Übersicht über den kontrollierten Ordnerzugriff (CFA)

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Kontrollierter Ordnerzugriff (CFA) in Microsoft Defender Antivirus hilft, Ihre Dateien vor Ransomware-Bedrohungen zu schützen. Es ist eine der Funktionen zur Verringerung der Angriffsfläche in Microsoft Defender for Endpoint.

Ransomware verschlüsselt Ihre Dateien und hält sie geisel. CFA wirkt dieser Bedrohung entgegen, indem nur vertrauenswürdige Apps Dateien in geschützten Ordnern ändern dürfen. Wenn eine nicht vertrauenswürdige App versucht, eine Datei in einem geschützten Ordner zu ändern, blockiert CFA den Versuch und benachrichtigt Sie.

CFA basiert auf den folgenden Elementen:

  • Geschützte Ordner: Die Ordner, die von CFA geschützt werden. Nicht vertrauenswürdige Apps können Dateien in diesen Ordnern nicht ändern oder löschen. CFA schützt einen nicht veränderbaren Satz von Standardordnern, und Sie können andere Ordner hinzufügen.
  • Vertrauenswürdige Apps: Die Apps, die Dateien in geschützten Ordnern ändern dürfen. Microsoft Defender Antivirus bewertet jeden Typ von ausführbarer Datei (einschließlich .exe, .scrund .dll Dateien) und vertraut den meisten Apps automatisch basierend auf ihrer Verbreitung und Reputation. Sie können andere Apps zulassen , denen Sie vertrauen, wenn CFA sie blockiert.
  • Datenträgersektoren: Die Sektoren auf niedriger Ebene, in denen der Startdatensatz auf geschützten Geräten gespeichert wird. Nicht vertrauenswürdige Apps können nicht direkt in diese Sektoren schreiben. Dieser Schutz hilft beim Blockieren von Bedrohungen auf Startebene, z. B. Bootkits und Datenträger-Wiper-Schadsoftware, die versuchen, den Startdatensatz zu überschreiben. Im Gegensatz zu geschützten Ordnern und vertrauenswürdigen Apps tritt der Schutz des Datenträgersektors selten mit alltäglichen Apps in Konflikt, sodass Sie sie eigenständig anwenden können. Weitere Informationen finden Sie unter Modi für CFA.

Wenn eine App mit einem unbekannten Ruf CFA auslöst, treten die folgenden Ereignisse auf:

CFA funktioniert am besten mit Microsoft Defender for Endpoint, die detaillierte Berichte zu Ereignissen und Blöcken im Rahmen der üblichen Warnungsuntersuchungsszenarien bietet.

Anforderungen für CFA

CFA erfordert Microsoft Defender Antivirus als primäre Antiviren-App auf Windows Geräten:

  • Microsoft Defender Antivirus muss aktiviert sein und sich im aktiven Modus befinden. CFA funktioniert in keinem anderen Modus, einschließlich:

    • Passive
    • Passiver Modus mit Endpunkterkennung und -antwort (EDR) im Blockmodus
    • Begrenztes periodisches Scannen (LPS)
    • Aus

    Weitere Informationen zu Modi in Microsoft Defender Antivirus finden Sie unter Wie sich Microsoft Defender Antivirus auf die Funktionalität von Defender for Endpoint auswirkt.

  • Echtzeitschutz in Microsoft Defender Antivirus muss aktiviert sein.

  • Obwohl CFA keine Microsoft 365 E5 erfordert, empfiehlt Microsoft die Sicherheitsfunktionen von E5 oder gleichwertigen Abonnements, um die folgenden erweiterten Verwaltungsfunktionen zu nutzen:

    • Überwachung, Analyse und Workflows in Defender für Endpunkt.
    • Berichts- und Konfigurationsfunktionen im Microsoft Defender XDR-Portal.

    Erweiterte Verwaltungsfunktionen sind für andere Lizenzen (z. B. Windows Professional oder Microsoft 365 E3) nicht verfügbar. Sie können jedoch eigene Überwachungs- und Berichterstellungstools basierend auf den CFA-Ereignissen entwickeln, die in Windows Ereignisanzeige auf jedem Gerät generiert werden (z. B. Windows Ereignisweiterleitung).

