Microsoft-Defender-Ausschlüsse prüfen und minimieren

Jeder Microsoft Defender-Ausschluss ist eine Stelle, an der der Virenschutz absichtlich wegschaut. Die meisten wurden seinerzeit aus gutem Grund hinzugefügt (ein langsamer Build-Server, ein Supportfall beim Hersteller, ein Fehlalarm) und dann vergessen. Ransomware-Betreiber wissen das: Ausschlüsse auflisten und hinzufügen gehört zu den ersten Dingen, die sie mit Adminrechten tun, und ein bereits ausgeschlossener Ordner ist der ideale Ort, um Werkzeuge bereitzulegen.

Der Grundlagenleitfaden zur Defender-Härtung nennt die Warnsignale. Dieser Leitfaden ist die vollständige Prüfung: jeden Ausschluss aus jeder Quelle finden, entscheiden, welche bleiben, die verbleibenden eng fassen und dann verhindern, dass die Liste wieder wächst.

Welche Arten von Ausschlüssen es zu finden gilt

„Ausschlüsse“ sind nicht eine einzige Liste. Eine Prüfung, die nur ExclusionPath betrachtet, übersieht die meisten.

Prüfen Sie außerdem, dass die automatischen Ausschlüsse für Serverrollen nicht deaktiviert sind (DisableAutoExclusions sollte false sein), denn wer sie abschaltet, fügt meist eine deutlich breitere manuelle Liste hinzu.

Schritt 1: aus allen Quellen sammeln

Ausschlüsse stammen aus Gruppenrichtlinien, Intune, Configuration Manager und lokaler Konfiguration, und Defender führt sie zusammen, sofern Sie das lokale Zusammenführen nicht deaktiviert haben. Beginnen Sie mit der effektiven Liste auf einer Stichprobe von Geräten, ausgeführt als Administrator oder SYSTEM:

$p = Get-MpPreference
[pscustomobject]@{
  Computer   = $env:COMPUTERNAME
  Paths      = $p.ExclusionPath -join '; '
  Extensions = $p.ExclusionExtension -join '; '
  Processes  = $p.ExclusionProcess -join '; '
  AsrOnly    = $p.AttackSurfaceReductionOnlyExclusions -join '; '
  CfaApps    = $p.ControlledFolderAccessAllowedApplications -join '; '
  AllowIds   = $p.ThreatIDDefaultAction_Ids -join '; '
}

Führen Sie das Skript über Ihr Managementwerkzeug aus, sammeln Sie pro Gerät eine CSV-Datei und gruppieren Sie nach Wert, um zu sehen, welche Ausschlüsse flottenweit gelten und welche Einzelfälle sind.

Lesen Sie dann die Quellen aus, damit Sie wissen, wer welchen Ausschluss hinzugefügt hat:

# Per Gruppenrichtlinie verteilte Ausschlüsse
Get-ChildItem "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions" -Recurse |
  ForEach-Object { $_.Name; $_.GetValueNames() }

# Lokal hinzugefügte Ausschlüsse (auf aktuellen Plattformen nur als SYSTEM lesbar)
Get-ChildItem "HKLM:\SOFTWARE\Microsoft\Windows Defender\Exclusions" -Recurse

Prüfen Sie in Intune jedes Profil unter Endpoint security > Antivirus und jedes Antivirus exclusions-Profil sowie Settings-Catalog-Profile, die den Defender-CSP verwenden (ExcludedPaths, ExcludedExtensions, ExcludedProcesses). In der Gruppenrichtlinie lautet die Einstellung Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Exclusions. Get-GPOReport -All -ReportType Xml und eine Suche nach Exclusions finden jedes GPO, das Ausschlüsse setzt.

Um einen einzelnen Pfad auf einem Gerät zu testen, unterstützen aktuelle Plattformen:

& "$env:ProgramFiles\Windows Defender\MpCmdRun.exe" -CheckExclusion -path "D:\Build\out"

Angreifer nutzen dieselbe Technik, um ausgeschlossene Ordner zu finden. Sie gehört deshalb auch auf Ihre Liste der zu überwachenden Befehlszeilen.

