تكوين قواعد واستثناءات تقليل الأجزاء المعرضة للهجوم (ASR)

تستهدف قواعد تقليل الأجزاء المعرضة للهجوم (ASR) سلوك البرامج الخطرة على أجهزة Windows التي يستغلها المهاجمون عادة من خلال البرامج الضارة (على سبيل المثال، تشغيل البرامج النصية التي تقوم بتنزيل الملفات وتشغيل البرامج النصية المشوشة وإدخال التعليمات البرمجية في عمليات أخرى). توضح هذه المقالة كيفية تمكين قواعد ASR وتكوينها.

للحصول على أفضل النتائج، استخدم حلول الإدارة على مستوى المؤسسة مثل Microsoft Intune أو Microsoft Configuration Manager لإدارة قواعد ASR. إعدادات قواعد ASR من Intune أو Configuration Manager تكتب فوق إعدادات PowerShell المتضاربة عند بدء التشغيل. للتعرف على كيفية حل النزاعات بين MDM وإعدادات سياسات المجموعة، راجع كيف يتم التعامل مع تعارضات السياسات.

المتطلبات الأساسية

لمزيد من المعلومات، راجع متطلبات قواعد ASR.

كيفية معالجة تعارضات النهج

عندما يتم تكوين نفس قاعدة ASR عبر أكثر من طريقة، يتم حل الأسبقية كما هو موضح في القائمة التالية:

• إعدادات الجهاز المحلي (Set-MpPreference): هذه الإعدادات لها أقل أولوية. أي طريقة قائمة على السياسات تقوم بالكتابة فوقها عند بدء التشغيل.

• سياسة المجموعة: تلغي إعدادات الجهاز المحلية المتضاربة عند بدء التشغيل. عندما تقوم كل من سياسة المجموعة وحل إدارة الأجهزة المحمولة (MDM) بتكوين نفس قاعدة ASR، تصبح سياسة المجموعة أولوية افتراضيا، ما لم يكن MDMWinsOverGP مفعلا (انظر البند التالي). لتجنب التعارضات، لا تقم بتكوين نفس قواعد ASR في كل من سياسة المجموعة وإدارة MDM.

• MDM: Microsoft Intune أو حل MDM آخر يقوم بالكتابة فوق إعدادات الأجهزة المحلية المتضاربة عند بدء التشغيل. ما إذا كان MDM يفوق سياسة المجموعة أيضا يعتمد على إعداد MDMWinsOverGP في CSP الخاص بسياسة ControlPolicyConflict:

  • قيمة ( 0 الافتراضية) تعني أن إعداد سياسة المجموعة له الأولوية.
  • قيمة الوسيط 1 ينطبق إعداد MDM ويتم حظر إعداد سياسة المجموعة المتضارب.

  يمكنك تكوين MDMWinsOverGPفقط من خلال Policy CSP، على سبيل المثال، باستخدام ملف تعريف مخصص من Intune مع OMA-URI أو في حل MDM آخر. لا يوجد إعداد لسياسة المجموعة أو نظام PowerShell cmdlet لذلك. في ملف Intune المخصص، استخدم الإعداد التالي:

  أوما-يوري:./Device/Vendor/MSFT/Policy/Config/ControlPolicyConflict/MDMWinsOverGP
  نوع البيانات: عدد صحيح
  القيمة: 1

  ملاحظة

  يفرض التكوين المتحكم به إعدادات الأمان من Intune أو Microsoft Defender لنقطة النهاية فقط ويتجاهل سياسات المجموعة المتضاربة، Configuration Manager، وإعدادات الأجهزة المحلية.

• Microsoft Configuration Manager: يطبق قواعد ASR عبر Policy CSP في كل من وضع سياسة Exploit Guard الكلاسيكي ووضع attachment المستأجر، بحيث يتبع نفس أولوية MDM وسلوك MDMWinsOverGP.

