ASR-Regeln: GUIDs und sicherer Rollout

ASR-Regeln (Attack Surface Reduction, Verringerung der Angriffsfläche) sind in Microsoft Defender Antivirus integrierte Verhaltenssperren. Statt eine schädliche Datei zu erkennen, stoppen sie ein Verhalten, das Malware braucht und legitime Software selten zeigt: Word startet PowerShell, ein Skript startet eine frisch heruntergeladene ausführbare Datei, ein unbekannter Prozess liest den LSASS-Speicher. Da sie nicht von Signaturen abhängen, stoppen sie neue Malware ebenso wie alte.

Außerdem sind sie in Windows kostenlos enthalten, per Gruppenrichtlinie konfigurierbar und bieten einen Überwachungsmodus. Der Hauptgrund, warum sie nicht überall aktiviert sind, ist die Angst, eine Geschäftsanwendung zu brechen. Dieser Leitfaden liefert die vollständige Regelliste und einen Rollout, der dieses Risiko beherrschbar macht.

Voraussetzungen

• Microsoft Defender Antivirus als primärer Virenschutz mit eingeschaltetem Echtzeitschutz (nicht im passiven Modus).
• Eingeschalteter Cloudschutz, da einige Regeln davon abhängen (insbesondere die Verbreitungsregel).
• Windows 10 / Windows Server 2019 oder neuer für den vollständigen Satz; einige Regeln haben eine engere Unterstützung (die Webshell-Regel ist für Server gedacht).

Die Regeln

Microsoft fügt laufend Regeln hinzu; die beiden neuesten sind die Regeln zum abgesicherten Modus und zu kopierten Systemwerkzeugen am Ende der Tabelle. Halten Sie Ihre Defender-Plattform aktuell (Microsoft verlangt für ASR, dass sie höchstens zwei Versionen zurückliegt) und prüfen Sie die Referenz der ASR-Regeln, wenn neue Regeln erscheinen.

Jede Regel kennt einen dieser Zustände: 0 Disabled, 1 Block, 2 Audit, 5 Not configured, 6 Warn. Warn erlaubt dem Benutzer, eine Blockierung für 24 Stunden zu übergehen, was für die lauteren Regeln auf Arbeitsplätzen nützlich ist. Die Regeln für LSASS und für Code-Injection durch Office unterstützen es nicht, und über Configuration Manager ist es nicht verfügbar.

Rollout

1. Standardschutz direkt blockieren

Die drei Regeln des Standardschutzes kollidieren selten mit legitimer Software. Setzen Sie sie überall in den Blockierungsmodus, mit einer Ausnahme: Auf Geräten, die mit Configuration Manager verwaltet werden, dessen Client stark auf WMI setzt, empfiehlt Microsoft, die WMI-Persistenzregel zunächst im Überwachungsmodus zu testen.

$std = "56a863a9-875e-4185-98a7-b882c64b5ce5",
       "9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2",
       "e6db77e5-3df2-4cf1-b95a-636979351e5b"
Add-MpPreference -AttackSurfaceReductionRules_Ids $std `
  -AttackSurfaceReductionRules_Actions Enabled,Enabled,Enabled

2. Alle übrigen Regeln zwei bis vier Wochen überwachen

Per Gruppenrichtlinie: Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Attack Surface Reduction > Configure Attack Surface Reduction rules. Aktivieren Sie die Einstellung und fügen Sie pro Regel eine Zeile hinzu, die GUID unter Value name, den Zustand unter Value. In Intune verwenden Sie ein Profil Attack surface reduction rules unter Endpoint security. Für ein Labor:

Add-MpPreference -AttackSurfaceReductionRules_Ids d4f940ab-401b-4efc-aadc-ad5f3c50688a `
  -AttackSurfaceReductionRules_Actions AuditMode

Verwenden Sie Add-MpPreference statt Set-MpPreference, wenn Sie Regeln einzeln hinzufügen: Set- ersetzt die gesamte Liste.

