Richtlinieneinstellungen zur Angriffsflächenreduzierung für die Endpunktsicherheit in Intune

Zeigen Sie die Einstellungen an, die Sie in Profilen für die Richtlinie zur Verringerung der Angriffsfläche im Endpunktsicherheitsknoten von Intune als Teil einer Endpunktsicherheitsrichtlinie konfigurieren können.

Gilt für:

  • Windows

    Wichtig

    Am 14. Oktober 2025 hat Windows 10 das Ende des Supports erreicht und erhält keine Qualitäts- und Funktionsupdates. Windows 10 ist eine zulässige Version in Intune. Geräte, auf denen diese Version ausgeführt wird, können sich weiterhin bei Intune registrieren und berechtigte Features verwenden, aber die Funktionalität wird nicht garantiert und kann variieren.

Unterstützte Plattformen und Profile:

  • Windows – Verwenden Sie diese Plattform für Richtlinien, die Sie auf Geräten bereitstellen, die mit Intune verwaltet werden.

    • Profil: App- und Browserisolation
    • Profil: Anwendungssteuerung
    • Profil: Regeln zur Verringerung der Angriffsfläche
    • Profil: Gerätesteuerung
    • Profil: Exploit-Schutz
    • Profil: Webschutz (Vorgängerversion von Microsoft Edge)

  • Windows (ConfigMgr): Verwenden Sie diese Plattform für Richtlinien, die Sie auf Geräten bereitstellen, die von Konfigurations-Manager verwaltet werden.

    • Profil: Exploit Protection(ConfigMgr)(preview)
    • Profil: Webschutz (ConfigMgr)(Vorschau)

  • Windows: Verwenden Sie diese Plattform für Richtlinien, die Sie auf Geräten bereitstellen, die über Security Management für Microsoft Defender for Endpoint verwaltet werden.

    • Profil: Regeln zur Verringerung der Angriffsfläche

Verringerung der Angriffsfläche (MDM)

App- und Browserisolationsprofil

Hinweis

In diesem Abschnitt werden die Einstellungen in App- und Browser-Isolationsprofilen beschrieben, die vor dem 18. April 2023 erstellt wurden. Profile, die nach diesem Datum erstellt wurden, verwenden ein neues Einstellungsformat wie im Einstellungskatalog. Mit dieser Änderung können Sie keine neuen Versionen des alten Profils mehr erstellen, und diese werden nicht mehr weiterentwickelt. Sie können zwar keine neuen Instanzen des älteren Profils mehr erstellen, Sie können jedoch weiterhin Instanzen des Profils bearbeiten und verwenden, die Sie zuvor erstellt haben.

Bei Profilen, die das neue Einstellungsformat verwenden, führt Intune keine Liste der einzelnen Einstellungen mehr nach Namen. Stattdessen werden der Name jeder Einstellung, ihre Konfigurationsoptionen und ihr erläuternder Text, den Sie im Microsoft Intune Admin Center sehen, direkt aus dem autorisierenden Inhalt der Einstellungen übernommen. Dieser Inhalt kann weitere Informationen über die Verwendung der Einstellung im richtigen Kontext liefern. Beim Anzeigen eines Informationstextes zu den Einstellungen können Sie den Link "Weitere Informationen " verwenden, um diesen Inhalt zu öffnen.

App- und Browserisolation

  • Aktivieren von Application Guard
    CSP: AllowWindowsDefenderApplicationGuard

    • Nicht konfiguriert (Standard): Microsoft Defender Application Guard ist nicht für Microsoft Edge oder isolierte Windows-Umgebungen konfiguriert.
    • Aktiviert für Edge – Application Guard öffnet nicht genehmigte Websites in einem virtualisierten Hyper-V-Browsercontainer.
    • Aktiviert für isolierte Windows-Umgebungen : Application Guard ist für alle Anwendungen aktiviert, die in Windows für App Guard aktiviert sind.
    • Aktiviert für Edge UND isolierte Windows-Umgebungen – Application Guard ist für beide Szenarien konfiguriert.

    Hinweis

    Wenn Sie Application Guard für Microsoft Edge über Intune bereitstellen, muss die Windows-Richtlinie für die Netzwerkisolation als Voraussetzung konfiguriert werden. Die Netzwerkisolation kann über verschiedene Profile konfiguriert werden, einschließlich App- und Browser-Isolation unter der Windows-Einstellung für die Netzwerkisolation .

    Wenn diese Einstellung für Edge aktiviert oder für Edge UND isolierte Windows-Umgebungen aktiviert ist, sind die folgenden Einstellungen verfügbar, die für Edge gelten:

    • Verhalten der Zwischenablage
      CSP: ClipboardSettings

      Wählen Sie aus, welche Kopier- und Einfügeaktionen auf dem lokalen PC und einem virtuellen Application Guard-Browser zulässig sind.

      • Nicht konfiguriert (Standard)
      • Kopieren und Einfügen zwischen PC und Browser blockieren
      • Kopieren und Einfügen nur vom Browser auf den PC zulassen
      • Kopieren und Einfügen nur vom PC in den Browser zulassen
      • Kopieren und Einfügen zwischen PC und Browser zulassen

    • Externer Inhalt von nicht vom Unternehmen genehmigten Websites blockieren
      CSP: BlockNonEnterpriseContent

      • Nicht konfiguriert (Standard)
      • Ja – Blockieren Sie das Laden von Inhalten von nicht genehmigten Websites.

    • Sammeln von Protokollen für Ereignisse, die innerhalb einer Application Guard-Browsersitzung auftreten
      CSP: AuditApplicationGuard

      • Nicht konfiguriert (Standard)
      • Ja – Sammeln Sie Protokolle für Ereignisse, die innerhalb einer virtuellen Application Guard-Browsersitzung auftreten.