تكوين قواعد ASR في Microsoft Intune

Microsoft Intune هي الأداة الموصى بها لتكوين Defender وتوزيعها لميزات نقطة النهاية على الأجهزة. ومع ذلك، Intune هو منتج منفصل ليس جزءا من Defender لنقطة النهاية، ولا يتم تضمينه في جميع الاشتراكات. لاستخدام Intune، تحتاج إلى اشتراك يتضمنه، أو يمكنك شراؤه بشكل منفصل كاشتراك مستقل أو وظيفة إضافية. إذا لم يكن لديك Intune، يمكنك استخدام أي من الطرق الأخرى في هذه المقالة. لمزيد من المعلومات، راجع Microsoft Intune الترخيص.

في Intune، نهج أمان نقطة النهاية هي الطريقة الموصى بها لنشر قواعد ASR، على الرغم من توفر أساليب أخرى أيضا في Intune (على سبيل المثال، ملفات التعريف المخصصة مع OMA-URIs وCSPs).

تكوين قواعد ASR والاستثناءات في Intune باستخدام نهج أمان نقطة النهاية

لتكوين قواعد ASR باستخدام نهج تقليل سطح هجوم أمان نقطة النهاية Microsoft Intune، راجع إنشاء نهج أمان نقطة نهاية (يفتح في علامة تبويب جديدة في وثائق Intune). عند إنشاء النهج، استخدم هذه الإعدادات:

هام

تدعم إدارة Microsoft Defender لنقطة النهاية عناصر الجهاز فقط. استهداف المستخدمين غير مدعوم. قم بتعيين النهج Microsoft Entra مجموعات الأجهزة، وليس مجموعات المستخدمين.

• نوع النهج: تقليل الأجزاء المعرضة للهجوم
• النظام الأساسي: Windows
• ملف التعريف: قواعد تقليل الأجزاء المعرضة للهجوم
• إعدادات التكوين:

  • تقليل الأجزاء المعرضة للهجوم: يمكنك عادة تمكين قواعد الحماية القياسية في وضع الحظر أو التحذير دون اختبار. يجب اختبار قواعد ASR الأخرى في وضع التدقيق قبل تبديلها إلى وضع الحظر أو التحذير . لمزيد من المعلومات، راجع دليل توزيع قواعد ASR.

    بعد تعيين وضع القاعدة إلى Audit أو Block أو Warn، يظهر قسم ASR فقط لكل استثناءات القاعدة حيث يمكنك تحديد الاستثناءات التي تنطبق على تلك القاعدة فقط.

  • استثناءات تقليل الأجزاء المعرضة للهجوم فقط: استخدم هذا القسم لتحديد الاستثناءات التي تنطبق على جميع قواعد ASR.

    لتحديد استثناءات قاعدة لكل ASR أو استثناءات قاعدة ASR العمومية، استخدم أي من الطرق التالية:

    • حدد إضافة. في المربع الذي يظهر، أدخل المسار أو المسار واسم الملف لاستبعادهما. على سبيل المثال:

      • C:\folder
      • %ProgramFiles%\folder\file.exe C:\path

    • حدد استيراد لاستيراد ملف CSV يحتوي على أسماء الملفات والمجلدات لاستبعادها. يستخدم ملف CSV التنسيق التالي:

      AttackSurfaceReductionOnlyExclusions
      "C:\folder"
      "%ProgramFiles%\folder\file.exe"
      "C:\path"
      ...
      

      تلميح

      علامات الاقتباس المزدوجة حول القيم اختيارية، ويتم تجاهلها (لا يتم استخدامها في القيم) إذا قمت بتضمينها. لا تستخدم علامات اقتباس مفردة حول القيم.

    لمزيد من المعلومات حول الاستثناءات، راجع استثناءات الملفات والمجلدات لقواعد ASR.

  • تمكين الوصول المتحكم به إلى المجلداتوالمجلدات المحمية بالوصول المتحكم بهوالتطبيقات المسموح بها للوصول إلى المجلدات: لمزيد من المعلومات، راجع تكوين CFA في Intune باستخدام نهج أمان نقطة النهاية.

