ASR-regels (Attack Surface Reduction) en uitsluitingen configureren

Asr-regels (Attack Surface Reduction) zijn gericht op riskant softwaregedrag op Windows-apparaten die aanvallers vaak misbruiken via malware (bijvoorbeeld het starten van scripts die bestanden downloaden, het uitvoeren van verborgen scripts en het injecteren van code in andere processen). In dit artikel wordt beschreven hoe u ASR-regels inschakelt en configureert.

Voor de beste resultaten gebruikt u beheeroplossingen op ondernemingsniveau, zoals Microsoft Intune of Microsoft Configuration Manager om ASR-regels te beheren. ASR-regelinstellingen van Intune of Configuration Manager overschrijven conflicterende PowerShell-instellingen bij het opstarten. Om te leren hoe conflicten tussen MDM- en groepsbeleidinstellingen worden opgelost, zie Hoe beleidsconflicten worden behandeld.

Vereisten

Zie Vereisten voor ASR-regels voor meer informatie.

Hoe beleidsconflicten worden verwerkt

Wanneer dezelfde ASR-regel via meer dan één methode is geconfigureerd, wordt de precedentie opgelost zoals beschreven in de volgende lijst:

• Lokale apparaatinstellingen (Set-MpPreference): Deze instellingen hebben de laagste prioriteit. Elke beleidsgebaseerde methode overschrijft ze bij het opstarten.

• Groepsbeleid: Overschrijft conflicterende lokale apparaatinstellingen bij opstart. Wanneer zowel Groepsbeleid als een mobiele apparaatbeheer (MDM)-oplossing dezelfde ASR-regel configureren, heeft Groepsbeleid standaard voorrang, tenzij MDMWinsOverGP is ingeschakeld (zie het volgende punt). Om conflicten te voorkomen, configureer je niet dezelfde ASR-regels in zowel Group Policy als MDM.

• MDM: Microsoft Intune of een andere MDM-oplossing overschrijft conflicterende lokale apparaatinstellingen bij het opstarten. Of MDM ook Group Policy overschrijft, hangt af van de MDMWinsOverGP-instelling in de ControlPolicyConflict Policy CSP:

  • Een waarde van 0 (de standaard) betekent dat de Groepsbeleid-instelling voorrang heeft.
  • Een waarde van 1 betekent dat de MDM-instelling wordt toegepast en de conflicterende Group Policy-instelling is geblokkeerd.

  Je kunt MDMWinsOverGPbijvoorbeeld alleen configureren via Policy CSP, bijvoorbeeld door een Intune custom profiel met een OMA-URI of in een andere MDM-oplossing te gebruiken. Er is geen groepsbeleid-instelling of PowerShell-cmdlet voor. Gebruik in een aangepast Intune-profiel de volgende instelling:

  OMA-URI:./Device/Vendor/MSFT/Policy/Config/ControlPolicyConflict/MDMWinsOverGP
  Gegevenstype: Geheel getal
  Waarde: 1

  Opmerking

  Controlled configuration handhaaft alleen instellingen van Intune of Microsoft Defender voor Eindpunt beveiligingsinstellingen en negeert conflicterende groepsbeleid, Configuration Manager en lokale apparaatinstellingen.

• Microsoft Configuration Manager: Past ASR-regels toe via de Policy CSP in zowel de klassieke Exploit Guard-beleidsmodus als de tenant attach mode, zodat het dezelfde MDM-precedentie en MDMWinsOverGP-gedrag volgt.

ASR-regels configureren in Microsoft Intune

Microsoft Intune is het aanbevolen hulpprogramma voor het configureren en distribueren van Defender voor eindpuntfuncties naar apparaten. Intune is echter een afzonderlijk product dat geen deel uitmaakt van Defender voor Eindpunt en niet is opgenomen in alle abonnementen. Als u Intune wilt gebruiken, hebt u een abonnement nodig dat het bevat of kunt u het afzonderlijk kopen als een zelfstandig abonnement of invoegtoepassing. Als u geen Intune hebt, kunt u een van de andere methoden in dit artikel gebruiken. Zie Microsoft Intune licenties voor meer informatie.

