Überwachter Ordnerzugriff: Ransomware-Schutz, der wirkt

Ransomware hat am Ende eines Angriffs nur eine Aufgabe: so viele Dateien wie möglich so schnell wie möglich umzuschreiben. Der überwachte Ordnerzugriff (Controlled Folder Access, CFA) setzt genau bei diesem Schritt an. Er erlaubt nur vertrauenswürdigen Anwendungen, Dateien in einer Reihe geschützter Ordner zu ändern; alles andere wird blockiert, unabhängig von den Rechten des Prozesses.

Der Grundlagenleitfaden zur Defender-Härtung empfiehlt ihn wegen der Supporttickets nur „gezielt“. Dieser Leitfaden zeigt, wie Sie diese Tickets durch Überwachung, Allowlisting und schrittweise Erzwingung auf ein beherrschbares Maß senken, sodass Sie die Funktion deutlich breiter einsetzen können. Zum Begriff selbst siehe überwachter Ordnerzugriff.

Wie es funktioniert

• Geltungsbereich. Eine Reihe geschützter Ordner: standardmäßig Dokumente, Bilder, Videos und Musik des Benutzers und der öffentlichen Ordner sowie die Favoriten des Benutzers (am umgeleiteten Speicherort, falls sie umgeleitet sind, etwa durch OneDrive Known Folder Move). Der Desktop gehört nicht zur Standardliste. Sie können weitere Ordner hinzufügen, die Standardordner aber nicht entfernen.
• Vertrauen. Anwendungen, die Defender als vertrauenswürdig einstuft, werden automatisch zugelassen. Andere fügen Sie über den vollständigen Pfad hinzu.
• Aktion. Versucht ein nicht vertrauenswürdiger Prozess, eine Datei in einem geschützten Ordner zu ändern, wird der Schreibvorgang blockiert (bzw. im Überwachungsmodus protokolliert), und der Benutzer erhält eine Benachrichtigung.
• Datenträgersektoren. CFA kann außerdem nicht vertrauenswürdige Schreibzugriffe auf Datenträgersektoren blockieren, wie sie manche Wiper und Bootkits nutzen. Dafür gibt es eigene Modi, sodass Sie diesen Schutz separat aktivieren können.

Voraussetzungen: jede Edition von Windows 10 oder 11, die Defender Antivirus enthält, oder Windows Server 2012 R2 und neuer (2012 R2 und 2016 über die moderne einheitliche Lösung), mit Microsoft Defender Antivirus im aktiven Modus und eingeschaltetem Echtzeitschutz. Im passiven Modus, im EDR-Blockmodus und bei eingeschränkter regelmäßiger Überprüfung funktioniert er nicht.

Die Modi

Die Modi „Nur Datenträgeränderung“ schützen Sektoren, ohne Ordner zu schützen. Sie sind ein reibungsarmer erster Schritt für Server und Geräte, auf denen Ordnerschutz noch nicht realistisch ist.

Schritt 1: Überwachung auf einer repräsentativen Gruppe

In der Gruppenrichtlinie: Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Controlled Folder Access > Configure Controlled folder access = Enabled, Audit Mode.

In Intune: Profil Endpoint security > Attack surface reduction > Attack surface reduction rules, Einstellung Enable Controlled Folder Access = Audit mode (CSP Defender/EnableControlledFolderAccess).

Auf einem Laborrechner:

Set-MpPreference -EnableControlledFolderAccess AuditMode

Wählen Sie die Überwachungsgruppe bewusst aus: mindestens ein Gerät aus jeder Abteilung, jedes Build-Image und die Power-User mit ungewöhnlicher Software (Konstruktion, Design, Finanzen mit Add-ins). Zwei bis vier Wochen normaler Arbeit genügen, um auch monatliche Aufgaben zu erfassen.