تكوين قواعد ASR في Intune باستخدام ملفات تعريف مخصصة مع OMA-URIs وCSPs

على الرغم من أن نهج أمان نقطة النهاية مستحسنة، يمكنك أيضا تكوين قواعد ASR في Intune باستخدام ملفات تعريف مخصصة تحتوي على إعدادات Open Mobile Alliance Uniform Resource Identifier (OMA-URI) باستخدام موفر خدمة تكوين نهج Windows (CSP).

للحصول على معلومات عامة حول OMA-URIs في Intune، راجع توزيع OMA-URIs لاستهداف CSP من خلال Intune، ومقارنة بالأماكن المحلية.

1. في مركز إدارة Microsoft Intune في https://intune.microsoft.com، حدد إدارة الأجهزة>تكوين>. أو، للانتقال مباشرة إلى الأجهزة | صفحة التكوين ، استخدم https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration.

2. في علامة التبويب نهجللأجهزة | صفحة التكوين ، حدد إنشاء>نهج جديد.

   

3. في القائمة المنبثقة Create a profile التي تفتح، قم بتكوين الإعدادات التالية:

   • النظام الأساسي: حدد Windows 10 والإصدارات الأحدث.
   • نوع ملف التعريف: حدد قوالب.
     • في قسم Template name الذي يظهر، حدد Custom.

   حدد إنشاء.

   

4. يتم فتح معالج القالب المخصص. في علامة التبويب Basics ، قم بتكوين الإعدادات التالية:

   • الاسم: أدخل اسما فريدا للقالب.
   • الوصف: أدخل وصفا اختياريا.

   عند الانتهاء من علامة التبويب الأساسيات ، حدد التالي.

5. في علامة التبويب إعدادات التكوين ، حدد إضافة.

   

   في القائمة المنبثقة إضافة صف التي تفتح، قم بتكوين الإعدادات التالية:

   • الاسم: أدخل اسما فريدا للقاعدة.

   • الوصف: أدخل وصفا اختياريا وموجزا.

   • OMA-URI: أدخل قيمة الجهاز من AttackSurfaceReductionRules CSP: ./Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionRules

     • نوع البيانات: حدد سلسلة.

     • القيمة: استخدم بناء الجملة التالي:

       <RuleGuid1>=<ModeForRuleGuid1>
       <RuleGuid2>=<ModeForRuleGuid2>
       ...
       <RuleGuidN>=<ModeForRuleGuidN>
       

       • تتوفر قيم GUID لقواعد ASR في قواعد ASR.
       • تتوفر أوضاع القاعدة التالية:
         • 0:قباله
         • 1:كتله
         • 2:مراجعه الحسابات
         • 5: لم يتم تكوينه
         • 6:تحذير

       على سبيل المثال:

       75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84=2
       3b576869-a4ec-4529-8536-b80a7769e899=1
       d4f940ab-401b-4efc-aadc-ad5f3c50688a=2
       d3e037e1-3eb8-44c8-a917-57927947596d=1
       5beb7efe-fd9a-4556-801d-275e5ffc04cc=0
       be9ba2d9-53ea-4cdc-84e5-9b1eeee46550=1
       

     

     عند الانتهاء من القائمة المنبثقة إضافة صف ، حدد حفظ.

     تلميح

     في هذه المرحلة، يمكنك أيضا إضافة استثناءات قاعدة ASR العمومية إلى ملف التعريف المخصص بدلا من إنشاء ملف تعريف منفصل فقط للاستبعادات. للحصول على إرشادات، راجع تكوين استثناءات قاعدة ASR العمومية في Intune باستخدام ملفات تعريف مخصصة مع OMA-URIs وCSPs.

   مرة أخرى في علامة التبويب إعدادات التكوين ، حدد التالي.

6. في علامة التبويب Assignments ، قم بتكوين الإعدادات التالية:

   • قسم المجموعات المضمنة: حدد أحد الخيارات التالية:
     • إضافة مجموعات: حدد مجموعة واحدة أو أكثر لتضمينها.
     • إضافة جميع المستخدمين
     • إضافة جميع الأجهزة
   • قسم المجموعات المستبعدة: حدد إضافة مجموعات لتحديد أي مجموعات لاستبعادها.