    • Speichern von benutzergenerierten Browserdaten zulassen
      CSP: AllowPersistence

      • Nicht konfiguriert (Standard)
      • Ja – Speicherung von Benutzerdaten zulassen, die während einer virtuellen Application Guard-Browsersitzung erstellt wurden. Beispiele für Benutzerdaten sind Kennwörter, Favoriten und Cookies.

    • Hardwaregrafikbeschleunigung aktivieren
      CSP: AllowVirtualGPU

      • Nicht konfiguriert (Standard)
      • Ja – Verwenden Sie innerhalb der virtuellen Browsersitzung von Application Guard einen virtuellen Grafikprozessor, um grafikintensive Websites schneller zu laden.

    • Benutzern das Herunterladen von Dateien auf den Host gestatten
      CSP: SaveFilesToHost

      • Nicht konfiguriert (Standard)
      • Ja – Benutzern das Herunterladen von Dateien aus dem virtualisierten Browser auf das Hostbetriebssystem gestatten.

    • Application Guard: Kamera- und Mikrofonzugriff zulassen
      CSP: AllowCameraMicrophoneRedirection

      • Nicht konfiguriert (Standard) – Anwendungen in Microsoft Defender Application Guard können nicht auf die Kamera und das Mikrofon auf dem Gerät des Benutzers zugreifen.
      • Ja – Anwendungen in Microsoft Defender Application Guard können auf die Kamera und das Mikrofon auf dem Gerät des Benutzers zugreifen.
      • Nein – Anwendungen innerhalb von Microsoft Defender Application Guard können nicht auf die Kamera und das Mikrofon auf dem Gerät des Benutzers zugreifen. Hierbei handelt es sich um das gleiche Verhalten wie "Nicht konfiguriert".

  • Druck auf lokalen Druckern zulassen in Application Guard

    • Nicht konfiguriert (Standard)
    • Ja – Drucken auf lokalen Druckern zulassen.

  • Application Guard: Drucken auf Netzwerkdruckern zulassen

    • Nicht konfiguriert (Standard)
    • Ja – Drucken auf Netzwerkdruckern zulassen.

  • Application Guard: Drucken in PDF zulassen

    • Nicht konfiguriert (Standard)
    • Ja – Drucken in PDF zulassen.

  • Application Guard: Drucken auf XPS zulassen

    • Nicht konfiguriert (Standard)
    • Ja - - Drucken auf XPS zulassen.

  • Application Guard: Verwendung von Stammzertifizierungsstellen auf dem Gerät des Benutzers zulassen
    CSP: CertificateThumbprints

    Konfigurieren Sie Zertifikatfingerabdrücke so, dass das übereinstimmende Stammzertifikat automatisch in den Microsoft Defender Application Guard-Container übertragen wird.

    Um Fingerabdrücke einzeln hinzuzufügen, wählen Sie "Hinzufügen" aus. Sie können Importieren verwenden, um eine .CSV Datei anzugeben, die mehrere Fingerabdruckeinträge enthält, die alle gleichzeitig zum Profil hinzugefügt werden. Wenn Sie eine .CSV Datei verwenden, müssen die einzelnen Fingerabdrücke durch ein Komma voneinander getrennt werden. Beispiel: b4e72779a8a362c860c36a6461f31e3aa7e58c14,1b1d49f06d2a697a544a1059bd59a7b058cda924

    Alle Einträge, die im Profil aufgeführt sind, sind aktiv. Sie müssen kein Kontrollkästchen für einen Fingerabdruckeintrag aktivieren, um ihn zu aktivieren. Verwenden Sie stattdessen die Kontrollkästchen, um die Einträge zu verwalten, die dem Profil hinzugefügt wurden. Sie können beispielsweise das Kontrollkästchen eines oder mehrerer Zertifikatfingerabdruckeinträge aktivieren und diese Einträge dann mit einer einzigen Aktion aus dem Profil löschen .

  • Windows-Richtlinie für Netzwerkisolierung

    • Nicht konfiguriert (Standard)
    • Ja – Konfigurieren Sie die Windows-Richtlinie für die Netzwerkisolierung.

    Wenn diese Option auf Ja festgelegt ist, können Sie die folgenden Einstellungen konfigurieren:

    • IP-Bereiche Erweitern Sie die Dropdownliste, wählen Sie "Hinzufügen" aus, und geben Sie dann eine untere und dann eine obere Adresse an.

    • Cloudressourcen Erweitern Sie die Dropdownliste, wählen Sie Hinzufügen aus, und geben Sie dann eine IP-Adresse oder einen FQDN und einen Proxy an.

    • Netzwerkdomänen Erweitern Sie die Dropdownliste, wählen Sie Hinzufügen aus, und geben Sie dann Netzwerkdomänen an.

    • Proxyserver Erweitern Sie die Dropdownliste, wählen Sie Hinzufügen aus, und geben Sie dann Proxyserver an.

    • Interne Proxyserver Erweitern Sie die Dropdownliste, wählen Sie Hinzufügen aus, und geben Sie dann interne Proxyserver an.

    • Neutrale Ressourcen Erweitern Sie die Dropdownliste, wählen Sie Hinzufügen aus, und geben Sie dann Neutrale Ressourcen an.

    • Deaktivieren der automatischen Erkennung anderer Unternehmensproxyserver

      • Nicht konfiguriert (Standard)
      • Ja – Deaktivieren Sie die automatische Erkennung anderer Unternehmensproxyserver.

    • Automatische Erkennung anderer Unternehmens-IP-Bereiche deaktivieren

      • Nicht konfiguriert (Standard)
      • Ja – Deaktivieren Sie die automatische Erkennung anderer Unternehmens-IP-Bereiche.