In Intune is eindpuntbeveiligingsbeleid de aanbevolen methode voor het implementeren van ASR-regels, hoewel andere methoden ook beschikbaar zijn in Intune (bijvoorbeeld aangepaste profielen met OMA-URIs en CSP's).

ASR-regels en -uitsluitingen configureren in Intune met behulp van eindpuntbeveiligingsbeleid

Om ASR-regels en -uitsluitingen in Microsoft Intune te configureren, gebruik je een endpoint security Attack surface reduction-beleid. Voor gedetailleerde instructies, zie Endpoint Security policies aanmaken of Bestaande beleidsregels wijzigen (links openen nieuwe tabbladen in de Intune-documentatie).

Wanneer je het beleid aanmaakt, gebruik dan deze specifieke instellingen:

• Beleidstype: Selecteer BeheerAanvalsoppervlakreductie> op de Endpoint Security | Overzichtspagina.
• Platform: Selecteer Windows.
• Profiel: Kies Regels voor beperking van het aanvalsoppervlak.

Wanneer je het beleid aanmaakt of aanpast, gebruik dan deze specifieke instellingen op het tabblad Configuratie-instellingen :

• Regels voor het reduceren van aanvalsoppervlakken: Meestal kun je de standaard beschermingsregels in de Block- of Warn-modus activeren zonder te testen. U moet andere ASR-regels testen in de controlemodus voordat u deze overschakelt naar de modus Blokkeren of Waarschuwen . Zie de implementatiehandleiding voor ASR-regels voor meer informatie.

  Nadat u de regelmodus hebt ingesteld op Controleren, Blokkeren of Waarschuwen, wordt een asr alleen per regeluitsluitingssectie weergegeven waarin u uitsluitingen kunt opgeven die alleen van toepassing zijn op die regel.

• Alleen uitsluitingen voor aanvalsoppervlakverkleining: Gebruik deze sectie om uitsluitingen op te geven die van toepassing zijn op alle ASR-regels.

  Gebruik een van de volgende methoden om uitsluitingen per ASR-regel of algemene ASR-regeluitsluitingen op te geven:

  • Selecteer Toevoegen. Voer in het weergegeven vak het pad of het pad en de bestandsnaam in die u wilt uitsluiten. Bijvoorbeeld:

    • C:\folder
    • %ProgramFiles%\folder\file.exe
    • C:\path

  • Selecteer Importeren om een CSV-bestand te importeren dat de namen van bestanden en mappen bevat die u wilt uitsluiten. Het CSV-bestand gebruikt de volgende indeling:

    AttackSurfaceReductionOnlyExclusions
    "C:\folder"
    "%ProgramFiles%\folder\file.exe"
    "C:\path"
    ...
    

    Tip

    Dubbele aanhalingstekens rond de waarden zijn optioneel en worden genegeerd (worden niet gebruikt in de waarden) als u deze opneemt. Gebruik geen enkele aanhalingstekens rond de waarden.

  Zie Bestands- en mapuitsluitingen voor ASR-regels voor meer informatie over uitsluitingen.

• Gecontroleerde maptoegang inschakelen, beveiligde mappen voor gecontroleerde maptoegang en toegestane toepassingen voor gecontroleerde maptoegang: Zie CFA configureren in Intune met behulp van eindpuntbeveiligingsbeleid voor meer informatie.

ASR-regels configureren in Intune met behulp van aangepaste profielen met OMA-URIs en CSP's

Hoewel eindpuntbeveiligingsbeleid wordt aanbevolen, kunt u ook ASR-regels configureren in Intune met behulp van aangepaste profielen die Open Mobile Alliance Uniform Resource Identifier (OMA-URI) instellingen bevatten met behulp van een Windows Policy Configuration Service Provider (CSP).