   عند الانتهاء من علامة التبويب الواجبات ، حدد التالي.

   

7. في علامة التبويب قواعد القابلية للتطبيق ، حدد التالي.

   يمكنك استخدام إصدار نظام التشغيل وخصائص إصدار نظام التشغيل لتحديد أنواع الأجهزة التي يجب أو لا ينبغي أن تحصل على ملف التعريف.

   

8. في علامة التبويب Review + create ، راجع الإعدادات. يمكنك استخدام السابق أو تحديد علامة تبويب للعودة وإجراء التغييرات.

   عندما تكون جاهزا لإنشاء ملف التعريف، حدد إنشاء في علامة التبويب مراجعة + إنشاء .

   

يمكنك العودة على الفور إلى علامة التبويب النهجللأجهزة | صفحة التكوين . قد تحتاج إلى تحديد Refresh لمشاهدة النهج.

قواعد ASR نشطة في غضون دقائق.

تكوين استثناءات قاعدة ASR العمومية في Intune باستخدام ملفات التعريف المخصصة مع OMA-URIs وCSPs

خطوات تكوين استثناءات قاعدة ASR العمومية في Intune باستخدام ملف تعريف مخصص مشابهة جدا لخطوات قاعدة ASR في تكوين قواعد ASR في Intune باستخدام ملفات تعريف مخصصة مع OMA-URIs وCSPs. الفرق الوحيد هو في علامة التبويب إعدادات التكوين ، حيث تقوم بإدخال معلومات استثناءات قاعدة ASR بدلا من قواعد ASR:

في علامة التبويب إعدادات التكوين ، حدد إضافة. في القائمة المنبثقة إضافة صف التي تفتح، قم بتكوين الإعدادات التالية:

• الاسم: أدخل اسما فريدا للقاعدة.
  • الوصف: أدخل وصفا اختياريا وموجزا.
  • OMA-URI: أدخل قيمة الجهاز من AttackSurfaceReductionOnlyExclusions CSP: ./Device/Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionOnlyExclusions

    • نوع البيانات: حدد سلسلة.

    • القيمة: استخدم بناء الجملة التالي:

      <PathOrPathAndFilename1>
      <PathOrPathAndFilename1>
      ...
      <PathOrPathAndFilenameN>
      

      على سبيل المثال:

      C:\folder
      %ProgramFiles%\folder\file.exe
      C:\path
      

عند الانتهاء من القائمة المنبثقة إضافة صف ، حدد حفظ.

مرة أخرى في علامة التبويب إعدادات التكوين ، حدد التالي.

أكمل الخطوات المتبقية في تكوين قواعد ASR في Intune باستخدام ملفات تعريف مخصصة مع OMA-URIs وCSPs، بدءا من علامة التبويب Assignments .

تكوين قواعد ASR والاستثناءات في مدخل Microsoft Defender

إذا كانت مؤسستك تدير نهج أمان نقطة النهاية في مدخل Microsoft Defender، يمكنك تكوين قواعد ASR واستبعاداتها بنفس نهج أمان نقطة النهاية التي يستخدمها Intune.

في علامة التبويب Windows من صفحة نهج أمان نقطة النهاية في مدخل Defender في https://security.microsoft.com/policy-inventory، حدد إنشاء نهج جديد ثم قم بإنشاء نهج تقليل الأجزاء المعرضة للهجوم. للحصول على الإجراء الكامل، راجع إنشاء نهج أمان نقطة نهاية.

استخدم نفس ملف تعريف قواعد تقليل Surface الهجوم والإعدادات الموضحة في تكوين قواعد ASR والاستثناءات في Intune باستخدام نهج أمان نقطة النهاية. تتضمن هذه الإعدادات استثناءات تقليل سطح الهجوم العالمي فقط واستبعادات قاعدة لكل ASR.

