Pokazuje, jak kontrolowany dostęp do folderów blokuje niezaufaną aplikację przed zapisem w folderze chronionym

Użyj kontrolowanego narzędzia do testowania dostępu do folderów (CFA), aby zobaczyć, jak program antywirusowy Microsoft Defender ocenia i blokuje niezaufaną aplikację, która próbuje zapisać plik w chronionym folderze.

CfA pomaga chronić cenne dane przed złośliwymi aplikacjami i zagrożeniami, takimi jak oprogramowanie wymuszające okup, zezwalając tylko zaufanym aplikacjom na modyfikowanie lub usuwanie plików w folderach chronionych. Aby uzyskać więcej informacji, zobacz Omówienie kontrolowanego dostępu do folderów.

Wymagania wstępne

• Windows 10, wersja 1709 (październik 2017) lub nowsza.
• program antywirusowy Microsoft Defender włączony i w trybie aktywnym.

Aby uzyskać pełną listę wymagań, obsługiwanych systemów operacyjnych i trybów ochrony, zobacz Omówienie kontrolowanego dostępu do folderów (CFA).

Skonfiguruj demonstrację

Get-MpPreference | Format-List EnableControlledFolderAccess

1. Pobierz i wyodrębnij skrypt WindowsDefender_CFA_SetupScript.ps1 instalacyjny z tego pliku ZIP: https://demo.wd.microsoft.com/Content/CFA_SetupScript.zip. Skrypt konfiguracji automatyzuje następujące kroki:

   • Resetuje istniejącą konfigurację demonstracyjną, wyłączając usługę CFA i usuwając c:\demo z listy folderów chronionych (bez wpływu na inne foldery chronione).
   • c:\demo Tworzy folder i dodaje go do listy wykluczeń programu antywirusowego Microsoft Defender (bez wpływu na inne wykluczenia).
   • Pobiera narzędzie testowe CFA (https://demo.wd.microsoft.com/Content/CFAtool.exe) do c:\demo\CFATestFiles.
   • Włącza funkcję CFA w trybie Włączony (blok) i dodaje c:\demo do listy folderów chronionych (bez wpływu na inne foldery chronione).

   Ważna

   Skrypt konfiguracyjny dodaje do c:\demo listy wykluczeń antywirusowych Microsoft Defender. Nie uciekaj CFAtool.exe z c:\demo żadnego z jego podfolderów. Procesy uruchamiane ze ścieżki wykluczonej przez antywirus mogą być traktowane jako zaufane i nie generować oczekiwanego bloku CFA lub wykrywania. Zanim rozpoczniesz demonstrację, skopiuj CFAtool.exe do folderu, który nie jest wyłączony z Microsoft Defender Antivirus.

   Ponieważ WindowsDefender_CFA_SetupScript.ps1 jest współużywany z demonstracją ransomware, pobiera również testowy plik ransomware (ransomware_testfile_unsigned.exe) oraz czysty plik testowy (testfile_safe.txt). Te pliki nie są wykorzystywane w tej demonstracji CFA.

2. Przed uruchomieniem skryptu zezwól na jego wykonanie, ustawiając dla bieżącej sesji zasady wykonywania na RemoteSigned. Uruchom następujące polecenie w sesji programu PowerShell z podwyższonym poziomem uprawnień:

   Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
   

   RemoteSigned jest bezpieczniejsza niż Unrestricted dlatego, że nadal blokuje niepodpisane skrypty pobierane z Internetu, a Process zakres przywraca zmianę po zamknięciu sesji.

   Tip

   Ponieważ skrypt instalacyjny jest niepodpisany, RemoteSigned go blokuje, jeśli skrypt nadal ma oznaczenie „pobrano z Internetu” (Mark of the Web). Jeśli tak się stanie, upewnij się, że skrypt pochodzi z zaufanego źródła, a następnie odblokuj go przed jego uruchomieniem:

   Unblock-File -Path "<path>\WindowsDefender_CFA_SetupScript.ps1"
   

Jeśli nie chcesz uruchamiać skryptu, wykonaj w zamian następujące minimalne kroki. Nie potrzebujesz folderu c:\demo, który tworzy skrypt, ponieważ narzędzie testowe CFA może być używane dla dowolnego chronionego folderu, w tym domyślnie chronionych folderów, takich jak folder Dokumenty.

1. Włącz funkcję CFA w trybie Włączone (blokowanie), uruchamiając następujące polecenie w sesji programu PowerShell uruchomionej z podwyższonymi uprawnieniami:

   Set-MpPreference -EnableControlledFolderAccess Enabled
   

   Aby uzyskać informacje na temat innych sposobów włączania usługi CFA i dostępnych trybów, zobacz Konfigurowanie kontrolowanego dostępu do folderów (CFA).

2. Pobierz narzędzie do testowania CFA z witryny https://demo.wd.microsoft.com/Content/CFAtool.exe.

Uruchamianie pokazu

Jeśli uruchomiono skrypt instalacyjny, użyj narzędzia testowego pobranego przez skrypt:

1. W Eksploratorze plików przejdź do c:\demo\CFATestFiles, i skopiuj CFAtool.exe do folderu, który nie jest wyłączony z Microsoft Defender Antivirus. Nie uruchamiaj narzędzia z c:\demo jego podfolderów ani z nich.

2. Uruchom CFAtool.exe z folderu, który nie jest wyłączony z Microsoft Defender Antivirus.

3. W narzędziu testowym CFA skonfiguruj następujące ustawienia:

   • Nazwa pliku: domyślnie jest zaznaczona, TestFile.txt ale można zmienić nazwę pliku i typ.
   • Zapisz plik do: wybierz opcję Ścieżka niestandardowa, a następnie wprowadź c:\demo (który skrypt instalacyjny dodał do listy folderów chronionych).
   • Załaduj ponownie: pozostaw tę opcję wybraną.

