Blockieren anfälliger Anwendungen mit Microsoft Defender Vulnerability Management

Dieser Artikel erklärt, wie man Block- und Warnmaßnahmen im Microsoft Defender Vulnerability Management nutzen kann, um das Risiko durch verwundbare Anwendungsversionen vorübergehend zu reduzieren, während die Behebung läuft.

Das Beheben von Sicherheitsrisiken dauert Zeit. Dies hängt häufig von den Ressourcen und der Arbeitsauslastung des IT-Teams ab. Um risiken schnell zu reduzieren, können Sicherheitsadministratoren alle bekannten anfälligen Versionen einer App blockieren, bis der Fix abgeschlossen ist. Das Blockieren verwundbarer Versionen gibt IT-Teams Zeit, die App zu patchen, ohne Sicherheitslücken zu hinterlassen.

Aus einer Sicherheitsempfehlung können Administratoren anfällige Versionen einer App als Entschärfungsschritt blockieren. Das System erstellt Dateiindikatoren für Kompromittierung (IOCs) – datei-Hash-basierte Erkennungsregeln – für jede ausführbare Datei in diesen Versionen. Microsoft Defender Antivirus blockiert diese Dateien dann auf Geräten im definierten Bereich.

Wählen Sie zwischen Blockierungs- und Warnminderungsmaßnahmen

Die Blockierungsaktion soll alle installierten, verwundbaren Versionen einer Anwendung blockieren, die in einer Sicherheitsempfehlung identifiziert wurden, daran hindern, in Ihrer Organisation ausgeführt zu werden. Wenn beispielsweise eine aktive Zero-Day-Sicherheitslücke vorliegt, können Sie Ihre Benutzer daran hindern, die betroffene Software auszuführen, während Sie Umgehungsoptionen festlegen.

Die Warnungsaktion dient zum Senden einer Warnung an Ihre Benutzer, wenn sie anfällige Versionen der Anwendung öffnen. Benutzer können die Warnung umgehen und für nachfolgende Starts auf die Anwendung zugreifen.

Für beide Aktionen können Sie die Meldung anpassen, die den Benutzern angezeigt wird. Beispielsweise können Sie sie dazu ermutigen, die neueste Version zu installieren. Darüber hinaus können Sie eine benutzerdefinierte URL angeben, zu der benutzer navigieren, wenn sie die Benachrichtigung auswählen. Der Nutzer muss den Hauptteil der Toast-Benachrichtigung auswählen, um der benutzerdefinierten URL zu folgen. Die Toast-Benachrichtigung kann verwendet werden, um mehr Details speziell zum Anwendungsmanagement in Ihrer Organisation zu liefern.

Mindestanforderungen für das Blockieren von Anwendungen

Die folgenden Anforderungen müssen erfüllt sein, bevor Sie Blockierungs- oder Warnungsaktionen zur Risikominderung verwenden können:

• Microsoft Defender Antivirus (aktiver Modus):Für die Erkennung von Dateiausführungsereignissen und das Blockieren muss Microsoft Defender Antivirus im aktiven Modus aktiviert sein. Systembedingt können der passive Modus und EDR im Blockmodus Dateien nicht auf Grundlage ihrer Ausführung erkennen und blockieren. Weitere Informationen finden Sie unter Microsoft Defender Antivirus bereitstellen.
• In der Cloud bereitgestellter Schutz (aktiviert):Weitere Informationen finden Sie unter Verwalten des cloudbasierten Schutzes.
• Datei erlauben oder blockieren (an): Gehe zu Einstellungen>Endpunkte Erweiterte>Funktionen>Datei erlauben oder blockieren. Weitere Informationen finden Sie unter Konfigurieren fortgeschrittener Funktionen in Microsoft Defender for Endpoint.