عند تعيين النهج، لاحظ أن قيود مجموعة التعيين تنطبق على الأجهزة المدارة من خلال إدارة إعدادات الأمان. للحصول على التفاصيل، راجع خطوة الواجبات.

تكوين قواعد ASR في أي حل MDM باستخدام نهج CSP

يمكن موفر خدمة تكوين النهج (CSP) مؤسسات المؤسسة من تكوين النهج على أجهزة Windows باستخدام أي حل لإدارة الأجهزة المحمولة (MDM)، وليس فقط Microsoft Intune. لمزيد من المعلومات، راجع نهج CSP.

يمكنك تكوين قواعد ASR باستخدام AttackSurfaceReductionRules CSP مع الإعدادات التالية:

مسار OMA-URI: ./Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionRules
القيمة: <RuleGuid1>=<ModeForRuleGuid1>|<RuleGuid2>=<ModeForRuleGuid2>|...<RuleGuidN>=<ModeForRuleGuidN>

• تتوفر قيم GUID لقواعد ASR في قواعد ASR
• تتوفر أوضاع القاعدة التالية:
  • 0:قباله
  • 1:كتله
  • 2:مراجعه الحسابات
  • 5: لم يتم تكوينه
  • 6:تحذير

على سبيل المثال:

75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84=2|3b576869-a4ec-4529-8536-b80a7769e899=1|d4f940ab-401b-4efc-aadc-ad5f3c50688a=2|d3e037e1-3eb8-44c8-a917-57927947596d=1|5beb7efe-fd9a-4556-801d-275e5ffc04cc=0|be9ba2d9-53ea-4cdc-84e5-9b1eeee46550=1

ملاحظة

تأكد من إدخال قيم OMA-URI بدون مسافات.

تكوين استثناءات قاعدة ASR العمومية في أي حل MDM باستخدام نهج CSP

يمكنك استخدام نهج CSP لتكوين مسار قاعدة ASR العمومية واستبعادات المسار واسم الملف باستخدام AttackSurfaceReductionOnlyExclusions CSP مع الإعدادات التالية:

مسار OMA-URI: ./Device/Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionOnlyExclusions
القيمة: <PathOrPathAndFilename1>=0|<PathOrPathAndFilename1>=0|...<PathOrPathAndFilenameN>=0

على سبيل المثال C:\folder|%ProgramFiles%\folder\file.exe|C:\path

تكوين قواعد ASR واستبعادات قواعد ASR العمومية في Microsoft Configuration Manager

للحصول على إرشادات، راجع معلومات تقليل سطح الهجوم في إنشاء نهج Exploit Guard ونشره.

تحذير

هناك مشكلة معروفة تتعلق بتطبيق تقليل سطح الهجوم على إصدارات نظام تشغيل الخادم التي تم وضع علامة عليها على أنها متوافقة دون أي فرض فعلي. حاليا، لا يوجد تاريخ إصدار محدد لموعد إصلاح ذلك.

هام

إذا كنت تستخدم "تعطيل دمج المسؤولين" المعين على true الأجهزة، وكنت تستخدم أيا من الأدوات/الأساليب التالية، فلن تنطبق إضافة قواعد ASR لكل قاعدة أو استثناءات قاعدة ASR المحلية:

• Defender for Endpoint Security Settings Management (Disable Local مسؤول Merge) علامة تبويب نهج Windows في صفحة نهج أمان نقطة النهاية في مدخل Microsoft Defender فيhttps://security.microsoft.com/policy-inventory?osPlatform=Windows
• Microsoft Intune (تعطيل دمج مسؤول المحلي)
• Defender CSP (DisableLocalAdminMerge)
• نهج المجموعة (تكوين سلوك دمج المسؤول المحلي للقوائم)

لتعديل هذا السلوك، تحتاج إلى تغيير "تعطيل دمج المسؤول" إلى false.