Zie Deploy OMA-URIs to target a CSP through Intune (OMA-URIs implementeren om een CSP te targeten via Intune) en een vergelijking met on-premises voor algemene informatie over OMA-URIs in Intune.

1. Selecteer in het Microsoft Intune-beheercentrum https://intune.microsoft.comApparaten>Apparaten beheren>Configuratie. Of ga rechtstreeks naar de pagina Apparaten | Configuratie met https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration.

2. Op het tabblad Beleid van apparaten | Configuratiepaginaselecteert u Nieuw beleid maken>.

   

3. In de flyout Een profiel maken die wordt geopend, configureert u de volgende instellingen:

   • Platform: selecteer Windows 10 en hoger.
   • Profieltype: Selecteer Sjablonen.
     • Selecteer Aangepast in de sectie Sjabloonnaam die wordt weergegeven.

   Selecteer Aanmaken.

   

4. De wizard voor aangepaste sjablonen wordt geopend. Configureer op het tabblad Basisinformatie de volgende instellingen:

   • Naam: voer een unieke naam in voor de sjabloon.
   • Beschrijving: voer een optionele beschrijving in.

   Wanneer u klaar bent op het tabblad Basisinformatie , selecteert u Volgende.

5. Selecteer op het tabblad Configuratie-instellingende optie Toevoegen.

   

   In de flyout Rij toevoegen die wordt geopend, stelt u de volgende instellingen in:

   • Naam: voer een unieke naam in voor de regel.

   • Beschrijving: voer een optionele, korte beschrijving in.

   • OMA-URI: voer de apparaatwaarde in van de AttackSurfaceReductionRules-CSP : ./Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionRules

     • Gegevenstype: selecteer Tekenreeks.

     • Waarde: gebruik de volgende syntaxis:

       <RuleGuid1>=<ModeForRuleGuid1>
       <RuleGuid2>=<ModeForRuleGuid2>
       ...
       <RuleGuidN>=<ModeForRuleGuidN>
       

       • GUID-waarden voor ASR-regels zijn beschikbaar op ASR-regels.
       • De volgende regelmodi zijn beschikbaar:
         • 0: Uit
         • 1:Blok
         • 2: Controle
         • 5: Niet geconfigureerd
         • 6:Waarschuwen

       Bijvoorbeeld:

       75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84=2
       3b576869-a4ec-4529-8536-b80a7769e899=1
       d4f940ab-401b-4efc-aadc-ad5f3c50688a=2
       d3e037e1-3eb8-44c8-a917-57927947596d=1
       5beb7efe-fd9a-4556-801d-275e5ffc04cc=0
       be9ba2d9-53ea-4cdc-84e5-9b1eeee46550=1
       

     

     Wanneer u klaar bent met de flyout Rij toevoegen , selecteert u Opslaan.

     Tip

     Op dit moment kunt u ook algemene uitsluitingen van ASR-regels toevoegen aan het aangepaste profiel in plaats van alleen een afzonderlijk profiel te maken voor uitsluitingen. Zie Algemene ASR-regeluitsluitingen configureren in Intune met behulp van aangepaste profielen met OMA-URIs en CSP's voor instructies.

   Ga terug naar het tabblad Configuratie-instellingen en selecteer Volgende.

6. Configureer op het tabblad Toewijzingen de volgende instellingen:

   • Sectie Opgenomen groepen : selecteer een van de volgende opties:
     • Groepen toevoegen: selecteer een of meer groepen die u wilt opnemen.
     • Alle gebruikers toevoegen
     • Alle apparaten toevoegen
   • Sectie Uitgesloten groepen : selecteer Groepen toevoegen om groepen op te geven die moeten worden uitgesloten.

   Wanneer u klaar bent op het tabblad Toewijzingen , selecteert u Volgende.

   

7. Selecteer op het tabblad Toepasselijkheidsregels de optie Volgende.

   U kunt de eigenschappen van de editie van het besturingssysteem en de versie van het besturingssysteem gebruiken om de typen apparaten te definiëren die het profiel al dan niet moeten krijgen.

