Glossar
Sperrliste für anfällige Treiber
Von Microsoft gepflegte Liste signierter, aber ausnutzbarer Kerneltreiber, die Windows nicht lädt – gegen Bring-Your-Own-Vulnerable-Driver-Angriffe.
Die Microsoft-Sperrliste für anfällige Treiber (Microsoft vulnerable driver blocklist) ist eine App Control for Business-Richtlinie mit Kerneltreibern, die legitim signiert sind, aber bekannte Schwachstellen oder bösartiges Verhalten aufweisen oder zur Umgehung von Sicherheitsmechanismen verwendet wurden. Windows verweigert das Laden der aufgeführten Treiber. Seit dem Windows 11 2022 Update ist sie auf allen Geräten standardmäßig aktiviert und wird (außer unter Windows Server 2016) immer dann erzwungen, wenn Speicherintegrität (HVCI), intelligente App-Steuerung (Smart App Control) oder der S-Modus aktiv ist. Die Liste wird vierteljährlich aktualisiert, und die integrierte Kopie wird über die monatlichen Windows-Updates ausgeliefert; Microsoft veröffentlicht die jeweils neueste Version zudem als XML-Richtlinie, die Organisationen mit App Control häufiger verteilen können.
Bei einem Bring-Your-Own-Vulnerable-Driver-Angriff (BYOVD) lädt ein Angreifer mit Administratorrechten einen alten, signierten Treiber und nutzt dessen Schwachstelle, um Kernelspeicher zu lesen oder zu schreiben – typischerweise, um EDR-Prozesse zu beenden. Vergewissern Sie sich, dass die Einstellung „Microsoft Vulnerable Driver Blocklist“ aktiviert ist, verteilen Sie die aktuelle XML-Richtlinie von Microsoft auf besonders wertvollen Systemen und überwachen Sie die Code-Integrity-Ereignisse 3076 (Überwachung) und 3077 (Erzwingung) auf blockierte Ladevorgänge.