   Gdy wszystko będzie gotowe, wybierz pozycję Utwórz plik.

Lub, jeśli użyto minimalnych kroków ręcznych, uruchom narzędzie testowe względem dowolnego chronionego folderu:

1. Uruchom pobrane narzędzie testowe CFA (CFAtool.exe).

2. W narzędziu testowym CFA skonfiguruj następujące ustawienia:

   • Nazwa pliku: domyślnie jest zaznaczona, TestFile.txt ale można zmienić nazwę pliku i typ.
   • Zapisz plik do: wybierz dowolny folder chroniony przez cfa. Przykład:
     • Documents
     • Obrazy
     • Music
     • Wideo

   Gdy wszystko będzie gotowe, wybierz pozycję Utwórz plik.

W obu przypadkach CFA uniemożliwia narzędziu testowemu zapis w chronionym folderze i zostanie wyświetlone powiadomienie. Aby wyświetlić wynikowe zdarzenia blokowania i inspekcji, zobacz temat Monitorowanie działania funkcji kontrolowanego dostępu do folderów (CFA).

Wyczyść demonstrację

Jeśli uruchomiono skrypt instalacyjny, wycofaj zmiany wprowadzone na potrzeby demonstracji, uruchamiając skrypt czyszczący:

$p = Get-MpPreference;0..([math]::Min($p.AttackSurfaceReductionRules_Ids.Count,$p.AttackSurfaceReductionRules_Actions.Count)-1) | % {[pscustomobject]@{Id=$p.AttackSurfaceReductionRules_Ids[$_];Action=$p.AttackSurfaceReductionRules_Actions[$_]}} | Format-Table -AutoSize

1. Pobierz i wyodrębnij skrypt WindowsDefender_ASR_CFA_CleanupScript.ps1 oczyszczania z tego pliku ZIP: https://demo.wd.microsoft.com/Content/ASR_CFA_CleanupScript.zip. Skrypt oczyszczania wykonuje następujące zadania:

   • Wyłącza usługę CFA i usuwa c:\demo z listy folderów chronionych (bez wpływu na inne chronione foldery).
   • Chociaż w tej demonstracji CFA nie są używane reguły redukcji powierzchni ataku (ASR), skrypt jest współdzielony z demonstracją reguł ASR, dlatego wyłącza następujące reguły ASR:
     • Reguły ASR używane przez demonstrację reguł ASR
     • Blokowanie tworzenia procesów podrzędnych przez program Adobe Reader (7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c)
     • Blokuj tworzenie procesów podrzędnych (26190899-1602-49e8-8b27-eb1d0a1ce869) przez aplikację komunikacji pakietu Office
   • Pobiera narzędzie odszyfrowywania (ransomware_cleanup_encrypt_decrypt.exe) do c:\demo\CleanupTools. To narzędzie jest używane przez demonstrację ransomware, a nie w tym scenariuszu narzędzia testowego.

2. Skrypt czyszczący jest niepodpisany, dlatego ustaw politykę wykonywania i odblokuj skrypt zgodnie z opisem w sekcji Konfigurowanie demonstracji. Następnie uruchom skrypt oczyszczania w sesji programu PowerShell z podwyższonym poziomem uprawnień.

Lub, jeśli wykonano minimalny zestaw czynności ręcznych, ustaw CFA z powrotem na oryginalny tryb, który zanotowano w sekcji Konfigurowanie demonstracji, uruchamiając następujące polecenie w sesji programu PowerShell uruchomionej z podwyższonymi uprawnieniami, gdzie <Mode> jest jednym z dostępnych trybów CFA:

Set-MpPreference -EnableControlledFolderAccess <Mode>

Aby na przykład ponownie wyłączyć usługę CFA (stan domyślny), uruchom następujące polecenie:

Set-MpPreference -EnableControlledFolderAccess Disabled

Jeśli uruchomiono skrypt instalacyjny, utworzył on folder c:\demo zawierający pliki testowe i dodał wykluczenie c:\demo w programie antywirusowym Microsoft Defender, których skrypt czyszczący nie usuwa. Aby całkowicie cofnąć zmiany:

1. c:\demo Usuń folder i pliki testowe, które zawiera. Wykonaj ten krok przed usunięciem wykluczenia w następnym kroku. W przeciwnym razie po wznowieniu ochrony w czasie rzeczywistym dla folderu program antywirusowy Microsoft Defender wykrywa pliki testowe pozostawione (takie jak plik testowy oprogramowania wymuszającego okup i narzędzie do odszyfrowywania) i podda je kwarantannie. Uruchom następujące polecenie w sesji programu PowerShell z podwyższonym poziomem uprawnień:

   Remove-Item -Path C:\demo -Recurse -Force
   

2. Usuń wykluczenie programu antywirusowego c:\demo Microsoft Defender, uruchamiając następujące polecenie w sesji programu PowerShell z podwyższonym poziomem uprawnień:

   Remove-MpPreference -ExclusionPath C:\demo
   

Treści powiązane

• Omówienie kontrolowanego dostępu do folderów (CFA)
• Konfigurowanie kontrolowanego dostępu do folderów (CFA)
• Monitoruj aktywność funkcji kontrolowanego dostępu do folderów (CFA)
• Ochrona punktu końcowego w usłudze Microsoft Defender — scenariusze demonstracyjnych