   

8. Controleer de instellingen op het tabblad Controleren en maken . U kunt Vorige gebruiken of een tabblad selecteren om terug te gaan en wijzigingen aan te brengen.

   Wanneer u klaar bent om het profiel aan te maken, selecteert u Aanmaken op het tabblad Controleren + maken.

   

U keert onmiddellijk terug naar het tabblad Beleid van de apparaten | Configuratiepagina . Mogelijk moet u Vernieuwen selecteren om het beleid te zien.

ASR-regels zijn binnen enkele minuten actief.

Algemene uitsluitingen van ASR-regels configureren in Intune met behulp van aangepaste profielen met OMA-URIs en CSP's

De stappen voor het configureren van globale ASR-regeluitsluitingen in Intune met behulp van een aangepast profiel zijn vergelijkbaar met de ASR-regelstappen in ASR-regels configureren in Intune met behulp van aangepaste profielen met OMA-URIs en CSP's. Het enige verschil zit in het tabblad Configuratie-instellingen , waar je de informatie invoert voor ASR-regeluitsluitingen in plaats van ASR-regels:

Selecteer op het tabblad Configuratie-instellingende optie Toevoegen. In de flyout Rij toevoegen die wordt geopend, stelt u de volgende instellingen in:

• Naam: voer een unieke naam in voor de regel.
  • Beschrijving: voer een optionele, korte beschrijving in.
  • OMA-URI: voer de apparaatwaarde in van de AttackSurfaceReductionOnlyExclusions-CSP : ./Device/Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionOnlyExclusions

    • Gegevenstype: selecteer Tekenreeks.

    • Waarde: gebruik de volgende syntaxis:

      <PathOrPathAndFilename1>
      <PathOrPathAndFilename1>
      ...
      <PathOrPathAndFilenameN>
      

      Bijvoorbeeld:

      C:\folder
      %ProgramFiles%\folder\file.exe
      C:\path
      

Wanneer u klaar bent met de flyout Rij toevoegen , selecteert u Opslaan.

Ga terug naar het tabblad Configuratie-instellingen en selecteer Volgende.

Voltooi de resterende stappen in ASR-regels configureren in Intune met behulp van aangepaste profielen met OMA-URIs en CSP's, te beginnen met het tabblad Toewijzingen .

ASR-regels en uitsluitingen configureren in de Microsoft Defender-portal

Als uw organisatie eindpuntbeveiligingsbeleid beheert in de Microsoft Defender-portal, kunt u ASR-regels en hun uitsluitingen configureren met hetzelfde eindpuntbeveiligingsbeleid dat door Intune wordt gebruikt.

Voor gedetailleerde instructies, zie Maak een endpointbeveiligingsbeleid aan of Bewerk een endpointbeveiligingsbeleid (links openen nieuwe tabbladen).

Wanneer je het beleid aanmaakt op de pagina Endpoint security policies in het Defender-portaal op https://security.microsoft.com/policy-inventory, gebruik dan deze specifieke instellingen:

• Platform selecteren: Selecteer Windows.
• Selecteer sjabloon: Selecteer regels voor het verminderen van aanvalsoppervlakken.

Wanneer u het beleid maakt of wijzigt, gebruikt u dezelfde instellingen die worden beschreven in Configure ASR rules and exclusions in Intune using endpoint security policies op het tabblad Configuratie-instellingen. Deze instellingen omvatten algemene uitsluitingen alleen voor aanvalsvlakvermindering en uitsluitingen per ASR-regel.

Wanneer je het beleid toewijst, gelden toewijzingsgroepbeperkingen voor apparaten die via beveiligingsinstellingen worden beheerd. Zie de stap Toewijzingen voor details.

ASR-regels configureren in elke MDM-oplossing met behulp van de beleids-CSP

Met de Beleidsconfiguratieserviceprovider (CSP) kunnen ondernemingsorganisaties beleidsregels configureren op Windows-apparaten met behulp van elke MDM-oplossing (Mobile Device Management), niet alleen Microsoft Intune. Zie Beleids-CSP voor meer informatie.