Schritt 2: die Ereignisse auswerten

CFA protokolliert unter Applications and Services Logs > Microsoft > Windows > Windows Defender > Operational:

Jedes Ereignis enthält den Prozesspfad und die Zieldatei. Gruppieren Sie geräteübergreifend nach Prozess, um Kandidaten für Ihre Allowlist zu ermitteln:

Get-WinEvent -FilterHashtable @{ LogName = 'Microsoft-Windows-Windows Defender/Operational'; Id = 1124 } |
  ForEach-Object {
    if ($_.Message -match 'Process Name:\s*(.+)') { $Matches[1].Trim() }
  } | Group-Object | Sort-Object Count -Descending | Select-Object Count, Name

Mit Defender for Endpoint fragen Sie die ganze Flotte auf einmal ab:

DeviceEvents
| where ActionType in ("ControlledFolderAccessViolationAudited", "ControlledFolderAccessViolationBlocked")
| summarize Devices = dcount(DeviceId), Events = count() by InitiatingProcessFolderPath, InitiatingProcessFileName
| order by Devices desc

Typische Ergebnisse: selbst entwickelte Tools, ältere Installationsprogramme, portable Apps in Benutzerprofilen, Backup- und Sync-Agents kleinerer Hersteller, Scanner und Etikettendrucker, die in Dokumente speichern, sowie Spiele.

Schritt 3: Legitimes zulassen

Entscheiden Sie für jeden Kandidaten:

• Legitim und soll dort schreiben → über den vollständigen Pfad zulassen.
• Legitim, läuft aber aus einem für Benutzer beschreibbaren Ordner (%LOCALAPPDATA%, Downloads) → zuerst ordnungsgemäß unter Program Files installieren, dann diesen Pfad zulassen. Wer einen für Benutzer beschreibbaren Pfad zulässt, erlaubt Malware, eine gleichnamige Datei abzulegen.
• Nicht legitim oder unbekannt → blockiert lassen und untersuchen.

GPO: Controlled Folder Access > Configure allowed applications = Enabled, mit einem vollständigen Pfad zur ausführbaren Datei pro Zeile (Wert 0). Intune: Controlled Folder Access Allowed Applications (CSP Defender/ControlledFolderAccessAllowedApplications). PowerShell:

Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files\Contoso\LabelPrint\labelprint.exe"

Defender for Endpoint kann signierte Anwendungen auch über einen Allow-Zertifikats- oder Dateiindikator zulassen. Skript-Engines wie PowerShell sind die Ausnahme: CFA vertraut ihnen nicht über Indikatoren, sondern nur als ausdrücklich zugelassene App. Halten Sie für jede zugelassene App einen Verantwortlichen fest, genau wie bei Defender-Ausschlüssen, denn eine zugelassene App ist nichts anderes als ein Ausschluss unter anderem Namen.

Schritt 4: die wichtigen Ordner hinzufügen

Die Standardordner decken persönliche Dateien ab. Ergänzen Sie die Orte, an denen Ihre Organisation tatsächlich wertvolle Daten lokal speichert:

Add-MpPreference -ControlledFolderAccessProtectedFolders "D:\Projects", "C:\Finance"

GPO: Controlled Folder Access > Configure protected folders; Intune: Controlled Folder Access Protected Folders. Denken Sie an OneDrive-Synchronisierungsstammordner, falls Known Folder Move nicht genutzt wird, an lokale Projektordner auf Konstruktionsarbeitsplätzen und an Anwendungsdatenspeicher auf Kioskgeräten. Netzwerkpfade und zugeordnete Laufwerke lassen sich hinzufügen, der Schutz gilt aber für lokale Prozesse, die darauf schreiben.

Schritt 5: in Ringen erzwingen und sperren

Wechseln Sie in Ringen zu Block: zuerst die IT, dann die Überwachungsgruppe, dann Abteilung für Abteilung. Werten Sie nach jedem Schritt weiter Ereignis 1123 aus; die ersten Tage nach dem Livegang eines Rings zeigen, was die Überwachung übersehen hat.

Verhindern Sie, dass Benutzer die Funktion selbst deaktivieren oder Apps zulassen. Wird die Einstellung per GPO oder Intune verwaltet, ist der Schalter in der Windows-Sicherheit ausgegraut. Stellen Sie sicher, dass der Manipulationsschutz aktiv und das lokale Zusammenführen von Listen durch Administratoren deaktiviert ist, damit lokal mit Add-MpPreference hinzugefügte zugelassene Apps ignoriert werden.

