführen:

   Unblock-File -Path "<path>\WindowsDefender_ASR_SetupScript.ps1"
   

2. Laden Sie WindowsDefender_ASR_SetupScript.ps1 von https://demo.wd.microsoft.com/Content/ASR_SetupScript.zip herunter und entpacken Sie es. Das Setupskript automatisiert die folgenden Schritte:

   • Entfernt c:\demo aus der Liste der durch den kontrollierten Ordnerzugriff (CFA) geschützten Ordner, um eine frühere Demonstrationskonfiguration zurückzusetzen (ohne Ihre anderen geschützten Ordner zu beeinträchtigen).
   • Erstellt den c:\demo Ordner und fügt ihn der Microsoft Defender Antivirus-Ausschlussliste hinzu (ohne Auswirkungen auf Ihre anderen Ausschlüsse).
   • Lädt eine saubere Testdatei (testfile_safe.txt) nach c:\demo herunter und lädt die ASR-Testdateien (ASRSamplesAll.zip) nach c:\demo\ASRSamplesAll herunter und entpackt sie. Das ASRSamplesAll.zip Paket enthält die folgenden Testdateien:
     • ransomware_testfile_doc.docm (auch direkt unter https://demo.wd.microsoft.com/Content/ransomware_testfile_doc.docm)
     • ransomware_testfile_exe.exe (auch direkt unter https://demo.wd.microsoft.com/Content/ransomware_testfile_exe.exe)
     • TestFile_OfficeChildProcess_D4F940AB-401B-4EFC-AADC-AD5F3C50688A.docm (auch direkt unter https://demo.wd.microsoft.com/Content/TestFile_OfficeChildProcess_D4F940AB-401B-4EFC-AADC-AD5F3C50688A.docm)
     • TestFile_PsexecAndWMICreateProcess_D1E49AAC-8F56-4280-B9BA-993A6D77406C.vbs (auch direkt unter https://demo.wd.microsoft.com/Content/TestFile_PsexecAndWMICreateProcess_D1E49AAC-8F56-4280-B9BA-993A6D77406C.vbs)
     • TestFile_ScriptInternetContent_D3E037E1-3EB8-44C8-A917-57927947596D.js (auch direkt unter https://demo.wd.microsoft.com/Content/TestFile_ScriptInternetContent_D3E037E1-3EB8-44C8-A917-57927947596D.js)
     • TestFile_ScriptObfuscatedContent_5BEB7EFE-FD9A-4556-801D-275E5FFC04CC.js (auch direkt unter https://demo.wd.microsoft.com/Content/TestFile_ScriptObfuscatedContent_5BEB7EFE-FD9A-4556-801D-275E5FFC04CC.js)
     • UNSIGNED_ransomware_test_exe.exe (auch direkt unter https://demo.wd.microsoft.com/Content/UNSIGNED_ransomware_test_exe.exe)
   • Aktiviert die Demonstrations-ASR-Regeln im Modus Enabled (Sperren).
   • Fügt c:\demo der Liste der geschützten CFA-Ordner hinzu (ohne Auswirkungen auf ihre anderen geschützten Ordner).

   Important

   Das Setup-Skript fügt c:\demo der Ausschlussliste von Microsoft Defender Antivirus hinzu. Führe keine ASR-Testdateien von c:\demo oder aus einem seiner Unterordner aus, wenn du auf eine ASR-Blockierung oder -Erkennung testest. ASR-Regeln, die Ausschlüsse von Microsoft Defender Antivirus berücksichtigen, darunter Erweiterten Schutz vor Ransomware verwenden, führen möglicherweise nicht zur erwarteten Blockierung oder Erkennung. Bevor du eine Testdatei ausführst, kopiere sie in einen Ordner, der nicht von den Microsoft Defender Antivirus- oder ASR-Regeln ausgeschlossen ist. Weitere Informationen finden Sie unter Datei- und Ordnerausschlüsse für ASR-Regeln.

   Die Setup- und Bereinigungsskripts passen CFA an, da sie mit der CFA-Block-App und CFA Ransomware-Demonstrationen geteilt werden. Keines der ASR-Regelszenarien in diesem Artikel verwendet CFA. Das Setupskript fügt c:\demo der Liste der geschützten CFA-Ordner hinzu, aktiviert jedoch keine CFA, sodass der Eintrag keine Auswirkungen auf diese Demonstration hat. Das Bereinigungsskript deaktiviert CFA. Bevor Sie das Setupskript ausführen, überprüfen Sie den aktuellen CFA-Modus , und notieren Sie den Wert, damit Sie ihn im Abschnitt "Aufräumen des Demonstrationsabschnitts" wiederherstellen können:

   Get-MpPreference | Format-List EnableControlledFolderAccess
   

   Alternativ können Sie stattdessen die folgenden manuellen Schritte ausführen:

   1. Erstellen Sie den Ordner c:\demo.

   2. Fügen Sie c:\demo der Ausschlussliste für Microsoft Defender Antivirus hinzu, damit der Echtzeitschutz die Testdateien beim Herunterladen und Extrahieren nicht unter Quarantäne stellt. Führen Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten aus:

      Add-MpPreference -ExclusionPath C:\demo
      

   3. Speichern Sie die saubere Testdatei (testfile_safe.txt) in c:\demo.

   4. Laden Sie ASRSamplesAll.zip von https://demo.wd.microsoft.com/Content/ASRSamplesAll.zip herunter und extrahieren Sie es nach c:\demo\ASRSamplesAll.

   5. Aktivieren Sie die ASR-Demonstrationsregeln im Aktivierten Modus (Block), indem Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten ausführen:

      Add-MpPreference -AttackSurfaceReductionRules_Ids 01443614-cd74-433a-b99e-2ecdc07bfc25,3b576869-a4ec-4529-8536-b80a7769e899,5beb7efe-fd9a-4556-801d-275e5ffc04cc,75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84,92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b,b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4,be9ba2d9-53ea-4cdc-84e5-9b1eeee46550,c1db55ab-c21a-4637-bb3f-a12568109d35,d1e49aac-8f56-4280-b9ba-993a6d77406c,d3e037e1-3eb8-44c8-a917-57927947596d,d4f940ab-401b-4efc-aadc-ad5f3c50688a -AttackSurfaceReductionRules_Actions Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled,Enabled
      

      Die ASR-Regelnamen und die zugehörigen GUID-Werte werden in den ASR-Regeln in diesem Demonstrationsabschnitt aufgeführt.

3. Laden Sie die Modusskripts herunter, und extrahieren Sie sie aus https://demo.wd.microsoft.com/Content/WindowsDefender_ASR_scripts.zip. Die Skripte WindowsDefender_ASR_Block.ps1, WindowsDefender_ASR_Audit.ps1 und WindowsDefender_ASR_Disabled.ps1 schalten dieselben ASR-Regeln für Demonstrationszwecke jeweils auf Enabled (block), AuditMode bzw. Disabled. Führen Sie diese aus, um die ASR-Demonstrationsregeln während des Testens und Bereinigens zwischen den Modi Aktiviert (Blockieren), AuditMode und Deaktiviert umzuschalten.

   Note

   Alle drei Modusskripts zeigen unabhängig vom tatsächlich angewendeten Modus dieselbe Konsolenmeldung Enabling Exploit Guard ASR rules and setting to audit modean. Diese Nachricht ist fest codiert und für die Skripte WindowsDefender_ASR_Block.ps1 und WindowsDefender_ASR_Disabled.ps1 falsch. Verlassen Sie sich auf den Skriptnamen, nicht auf die Nachricht, um zu bestätigen, auf welchen Modus Sie angewendet haben.

ASR-Regeln in dieser Demonstration

In der folgenden Tabelle sind die ASR-Regeln aufgeführt, die diese Demonstration ermöglicht, deren GUID-Werte und die Testdatei, die jede Regel auslöst (wobei eine verfügbar ist). Das Setup-Skript lädt mehrere dieser Testdateien in ASRSamplesAll.zip herunter und entpackt sie nach c:\demo\ASRSamplesAll.

^*Im Block- oder Warnmodus verfügen EDR-Warnungen und Benutzerbenachrichtigungen für diese Regel über zusätzliche Anforderungen auf Cloudschutzebene in Microsoft Defender Antivirus. Weitere Informationen finden Sie, indem Sie den Regelnamen auswählen, um den zugehörigen Abschnitt in der ASR-Regelreferenz zu öffnen.

Szenarien

Verwenden Sie die folgenden Szenarien, um zu überprüfen, wie sich die ASR-Regeln der Demonstration in verschiedenen Modi verhalten.

Szenario 1: Alle Demonstrations-ASR-Regeln blockieren die Testdateien

Führen Sie die folgenden Schritte aus, um zu bestätigen, dass alle ASR-Demonstrationsregeln ihre entsprechenden Testdateien blockieren:

1. Aktivieren Sie die ASR-Demonstrationsregeln im Blockmodus . Führen Sie das WindowsDefender_ASR_Block.ps1 Skript aus (siehe Einrichten der Demonstration), oder verwenden Sie den PowerShell-Befehl.
2. Bevor du eine Testdatei öffnest oder ausführst, stelle sicher, dass die Datei in einem Ordner liegt, der nicht von den Microsoft Defender Antivirus- oder ASR-Regeln ausgeschlossen ist. Wenn du eine Testdatei verwendest, die vom Setup-Skript nach c:\demo\ASRSamplesAll extrahiert wurde, kopiere sie in einen Ordner, der nicht ausgeschlossen ist. Führe die Testdatei nicht aus c:\demo oder einem seiner Unterordner aus. Wenn Sie dazu aufgefordert werden, aktivieren Sie die Bearbeitung und den Inhalt.

