Microsoft Defender Antivirus über den Standard hinaus härten

Microsoft Defender Antivirus läuft auf jedem unterstützten Windows-Client und -Server, sofern kein anderes Antivirenprodukt ihn ersetzt hat. Schon im Auslieferungszustand erkennt er eine Menge. Doch mehrere seiner stärksten Funktionen sind deaktiviert, den lokalen Benutzern überlassen oder beruhen auf Standardwerten, die Angreifer rückgängig zu machen wissen. Dieser Leitfaden listet die Einstellungen auf, die ihn von „installiert“ zu „gehärtet“ bringen, mit Gruppenrichtlinienpfaden, PowerShell zum Testen und den anschließenden Prüfungen.

Alle folgenden Gruppenrichtlinieneinstellungen befinden sich unter Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Antivirus. Dieselben Einstellungen gibt es in Intune unter Endpoint security > Antivirus.

1. Sicherstellen, dass Defender wirklich läuft

Bevor Sie etwas feinjustieren, prüfen Sie den Zustand auf einer Stichprobe von Rechnern:

Get-MpComputerStatus | Select-Object AMRunningMode, AMServiceEnabled,
  RealTimeProtectionEnabled, BehaviorMonitorEnabled, IoavProtectionEnabled,
  IsTamperProtected, AntivirusSignatureAge, AMProductVersion

• AMRunningMode sollte Normal sein. Passive Mode bedeutet, dass ein anderes Antivirenprodukt primär ist und Defender nichts blockiert.
• AntivirusSignatureAge sollte 0 oder 1 Tag betragen.
• AMProductVersion ist die Plattformversion; alten Plattformen fehlen Funktionen und Korrekturen. Sorgen Sie also dafür, dass Plattformupdates ankommen (sie werden über Windows Update / WSUS als eigene Updatekategorie verteilt).

2. Cloudbasierter Schutz und Block at First Sight

Der Großteil von Defenders Fähigkeit, nie zuvor gesehene Dateien zu stoppen, stammt aus der Cloud. Taucht eine verdächtige Datei auf, kann der Client sie zurückhalten, während die Cloud die Metadaten und bei Bedarf die Probe selbst analysiert.

PowerShell-Entsprechungen für einen Testrechner:

Set-MpPreference -MAPSReporting Advanced -SubmitSamplesConsent SendSafeSamples `
  -DisableBlockAtFirstSeen $false -CloudBlockLevel High -CloudExtendedTimeout 50

Block at First Sight funktioniert nur, wenn MAPS-Reporting und Probenübermittlung beide aktiv sind. Die Cloud-Blockierstufe „High“ ist aggressiv genug, um etwas zu bewirken, und erzeugt selten Störgeräusche; High+ und Zero tolerance sind für stark abgeschottete Geräte gedacht.

3. Manipulationsschutz (Tamper Protection)

Der Manipulationsschutz verhindert lokale Änderungen an zentralen Defender-Einstellungen: das Abschalten von Echtzeitschutz, Verhaltensüberwachung und Cloudschutz oder das Entfernen von Security-Intelligence-Updates. Er blockiert dies sogar für einen lokalen Administrator, also genau das Konto, über das ein Angreifer verfügt, wenn er es versucht.

Er lässt sich nicht per Gruppenrichtlinie aktivieren. Schalten Sie ihn über Microsoft Defender for Endpoint / Intune ein (mandantenweit oder über gerätebezogene Profile) oder auf einem eigenständigen Rechner unter Windows-Sicherheit > Einstellungen für Viren- & Bedrohungsschutz. Prüfen Sie das Ergebnis mit IsTamperProtected in Get-MpComputerStatus.

Wenn Sie Defender ausschließlich per Gruppenrichtlinie verwalten, profitieren Sie zwar weiterhin vom Manipulationsschutz, sofern er über die Windows-Sicherheit aktiviert wurde, verlieren aber die zentrale Durchsetzung. Das ist ein gutes Argument, zumindest die Defender-Konfiguration an Intune anzubinden.

4. Echtzeit-, Verhaltens- und Skriptschutz

Diese Funktionen sind standardmäßig aktiv. Stellen Sie sicher, dass nichts (alte GPO, Build-Skript des Images, Drittanbieter-Tool) sie abgeschaltet hat, und sperren Sie sie:

Die letzte Zeile ist wichtig: Ist das Zusammenführen deaktiviert, werden Ausschlüsse, die ein Angreifer lokal mit Add-MpPreference -ExclusionPath hinzufügt, ignoriert, und es gelten nur zentral verwaltete Ausschlüsse.

