Glossar
Regeln zur Verringerung der Angriffsfläche (ASR)
Verhaltensregeln von Microsoft Defender Antivirus, die gängige Malware-Techniken wie Office-Kindprozesse oder LSASS-Zugriffe unabhängig von Signaturen blockieren.
Die Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) sind Teil von Microsoft Defender Antivirus. Jede Regel, identifiziert durch eine GUID, blockiert ein bestimmtes Verhalten, auf das Malware angewiesen ist und das legitime Software selten braucht: Office-Anwendungen, die untergeordnete Prozesse oder ausführbare Inhalte erzeugen, Skripte, die heruntergeladene ausführbare Dateien starten, Prozesse, die den LSASS-Speicher lesen, Persistenz über WMI-Ereignisabonnements und mehr.
Regeln lassen sich auf Deaktiviert, Überwachen, Warnen oder Blockieren setzen – per Gruppenrichtlinie, Intune, Configuration Manager oder PowerShell (Add-MpPreference). Blockierungen werden als Ereignis 1121, Überwachungen als Ereignis 1122 im Defender-Protokoll Operational erfasst. Voraussetzung ist, dass Defender Antivirus das aktive Antivirenprogramm mit eingeschaltetem Echtzeitschutz ist.
Siehe den Leitfaden zu ASR-Regeln.