    Hinweis

    Nach der Erstellung des Profils wird auf allen Geräten, für die die Richtlinie gelten soll, Microsoft Defender Application Guard aktiviert. Möglicherweise müssen die Benutzer ihre Geräte neu starten, damit der Schutz wirksam wird.

Profil zur Anwendungssteuerung

Microsoft Defender Application Control

  • App Locker-Anwendungssteuerung
    CSP: AppLocker

    • Nicht konfiguriert (Standard)
    • Erzwingen von Komponenten und Store-Apps
    • Komponenten und Store-Apps überwachen
    • Erzwingen von Komponenten, Store-Apps und Smartlocker
    • Überwachungskomponenten, Store-Apps und Smartlocker

  • Verhindern, dass Benutzer SmartScreen-Warnungen ignorieren
    CSP: SmartScreen/PreventOverrideForFilesInShell

    • Nicht konfiguriert (Standard): Benutzer können SmartScreen-Warnungen für Dateien und schädliche Apps ignorieren.
    • Ja – SmartScreen ist aktiviert, und Benutzer können Warnungen für Dateien oder schädliche Apps nicht umgehen.

  • Windows SmartScreen aktivieren
    CSP: SmartScreen/EnableSmartScreenInShell

    • Nicht konfiguriert (Standard): Legen Sie die Einstellung auf die Windows-Standardeinstellung zurück, d. h. SmartScreen zu aktivieren. Benutzer können diese Einstellung jedoch ändern. Verwenden Sie eine benutzerdefinierte URI, um SmartScreen zu deaktivieren.
    • Ja – Die Verwendung von SmartScreen für alle Benutzer erzwingen.

Profil für Regeln zur Verringerung der Angriffsfläche

Regeln zur Verringerung der Angriffsfläche

Weitere Informationen zu Regeln zur Verringerung der Angriffsfläche finden Sie in der Referenz zu Regeln zur Verringerung der Angriffsfläche in der Microsoft 365-Dokumentation.

Hinweis

In diesem Abschnitt werden die Einstellungen in Profilen zur Verringerung der Angriffsfläche beschrieben, die vor dem 5. April 2022 erstellt wurden. Profile, die nach diesem Datum erstellt wurden, verwenden ein neues Einstellungsformat wie im Einstellungskatalog. Mit dieser Änderung können Sie keine neuen Versionen des alten Profils mehr erstellen, und diese werden nicht mehr weiterentwickelt. Sie können zwar keine neuen Instanzen des älteren Profils mehr erstellen, Sie können jedoch weiterhin Instanzen des Profils bearbeiten und verwenden, die Sie zuvor erstellt haben.

Bei Profilen, die das neue Einstellungsformat verwenden, führt Intune keine Liste der einzelnen Einstellungen mehr nach Namen. Stattdessen werden der Name jeder Einstellung, ihre Konfigurationsoptionen und ihr erläuternder Text, den Sie im Microsoft Intune Admin Center sehen, direkt aus dem autorisierenden Inhalt der Einstellungen übernommen. Dieser Inhalt kann weitere Informationen über die Verwendung der Einstellung im richtigen Kontext liefern. Beim Anzeigen eines Informationstextes zu den Einstellungen können Sie den Link "Weitere Informationen " verwenden, um diesen Inhalt zu öffnen.

  • Persistenz durch WMI-Ereignisabonnement blockieren
    Angriffsflächen mit Regeln zur Verringerung der Angriffsfläche reduzieren

    Diese Regel zur Verringerung der Angriffsfläche (ASR) wird über die folgende GUID gesteuert: e6db77e5-3df2-4cf1-b95a-636979351e5b

    Diese Regel verhindert, dass Schadsoftware WMI missbraucht, um Persistenz auf einem Gerät zu erhalten. Dateilose Bedrohungen verwenden verschiedene Taktiken, um versteckt zu bleiben und somit zu vermeiden, im Dateisystem sichtbar zu sein, und um regelmäßige Ausführungskontrolle zu erhalten. Einige Bedrohungen können das WMI-Repository und das Ereignismodell missbrauchen, um versteckt zu bleiben.

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist und die Persistenz wird nicht blockiert.
    • Blockieren: Persistenz über WMI ist blockiert.
    • Überwachen: Bewerten, wie sich diese Regel auf Ihre Organisation auswirkt, wenn sie aktiviert ist (auf "Blockieren" festlegen).
    • Deaktivieren: Diese Regel deaktivieren. Die Persistenz wird nicht blockiert.

    Weitere Informationen zu dieser Einstellung finden Sie unter Persistenz durch WMI-Ereignisabonnement blockieren.

  • Diebstahl von Anmeldeinformationen aus dem Subsystem für die lokale Sicherheitsautorität (lsass.exe) blockieren
    Schützen von Geräten vor Exploits

    Diese Regel zur Verringerung der Angriffsfläche (ASR) wird über die folgende GUID gesteuert: 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Benutzerdefiniert
    • Aktivieren – Versuche, Anmeldeinformationen über lsass.exe zu stehlen, werden blockiert.
    • Überwachungsmodus : Benutzer werden nicht an gefährlichen Domänen gehindert, und stattdessen werden Windows-Ereignisse ausgelöst.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".

  • Adobe Reader am Erstellen von untergeordneten Prozessen hindern
    Angriffsflächen mit Regeln zur Verringerung der Angriffsfläche reduzieren

    Diese ASR-Regel wird über die folgende GUID gesteuert: 7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c

    • Nicht konfiguriert (Standard) – Der Windows-Standard wird wiederhergestellt, d.h. die Erstellung von untergeordneten Prozessen nicht blockieren.
    • Benutzerdefiniert
    • Aktivieren – Adobe Reader kann keine untergeordneten Prozesse erstellen.
    • Überwachungsmodus : Windows-Ereignisse werden ausgelöst, anstatt untergeordnete Prozesse zu blockieren.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".