3. Die Ereignisse lesen

ASR-Ereignisse stehen unter Applications and Services Logs > Microsoft > Windows > Windows Defender > Operational:

Jedes Ereignis enthält die Regel-GUID, den Prozesspfad und das Ziel. Gruppieren Sie flottenweit nach Regel und Prozess. Typischerweise finden Sie eine kurze Liste echter Kollisionen: ein Add-in für Dokumentenmanagement, das einen Hilfsprozess startet, eine Fachanwendung, die aus einem VBA-Makro ausführbare Dateien schreibt, ein Verwaltungsagent, der über WMI gestartet wird.

Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |
  Where-Object Id -in 1121,1122 |
  Select-Object TimeCreated, Id, Message -First 50

4. Eng ausnehmen, dann blockieren

Beheben Sie, was sich beheben lässt (Add-in aktualisieren, Skript signieren, Makro ersetzen). Für den Rest bevorzugen Sie regelspezifische Ausnahmen, die es in aktuellen Versionen der Defender-Plattform gibt, gegenüber globalen ASR-Ausnahmen:

# Globale ASR-Ausnahme (gilt für alle Regeln): sparsam und mit vollständigen Pfaden verwenden
Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Program Files\Contoso\DocHelper.exe"

Nehmen Sie niemals powershell.exe, cmd.exe, wscript.exe, ganze vom Benutzer beschreibbare Ordner wie %TEMP% oder %APPDATA% oder die Office-Binärdateien selbst aus. Das grenzt die Regel nicht ein, es schaltet sie ab.

Stellen Sie die Regeln dann Ring für Ring auf Blockieren um (IT, Pilotbenutzer, dann alle) und behalten Sie nach jedem Schritt das Volumen von 1121 im Blick.

5. Auf dem Endpunkt prüfen

$p = Get-MpPreference
for ($i = 0; $i -lt $p.AttackSurfaceReductionRules_Ids.Count; $i++) {
  "{0}  {1}" -f $p.AttackSurfaceReductionRules_Ids[$i], $p.AttackSurfaceReductionRules_Actions[$i]
}

Erscheinen per GPO oder Intune konfigurierte Regeln nicht, prüfen Sie, ob Defender der aktive Virenschutz ist (Get-MpComputerStatus | Select AMRunningMode sollte Normal liefern) und ob keine widersprüchlichen lokalen und verwalteten Richtlinien existieren.

Exploit-Schutz

Das Geschwister von ASR ist der Exploit-Schutz (Nachfolger von EMET), konfiguriert unter Windows Security > App & browser control > Exploit protection oder über ein exportiertes XML, das die Richtlinie Use a common set of exploit protection settings anwendet. Die systemweiten Standards (DEP, Bottom-up-ASLR, CFG, SEHOP) sollten aktiv bleiben. Anwendungsspezifische Maßnahmen lohnen sich für exponierte ältere Anwendungen, müssen aber getestet werden: Erzwungenes Mandatory ASLR kann eine alte Binärdatei zum Absturz bringen.

Get-ProcessMitigation -System

Checkliste

• Defender AV ist primär, Echtzeit- und Cloudschutz aktiv
• Drei Regeln des Standardschutzes überall im Blockierungsmodus
• Übrige Regeln 2 bis 4 Wochen überwacht, Ereignisse 1122 ausgewertet
• PSExec/WMI-Regel nur dort, wo Configuration Manager nicht eingesetzt wird
• Ausnahmen eng, möglichst regelspezifisch, mit Verantwortlichem dokumentiert
• Regeln ringweise im Blockierungsmodus; Ereignis 5007 auf Manipulation überwacht

ASR-Regeln gehören zu den Einstellungen mit dem höchsten Ertrag unter Windows. Zum Virenschutz, von dem sie abhängen, siehe den Leitfaden zur Härtung von Microsoft Defender; um unbekannte ausführbare Dateien ganz zu stoppen, die Anwendungssteuerung.