Was dabei kaputtgeht

• Speicherfehler ohne klare Meldung. Alte Anwendungen zeigen oft „Zugriff verweigert“ an oder scheitern stillschweigend. Benutzer sehen eine Toast-Benachrichtigung der Windows-Sicherheit, aber nicht immer. Weisen Sie den Service Desk an, bei jedem Ticket der Art „kann nicht in Dokumente speichern“ zuerst Ereignis 1123 zu prüfen.
• Installations- und Updateprogramme, die in die öffentlichen Ordner Dokumente, Bilder, Musik oder Videos schreiben.
• Skripte, die von benutzerinstallierten Interpretern ausgeführt werden und in geschützte Ordner schreiben.
• Ordnerumleitung: Zeigt Dokumente auf eine Netzwerkfreigabe, prüfen Sie, ob der umgeleitete Speicherort so geschützt ist, wie Sie es erwarten, und fügen Sie ihn andernfalls ausdrücklich hinzu.

Ein Runbook für den Service Desk

Die meisten CFA-Tickets sehen nach etwas anderem aus: „Excel kann nicht speichern“, „der Scanner hat meine Dateien verloren“, „der Export-Button tut nichts“. Geben Sie dem Service Desk vor dem ersten Erzwingungsring ein kurzes Runbook an die Hand:

1. Nach dem Zeitpunkt des Fehlers und der verwendeten Anwendung fragen.
2. Auf dem Gerät um diesen Zeitpunkt nach Ereignis 1123 suchen. Das Ereignis nennt den blockierten Prozess und die Datei, die er schreiben wollte.
3. Handelt es sich um eine bekannte Geschäftsanwendung unter Program Files, einen Change beantragen, um sie in die Richtlinie der zugelassenen Anwendungen aufzunehmen. Nicht lokal hinzufügen; bei deaktiviertem lokalem Zusammenführen würde das ohnehin ignoriert.
4. Läuft der Prozess aus einem Benutzerprofil, dem Downloads-Ordner oder einem temporären Pfad, an die Security eskalieren, statt ihn zuzulassen.
5. Als Workaround, bis der Change umgesetzt ist, kann der Benutzer in einen nicht geschützten Ordner speichern und die Datei später verschieben.

Erfassen Sie diese Tickets als eigene Kategorie. Das Volumen nach jedem Ring zeigt, ob die Überwachungsphase lang genug war, und ein plötzlicher Anstieg auf einem Gerät kann das erste Anzeichen dafür sein, dass etwas versucht, Dateien zu verschlüsseln.

Was er nicht leistet

CFA ist eine letzte Verteidigungslinie gegen lokale Verschlüsselung, keine Ransomware-Strategie. Er verhindert weder Datendiebstahl (Lesezugriffe sind erlaubt) noch die Verschlüsselung von Freigaben durch einen entfernten Rechner oder einen Angreifer, der Defender bereits deaktiviert hat. Er ergänzt ASR-Regeln wie Use advanced protection against ransomware, Offline-Backups und eine saubere Verwaltung der Wiederherstellungsschlüssel für BitLocker.

Überprüfen

$p = Get-MpPreference
$p.EnableControlledFolderAccess              # 1 = aktiviert (Blockieren), 2 = Überwachen
$p.ControlledFolderAccessProtectedFolders
$p.ControlledFolderAccessAllowedApplications
(Get-MpComputerStatus).AMRunningMode          # muss Normal sein

Für einen Funktionstest auf einem Pilotgerät führen Sie aus einem temporären Ordner eine kleine, unsignierte Testdatei aus, die versucht, eine Datei in Dokumente zu schreiben. Der Schreibvorgang sollte fehlschlagen, der Benutzer eine Benachrichtigung sehen und Ereignis 1123 Prozess und Ziel nennen. Ereignisse zu Datenträgersektoren werden separat im selben Protokoll erfasst: 1127 (Sektorschreibzugriff blockiert) und 1128 (überwacht).

Checkliste

• Defender AV mit Echtzeitschutz auf allen Zielgeräten aktiv
• CFA 2 bis 4 Wochen im Überwachungsmodus auf einer repräsentativen Gruppe
• Ereignisse 1124 nach Prozess gruppiert; Allowlist aus vollständigen Program Files-Pfaden erstellt
• Zusätzliche geschützte Ordner dort hinzugefügt, wo wertvolle lokale Daten liegen
• In Ringen erzwungen; Ereignis 1123 nach jedem Ring ausgewertet
• Lokales Überschreiben blockiert; Manipulationsschutz aktiv; Alarm für Ereignis 5007
• Sektorschutz auf Servern mindestens im Modus „Nur Datenträgeränderung blockieren“