  • Office-Anwendungen am Einfügen von Code in untergeordnete Prozesse hindern
    Schützen von Geräten vor Exploits

    Diese ASR-Regel wird über die folgende GUID gesteuert: 75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Blockieren : Office-Anwendungen werden daran gehindert, Code in andere Prozesse einzuschleusen.
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, anstatt zu blockieren.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".
    • Deaktivieren : Diese Einstellung ist deaktiviert.

  • Office-Anwendungen am Erstellen ausführbarer Inhalte hindern
    Schützen von Geräten vor Exploits

    Diese ASR-Regel wird über die folgende GUID gesteuert: 3B576869-A4EC-4529-8536-B80A7769E899

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Blockieren – Office-Anwendungen werden für das Erstellen von ausführbaren Inhalten gesperrt.
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, anstatt zu blockieren.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".
    • Deaktivieren : Diese Einstellung ist deaktiviert.

  • Alle Office-Anwendungen am Erstellen von untergeordneten Prozessen hindern
    Schützen von Geräten vor Exploits

    Diese ASR-Regel wird über die folgende GUID gesteuert: D4F940AB-401B-4EFC-AADC-AD5F3C50688A

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Blockieren : Office-Anwendungen können keine untergeordneten Prozesse erstellen.
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, anstatt zu blockieren.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".
    • Deaktivieren : Diese Einstellung ist deaktiviert.

  • Blockieren von Win32-API-Aufrufen über ein Office-Makro
    Schützen von Geräten vor Exploits

    Diese ASR-Regel wird über die folgende GUID gesteuert: 92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Blockieren : Office-Makros können keine Win32-API-Aufrufe verwenden.
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, anstatt zu blockieren.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".
    • Deaktivieren : Diese Einstellung ist deaktiviert.

  • Blockieren der Erstellung von untergeordneten Prozessen durch Office-Kommunikations-Apps
    Schützen von Geräten vor Exploits

    Diese ASR-Regel wird über die folgende GUID gesteuert: 26190899-1602-49e8-8b27-eb1d0a1ce869.

    • Nicht konfiguriert (Standard): Der Windows-Standard wird wiederhergestellt, d. h. die Erstellung von untergeordneten Prozessen wird nicht blockiert.
    • Benutzerdefiniert
    • Aktivieren – Office-Kommunikationsanwendungen werden am Erstellen von untergeordneten Prozessen gehindert.
    • Überwachungsmodus : Windows-Ereignisse werden ausgelöst, anstatt untergeordnete Prozesse zu blockieren.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".

  • Ausführung potenziell verschleierter Skripts blockieren (js/vbs/ps)
    Schützen von Geräten vor Exploits

    Diese ASR-Regel wird über die folgende GUID gesteuert: 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Blockieren – Defender blockiert die Ausführung von verschleierten Skripts.
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, anstatt zu blockieren.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".
    • Deaktivieren : Diese Einstellung ist deaktiviert.

  • JavaScript und VBScript am Starten heruntergeladener ausführbarer Inhalte hindern
    Schützen von Geräten vor Exploits

    Diese ASR-Regel wird über die folgende GUID gesteuert: D3E037E1-3EB8-44C8-A917-57927947596D

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Blockieren – Defender blockiert die Ausführung von JavaScript- oder VBScript-Dateien, die aus dem Internet heruntergeladen wurden.
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, anstatt zu blockieren.
    • Deaktivieren : Diese Einstellung ist deaktiviert.

  • Erstellung von Prozessen durch PSExec- und WMI-Befehle blockieren
    Schützen von Geräten vor Exploits

    Diese ASR-Regel wird über die folgende GUID gesteuert: d1e49aac-8f56-4280-b9ba-993a6d77406c

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Blockieren : Die Prozesserstellung durch PSExec- oder WMI-Befehle wird blockiert.
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, anstatt zu blockieren.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".
    • Deaktivieren : Diese Einstellung ist deaktiviert.

  • Nicht vertrauenswürdige und nicht signierte Prozess, die von USB ausgeführt werden, blockieren
    Schützen von Geräten vor Exploits

    Diese ASR-Regel wird über die folgende GUID gesteuert: b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Blockieren : Nicht vertrauenswürdige und nicht signierte Prozesse, die von einem USB-Laufwerk ausgeführt werden, werden blockiert.
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, anstatt zu blockieren.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".
    • Deaktivieren : Diese Einstellung ist deaktiviert.

  • Die Ausführung ausführbarer Dateien blockieren, es sei denn, sie erfüllen Kriterien für die Verbreitung, das Alter oder eine vertrauenswürdige Liste
    Schützen von Geräten vor Exploits

    Diese ASR-Regel wird über die folgende GUID gesteuert: 01443614-cd74-433a-b99e-2ecdc07bfc25e

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Blockieren
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, anstatt zu blockieren.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".
    • Deaktivieren : Diese Einstellung ist deaktiviert.

  • Download von ausführbaren Inhalten von E-Mail- und Webmail-Clients blockieren
    Schützen von Geräten vor Exploits

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Blockieren – Ausführbare Inhalte, die von E-Mail- und Webmail-Clients heruntergeladen wurden, werden blockiert.
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, anstatt zu blockieren.
    • Warnung – Für Windows 10 Version 1809 oder höher und Windows 11 erhält der Gerätebenutzer eine Meldung, dass er die Blockierung der Einstellung umgehen kann. Auf Geräten, auf denen frühere Versionen von Windows 10 ausgeführt werden, erzwingt die Regel das Verhalten "Aktivieren".
    • Deaktivieren : Diese Einstellung ist deaktiviert.