U kunt ASR-regels configureren met behulp van de CSP AttackSurfaceReductionRules met de volgende instellingen:

OMA-URI-pad: ./Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionRules
Waarde: <RuleGuid1>=<ModeForRuleGuid1>|<RuleGuid2>=<ModeForRuleGuid2>|...<RuleGuidN>=<ModeForRuleGuidN>

• GUID-waarden voor ASR-regels zijn beschikbaar via ASR-regels
• De volgende regelmodi zijn beschikbaar:
  • 0: Uit
  • 1:Blok
  • 2: Controle
  • 5: Niet geconfigureerd
  • 6:Waarschuwen

Bijvoorbeeld:

75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84=2|3b576869-a4ec-4529-8536-b80a7769e899=1|d4f940ab-401b-4efc-aadc-ad5f3c50688a=2|d3e037e1-3eb8-44c8-a917-57927947596d=1|5beb7efe-fd9a-4556-801d-275e5ffc04cc=0|be9ba2d9-53ea-4cdc-84e5-9b1eeee46550=1

Globale uitsluitingen van ASR-regels configureren in een MDM-oplossing met behulp van de beleids-CSP

U kunt de Policy CSP gebruiken om het globale ASR-regelpad en uitsluitingen voor pad en bestandsnaam te configureren via de AttackSurfaceReductionOnlyExclusions-CSP met de volgende instellingen:

OMA-URI-pad: ./Device/Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionOnlyExclusions
Waarde: <PathOrPathAndFilename1>=0|<PathOrPathAndFilename1>=0|...<PathOrPathAndFilenameN>=0

Bijvoorbeeld C:\folder|%ProgramFiles%\folder\file.exe|C:\path

ASR-regels en algemene uitsluitingen van ASR-regels configureren in Microsoft Configuration Manager

Zie de informatie over het verminderen van kwetsbaarheid voor aanvallen in Een Exploit Guard-beleid maken en implementeren voor instructies.

Configureer ASR-regels en uitsluitingen in het groepsbeleid

1. Open in Gecentraliseerde groepsbeleid de groepsbeleid Beheerconsole (GPMC) op uw groepsbeleid beheercomputer.

2. Vouw in de GPMC-consolestructuur Groepsbeleidsobjecten uit in het forest en domein dat het GPO bevat dat u wilt bewerken.

3. Klik met de rechtermuisknop op het groepsbeleidsobject en selecteer bewerken.

4. Ga in de Editor voor groepsbeleidsbeheer naar Computerconfiguratie>Administratieve sjablonen>Windows-onderdelen>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard > Attack Surface Reduction.

5. In het detailvenster van Aanvalsoppervlak verkleinen zijn de beschikbare instellingen:

   • Regels voor het verminderen van kwetsbaarheid voor aanvallen configureren
   • Bestanden en paden uitsluiten van regels voor aanvalsoppervlakvermindering
   • Een lijst met uitsluitingen toepassen op specifieke ASR-regels (Attack Surface Reduction)

   Gebruik een van de volgende methoden om een ASR-regelinstelling te openen en te configureren:

   • Dubbelklik op de instelling.
   • Klik met de rechtermuisknop op de instelling en selecteer bewerken
   • Selecteer de instelling en selecteer vervolgens Actie>bewerken.

De beschikbare instellingen worden beschreven in Configureer ASR-regels in Groepsbeleid, Configureer globale ASR-regeluitsluitingen in Groepsbeleid, en Configureer per-ASR-regeluitsluitingen in Groepsbeleid.

Configureer ASR-regels in het groepsbeleid

Gebruik de volgende stappen om ASR-regels en de bijbehorende modi te configureren in de instellingen voor Groepsbeleid Aanvalsoppervlaktevermindering:

1. Open in het detailvenster van Kwetsbaarheid voor aanvallen verminderen de instelling Regels voor het verminderen van kwetsbaarheid voor aanvallen configureren .