Versionsanforderungen für das Blockieren von Anwendungen

Stellen Sie sicher, dass Ihre Geräte und Komponenten die folgenden Versionsanforderungen erfüllen:

• Die Version des Anti-Malware-Clients muss 4.18.1901.x oder höher sein.
• Die Engine-Version muss 1.1.16200.x oder höher sein.
• Auf Windows-Clientgeräten muss Windows 11 oder Windows 10, Version 1809 oder höher, ausgeführt werden, und die neuesten Windows-Updates müssen installiert sein.
• Server müssen unter Windows Server 2022, 2019, 2016, 2012 R2 und 2008 R2 SP1 ausgeführt werden. Die Unterstützung für Windows Server 2025 wird eingeführt, beginnend im Februar 2025 und in den nächsten Wochen.

Blockieren anfälliger Anwendungen

Führen Sie die folgenden Schritte aus, um anfällige Anwendungen zu blockieren:

1. Führen Sie im Microsoft Defender-Portal eine der folgenden Aktionen aus:

   • Wenn Sie ein Microsoft Defender XDR + Microsoft Defender for Identity-Kunde der Vorschauversion sind, wählen Sie Exposure management>Recommendations aus.
   • Wenn Sie bereits Kunde sind, wählen Sie Endpunkte>Sicherheitsrisikoverwaltung>Empfehlungen aus.

2. Wählen Sie eine Sicherheitsempfehlung aus, um ein Flyout mit weiteren Informationen anzuzeigen.

3. Wählen Sie Wartung anfordern aus.

4. Füllen Sie das Formular aus. Wählen Sie in der Dropdownliste Wartungsoptionen aus, welche der Optionen Sie anfordern möchten. Die Optionen sind Softwareupdate, Softwaredeinstallation und Aufmerksamkeit erforderlich.

5. Aktivieren Sie unter Aufgabenverwaltungstools das Kontrollkästchen Ticket in Intune öffnen (für in AAD eingebundene Geräte), wenn Sie ein Ticket in Microsoft Intune für die Wartungsanforderung erstellen möchten.

6. Wählen Sie ein Fälligkeitsdatum für die Wartung aus.

7. Wählen Sie unter Priorität die Option Hoch, Mittel oder Niedrig aus.

8. Unter Notizen hinzufügen können Sie alle zusätzlichen Informationen hinzufügen. Wählen Sie Weiter aus.

9. Überprüfen Sie die von Ihnen getroffenen Auswahlen, und wählen Sie dann Absenden aus. Auf der letzten Seite können Sie die Auswahl bearbeiten und alle Wartungsanforderungen in eine .CSV-Datei exportieren.

Wenn auf einer anderen Version einer Anwendung weitere Schwachstellen gefunden werden, erhält man eine neue Sicherheitsempfehlung, die auffordert, diese Anwendung zu aktualisieren. Sie können auch die neu identifizierte anfällige Version blockieren.

Wenn blockieren nicht unterstützt wird

Wenn die Option zur Risikominderung nicht angezeigt wird, wenn Sie eine Behebung anfordern, wird das Blockieren für diese App nicht unterstützt. Die folgenden Arten von Empfehlungen enthalten keine Gegenmaßnahmen:

• Microsoft-Anwendungen
• Empfehlungen im Zusammenhang mit Betriebssystemen
• Empfehlungen im Zusammenhang mit Apps für macOS und Linux
• Apps, bei denen Microsoft nicht über genügend Informationen verfügen, um mit hoher Vertrauenswürdigkeit zu blockieren
• Microsoft Store Apps, die nicht blockiert werden können, da Microsoft sie signiert haben

Wenn Sie versuchen, eine App zu blockieren und die Blockaktion nicht erzwungen wird, haben Sie möglicherweise den maximalen Indikatorgrenzwert erreicht. Wenn du das maximale Indikatorlimit erreicht hast, lösche alte Indikatoren, um Platz zu schaffen. Verwalten von Indikatoren.