  • Erweiterten Schutz vor Ransomware verwendenGeräte vor Exploits schützen

    Diese ASR-Regel wird über die folgende GUID gesteuert: c1db55ab-c21a-4637-bb3f-a12568109d35

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Benutzerdefiniert
    • Enable
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, anstatt zu blockieren.

  • Aktivieren des Ordnerschutzes
    CSP: EnableControlledFolderAccess

    • Nicht konfiguriert (Standard): Diese Einstellung wird auf die Standardeinstellung zurückgesetzt, d. h. es werden keine Lese- oder Schreibvorgänge blockiert.
    • Aktivieren : Bei nicht vertrauenswürdigen Apps blockiert Defender Versuche, Dateien in geschützten Ordnern zu ändern oder zu löschen oder in Datenträgersektoren zu schreiben. Defender ermittelt automatisch, welche Anwendungen vertrauenswürdig sind. Alternativ können Sie eine eigene Liste vertrauenswürdiger Anwendungen definieren.
    • Überwachungsmodus – Windows-Ereignisse werden ausgelöst, wenn nicht vertrauenswürdige Anwendungen auf kontrollierte Ordner zugreifen, aber es werden keine Blockierungen erzwungen.
    • Blockdatenträgeränderung : Nur Versuche, in Datenträgersektoren zu schreiben, werden blockiert.
    • Datenträgeränderung überwachen – Windows-Ereignisse werden ausgelöst, anstatt Versuche zu blockieren, in Datenträgersektoren zu schreiben.

  • Liste der zusätzlichen Ordner, die geschützt werden müssen
    CSP: ControlledFolderAccessProtectedFolders

    Definieren Sie eine Liste von Festplattenspeicherorten, die vor nicht vertrauenswürdigen Anwendungen geschützt werden.

  • Liste der Apps, die Zugriff auf geschützte Ordner haben
    CSP: ControlledFolderAccessAllowedApplications

    Definieren Sie eine Liste der Apps, die Lese-/Schreibzugriff auf kontrollierte Speicherorte haben.

  • Ausschließen von Dateien und Pfaden aus Regeln zur Verringerung der Angriffsfläche
    CSP: AttackSurfaceReductionOnlyExclusions

    Erweitern Sie die Dropdownliste, und wählen Sie dann "Hinzufügen" aus, um einen Pfad zu einer Datei oder einem Ordner zu definieren, der von Ihren Regeln zur Verringerung der Angriffsfläche ausgenommen werden soll.

Profil für die Gerätesteuerung

Gerätesteuerung

Hinweis

In diesem Abschnitt werden die Einstellungen in Gerätesteuerungsprofilen beschrieben, die vor dem 23. Mai 2022 erstellt wurden. Profile, die nach diesem Datum erstellt wurden, verwenden ein neues Einstellungsformat wie im Einstellungskatalog. Sie können zwar keine neuen Instanzen des ursprünglichen Profils mehr erstellen, Sie können Ihre vorhandenen Profile aber weiterhin bearbeiten und verwenden.

Bei Profilen, die das neue Einstellungsformat verwenden, führt Intune keine Liste der einzelnen Einstellungen mehr nach Namen. Stattdessen werden der Name jeder Einstellung, ihre Konfigurationsoptionen und ihr erläuternder Text, den Sie im Microsoft Intune Admin Center sehen, direkt aus dem autorisierenden Inhalt der Einstellungen übernommen. Dieser Inhalt kann weitere Informationen über die Verwendung der Einstellung im richtigen Kontext liefern. Beim Anzeigen eines Informationstextes zu den Einstellungen können Sie den Link "Weitere Informationen " verwenden, um diesen Inhalt zu öffnen.

  • Installation von Hardwaregeräten anhand von Gerätebezeichnern zulassen

    • Nicht konfiguriert(Standard)
    • Ja – Windows kann jedes Gerät installieren oder aktualisieren, dessen Plug & Play Hardware-ID oder kompatible ID in der von Ihnen erstellten Liste enthalten ist, es sei denn, eine andere Richtlinieneinstellung verhindert diese Installation ausdrücklich. Wenn Sie diese Richtlinieneinstellung auf einem Remotedesktopserver aktivieren, wirkt sich die Richtlinieneinstellung auf die Umleitung der angegebenen Geräte von einem Remotedesktopclient zum Remotedesktopserver aus.
    • Nein

    Wenn diese Option auf "Ja " festgelegt ist, können Sie die folgenden Optionen konfigurieren:

    • Zulassungsliste – Verwenden Sie Hinzufügen, Importieren und Exportieren , um eine Liste von Gerätebezeichnern zu verwalten.

  • Blockieren der Installation von Hardwaregeräten nach Gerätebezeichnern
    CSP: AllowInstallationOfMatchingDeviceIDs

    • Nicht konfiguriert(Standard)
    • Ja – Geben Sie eine Liste von Plug & Play-Hardware-IDs und kompatiblen IDs für Geräte an, die Windows nicht installieren kann. Diese Richtlinie hat Vorrang vor allen anderen Richtlinieneinstellungen, die Windows die Installation eines Geräts erlauben. Wenn Sie diese Richtlinieneinstellung auf einem Remotedesktopserver aktivieren, wirkt sich die Richtlinieneinstellung auf die Umleitung der angegebenen Geräte von einem Remotedesktopclient zum Remotedesktopserver aus.
    • Nein

    Wenn diese Option auf "Ja " festgelegt ist, können Sie die folgenden Optionen konfigurieren:

    • Entfernen übereinstimmender Hardwaregeräte

      • Ja
      • Nicht konfiguriert(Standard)

    • Sperrliste : Verwenden Sie hinzufügen, importieren und exportieren , um eine Liste von Gerätebezeichnern zu verwalten.