Schritt 2: jeden Ausschluss bewerten

Beantworten Sie für jeden Eintrag vier Fragen und halten Sie die Antworten schriftlich fest:

1. Wem gehört er? Einer namentlich benannten Person oder einem Team, nicht „dem Hersteller“.
2. Warum gibt es ihn? Performance, ein Fehlalarm, eine Herstellervorgabe. Bewahren Sie das Ticket oder Dokument auf.
3. Wird er noch gebraucht? Ist die Software noch installiert? Hat der Hersteller den Fehlalarm behoben? Besteht das Performanceproblem mit dem aktuellen Defender wirklich noch?
4. Ist er so eng wie möglich? Eine bestimmte Datei statt eines Ordners, ein Ordner statt eines Laufwerks, ein Pfad statt eines Prozesses.

Alles, wofür sich nach angemessener Nachfrage kein Verantwortlicher findet, wird im nächsten Ring entfernt, begleitet von einer Überwachung der Folgen.

Schritt 3: breite Ausschlüsse durch enge ersetzen

Zwei technische Details bringen viele ins Straucheln:

• Umgebungsvariablen werden im SYSTEM-Kontext aufgelöst. %APPDATA% in einem Ausschluss verweist auf das Systemprofil, nicht auf das des Benutzers. Verwenden Sie explizite Pfade oder unterstützte Platzhalter und prüfen Sie das Ergebnis mit -CheckExclusion.
• Prozessausschlüsse gelten für das, was der Prozess öffnet, nicht für das Prozessabbild, und nur für den Echtzeitschutz (nicht für geplante oder bedarfsgesteuerte Scans). Wer einen Interpreter nach Namen ausschließt, nimmt jedes Skript aus, das er liest.

Erwägen Sie für Build-Server und Entwicklerrechner den Leistungsmodus auf einem Dev Drive (Windows 11) statt Ordnerausschlüssen: Defender scannt Dateien auf dem Dev Drive dann asynchron statt gar nicht. Bei einem Fehlalarm reichen Sie die Datei bei Microsoft ein und verwenden einen Allow-Indikator von Defender for Endpoint auf den Datei-Hash, der genau eine Datei abdeckt, statt eines Pfads.

Schritt 4: verhindern, dass die Liste wieder wächst

• Lokales Zusammenführen deaktivieren. Microsoft Defender Antivirus > Configure local administrator merge behavior for lists = Disabled (Intune: DisableLocalAdminMerge). Lokal hinzugefügte Ausschlüsse, auch die eines Angreifers, werden dann ignoriert.
• Ausschlüsse vor lokalen Admins verbergen. Microsoft Defender Antivirus > Exclusions > Control whether or not exclusions are visible to Local Admins = Enabled (Intune: HideExclusionsFromLocalAdmins). Dadurch wird implizit auch die Variante Local Users aus dem Grundlagenleitfaden aktiviert; die Ausschlüsse gelten weiterhin, erscheinen aber nicht mehr in der App Windows-Sicherheit, in Get-MpPreference oder im Registrierungs-Editor, sodass ein Angreifer mit Adminrechten keine fertige Karte vorfindet. Der Defender-CSP führt die Einstellung ab Windows 10 1809.
• Ausschlüsse vor Manipulation schützen. Mit aktivem Manipulationsschutz schützt Defender auch Ausschlüsse vor lokaler Änderung, wenn alle folgenden Bedingungen erfüllt sind: Plattform 4.18.2211.5 oder neuer, DisableLocalAdminMerge aktiviert, das Gerät wird ausschließlich von Intune oder ausschließlich von Configuration Manager verwaltet (Co-Management wird nicht unterstützt) und der Defender-for-Endpoint-Sensor läuft, und die Ausschlüsse werden von diesem Werkzeug verteilt. HKLM\SOFTWARE\Microsoft\Windows Defender\Features\TPExclusions = 1 zeigt an, dass der Schutz aktiv ist.
• Einen Änderungsprozess vorschreiben. Neue Ausschlüsse laufen über ein Ticket mit Verantwortlichem, Begründung und Prüfdatum und liegen in einer zentralen Richtlinie pro Geltungsbereich, nicht verstreut über viele GPOs.