Anzeigen von Wartungsaktivitäten

Nachdem Sie eine Anforderung zum Blockieren anfälliger Apps übermittelt haben, können Sie die Wartungsaktivitäten anzeigen.

1. Wechseln Sie zur Seite "Korrektur ", und wählen Sie die Registerkarte "Aktivitäten " aus. Filterergebnisse nach Entschärfungstyp: Blockieren, Warnen, Keine oder Problemumgehung.

2. Wählen Sie eine Aktivität aus, um ein Flyout zu öffnen. Der Bereich zeigt die Beschreibung der Problembehebung, die Beschreibung der Risikominderung und den Behebungsstatus des Geräts:

Anzeigen blockierter Anwendungen

Führen Sie die folgenden Schritte aus, um eine Liste der blockierten Anwendungen anzuzeigen:

1. Wählen Sie auf der Seite "Korrektur " die Registerkarte "Blockierte Anwendungen " und dann eine blockierte Anwendung aus.

   Ein Bereich wird mit Details wie der Anzahl der Sicherheitsrisiken, verfügbaren Exploits, blockierten Versionen und Wartungsaktivitäten geöffnet.

2. Wählen Sie auf der Seite "Indikator" die Option "Details der blockierten Versionen anzeigen " aus, um zur Seite "Indikatoren " zu wechseln. Auf der Seite Indikatoren können Sie Datei-Hashes und Reaktionsaktionen ansehen.

   Hinweis

   Wenn Sie die Indikatoren-API mit programmgesteuerten Indikatorabfragen als Teil Ihrer Workflows verwenden, führt die Blockaktion zu weiteren Ergebnissen.

3. Um die Blockierung einer Anwendung aufzuheben, wählen Sie Softwareblockierung aufheben oder Softwareseite öffnen aus:

   

Aufheben der Blockierung von Anwendungen

Wählen Sie eine blockierte Anwendung aus, um die Option Softwareblockierung aufheben im Flyout anzuzeigen.

Nachdem Sie die Blockierung einer Anwendung aufgehoben haben, aktualisieren Sie die Seite, damit sie aus der Liste entfernt wurde. Es kann bis zu 3 Stunden dauern, bis die Blockierung einer Anwendung aufgehoben und für Ihre Benutzer wieder zugänglich ist.

Benutzererfahrung für blockierte Anwendungen

Wenn Benutzer versuchen, auf eine blockierte Anwendung zuzugreifen, erhalten sie eine Meldung, die sie darüber informiert, dass die Anwendung durch ihre organization blockiert wurde. Die Blocked-Application-Nachricht ist anpassbar.

Bei Anwendungen, bei denen die Warnungsminderungsoption angewendet wurde, erhalten Benutzer eine Meldung, die sie darüber informiert, dass die Anwendung durch ihre organization blockiert wurde. Der Benutzer kann den Block für nachfolgende Starts umgehen, indem er "Zulassen" auswählt. Die "Erlaubt"-Umgehung ist nur vorübergehend, und die Anwendung wird nach einiger Zeit wieder blockiert.

Endbenutzer aktualisieren blockierte Anwendungen

Eine häufige Frage ist: "Wie aktualisiert ein Endbenutzer eine blockierte App?" Der Block funktioniert, indem die ausführbare Datei blockiert wird. Einige Apps, z. B. Firefox, verwenden eine separate ausführbare Updatedatei. Die Blockaktion blockiert nicht die separate Update-Ausführungsdatei. In anderen Fällen muss für die App möglicherweise die ausführbare Hauptdatei aktualisiert werden. Wenn ja, kannst du den Block entweder auf Warnmodus stellen, damit der Nutzer ihn umgehen kann, oder, falls keine wichtigen Daten auf dem Client gespeichert sind, den Nutzer bitten, die App zu löschen und neu zu installieren.

Verwandte Inhalte

Verwandte Informationen finden Sie im folgenden Artikel:

• Sicherheitsrisiken in meiner Organisation