2. Configureer de volgende opties in het instellingsvenster dat wordt geopend:

   1. Selecteer Ingeschakeld.
   2. De status voor elke ASR-regel instellen: Selecteer Weergeven....
   3. Configureer in het dialoogvenster De status voor elke ASR-regel instellen dat wordt geopend de volgende instellingen:
      • Waardenaam: voer de GUID-waarde van de ASR-regel in.
      • Waarde: voer een van de volgende waarden voor de regelmodus in :
        • 0: Uit
        • 1:Blok
        • 2: Controle
        • 5: Niet geconfigureerd
        • 6:Waarschuwen

   

   Zie ASR-regelmodi voor meer informatie.

   Herhaal deze stap zo vaak als nodig is. Wanneer u klaar bent, selecteert u OK.

Configureer globale ASR-regeluitsluitingen in Group Policy

De paden of bestandsnamen met paden die u opgeeft, worden gebruikt als uitsluitingen voor alle ASR-regels.

1. Open in het detailvenster van Attack Surface Reduction de instelling Bestanden en paden uitsluiten van regels voor Attack Surface Reduction.

2. Configureer de volgende opties in het instellingsvenster dat wordt geopend:

   1. Selecteer Ingeschakeld.
   2. Uitsluitingen van ASR-regels: selecteer Weergeven....

3. Configureer in het dialoogvenster Uitsluitingen van ASR-regels dat wordt geopend de volgende instellingen:

   • Naam van de waarde: voer het pad of het pad en de bestandsnaam in dat van alle ASR-regels moet worden uitgesloten.
   • Waarde: voer in 0.

   De volgende typen waardenamen worden ondersteund:

   • Als u alle bestanden in een map wilt uitsluiten, voert u het volledige mappad in. Bijvoorbeeld C:\Data\Test.
   • Als u een specifiek bestand in een specifieke map wilt uitsluiten (aanbevolen), voert u het pad en de bestandsnaam in. Bijvoorbeeld C:\Data\Test\test.exe.

   Herhaal deze stap zo vaak als nodig is. Wanneer u klaar bent, selecteert u OK.

Uitsluitingen per ASR-regel configureren in Group Policy

De paden of bestandsnamen met paden die u opgeeft, worden gebruikt als uitsluitingen voor specifieke ASR-regels.

1. Open de instelling Een lijst met uitsluitingen toepassen op specifieke Attack Surface Reduction-regels (ASR-regels) in het detailvenster van Attack Surface Reduction.

2. Configureer de volgende opties in het instellingsvenster dat wordt geopend:

   1. Selecteer Ingeschakeld.
   2. Uitsluitingen voor elke ASR-regel: selecteer Weergeven....

3. Configureer in het dialoogvenster Uitsluitingen voor elke ASR-regel die wordt geopend de volgende instellingen:

   • Waardenaam: voer de GUID-waarde van de ASR-regel in.
   • Waarde: voer een of meer uitsluitingen in voor de ASR-regel. Gebruik de syntaxis Path1\ProcessName1>Path2\ProcessName2>...PathN\ProcessNameN. Bijvoorbeeld C:\Windows\Notepad.exe>c:\Windows\regedit.exe>C:\SomeFolder\test.exe.

   Herhaal deze stap zo vaak als nodig is. Wanneer u klaar bent, selecteert u OK.

ASR-regels configureren in PowerShell

Gebruik op het doelapparaat de volgende PowerShell-opdrachtsyntaxis in een PowerShell-sessie met verhoogde bevoegdheid (een PowerShell-venster dat u hebt geopend door Uitvoeren als administrator te selecteren). Met deze syntaxis wordt de modus voor een of meer ASR-regels toegevoegd, ingesteld of verwijderd door elke regel-GUID en de gewenste actie op te geven:

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -AttackSurfaceReductionRules_Ids <RuleGuid1>,<RuleGuid2>,...<RuleGuidN> -AttackSurfaceReductionRules_Actions <ModeForRuleGuid1>,<ModeForRuleGuid2>,...<ModeForRuleGuidN>