  • Installation von Hardwaregeräten nach Setupklasse zulassen

    • Nicht konfiguriert(Standard)
    • Ja – Windows kann Gerätetreiber installieren oder aktualisieren, deren Gerätesetupklassen-GUIDs in der von Ihnen erstellten Liste erscheinen, es sei denn, eine andere Richtlinieneinstellung verhindert diese Installation ausdrücklich. Wenn Sie diese Richtlinieneinstellung auf einem Remotedesktopserver aktivieren, wirkt sich die Richtlinieneinstellung auf die Umleitung der angegebenen Geräte von einem Remotedesktopclient zum Remotedesktopserver aus.
    • Nein

    Wenn diese Option auf "Ja " festgelegt ist, können Sie die folgenden Optionen konfigurieren:

    • Zulassungsliste – Verwenden Sie Hinzufügen, Importieren und Exportieren , um eine Liste von Gerätebezeichnern zu verwalten.

  • Blockieren der Installation von Hardwaregeräten nach Setupklassen
    CSP: AllowInstallationOfMatchingDeviceSetupClasses

    • Nicht konfiguriert(Standard)
    • Ja – Geben Sie eine Liste der GUIDs (Globally Unique Identifiers) der Gerätesetupklasse für Gerätetreiber an, die Windows nicht installieren kann. Diese Richtlinieneinstellung hat Vorrang vor allen anderen Richtlinieneinstellungen, die Windows die Installation eines Geräts ermöglichen. Wenn Sie diese Richtlinieneinstellung auf einem Remotedesktopserver aktivieren, wirkt sich die Richtlinieneinstellung auf die Umleitung der angegebenen Geräte von einem Remotedesktopclient zum Remotedesktopserver aus.
    • Nein

    Wenn diese Option auf "Ja " festgelegt ist, können Sie die folgenden Optionen konfigurieren:

    • Entfernen übereinstimmender Hardwaregeräte

      • Ja
      • Nicht konfiguriert(Standard)

    • Sperrliste : Verwenden Sie hinzufügen, importieren und exportieren , um eine Liste von Gerätebezeichnern zu verwalten.

  • Installation von Hardwaregeräten anhand von "Device instance"-IDs zulassen

    • Nicht konfiguriert(Standard)
    • Ja – Windows darf jedes Gerät installieren oder aktualisieren, dessen Plug & Play Geräte-Instance-ID in der von Ihnen erstellten Liste angezeigt wird, es sei denn, eine andere Richtlinieneinstellung verhindert diese Installation ausdrücklich. Wenn Sie diese Richtlinieneinstellung auf einem Remotedesktopserver aktivieren, wirkt sich die Richtlinieneinstellung auf die Umleitung der angegebenen Geräte von einem Remotedesktopclient zum Remotedesktopserver aus.
    • Nein

    Wenn diese Option auf "Ja " festgelegt ist, können Sie die folgenden Optionen konfigurieren:

    • Zulassungsliste – Verwenden Sie Hinzufügen, Importieren und Exportieren , um eine Liste von Gerätebezeichnern zu verwalten.

  • Blockieren der Installation von Hardwaregeräten nach Geräte-instance-IDs
    Wenn Sie diese Richtlinieneinstellung auf einem Remotedesktopserver aktivieren, wirkt sich die Richtlinieneinstellung auf die Umleitung der angegebenen Geräte von einem Remotedesktopclient zum Remotedesktopserver aus.

    • Nicht konfiguriert(Standard)
    • Ja – Geben Sie eine Liste von Plug & Play-Hardware-IDs und kompatiblen IDs für Geräte an, die Windows nicht installieren kann. Diese Richtlinie hat Vorrang vor allen anderen Richtlinieneinstellungen, die Windows die Installation eines Geräts erlauben. Wenn Sie diese Richtlinieneinstellung auf einem Remotedesktopserver aktivieren, wirkt sich die Richtlinieneinstellung auf die Umleitung der angegebenen Geräte von einem Remotedesktopclient zum Remotedesktopserver aus.
    • Nein

    Wenn diese Option auf "Ja " festgelegt ist, können Sie die folgenden Optionen konfigurieren:

    • Entfernen übereinstimmender Hardwaregeräte

      • Ja
      • Nicht konfiguriert(Standard)

    • Sperrliste : Verwenden Sie hinzufügen, importieren und exportieren , um eine Liste von Gerätebezeichnern zu verwalten.

  • Schreibzugriff auf Wechselmedien blockieren
    CSP: RemovableDiskDenyWriteAccess

    • Nicht konfiguriert(Standard)
    • Ja – Schreibzugriff auf Wechselmedien wird verweigert.
    • Nein – Schreibzugriff ist zulässig.

  • Wechseldatenträger während des vollständigen Scans scannen
    CSP: Defender/AllowFullScanRemovableDriveScanning

    • Nicht konfiguriert (Standard): Die Einstellung wird auf den Clientstandardwert zurückgesetzt, der Wechseldatenträger überprüft. Der Benutzer kann diesen Scan jedoch deaktivieren.
    • Ja – Bei einem vollständigen Scan werden Wechseldatenträger (z. B. USB-Speichersticks) überprüft.

  • Direkten Speicherzugriff blockieren
    CSP: DataProtection/AllowDirectMemoryAccess

    Diese Richtlinieneinstellung wird nur erzwungen, wenn BitLocker oder Geräteverschlüsselung aktiviert ist.