Schritt 5: Änderungen überwachen

Defender protokolliert jede Konfigurationsänderung als Ereignis 5007 unter Applications and Services Logs > Microsoft > Windows > Windows Defender > Operational, mit altem und neuem Wert. Ein Ausschluss erscheint als Registrierungspfad unter Windows Defender\Exclusions:

Get-WinEvent -FilterHashtable @{ LogName = 'Microsoft-Windows-Windows Defender/Operational'; Id = 5007 } |
  Where-Object Message -match 'Exclusions' |
  Select-Object TimeCreated, Message

Mit Defender for Endpoint erfasst Advanced Hunting Änderungen über die gesamte Flotte:

DeviceRegistryEvents
| where RegistryKey has @"Windows Defender\Exclusions"
| where ActionType in ("RegistryValueSet", "RegistryKeyCreated")
| project Timestamp, DeviceName, RegistryKey, RegistryValueName, InitiatingProcessCommandLine

Alarmieren Sie bei jeder Änderung an Ausschlüssen außerhalb Ihres Änderungsfensters sowie bei Add-MpPreference oder Set-MpPreference mit -Exclusion in den PowerShell-Skriptblockprotokollen. Denken Sie daran, dass AV-Ausschlüsse den EDR-Sensor nicht blind machen: Defender for Endpoint zeichnet Aktivitäten in ausgeschlossenen Pfaden weiterhin auf, und genau das ermöglicht die oben beschriebene Erkennung.

Server und Sonderfälle

Server tragen die längsten und ältesten Ausschlusslisten, meist kopiert aus Herstellerdokumenten, die für Windows Server 2008 geschrieben wurden. Arbeiten Sie sie Rolle für Rolle ab:

• Domänencontroller. Automatische Ausschlüsse decken die AD-DS-Datenbank, die Protokolle und SYSVOL bereits ab. Entfernen Sie manuelle Duplikate und behandeln Sie jeden breiten Ausschluss auf einem DC (ein ganzes Laufwerk, C:\Windows\Temp) als Befund mit hohem Schweregrad, denn auf einem DC möchte ein Angreifer seine Werkzeuge am liebsten unbemerkt ablegen.
• SQL Server, Exchange und Backupserver. Die Hersteller veröffentlichen präzise Listen. Vergleichen Sie Ihre mit der aktuellen Version, nicht mit der aus der Erstinstallation; viele Listen sind kürzer geworden.
• Hyper-V- und VDI-Hosts. Schließen Sie die in der Dokumentation genannten Speicherorte für virtuelle Datenträger und Konfigurationsdateien aus, nicht das ganze Volume. Folgen Sie bei nicht persistenter VDI den VDI-Empfehlungen von Microsoft für gemeinsam genutzte Security Intelligence und die Scanplanung, statt das Golden Image auszuschließen.
• Entwicklerarbeitsplätze. Hier finden sich meist die breitesten Ausschlüsse der gesamten Umgebung. Bevorzugen Sie den Leistungsmodus des Dev Drive und enge Pfade für Build-Ausgaben, und betreiben Sie diese Geräte mit überwachtem Ordnerzugriff im Überwachungsmodus, damit Sie sehen, worauf die Build-Werkzeuge tatsächlich zugreifen.

Was dabei kaputtgeht

Das Entfernen von Ausschlüssen kann das Problem zurückbringen, für das sie hinzugefügt wurden:

• Performance: Datenbanken, Backup-Agents und Build-Werkzeuge werden langsamer. Messen Sie mit dem Defender Performance Analyzer (New-MpPerformanceRecording und Get-MpPerformanceReport), bevor Sie etwas wieder hinzufügen, und schließen Sie gezielt den ermittelten Hot Path aus.
• Fehlalarme bei selbst entwickelten Tools. Signieren Sie sie und reichen Sie sie bei Microsoft ein.
• Herstellersupport: Manche Hersteller verweigern den Support ohne ihre Liste. Handeln Sie die engste Variante aus und dokumentieren Sie die Ausnahme.

Entfernen Sie in Ringen, wie bei jeder anderen Änderung, und halten Sie eine Rollback-Richtlinie bereit.

Checkliste

• Effektive Ausschlüsse aus einer repräsentativen Stichprobe gesammelt und nach Wert gruppiert
• Jedes GPO, jedes Intune-Profil und jede ConfigMgr-Richtlinie mit Ausschlüssen identifiziert
• ASR-, CFA-, Bedrohungsaktions- und Defender-for-Endpoint-Zulassungslisten in die Prüfung einbezogen
• Jeder Ausschluss hat einen Verantwortlichen, eine Begründung und ein Prüfdatum oder ist entfernt
• Keine für Benutzer beschreibbaren Ordner, Interpreter oder ausführbaren Erweiterungen ausgeschlossen
• Lokales Zusammenführen deaktiviert; Ausschlüsse vor lokalen Admins verborgen
• Ausschlüsse, wo unterstützt, vor Manipulation geschützt
• Alarme für Ereignis 5007 und Registrierungsänderungen an Ausschlüssen eingerichtet