• Set-MpPreferenceoverschrijft bestaande regels en de bijbehorende modi met de waarden die u opgeeft. Voer de volgende opdracht uit om de ASR-regels weer te geven die momenteel op het apparaat zijn geconfigureerd, samen met de toegewezen acties:

  $p = Get-MpPreference;0..([math]::Min($p.AttackSurfaceReductionRules_Ids.Count,$p.AttackSurfaceReductionRules_Actions.Count)-1) | % {[pscustomobject]@{Id=$p.AttackSurfaceReductionRules_Ids[$_];Action=$p.AttackSurfaceReductionRules_Actions[$_]}} | Format-Table -AutoSize
  

  Als u nieuwe regels en de bijbehorende modi wilt toevoegen zonder bestaande waarden te beïnvloeden, gebruikt u de cmdlet Add-MpPreference . Als u de opgegeven regels en de bijbehorende modi wilt verwijderen zonder dat dit van invloed is op andere bestaande waarden, gebruikt u de cmdlet Remove-MpPreference . De syntaxis van de opdracht is identiek voor de drie cmdlets.

• GUID-waarden voor ASR-regels zijn beschikbaar op ASR-regels.

• Geldige waarden voor de parameter AttackSurfaceReductionRules_Actions zijn:

  • 0 of Disabled
  • 1 of Enabled (blokmodus )
  • 2 of AuditMode of Audit
  • 5 of NotConfigured
  • 6 of Warn

In het volgende voorbeeld Set-MpPreference worden vier ASR-regels in één opdracht geconfigureerd, waarbij elke regel wordt ingesteld op een andere modus (ingeschakeld, uitgeschakeld of AuditMode):

Set-MpPreference -AttackSurfaceReductionRules_Ids 26190899-1602-49e8-8b27-eb1d0a1ce869,3b576869-a4ec-4529-8536-b80a7769e899,e6db77e5-3df2-4cf1-b95a-636979351e5,01443614-cd74-433a-b99e-2ecdc07bfc25 -AttackSurfaceReductionRules_Actions Enabled,Enabled,Disabled,AuditMode

Algemene uitsluitingen van ASR-regels configureren in PowerShell

Gebruik op het doelapparaat de volgende PowerShell-opdrachtsyntaxis in een PowerShell-sessie met verhoogde bevoegdheid om paduitsluitingen toe te voegen, bij te werken of te verwijderen die van toepassing zijn op alle ASR-regels:

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -AttackSurfaceReductionOnlyExclusions "<PathOrPathAndFilename1>","<PathOrPathAndFilename2>",..."<PathOrPathAndFilenameN>"

• Set-MpPreferenceoverschrijft bestaande ASR-regeluitsluitingen met de waarden die u opgeeft. Voer de volgende opdracht uit om de uitsluitingen van de ASR-regel weer te geven die momenteel op het apparaat zijn geconfigureerd:

  (Get-MpPreference).AttackSurfaceReductionOnlyExclusions
  

  Als u nieuwe uitzonderingen wilt toevoegen zonder bestaande waarden te beïnvloeden, gebruikt u de cmdlet Add-MpPreference . Als u de opgegeven uitzonderingen wilt verwijderen zonder dat dit van invloed is op andere waarden, gebruikt u de cmdlet Remove-MpPreference . De syntaxis van de opdracht is identiek voor de drie cmdlets.

  In het volgende voorbeeld wordt een map () en een specifiek uitvoerbaar bestand (C:\Data\TestC:\Data\LOBApp\app1.exe) uitgesloten van alle ASR-regels op het apparaat:

  Set-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Data\Test","C:\Data\LOBApp\app1.exe"
  

Verwante onderwerpen

• Referentie voor ASR-regels (Attack Surface Reduction)
• Vermindering van kwetsbaarheid voor aanvallen evalueren
• Veelgestelde vragen over het verminderen van kwetsbaarheid voor aanvallen