تكوين قواعد واستثناءات ASR في سياسة المجموعة

تحذير

إذا كنت تدير أجهزتك وأجهزة الكمبيوتر باستخدام Intune أو Microsoft Configuration Manager أو أي برنامج إدارة على مستوى المؤسسات، يمكن لبرنامج الإدارة الكتابة فوق إعدادات السياسات الجماعية المتضاربة. للتعرف على كيفية حل هذه النزاعات، انظر كيف يتم التعامل مع تعارضات السياسات.

1. في نهج المجموعة المركزية، افتح وحدة تحكم إدارة نهج المجموعة (GPMC) على كمبيوتر إدارة نهج المجموعة.

2. في شجرة وحدة تحكم GPMC، قم بتوسيع نهج المجموعة Objects في الغابة والمجال الذي يحتوي على عنصر نهج المجموعة الذي تريد تحريره.

3. انقر بزر الماوس الأيمن فوق عنصر نهج المجموعة، ثم حدد تحرير.

4. في نهج المجموعة Management Editor، انتقل إلى Computer configuration>Administrative templates>>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard > Attack Surface Reduction.

5. في جزء التفاصيل من تقليل الأجزاء المعرضة للهجوم، تكون الإعدادات المتوفرة هي:

   • تكوين قواعد تقليل الأجزاء المعرضة للهجوم
   • استبعاد الملفات والمسارات من قواعد تقليل الأجزاء المعرضة للهجوم
   • تطبيق قائمة الاستثناءات على قواعد محددة لتقليل الأجزاء المعرضة للهجوم (ASR)

   لفتح إعداد قاعدة ASR وتكوينه، استخدم أي من الطرق التالية:

   • انقر نقرا مزدوجا فوق الإعداد.
   • انقر بزر الماوس الأيمن فوق الإعداد، ثم حدد تحرير
   • حدد الإعداد، ثم حدد تحرير الإجراء>.

تلميح

يمكنك أيضا تكوين نهج المجموعة محليا على الأجهزة الفردية باستخدام محرر نهج المجموعة المحلي (gpedit.msc). انتقل إلى نفس المسار:القوالب الإدارية>لتكوين> الكمبيوترمكونات> Windows Microsoft Defender مكافحة الفيروسات> Microsoft Defenderتقليل الأجزاء المعرضة للهجوم من >.

يتم وصف الإعدادات المتاحة في قسم تكوين قواعد ASR في سياسة المجموعة، وتكوين استثناءات قواعد ASR العالمية في سياسة المجموعة، وتكوين استثناءات لكل قاعدة ASR في سياسة المجموعة.

هام

علامات الاقتباس، والمساحات الأولى، والفواصل اللاحقة، والأحرف الإضافية غير مدعومة في أي من القيم المتعلقة بقواعد ASR في سياسة المجموعة.

قد تستخدم المسارات نهج المجموعة قبل الإصدار Windows 10 2004 (مايو 2020) Windows برنامج الحماية من الفيروسات من Defender بدلا من Microsoft برنامج الحماية من الفيروسات من Defender. يشير كلا الاسمين إلى نفس موقع النهج.

تكوين قواعد ASR في سياسة المجموعة

استخدم الخطوات التالية لتكوين قواعد ASR وأوضاعها في إعدادات Group Policy Attack Surface Reduction:

1. في جزء التفاصيل من تقليل الأجزاء المعرضة للهجوم، افتح إعداد تكوين قواعد تقليل الأجزاء المعرضة للهجوم .

2. في نافذة الإعداد التي تفتح، قم بتكوين الخيارات التالية:

   1. حدد ممكن.
   2. تعيين الحالة لكل قاعدة ASR: حدد Show....
   3. في مربع الحوار تعيين الحالة لكل قاعدة ASR يتم فتحها، قم بتكوين الإعدادات التالية:
      • اسم القيمة: أدخل قيمة GUID لقاعدة ASR.
      • القيمة: أدخل إحدى قيم وضع القاعدة التالية:
        • 0:قباله
        • 1:كتله
        • 2:مراجعه الحسابات
        • 5: لم يتم تكوينه
        • 6:تحذير

   

   لمزيد من المعلومات، راجع أوضاع قاعدة ASR.

