Glossar

Verständliche Definitionen der Windows-Sicherheitsfunktionen und Angriffstechniken aus den Leitfäden.

A

AMSI (Antimalware Scan Interface): Windows-Schnittstelle, über die Skript-Engines und Anwendungen Inhalte vor der Ausführung an das installierte Antimalware-Produkt zur Prüfung übergeben.
App Control for Business (WDAC): Kernelseitig erzwungenes Application Allowlisting in Windows, früher Windows Defender Application Control: Nur per Richtlinie erlaubte Treiber und Code laufen.
AppLocker: Windows-Funktion zur Anwendungssteuerung, die ausführbare Dateien, Skripte, Installer, DLLs und App-Pakete pro Benutzer oder Gruppe zulässt oder verweigert.

Constrained Language Mode: PowerShell-Sprachmodus, der beliebigen .NET-, COM- und Win32-API-Zugriff blockiert und durch Skriptrichtlinien von App Control oder AppLocker erzwungen wird.
Credential Guard: Windows-Funktion, die NTLM-Hashes und Kerberos-Geheimnisse per virtualisierungsbasierter Sicherheit von LSASS isoliert und so die meisten Credential-Dumps vereitelt.

Exploit-Schutz: In Windows integrierte Speicher- und Prozessmitigationen wie DEP, ASLR und CFG, systemweit oder pro Anwendung angewendet und per Richtlinie verwaltet.

Gruppe Protected Users: Integrierte Active Directory-Gruppe, deren Mitglieder feste Schutzmaßnahmen erhalten: kein NTLM, keine Delegierung, kein Caching, kurze Kerberos-TGTs.

Just Enough Administration (JEA): PowerShell-Remoting-Funktion, die Benutzern über temporäre virtuelle Konten nur bestimmte administrative Befehle auf einem Server zur Verfügung stellt.

Kernel-DMA-Schutz: Windows-Funktion, die per IOMMU externe Thunderbolt- und PCIe-Geräte vom direkten Speicherzugriff ausschließt, bis diese als vertrauenswürdig gelten.

LLMNR- und NBT-NS-Poisoning: Angriff, bei dem ein Host im lokalen Netz auf Broadcast-Namensabfragen antwortet, um NetNTLM-Authentifizierungen von Windows-Clients abzufangen.
LSA-Schutz (RunAsPPL): Führt LSASS als Protected Process Light aus, sodass selbst Administratoren den Speicher nicht lesen und keinen unsignierten Code einschleusen können.

Manipulationsschutz: Microsoft Defender-Einstellung, die lokale Änderungen an zentralen Antivirus-Einstellungen selbst durch Administratoren verhindert, damit Angreifer ihn nicht abschalten.
Microsoft Defender SmartScreen: Reputationsdienst in Windows und Microsoft Edge, der vor Phishing-Seiten, bösartigen Downloads und unbekannten Anwendungen warnt oder sie blockiert.

NTLM-Relay: Angriff, der die NTLM-Authentifizierung eines Opfers in Echtzeit an einen anderen Server weiterleitet und sich so ohne Kennwort als das Opfer authentifiziert.

Point and Print: Windows-Druckfunktion, mit der Benutzer sich mit einem freigegebenen Drucker verbinden und dessen Treiber automatisch vom Druckserver herunterladen.

Regeln zur Verringerung der Angriffsfläche (ASR): Verhaltensregeln von Microsoft Defender Antivirus, die gängige Malware-Techniken wie Office-Kindprozesse oder LSASS-Zugriffe unabhängig von Signaturen blockieren.
Remote Credential Guard: RDP-Modus, der Kerberos-Anfragen an den Client zurückleitet, sodass die Anmeldeinformationen des Benutzers nie an den Remotehost gesendet oder dort gespeichert werden.

Secure Boot: UEFI-Funktion, die die Firmware nur mit vertrauenswürdigen Schlüsseln signierte Startkomponenten laden lässt und den Windows-Startpfad vor Bootkits schützt.
SMB-Signierung: Kryptografische Signierung von SMB-Paketen, die Manipulationen verhindert und NTLM-Relay-Angriffe auf SMB-Server blockiert – auf Client- und Serverseite erzwingbar.
Speicherintegrität (HVCI): Hypervisor-geschützte Codeintegrität: eine VBS-Funktion, die Kernelmodus-Code in einer isolierten Umgebung prüft, sodass unsignierte Treiber nicht laufen.
Sperrliste für anfällige Treiber: Von Microsoft gepflegte Liste signierter, aber ausnutzbarer Kerneltreiber, die Windows nicht lädt – gegen Bring-Your-Own-Vulnerable-Driver-Angriffe.
Sysmon: Microsoft Sysinternals System Monitor: kostenloser Treiber und Dienst, der Prozess-, Netzwerk-, Datei-, Registrierungs- und DNS-Aktivität ins Ereignisprotokoll schreibt.

Tier-Modell für Active Directory: Administrationsmodell, das Tier 0 (Identität), Tier 1 (Server) und Tier 2 (Arbeitsstationen) trennt, damit privilegierte Konten nie auf unsichereren Systemen landen.
Trusted Platform Module (TPM): Hardware-Sicherheitschip, der Schlüssel erzeugt und schützt, Startmessungen aufzeichnet und als Vertrauensanker für BitLocker, Windows Hello und Nachweise dient.

Überwachter Ordnerzugriff: Funktion von Microsoft Defender Antivirus, die nicht vertrauenswürdige Apps daran hindert, Dateien in geschützten Ordnern zu ändern, und so Ransomware-Schäden begrenzt.

WDigest: Veraltetes Windows-Authentifizierungspaket, das bei Aktivierung Klartextkennwörter im LSASS-Speicher hält, wo Credential-Dumping-Werkzeuge sie auslesen können.
Windows Hello for Business: Kennwortlose Anmeldemethode, die Kennwörter durch einen gerätegebundenen, TPM-geschützten Schlüssel ersetzt, der per PIN oder biometrischer Geste entsperrt wird.
Windows LAPS: Windows Local Administrator Password Solution: gibt jedem Gerät ein eindeutiges, rotierendes lokales Administratorkennwort, gesichert in AD oder Entra ID.
Windows-Ereignisweiterleitung (WEF): Integrierte Windows-Funktion, die ausgewählte Ereignisprotokolleinträge vieler Computer ohne Agent über WinRM an einen zentralen Collector sendet.