Sie sollten sofort eine Benachrichtigung „Aktion blockiert“ sehen.

Szenario 2: Eine einzelne ASR-Regel blockiert die entsprechende Testdatei.

Verwenden Sie dieses Szenario, um eine einzelne ASR-Regel zu testen und zu überprüfen, ob sie die entsprechende Testdatei blockiert.

1. Konfigurieren Sie die einzelne Regel, die Sie testen möchten. Um beispielsweise die Regel Alle Office-Anwendungen am Erstellen untergeordneter Prozesse blockieren zu aktivieren, führen Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten aus:

   Add-MpPreference -AttackSurfaceReductionRules_Ids d4f940ab-401b-4efc-aadc-ad5f3c50688a -AttackSurfaceReductionRules_Actions Enabled
   

2. Finden Sie die Testdatei für die Regel in den ASR-Regeln in dieser Demonstrationstabelle . Dateien, die in ASRSamplesAll.zip markiert sind, sind bereits nach c:\demo\ASRSamplesAll extrahiert.

3. Kopiere die Testdatei in einen Ordner, der nicht von den Microsoft Defender Antivirus- oder ASR-Regeln ausgeschlossen ist. Öffnen oder führen Sie die Testdatei nicht von c:\demo oder einem seiner Unterordner aus. Zum Beispiel kopieren Sie für die Regel „Alle Office-Anwendungen daran hindern, untergeordnete Prozesse zu erstellen“TestFile_OfficeChildProcess_D4F940AB-401B-4EFC-AADC-AD5F3C50688A.docm aus c:\demo\ASRSamplesAll in einen Ordner, der nicht ausgeschlossen ist.

4. Öffne oder führe die kopierte Testdatei aus. Wenn Sie dazu aufgefordert werden, aktivieren Sie die Bearbeitung und den Inhalt.

Sie sollten sofort eine Benachrichtigung „Aktion blockiert“ sehen.

Szenario 3: Eine ASR-Regel blockiert eine nicht signierte Datei, die von einem USB-Laufwerk ausgeführt wird.

Führen Sie die folgenden Schritte aus, um zu überprüfen, ob die USB-Ausführungsregel eine nicht signierte Datei blockiert.

1. Aktivieren Sie die Regel Nicht vertrauenswürdige und nicht signierte Prozesse blockieren, die über USB ASR ausgeführt werden, indem Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten ausführen:

   Add-MpPreference -AttackSurfaceReductionRules_Ids b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4 -AttackSurfaceReductionRules_Actions Enabled
   

2. Kopieren Sie UNSIGNED_ransomware_test_exe.exe von c:\demo\ASRSamplesAll auf ein USB-Laufwerk.

3. Führen Sie die Datei auf dem USB-Laufwerk aus.

Sie sollten sofort eine Benachrichtigung „Aktion blockiert“ sehen.

Szenario 4: Ohne ASR-Regeln verschlüsselt die Ransomware-Testdatei Dateien

Deaktivieren Sie die ASR-Demoregeln, um zu sehen, wie sich die Ransomware-Testdatei verhält, wenn die ASR-Regeln deaktiviert sind.

1. Führen Sie eine der folgenden Schritte aus, um die ASR-Regeln zu deaktivieren:
   • Führen Sie das WindowsDefender_ASR_Disabled.ps1 Skript aus (siehe Einrichten der Demonstration).
   • Verwenden Sie den Add-MpPreference PowerShell-Befehl, um die Regeln zu deaktivieren (siehe Bereinigen der Demonstration).
2. Führen Sie die Ransomware-Testdatei (ransomware_testfile_exe.exe) aus c:\demo\ASRSamplesAll aus.

Infolgedessen werden die Dateien in c:\demo verschlüsselt, und Sie erhalten eine Warnmeldung.

Führen Sie die Testdatei erneut aus, um die Dateien zu entschlüsseln.