   كرر هذه الخطوة عدة مرات حسب الضرورة. عند الانتهاء، حدد موافق.

تكوين استثناءات قواعد ASR العالمية في سياسة المجموعة

يتم استخدام المسارات أو أسماء الملفات ذات المسارات التي تحددها كاستثناءات لجميع قواعد ASR.

1. في جزء التفاصيل من تقليل الأجزاء المعرضة للهجوم، افتح إعداد استبعاد الملفات والمسارات من قواعد تقليل الأجزاء المعرضة للهجوم .

2. في نافذة الإعداد التي تفتح، قم بتكوين الخيارات التالية:

   1. حدد ممكن.
   2. الاستثناءات من قواعد ASR: حدد Show....

3. في مربع الحوار الاستثناءات من قواعد ASR الذي يفتح، قم بتكوين الإعدادات التالية:

   • اسم القيمة: أدخل المسار أو المسار واسم الملف لاستبعاده من جميع قواعد ASR.
   • القيمة: أدخل 0.

   يتم دعم الأنواع التالية من أسماء القيم:

   • لاستبعاد كافة الملفات في مجلد، أدخل مسار المجلد الكامل. على سبيل المثال، C:\Data\Test.
   • لاستبعاد ملف معين في مجلد معين (مستحسن)، أدخل المسار واسم الملف. على سبيل المثال، C:\Data\Test\test.exe.

   كرر هذه الخطوة عدة مرات حسب الضرورة. عند الانتهاء، حدد موافق.

تكوين استثناءات القواعد لكل ASR في سياسة المجموعة

تستخدم المسارات أو أسماء الملفات ذات المسارات التي تحددها كاستثناءات لقواعد ASR محددة.

ملاحظة

إذا لم يكن إعداد تطبيق قائمة الاستثناءات على قواعد تقليل الأجزاء المعرضة للهجوم (ASR) متوفرا في GPMC، فأنت بحاجة إلى الإصدار 24H2 أو أحدث من ملفات القوالب الإدارية في المتجر المركزي.

1. في جزء التفاصيل من Attack Surface Reduction، افتح إعداد Apply a list of exclusions to specific attack surface reduction (ASR).

2. في نافذة الإعداد التي تفتح، قم بتكوين الخيارات التالية:

   1. حدد ممكن.
   2. الاستثناءات لكل قاعدة ASR: حدد Show....

3. في مربع الحوار الاستثناءات لكل قاعدة ASR التي يتم فتحها، قم بتكوين الإعدادات التالية:

   • اسم القيمة: أدخل قيمة GUID لقاعدة ASR.
   • القيمة: أدخل استثناء واحدا أو أكثر لقاعدة ASR. استخدم بناء الجملة Path1\ProcessName1>Path2\ProcessName2>...PathN\ProcessNameN. على سبيل المثال، C:\Windows\Notepad.exe>c:\Windows\regedit.exe>C:\SomeFolder\test.exe.

   كرر هذه الخطوة عدة مرات حسب الضرورة. عند الانتهاء، حدد موافق.

تكوين قواعد ASR في PowerShell

تحذير

إذا كنت تدير أجهزة الكمبيوتر والأجهزة باستخدام Intune أو Configuration Manager أو نظام أساسي آخر للإدارة على مستوى المؤسسة، فإن برنامج الإدارة يحل محل أي إعدادات PowerShell متعارضة عند بدء التشغيل.