    Weitere Informationen zur Windows-Lizenzierung finden Sie unter Windows-Lizenzierung und im Referenzhandbuch zur Microsoft-Volumenlizenzierung.

Unterstützte Betriebssysteme für CFA

CFA ist ein Microsoft Defender Antivirus-Feature, das in jeder Edition von Windows verfügbar ist, die Microsoft Defender Antivirus enthält (z. B. Windows 11 Home). Die Methoden, die Sie zum Aktivieren verwenden können, finden Sie unter Bereitstellungs- und Konfigurationsmethoden für CFA.

Zentrale Verwaltung, Berichterstellung und Warnung für CFA in Microsoft Defender for Endpoint stehen in den folgenden Editionen und Versionen von Windows zur Verfügung:

  • Pro- und Enterprise-Editionen von Windows 10 oder höher.
  • Windows Server 2012 R2 oder höher.
  • Azure Local (früher als Azure Stack HCI bezeichnet) Version 23H2 oder höher.

Note

CFA ist ein Windows-Feature. Es ist nicht auf Linux- oder macOS-Geräten verfügbar, auch wenn sie in Microsoft Defender for Endpoint integriert sind.

Modi für CFA

CFA ist standardmäßig deaktiviert. Um sie zu verwenden, aktivieren Sie sie, und wählen Sie einen der folgenden Modi aus:

Modus Code Description
Deaktiviert (Standard) 0 CFA ist deaktiviert. Alle Apps können Dateien in geschützten Ordnern ändern oder löschen und in Datenträgersektoren schreiben.
Aktiviert oder
Blockieren		 1 Nicht vertrauenswürdige Apps können Dateien in geschützten Ordnern nicht ändern oder löschen oder in Datenträgersektoren schreiben.
Überwachungsmodus 2 Nicht vertrauenswürdige Apps können Dateien in geschützten Ordnern ändern oder löschen und in Datenträgersektoren schreiben, diese Versuche werden jedoch aufgezeichnet.

Verwenden Sie diesen Modus, um die Auswirkungen von CFA auf Ihre Organisation zu bewerten, ohne Apps zu blockieren.
Nur Datenträgeränderung blockieren 3 Nicht vertrauenswürdige Apps werden daran gehindert, in Datenträgersektoren zu schreiben, und diese Versuche werden aufgezeichnet. Nicht vertrauenswürdige Apps können Dateien in geschützten Ordnern weiterhin ändern oder löschen.
Nur Datenträgeränderungen überwachen 4 Versuche von nicht vertrauenswürdigen Apps, auf Datenträgersektoren zu schreiben, werden aufgezeichnet. Versuche zum Ändern oder Löschen von Dateien in geschützten Ordnern werden nicht aufgezeichnet, und es werden keine Apps blockiert.

Die Windows Ereignis-IDs, die von jedem Modus generiert werden, finden Sie unter CFA-Ereignisse in Windows Ereignisanzeige.

Microsoft empfiehlt, CFA zuerst im Überwachungsmodus auszuführen, um deren Auswirkungen zu bewerten, bevor Sie zum Aktivierten Modus (Block) wechseln. Durch die Überwachung von Überwachungsereignissen und dem Zulassen der benötigten Apps können Sie CFA aktivieren, ohne die Produktivität zu verringern.

Die Modi „Nur Datenträgeränderungen blockieren“ und „Nur Datenträgeränderungen überwachen“ wirken sich nur auf Schreibvorgänge in den Datenträgersektoren aus, in denen der Bootsektor gespeichert ist. Sie wirken sich nicht auf Dateien in geschützten Ordnern aus. Berücksichtigen Sie einen dieser Modi in den folgenden Szenarien:

  • Sie möchten den Bootsektor vor Bootkits und Datenträger-löschender Schadsoftware schützen, aber der vollständige Schutz für geschützte Ordner blockiert zu viele Ihrer Geschäftsanwendungen oder erfordert zu viele Anpassungen. Datenträgersektor-Schreibvorgänge stammen selten aus legitimen Apps, sodass dieser Schutz nur wenige falsch positive Ergebnisse generiert.
  • Sie schützen Benutzerdateien bereits anderweitig (z. B. durch die OneDrive-Umleitung bekannter Ordner mit Versionierung oder durch eine separate Datensicherung oder einen separaten Anti-Ransomware-Schutz), sodass Sie nur den Bootsektorschutz benötigen, den CFA hinzufügt.
  • Sie möchten den Leistungseffekt der Auswertung von Dateischreibvorgängen einschränken, insbesondere für freigegebene Netzwerkordner.
  • Sie möchten den Schutz in Phasen bereitstellen. Sie können z. B. Nur Datenträgeränderungen blockieren in der Produktionsumgebung sofort aktivieren, während Sie den Schutz für geschützte Ordner im Überwachungsmodus verwenden und eine Liste zulässiger Apps erstellen.

Verwenden Sie zuerst Nur Datenträgeränderungen überwachen, um zu bestätigen, dass keine legitimen Anwendungen (z. B. Datenträgerabbild-, Sicherungs-, Verschlüsselungs- oder Partitionierungsprogramme) Datenträgersektoren beschreiben, bevor Sie zu Nur Datenträgeränderungen blockieren wechseln.

Nicht jede Konfigurationsmethode für CFA unterstützt jeden Modus. Die folgende Tabelle zeigt, welche Modi die einzelnen Bereitstellungs- und Konfigurationsmethoden unterstützen.

Modus Intune Konfigurationsmanager Richtlinien-CSP Gruppenrichtlinie PowerShell Windows-Sicherheit-App
Disabled Ja Ja Ja Ja Ja Ja
Aktiviert (Blockieren) Ja Ja Ja Ja Ja Ja
Überwachungsmodus Ja Ja Ja Ja Ja No
Nur Datenträgeränderung blockieren Ja No Ja Ja Ja No
Nur Datenträgeränderungen überwachen Ja No Ja Ja Ja No

Das Microsoft Defender-Portal verwendet dieselben Endpunktsicherheitsrichtlinien wie Intune, sodass er dieselben Modi unterstützt, die in der Spalte "Intune" angezeigt werden.

Bereitstellungs- und Konfigurationsmethoden für CFA

Microsoft Defender for Endpoint unterstützt CFA, enthält jedoch keine integrierte Methode zum Bereitstellen der Einstellungen auf Geräten. Stattdessen verwenden Sie ein separates Bereitstellungs- oder Verwaltungstool, um CFA-Einstellungen zu erstellen und zu verteilen.

In der folgenden Tabelle sind die verfügbaren Methoden zusammengefasst. Ausführliche Konfigurationsanweisungen finden Sie unter Konfigurieren von CFA.

Methode Description
Microsoft Intune Die empfohlene Methode. Konfigurieren und Bereitstellen von CFA auf Geräten mithilfe von Endpunktsicherheitsrichtlinien. Erfordert Microsoft Intune.
Microsoft Defender-Portal Konfigurieren Sie CFA mit Endpunktsicherheitsrichtlinien im Microsoft Defender-Portal mit denselben Richtlinien wie Intune. Hilfreich beim Verwalten von Endpunktsicherheitsrichtlinien aus dem Defender-Portal.
Jede MDM-Lösung, die den Policy CSP verwendet Verwenden Sie den Windows-Policy configuration service provider (CSP) mit jeder MDM-Lösung.
Microsoft Configuration Manager Konfigurieren Sie CFA in einer Windows Defender Exploit Guard-Richtlinie.
Gruppenrichtlinie Verwenden Sie zentrale Gruppenrichtlinie, um CFA auf Geräten zu konfigurieren und bereitzustellen, die einer Domäne beigetreten sind, oder konfigurieren Sie Gruppenrichtlinien lokal auf einzelnen Geräten.
PowerShell Konfigurieren Sie CFA lokal auf einzelnen Geräten.
Windows-Sicherheit-App Konfigurieren Sie CFA lokal auf einem einzelnen Gerät.