Bereinigen der Demonstration

Wenn Sie das Setupskript ausgeführt haben, können Sie die Demonstration rückgängigmachen, indem Sie das Bereinigungsskript ausführen:

1. Laden Sie das Bereinigungsskript WindowsDefender_ASR_CFA_CleanupScript.ps1 aus dieser ZIP-Datei herunter, und extrahieren Sie es: https://demo.wd.microsoft.com/Content/ASR_CFA_CleanupScript.zip. Das Bereinigungsskript führt die folgenden Aufgaben aus:

   • Deaktiviert die ASR-Regeln für die Demonstration. Das Bereinigungsskript deaktiviert außerdem zwei weitere ASR-Regeln, die von dieser Demonstration nicht aktiviert werden:
     • Verhindern, dass Adobe Reader untergeordnete Prozesse erstellt (7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c)
     • Office-Kommunikationsanwendung daran hindern, untergeordnete Prozesse zu erstellen (26190899-1602-49e8-8b27-eb1d0a1ce869)
   • Deaktiviert CFA und entfernt c:\demo aus der Liste der von CFA geschützten Ordner, die das Setup-Skript hinzugefügt hat (ohne Ihre anderen geschützten Ordner zu beeinträchtigen).
   • Lädt ein Entschlüsselungstool (ransomware_cleanup_encrypt_decrypt.exe) nach c:\demo\CleanupTools herunter und verwendet es, um testfile_safe.txt zu entschlüsseln, wenn es von Szenario 4 verschlüsselt wurde.

2. Das Bereinigungsskript ist nicht signiert, legen Sie daher die Ausführungsrichtlinie fest, und heben Sie die Blockierung des Skripts auf, wie unter "Einrichten der Demonstration" beschrieben. Führen Sie dann das Bereinigungsskript in einem PowerShell-Fenster mit erhöhten Rechten aus.

   Das Bereinigungsskript legt CFA auf "Deaktiviert" fest. Wenn Sie den ursprünglichen CFA-Modus vor dem Starten der Demonstration (durch Ausführen Get-MpPreference | Format-List EnableControlledFolderAccess) aufgezeichnet haben, stellen Sie diesen Wert jetzt wieder her. Ersetzen Sie <mode> durch den ursprünglichen CFA-Moduswert (z. B. Enabled, AuditMode oder Disabled), und führen Sie dann den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten aus:

   Set-MpPreference -EnableControlledFolderAccess <mode>
   

Wenn Sie die manuelle Methode verwendet haben, führen Sie die folgenden Schritte aus:

1. Deaktivieren Sie die ASR-Regeln der Demonstration. Führen Sie das WindowsDefender_ASR_Disabled.ps1 Skript aus (siehe Einrichten der Demonstration), oder führen Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten aus:

   Add-MpPreference -AttackSurfaceReductionRules_Ids 01443614-cd74-433a-b99e-2ecdc07bfc25,3b576869-a4ec-4529-8536-b80a7769e899,5beb7efe-fd9a-4556-801d-275e5ffc04cc,75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84,92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b,b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4,be9ba2d9-53ea-4cdc-84e5-9b1eeee46550,c1db55ab-c21a-4637-bb3f-a12568109d35,d1e49aac-8f56-4280-b9ba-993a6d77406c,d3e037e1-3eb8-44c8-a917-57927947596d,d4f940ab-401b-4efc-aadc-ad5f3c50688a -AttackSurfaceReductionRules_Actions Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled,Disabled
   

2. Wenn Szenario 4 die Dateien in c:\demo verschlüsselt hat, entschlüsseln Sie sie mithilfe des Entschlüsselungstools (ransomware_cleanup_encrypt_decrypt.exe).

Je nachdem, welche Methode Sie verwendet haben, löscht das Bereinigungsskript die Testdateien nicht, oder entfernt den c:\demo Microsoft Defender Antivirus-Ausschluss, den das Setupskript (oder die manuellen Schritte) hinzugefügt hat. So stellen Sie die Änderungen vollständig zurück:

1. Lösche alle Testdateien, die du nach draußen c:\demokopiert hast.

2. Löschen Sie den c:\demo Ordner und die darin enthaltenen Testdateien. Führen Sie diesen Schritt aus, bevor Sie den Ausschluss im nächsten Schritt entfernen. Andernfalls erkennt Microsoft Defender Antivirus die verbliebenen Testdateien (z. B. als Trojan:Win32/Vigorf.A) und stellt sie unter Quarantäne, wenn der Echtzeitschutz für den Ordner wieder aktiviert wird. Führen Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten aus:

   Remove-Item -Path C:\demo -Recurse -Force
   

3. Entfernen Sie den c:\demo Microsoft Defender Antivirus-Ausschluss, indem Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten ausführen:

   Remove-MpPreference -ExclusionPath C:\demo
   

Verwandte Inhalte

• Übersicht über Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR)
• Leitfaden für die Bereitstellung von Regeln zur Verringerung der Angriffsfläche (ASR)
• Microsoft Defender for Endpoint : Demonstrationsszenarien