Anwendungssteuerung
App Control: Managed Installer, ISG, ergänzende Richtlinien
App Control for Business wartbar halten: Intune oder ConfigMgr als Managed Installer vertrauen, ISG mit Bedacht nutzen und per ergänzender Richtlinie delegieren.
Experte
Windows härten, Fenster für Fenster.
Eine praktische Karte der Windows-Härtung für Endgeräte, Server und Domänen. Jede Maßnahme kommt mit Gruppenrichtlinienpfad, Registrierungswert, dem PowerShell-Befehl zur Prüfung und dem, was sie kaputt machen kann.
Zielzustand · Tier-1-Mitgliedsserver
89%
Maßnahmen erzwungen
Extra local admins
0
−100% / 30 d
App Control audit
412
im Audit
- Local admin passwordWindows LAPS · 30 dErzwungenErzwungen
- LSASSRunAsPPL = 1ErzwungenErzwungen
- Credential GuardLsaCfgFlags = 1ErzwungenErzwungen
- ASR rulesBlockErzwungenErzwungen
- SMB signingRequireSecuritySignature = 1ErzwungenErzwungen
- LLMNREnableMulticast = 0ErzwungenErzwungen
- NTLMLmCompatibilityLevel = 5ErzwungenErzwungen
- PowerShellScriptBlockLogging = 1ErzwungenErzwungen
- App ControlAudit modeim Audit
Ausgerichtet an
- Microsoft Security Baselines
- CIS Benchmarks
- DISA STIG
- ANSSI
- MITRE ATT&CK
- Bereiche
- 12
- Leitfäden
- 49
- Glossarbegriffe
- 29
- Sprachen
- 4
Warum es funktioniert
Geschrieben für alle, die Produktion ändern
Jeder Leitfaden folgt demselben Aufbau: vom Befund zur durchgesetzten Maßnahme, ohne zweiten Tab.
Exakte Pfade und Werte
Der Gruppenrichtlinienpfad, der Registrierungswert und das zu setzende Attribut. Keine vagen Empfehlungen.
PowerShell zur Prüfung
Den Ist-Zustand vor der Änderung lesen und die Änderung danach belegen, mit Befehlen zum Kopieren.
Was es bricht
Jeder Leitfaden endet mit den Kompatibilitätsfolgen, damit die Maßnahme nicht beim ersten Ticket zurückgerollt wird.
Erst auditieren, dann erzwingen
Audit-Modi, Ereignis-IDs und Rollout-Ringe: der Rollout, der Legacy-Anwendungen übersteht.
Nach Wirkung geordnet
Eine Karte aus zwölf Bereichen und ein 90-Tage-Plan, der die Maßnahmen gegen die meisten Angriffe zuerst angeht.
Die Karte
Zwölf Bereiche, von Identität bis Baseline
Jeder Bereich bündelt die Maßnahmen gegen dieselbe Angriffsklasse. Beginnen Sie, wo Sie wollen, doch die ersten beiden Bereiche stoppen die meisten realen Domänenkompromittierungen.
- 01Konten & privilegierter ZugriffEindeutige lokale Admin-Kennwörter, Admin-Tiering und ein kleines, geschütztes Tier 0.Windows LAPSTier modelProtected UsersClientServerAD4 Leitfäden
- 02Schutz von AnmeldedatenGeheimnisse mit Credential Guard und LSA-Schutz aus dem LSASS-Speicher fernhalten.Credential GuardRunAsPPLWDigest offClientServer4 Leitfäden
- 03Reduzierung der AngriffsflächeDie Verhaltensweisen blockieren, auf die Malware angewiesen ist: Office-Kindprozesse, LSASS-Zugriffe, Skript-Dropper.ASR rulesExploit protectionClientServer4 Leitfäden
- 04Microsoft DefenderDen integrierten Virenschutz zum gehärteten Sensor machen: Cloud-, Manipulations- und Netzwerkschutz.Tamper ProtectionCloud protectionNetwork protectionClientServer4 Leitfäden
- 05AnwendungssteuerungMit App Control for Business (WDAC) und AppLocker festlegen, was ausgeführt werden darf.App Control (WDAC)AppLockerClientServer4 Leitfäden
- 06Legacy-ProtokolleSMBv1, NTLMv1, LLMNR und NBT-NS abschalten; SMB- und LDAP-Signierung erzwingen.SMB signingNTLMv2 onlyLLMNR offClientServerAD4 Leitfäden
- 07Windows-FirewallEingehend standardmäßig verweigert, Admin-Ports auf Managementnetze begrenzt, kein SMB zwischen Clients.Default deny inboundMgmt-subnet rulesLoggingClientServer4 Leitfäden
- 08BitLocker & StartsicherheitJedes Volume verschlüsseln, Wiederherstellungsschlüssel hinterlegen und die Startkette mit TPM und Secure Boot schützen.BitLockerTPM + PINSecure BootClientServer4 Leitfäden
- 09PowerShell-SicherheitProtokollieren, was PowerShell ausführt, v2 entfernen und die Sprache dort einschränken, wo sie niemand braucht.Script block loggingCLMJEAClientServer4 Leitfäden
- 10Überwachung & ProtokollierungErweiterte Überwachungsrichtlinie, Befehlszeilen-Erfassung, Sysmon und Log-Weiterleitung, die einen Vorfall überstehen.Advanced audit policySysmonWEFClientServerAD4 Leitfäden
- 11Patches & UpdatesRingbasierter Rollout mit erzwungenen Fristen, dazu Treiber, Firmware und Apps außerhalb von Windows Update.Update ringsDeadlinesKEV-firstClientServer4 Leitfäden
- 12SicherheitsbaselinesVon Microsoft- und CIS-Baselines ausgehen, Abweichungen messen, jede Ausnahme dokumentieren.Microsoft SCTCIS BenchmarksPolicy AnalyzerClientServerAD4 Leitfäden
Fahrplan
Ein 90-Tage-Plan in drei Phasen
Die Reihenfolge zählt. Zuerst die tatsächlich genutzten Angriffspfade schließen, dann die Struktur korrigieren, dann halten.