Standardordner, die durch CFA geschützt sind

Standardmäßig schützt CFA die folgenden Speicherorte auf Windows Geräten:

  • Festplattenstartsektoren
  • Die folgenden Ordner für Benutzerkonten und Systemkonten (zum Beispiel LocalService, NetworkService und systemprofile):
    • C:\Users\<username>\Documents
    • C:\Users\<username>\Favorites
    • C:\Users\<username>\Music
    • C:\Users\<username>\Pictures
    • C:\Users\<username>\Videos
    • C:\Users\Public\Documents
    • C:\Users\Public\Music
    • C:\Users\Public\Pictures
    • C:\Users\Public\Videos

Note

Die vorherigen Pfade sind die Standardspeicherorte. Wenn ein Ordner umgeleitet wird, schützt CFA den Ordner an seinem umgeleiteten Speicherort. Wenn beispielsweise OneDrive Known Folder Move Ihren Ordner „Dokumente“, „Bilder“ oder „Desktop“ in C:\Users\<username>\OneDrive - <organization>\ sichert, schützt CFA den Ordner in OneDrive.

Sie können die Liste der standardgeschützten Ordner nicht ändern.

Sie können eine der folgenden Methoden verwenden, um die tatsächliche Liste der standardgeschützten Ordner auf einem Windows Gerät anzuzeigen:

  • Öffnen Sie die Windows-Sicherheit-App, wie unter "Konfigurieren der CFA" in der Windows-Sicherheit-App beschrieben. Wenn CFA aktiviert ist, werden die Standardordner am Ende der Liste angezeigt.

  • Führen Sie in einer PowerShell-Sitzung mit erhöhten Rechten (einem PowerShell-Fenster, das Sie durch Auswählen von "Als Administrator ausführen" geöffnet haben) den folgenden Befehl aus.

    (Get-MpPreference).ControlledFolderAccessDefaultProtectedFolders

    Der Befehl gibt die Liste der standardgeschützten Ordner nur zurück, wenn CFA aktiviert ist.

Hinzufügen weiterer Ordner zu CFA

Obwohl Sie die Standardordner nicht ändern oder entfernen können, können Sie weitere Ordner hinzufügen, um sie zu schützen. Wenn Sie einen Ordner hinzufügen, sind die Unterordner ebenfalls geschützt.

Fügen Sie Ordner hinzu, wenn Sie wichtige Daten an Speicherorten speichern, die nicht bereits von den standardgeschützten Ordnern abgedeckt sind.

Wenn Sie mehr geschützte Ordner angeben, beachten Sie die folgenden Punkte:

  • Netzwerkfreigaben und zugeordnete Laufwerke werden unterstützt.
  • Umgebungsvariablen werden unterstützt, jedoch keine Wildcards.
  • Fügen Sie keine lokalen Freigabepfade (Loopbacks) als geschützte Ordner hinzu. Verwenden Sie stattdessen den lokalen Pfad. Wenn Sie z. B. C:\demo als \\mycomputer\demo geteilt haben, verwenden Sie C:\demo, nicht \\mycomputer\demo.

Note

Wenn Ihr Workflow freigegebene Netzwerkordner umfasst, kann die Aktivierung von CFA zu einer erheblichen Reduzierung der Netzwerkleistung führen, wenn ein nicht vertrauenswürdiger Prozess auf die freigegebenen Netzwerkordner zugreift, insbesondere aufgrund vieler Abfragen auf den Dateifreigabeserver. Stellen Sie sicher, dass Ihre Dateiserver für einen erhöhten Netzwerkdatenverkehr optimiert sind, insbesondere, wenn Sie freigegebene Netzwerkordner für Offlinedateien verwenden.

Anweisungen finden Sie unter Konfigurieren von CFA.

Zulassen, dass Apps Dateien in geschützten Ordnern ändern

Sie können bestimmte Apps zulassen, denen Sie vertrauen, um Änderungen an Dateien in geschützten Ordnern vorzunehmen. Das Zulassen einer App ist nützlich, wenn CFA eine bekannte, vertrauenswürdige App blockiert. Anweisungen finden Sie unter Konfigurieren von CFA.