    • Nicht konfiguriert (Standard)
    • Ja – Blockieren des direkten Speicherzugriffs (Direct Memory Access, DMA) für alle Hot-Plug-fähigen PCI-Downstreamports, bis sich ein Benutzer bei Windows anmeldet. Nachdem sich ein Benutzer angemeldet hat, zählt Windows die PCI-Geräte auf, die mit dem Hoststecker PCI-Ports verbunden sind. Jedes Mal, wenn der Benutzer den Computer sperrt, wird DMA an Hot-Plug-PCI-Ports ohne untergeordnete Geräte blockiert, bis sich der Benutzer erneut anmeldet. Geräte, die beim Entsperren des Computers bereits aufgelistet waren, funktionieren weiterhin, bis sie vom Stromnetz getrennt werden.

  • Enumeration von externen Geräten, die mit dem Kernel-DMA-Schutz nicht kompatibel sind
    CSP: DmaGuard/DeviceEnumerationPolicy

    Diese Richtlinie kann zusätzliche Sicherheit gegen externe DMA-fähige Geräte bieten. Sie ermöglicht eine bessere Kontrolle über die Aufzählung externer DMA-fähiger Geräte, die nicht mit DMA-Neuzuordnung/Gerätespeicherisolation und Sandboxing kompatibel sind.

    Diese Richtlinie wird nur wirksam, wenn der Kernel-DMA-Schutz von der Systemfirmware unterstützt und aktiviert wird. Der Kernel-DMA-Schutz ist ein Plattformfeature, das zum Zeitpunkt der Herstellung vom System unterstützt werden muss. Um zu überprüfen, ob das System den Kernel-DMA-Schutz unterstützt, überprüfen Sie das Feld Kernel-DMA-Schutz auf der Zusammenfassungsseite von MSINFO32.exe.

    • Nicht konfiguriert – (Standard)
    • Alle blockieren
    • Alle zulassen

  • Blockieren von Bluetooth-Verbindungen
    CSP: Bluetooth/AllowDiscoverableMode

    • Nicht konfiguriert (Standard)
    • Ja – Blockieren Sie Bluetooth-Verbindungen zu und von dem Gerät.

  • Bluetooth-Auffindbarkeit blockieren
    CSP: Bluetooth/AllowDiscoverableMode

    • Nicht konfiguriert (Standard)
    • Ja – Verhindert, dass das Gerät von anderen Bluetooth-fähigen Geräten erkannt werden kann.

  • Bluetooth-Vorkopplung blockieren
    CSP: Bluetooth/AllowPrepairing

    • Nicht konfiguriert (Standard)
    • Ja – Verhindert, dass bestimmte Bluetooth-Geräte automatisch mit dem Hostgerät gekoppelt werden.

  • Blockieren von Bluetooth-Werbung
    CSP: Bluetooth/AllowAdvertising

    • Nicht konfiguriert (Standard)
    • Ja – Verhindert, dass das Gerät Bluetooth-Werbung sendet.

  • Bluetooth-Verbindungen in der Nähe blockieren
    CSP: Bluetooth/AllowPromptedProximalConnections Blockieren der Verwendung von Swift Pair und anderen näherungsbasierten Szenarien durch Benutzer

    • Nicht konfiguriert (Standard)
    • Ja – Verhindert, dass ein Gerätebenutzer die schnelle Kopplung und andere näherungsbasierte Szenarien verwendet.

    Bluetooth/AllowPromptedProximalConnections CSP

  • Zulässige Bluetooth-Dienste
    CSP: Bluetooth/ServicesAllowedList. Weitere Informationen zur Dienstliste finden Sie im Verwendungshandbuch für ServicesAllowedList

    • Hinzufügen – Geben Sie zulässige Bluetooth-Dienste und -Profile als Hexadezimalzeichenfolgen an, z. B {782AFCFC-7CAA-436C-8BF0-78CD0FFBD4AF}. .
    • Importieren - Importieren Sie eine .csv Datei, die eine Liste von Bluetooth-Diensten und -Profilen enthält, als hexadezimale Zeichenfolgen, z. B. {782AFCFC-7CAA-436C-8BF0-78CD0FFBD4AF}

  • Wechselmedien
    CSP: Storage/RemovableDiskDenyWriteAccess

    • Blockieren (Standard): Verhindert, dass Benutzer externe Speichergeräte wie SD-Karten mit dem Gerät verwenden.
    • Nicht konfiguriert

  • USB-Verbindungen (nur HoloLens)
    CSP: Connectivity/AllowUSBConnection

    • Blockieren : Verhindern Sie die Verwendung einer USB-Verbindung zwischen dem Gerät und einem Computer zum Synchronisieren von Dateien oder zur Verwendung von Entwicklertools zum Bereitstellen oder Debuggen von Anwendungen. Das USB-Laden ist nicht betroffen.
    • Nicht konfiguriert (Standard)

Profil für Exploit-Schutz

Exploit-Schutz

Hinweis

In diesem Abschnitt werden die Einstellungen beschrieben, die Sie in Exploit-Schutzprofilen finden, die vor dem 5. April 2022 erstellt wurden. Profile, die nach diesem Datum erstellt wurden, verwenden ein neues Einstellungsformat wie im Einstellungskatalog. Mit dieser Änderung können Sie keine neuen Versionen des alten Profils mehr erstellen, und diese werden nicht mehr weiterentwickelt. Sie können zwar keine neuen Instanzen des älteren Profils mehr erstellen, Sie können jedoch weiterhin Instanzen des Profils bearbeiten und verwenden, die Sie zuvor erstellt haben.