Tag 0–30
Die schnellen Erfolge
Windows LAPS, lokale Adminrechte entzogen, ASR-Regeln, LLMNR und NBT-NS aus, Makros aus dem Internet blockiert.
Tag 31–60
Anmeldedaten schützen, Lateral Movement stoppen
Credential Guard und LSA-Schutz, sicheres RDP, Admin-Tiering, Firewall-Regeln, PowerShell-Protokollierung.
Tag 61–90
Strukturelle Härtung
App Control, BitLocker mit TPM+PIN, Speicherintegrität, TLS-Bereinigung und Drift-Erkennung.
Methode
Jede Änderung folgt derselben Schleife
Windows-Härtung scheitert, wenn sie etwas kaputt macht und zurückgerollt wird. Fast jede Maßnahme auf dieser Karte hat einen Überwachungsmodus: Nutzen Sie ihn.
- 01MessenDen Ist-Zustand mit PowerShell oder Policy Analyzer erfassen, bevor irgendetwas geändert wird.
- 02ÜberwachenDie Maßnahme im Überwachungsmodus aktivieren und die Ereignisse sammeln, die sie blockiert hätte.
- 03ErzwingenEchte Kollisionen beheben oder ausnehmen, dann Ring für Ring mit Rückfallplan erzwingen.
- 04PrüfenDie Einstellung erneut prüfen und bei Abweichungen alarmieren, damit sie auch nach der nächsten Neuinstallation aktiv bleibt.
Leitfäden
Neueste Leitfäden
Anwendungssteuerung
AppLocker-Rollout: Skripte, Installer und App-Pakete
AppLocker sicher ausrollen: Dienst Anwendungsidentität, Überwachungsmodus, Herausgeberregeln für EXE, Skripte, MSI und App-Pakete sowie Lücken in beschreibbaren Ordnern.
Fortgeschritten
BitLocker & Startsicherheit
BitLocker-Wiederherstellungsschlüssel sicher verwalten
BitLocker-Wiederherstellungsschlüssel richtig verwalten: in AD DS oder Entra ID hinterlegen, Abdeckung nachweisen, Lesezugriff beschränken, überwachen und rotieren.
Grundlagen
Schutz von Anmeldedaten
Zwischengespeicherte Anmeldungen, WDigest und Co.
Weniger Anmeldedaten auf Datenträger und im Speicher: Anzahl zwischengespeicherter Anmeldungen, WDigest, Bereinigung nach Abmeldung und Anmeldeinformationsverwaltung.
Grundlagen
Sicherheitsbaselines
Konfigurationsdrift: OSConfig, DSC und Compliance-Berichte
Konfigurationsdrift unter Windows erkennen und korrigieren: OSConfig auf Server 2025, PowerShell DSC mit Autokorrektur, GPO-Neuverarbeitung, Änderungsereignisse, Berichte.
Experte
Microsoft Defender
Überwachter Ordnerzugriff: Ransomware-Schutz, der wirkt
Überwachten Ordnerzugriff von Defender gegen Ransomware ausrollen: Überwachungsmodus, Ereignisse 1123 und 1124, Apps zulassen, Ordner schützen und in Ringen erzwingen.
Fortgeschritten
Härten Sie jeden Windows-Rechner, bevor es jemand anderes testet.
Beginnen Sie mit dem 90-Tage-Plan oder wählen Sie den Bereich, der Ihnen am meisten Sorgen macht.