5. Potenziell unerwünschte Anwendungen (PUA)

Adware-Bundler, Kryptominer und „kostenlose“ Fernzugriffstools sind im engeren Sinne keine Malware, aber häufig der Weg, über den Angriffe beginnen oder sich festsetzen.

• GPO: Configure detection for potentially unwanted applications = Enabled, Block.
• PowerShell: Set-MpPreference -PUAProtection Enabled (verwenden Sie zuerst AuditMode, wenn in Ihrem Haus bei Software bisher vieles erlaubt war).

Microsoft Edge besitzt in seinen SmartScreen-Einstellungen eine eigene PUA-Blockierung für Downloads; aktivieren Sie beides.

6. Netzwerkschutz

Der Netzwerkschutz erweitert die Reputationsblockierung nach Art von SmartScreen auf alle Prozesse, nicht nur auf den Browser. Ein bösartiges Skript oder Implantat, das eine bekannt schädliche Domäne oder IP-Adresse aufruft, wird so bereits beim Verbindungsaufbau blockiert.

• GPO: Microsoft Defender Exploit Guard > Network Protection > Prevent users and apps from accessing dangerous websites = Enabled, Block (beginnen Sie mit Audit Mode).
• PowerShell: Set-MpPreference -EnableNetworkProtection Enabled.
• Unter Windows Server muss der Netzwerkschutz zusätzlich ausdrücklich zugelassen werden: Set-MpPreference -AllowNetworkProtectionOnWinServer $true.

Überwachungsereignisse sind 1125 (wäre blockiert worden), Blockierungen 1126 im Defender-Operational-Protokoll.

7. Überwachter Ordnerzugriff (gezielt einsetzen)

Der überwachte Ordnerzugriff (Controlled Folder Access) schützt Dokumente, Bilder und weitere Ordner vor Änderungen durch nicht vertrauenswürdige Prozesse und ist damit eine starke Schutzschicht gegen Ransomware. Er erzeugt allerdings auch Supporttickets, wenn legitime Anwendungen am Speichern gehindert werden. Betreiben Sie ihn im Überwachungsmodus (Set-MpPreference -EnableControlledFolderAccess AuditMode), werten Sie die Ereignisse 1124 aus, lassen Sie vertrauenswürdige Anwendungen zu und erzwingen Sie ihn für Gruppen, die das vertragen, etwa Arbeitsplätze in der Finanzabteilung.

8. Scans, Updates und Bereinigung

9. Hygiene bei Ausschlüssen

In Ausschlüssen verschwindet der Defender-Schutz unbemerkt. Prüfen Sie sie:

Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess, ExclusionExtension

Warnsignale:

• Ganze Laufwerke, C:\Windows\Temp, %TEMP%, %APPDATA%, C:\Users, C:\ProgramData.
• Prozessausschlüsse für Interpreter (powershell.exe, python.exe, cmd.exe).
• Erweiterungsausschlüsse für .exe, .dll, .ps1.

Auf Servern wendet Defender bereits automatische Ausschlüsse für Windows-Server-Rollen an (etwa für die AD-DS-Datenbankdateien und SYSVOL auf Domänencontrollern). Die langen manuellen Listen aus alten Herstellerleitfäden brauchen Sie selten. Fragen Sie bei Drittanbieteranwendungen den Hersteller nach den minimal nötigen Pfaden und dokumentieren Sie für jeden Ausschluss einen Verantwortlichen und ein Prüfdatum.

Verbergen Sie Ausschlüsse außerdem mit Exclusions > Control whether or not exclusions are visible to Local Users (standardmäßig nicht konfiguriert, also explizit setzen) und vorzugsweise mit der strengeren Schwestereinstellung Control whether or not exclusions are visible to Local Admins. So erhalten Angreifer keine bequeme Karte, wo sie ihre Werkzeuge ablegen können.

10. Überwachen

Leiten Sie das Defender-Operational-Protokoll an Ihr SIEM weiter und alarmieren Sie bei:

Checkliste

• Defender überall im Modus Normal, wo er primär sein soll
• Advanced MAPS, sichere Proben, Block at First Sight, Cloudstufe High, erweiterte Prüfung 50 s
• Manipulationsschutz aktiv (IsTamperProtected prüfen)
• Lokales Überschreiben und Zusammenführen lokaler Ausschlüsse deaktiviert
• PUA- und Netzwerkschutz im Blockiermodus (nach der Überwachungsphase)
• Ausschlüsse geprüft, mit Verantwortlichem und auf das Minimum reduziert
• Defender-Ereignisse weitergeleitet und mit Alarmen versehen

Steht der Virenschutz solide, setzen Sie ASR-Regeln obendrauf und erwägen Sie Anwendungssteuerung für Systeme, auf denen „nur bekannte Software“ realistisch ist.