Standardmäßig vertraut Microsoft Defender Antivirus Apps basierend auf ihrer Verbreitung und Reputation automatisch und fügt sie der Liste der zulässigen Elemente hinzu. Die Liste der automatisch vertrauenswürdigen Apps wird nicht in der Windows-Sicherheit-App oder den zugehörigen PowerShell-Cmdlets angezeigt. Sie sollten die meisten Apps nicht hinzufügen müssen. Fügen Sie eine App nur hinzu, wenn sie blockiert ist, und Sie können überprüfen, ob sie vertrauenswürdig ist.

Wenn Sie eine App hinzufügen, geben Sie den Standort der App an. Nur die App an diesem Speicherort darf auf geschützte Ordner zugreifen. Wenn sich eine App mit demselben Namen an einem anderen Speicherort befindet, wird sie nicht zur liste zugelassen und möglicherweise blockiert.

Im Gegensatz zu geschützten Ordnern unterstützen zulässige Apps sowohl Umgebungsvariablen als auch Wildcards (*) im Pfad. Verwenden Sie Platzhalter nur im Ordnerteil des Pfads, nicht im Dateinamen der App. Wildcards sind nützlich, wenn sich die ausführbare Datei in einem Ordner befindet, dessen Name sich zwischen Versionen oder Installationen ändert. Die folgenden Beispiele zeigen allgemeine Muster:

Pattern Example Was dies zulässt
Umgebungsvariable %ProgramFiles%\Contoso\PhotoVault\PhotoVault.exe Ein fester Installationsspeicherort, unabhängig vom Laufwerkbuchstaben des Systems.
Wildcard für einen Versionsordner %ProgramFiles%\Fabrikam\DriveManager\*\DriveService.exe Die ausführbare Datei in einem beliebigen Unterordner einer Version (z. B. 1.2.0 oder 1.3.0).
Umgebungsvariable und Wildcard %LOCALAPPDATA%\Contoso\app-*\resources\helper.exe Installationsordner für jedes Update, z. B. app-2.1.7 im Benutzerprofil.
Mehrere Wildcards %ProgramFiles(x86)%\Adatum\*\Plugins\*\update.exe Eine ausführbare Datei, die unter mehr als einem Variablenordnernamen geschachtelt ist.
Wildcard für zufällig benannte Ordner C:\Windows\Temp\*\Setup\installer.exe Ein Installationsprogramm, das in einen zufällig benannten temporären Ordner extrahiert wird.

Note

Im Gegensatz zu Microsoft Defender Antivirus- und Attack Surface Reduction (ASR)-Regelausschlüssen, die nur Systemumgebungsvariablen unterstützen, unterstützen CFA zulässige Apps auch Benutzerumgebungsvariablen wie %LOCALAPPDATA% und %USERPROFILE%. CFA löst den Pfad im Kontext des Benutzers auf, der die App ausführt.

Eine zulässige App wird nur wirksam, wenn die App oder der Dienst gestartet wird. Wenn Sie beispielsweise einen bereits ausgeführten Updatedienst zulassen, löst der Updatedienst weiterhin CFA-Ereignisse aus, bis Sie den Dienst neu starten.

Sie können auch Microsoft Defender for Endpoint Indikatoren für Kompromittierung (IoCs) verwenden, um signierte ausführbare Dateien für den Zugriff auf geschützte Ordner zuzulassen. Weitere Informationen finden Sie unter Erstellen von Indikatoren basierend auf Zertifikaten.

Note

Skriptmodule wie PowerShell werden nicht von CFA als vertrauenswürdig eingestuft, auch wenn Sie mithilfe von Gefährdungsindikatoren (IoCs) einen "Allow"-Indikator erstellen. Die einzige Möglichkeit, skriptmodulen das Ändern geschützter Ordner zu ermöglichen, besteht darin, sie als zulässige App für CFA hinzuzufügen. Anweisungen finden Sie unter Konfigurieren von CFA.

Überwachen der CFA-Aktivität

Vollständige Informationen finden Sie unter Regelaktivität für die Verringerung der Angriffsfläche (ASR) überwachen.

Verwandte Inhalte

  • Last updated on