Bei Profilen, die das neue Einstellungsformat verwenden, führt Intune keine Liste der einzelnen Einstellungen mehr nach Namen. Stattdessen werden der Name jeder Einstellung, ihre Konfigurationsoptionen und ihr erläuternder Text, den Sie im Microsoft Intune Admin Center sehen, direkt aus dem autorisierenden Inhalt der Einstellungen übernommen. Dieser Inhalt kann weitere Informationen über die Verwendung der Einstellung im richtigen Kontext liefern. Beim Anzeigen eines Informationstextes zu den Einstellungen können Sie den Link "Weitere Informationen " verwenden, um diesen Inhalt zu öffnen.

  • XML hochladen
    CSP: ExploitProtectionSettings

    Ermöglicht es dem IT-Administrator, eine Konfiguration, die die gewünschten System- und Anwendungsminderungsoptionen darstellt, auf alle Geräte in der organization zu übertragen. Die Konfiguration wird durch eine XML-Datei dargestellt. Der Exploit-Schutz kann dazu beitragen, Geräte vor Schadsoftware zu schützen, die Exploits zur Verbreitung und Infektion verwendet. Sie verwenden die Windows-Sicherheit-App oder PowerShell, um eine Reihe von Risikominderungen (als Konfiguration bezeichnet) zu erstellen. Sie können diese Konfiguration dann als XML-Datei exportieren und für mehrere Computer in Ihrem Netzwerk freigeben, damit alle über die gleichen Risikominderungseinstellungen verfügen. Sie können auch eine vorhandene XML-Datei für die EMET-Konfiguration in eine XML-Konfiguration für den Exploit-Schutz konvertieren und importieren.

    Wählen Sie XML-Datei auswählen aus, geben Sie den XML-Filet-Upload an, und klicken Sie dann auf Auswählen.

    • Nicht konfiguriert (Standard)
    • Ja

  • Benutzer daran hindern, die Exploit Guard-Schutzoberfläche zu bearbeiten
    CSP: DisallowExploitProtectionOverride

    • Nicht konfiguriert (Standard): Lokale Benutzer können Änderungen im Einstellungsbereich für den Exploit-Schutz vornehmen.
    • Ja – Verhindern, dass Benutzer Änderungen am Einstellungsbereich für den Exploit-Schutz im Microsoft Defender Security Center vornehmen.

Profil für Webschutz (Vorgängerversion von Microsoft Edge)

Webschutz (Vorgängerversion von Microsoft Edge)

  • Netzwerkschutz aktivieren
    CSP: EnableNetworkProtection

    • Nicht konfiguriert (Standard): Die Einstellung wird auf die Windows-Standardeinstellung zurückgesetzt, die deaktiviert ist.
    • Benutzerdefiniert
    • Aktivieren – Der Netzwerkschutz ist für alle Benutzer im System aktiviert.
    • Überwachungsmodus : Benutzer werden nicht an gefährlichen Domänen gehindert, und stattdessen werden Windows-Ereignisse ausgelöst.

  • SmartScreen für Microsoft Edge erforderlich
    CSP: Browser/AllowSmartScreen

    • Ja – Verwenden Sie SmartScreen, um Benutzer vor potenziellen Betrugsversuchen durch Phishing oder Schadsoftware zu schützen.
    • Nicht konfiguriert (Standard)

  • Zugriff auf schädliche Websites blockieren
    CSP: Browser/PreventSmartScreenPromptOverride

    • Ja – Verhindern, dass Benutzer die Microsoft Defender SmartScreen-Filterwarnungen ignorieren, und verhindern, dass sie die Website aufrufen.
    • Nicht konfiguriert (Standard)

  • Herunterladen nicht überprüfter Dateien blockieren
    CSP: Browser/PreventSmartScreenPromptOverrideForFiles

    • Ja – Verhindern, dass Benutzer die Warnmeldungen des Microsoft Defender SmartScreen-Filters ignorieren, und sie am Herunterladen nicht überprüfter Dateien hindern.
    • Nicht konfiguriert (Standard)

Verringerung der Angriffsfläche (ConfigMgr)

Profil für Exploit-Schutz (ConfigMgr)(Preview)

Exploit-Schutz

  • XML hochladen
    CSP: ExploitProtectionSettings

    Ermöglicht es dem IT-Administrator, eine Konfiguration, die die gewünschten System- und Anwendungsminderungsoptionen darstellt, auf alle Geräte in der organization zu übertragen. Die Konfiguration wird durch eine XML-Datei dargestellt. Der Exploit-Schutz kann dazu beitragen, Geräte vor Schadsoftware zu schützen, die Exploits zur Verbreitung und Infektion verwendet. Sie verwenden die Windows-Sicherheit-App oder PowerShell, um eine Reihe von Risikominderungen (als Konfiguration bezeichnet) zu erstellen. Sie können diese Konfiguration dann als XML-Datei exportieren und für mehrere Computer in Ihrem Netzwerk freigeben, damit alle über die gleichen Risikominderungseinstellungen verfügen. Sie können auch eine vorhandene XML-Datei für die EMET-Konfiguration in eine XML-Konfiguration für den Exploit-Schutz konvertieren und importieren.

    Wählen Sie XML-Datei auswählen aus, geben Sie den XML-Filet-Upload an, und klicken Sie dann auf Auswählen.

  • Außerkraftsetzung des Exploit-Schutzes nicht zulassen
    CSP: DisallowExploitProtectionOverride

    • Nicht konfiguriert (Standard)
    • (Deaktivieren) Lokale Benutzer dürfen Änderungen im Einstellungsbereich für den Exploit-Schutz vornehmen.
    • (Aktivieren) Lokale Benutzer können keine Änderungen am Einstellungsbereich für den Exploit-Schutz vornehmen.

Profil für Webschutz (ConfigMgr)(Preview)

Webschutz

Nächste Schritte

Endpunktsicherheitsrichtlinie für ASR

  • Last updated on