على الجهاز الهدف، استخدم بناء جملة أمر PowerShell التالي في جلسة عمل PowerShell مرتفعة (نافذة PowerShell التي فتحتها عن طريق تحديد تشغيل كمسؤول). يضيف بناء الجملة هذا الوضع لواحد أو أكثر من قواعد ASR أو يعينه أو يزيله عن طريق تحديد كل قاعدة GUID وإجراءها المطلوب:

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -AttackSurfaceReductionRules_Ids <RuleGuid1>,<RuleGuid2>,...<RuleGuidN> -AttackSurfaceReductionRules_Actions <ModeForRuleGuid1>,<ModeForRuleGuid2>,...<ModeForRuleGuidN>

• يقوم Set-MpPreferenceبالكتابة فوق أي قواعد موجودة وأوضاعها المقابلة بالقيم التي تحددها. لعرض قواعد ASR التي تم تكوينها حاليا على الجهاز جنبا إلى جنب مع الإجراءات المعينة، قم بتشغيل الأمر التالي:

  $p = Get-MpPreference;0..([math]::Min($p.AttackSurfaceReductionRules_Ids.Count,$p.AttackSurfaceReductionRules_Actions.Count)-1) | % {[pscustomobject]@{Id=$p.AttackSurfaceReductionRules_Ids[$_];Action=$p.AttackSurfaceReductionRules_Actions[$_]}} | Format-Table -AutoSize
  

  لإضافة قواعد جديدة والأوضاع المقابلة لها دون التأثير على أي قيم موجودة، استخدم Add-MpPreference cmdlet. لإزالة القواعد المحددة والأوضاع المقابلة لها دون التأثير على القيم الموجودة الأخرى، استخدم الأمر Cmdlet Remove-MpPreference . بناء جملة الأمر متطابق ل cmdlets الثلاثة.

• تتوفر قيم GUID لقواعد ASR في قواعد ASR.

• القيم الصالحة للمعلمة AttackSurfaceReductionRules_Actions هي:

  • 0 او Disabled
  • 1 أو Enabled (وضع الحظر )
  • 2أو أو AuditModeAudit
  • 5 او NotConfigured
  • 6 او Warn

يستخدم Set-MpPreference المثال التالي لتكوين أربع قواعد ASR في أمر واحد، وتعيين كل قاعدة إلى وضع مختلف (ممكن أو معطل أو AuditMode):

Set-MpPreference -AttackSurfaceReductionRules_Ids 26190899-1602-49e8-8b27-eb1d0a1ce869,3b576869-a4ec-4529-8536-b80a7769e899,e6db77e5-3df2-4cf1-b95a-636979351e5,01443614-cd74-433a-b99e-2ecdc07bfc25 -AttackSurfaceReductionRules_Actions Enabled,Enabled,Disabled,AuditMode

تكوين استثناءات قاعدة ASR العمومية في PowerShell

على الجهاز الهدف، استخدم بناء جملة أمر PowerShell التالي في جلسة عمل PowerShell غير مقيدة لإضافة استثناءات المسار التي تنطبق على جميع قواعد ASR أو تحديثها أو إزالتها:

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -AttackSurfaceReductionOnlyExclusions "<PathOrPathAndFilename1>","<PathOrPathAndFilename2>",..."<PathOrPathAndFilenameN>"

• يقوم Set-MpPreferenceبالكتابة فوق أي استثناءات قاعدة ASR موجودة بالقيم التي تحددها. لعرض استثناءات قاعدة ASR التي تم تكوينها حاليا على الجهاز، قم بتشغيل الأمر التالي:

  (Get-MpPreference).AttackSurfaceReductionOnlyExclusions
  

  لإضافة استثناءات جديدة دون التأثير على أي قيم موجودة، استخدم Add-MpPreference cmdlet. لإزالة الاستثناءات المحددة دون التأثير على أي قيم أخرى، استخدم الأمر Cmdlet Remove-MpPreference . بناء جملة الأمر متطابق ل cmdlets الثلاثة.

  يستبعد المثال التالي مجلدا (C:\Data\Test) ومجلدا قابلا للتنفيذ (C:\Data\LOBApp\app1.exe) محددا من جميع قواعد ASR على الجهاز:

  Set-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Data\Test","C:\Data\LOBApp\app1.exe"
  

المحتويات ذات الصلة

• مرجع قواعد تقليل الأجزاء المعرضة للهجوم
• تقييم تقليل الأجزاء المعرضة للهجوم
• الأسئلة المتداولة حول قواعد تقليل الأجزاء المعرضة للهجوم