Aktivieren des Exploit-Schutzes

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Der Exploit-Schutz trägt zum Schutz vor Schadsoftware bei, die Exploits verwendet, um Geräte zu infizieren und sich zu verbreiten. Der Exploit-Schutz umfasst mehrere Maßnahmen zur Risikominderung, die entweder auf das Betriebssystem oder auf einzelne Apps angewendet werden können.

In diesem Artikel wird beschrieben, wie Sie Exploit-Schutzminderungen mithilfe der Windows-Sicherheit-App, Microsoft Intune, MDM, Microsoft Configuration Manager, Gruppenrichtlinie oder PowerShell aktivieren und konfigurieren.

Wichtig

.NET 2.0 ist mit einigen Exploit-Schutzfunktionen nicht kompatibel, insbesondere mit EAF (Export Address Filtering) und Import Address Filtering (IAF). Wenn Sie .NET 2.0 aktiviert haben, wird die Verwendung von EAF und IAF nicht unterstützt.

Viele der Features des Enhanced Mitigation Experience Toolkits (EMET) sind auch im Exploit-Schutz enthalten.

Voraussetzungen

Die folgenden Empfehlungen können Ihnen beim erfolgreichen Bereitstellen des Exploit-Schutzes helfen.

  • Richten Sie die Überwachung für Anwendungsabstürze (Ereignis-ID 1000 und/oder Ereignis-ID 1001) und/oder Hängern (Ereignis-ID 1002) ein

  • Aktivieren Sie die Erfassung von vollständigen Speicherabbildern des Benutzermodus

  • Überprüfen Sie, welche Anwendungen bereits mit "Control Flow Guard" (CFG) kompiliert wurden, die sich in erster Linie auf die Minimierung von Speicherbeschädigungsrisiken konzentrieren. Verwenden Sie das Dumpbin-Tool, um zu ermitteln, ob es mit CFG kompiliert wurde. Für Anwendungen, die bereits mit CFG kompiliert wurden, könnten Sie auf die Aktivierung der Erzwingung für DEP, ASLR, SEHOP und ACG verzichten.

  • Verwenden Sie sichere Bereitstellungsmethoden (SDP), um Exploit-Schutzänderungen schrittweise zu testen und zu bereitstellen.

Warnung

Wenn Sie keine sicheren Bereitstellungsmethoden testen und nicht durchlaufen, können Sie zu Produktivitätsausfällen bei Endbenutzern beitragen.

Sichere Bereitstellungsmethoden

Sichere Bereitstellungsmethoden (SDP): Sichere Bereitstellungsprozesse und -verfahren definieren, wie Änderungen an Ihrer Workload sicher vorgenommen und bereitgestellt werden. Die Implementierung von SDP erfordert, dass Sie über Bereitstellungen im Rahmen des Risikomanagements nachdenken. Sie können das Risiko von Produktivitätsausfällen von Endbenutzern in Ihren Bereitstellungen minimieren und die Auswirkungen problematischer Bereitstellungen auf Ihre Benutzer begrenzen, indem Sie SDP implementieren.

Beginnen Sie mit einem kleinen Satz (z. B. 10 bis 50) von Windows Geräten, und verwenden Sie diese Gerätegruppe als Testumgebung, um zu sehen, welche der 21 Gegenmaßnahmen mit Exploit-Schutz nicht kompatibel sind. Entfernen Sie die Abhilfemaßnahmen, die nicht mit der Anwendung kompatibel sind. Wiederholen Sie den Vorgang mit den Anwendungen, auf die Sie abzielen. Sobald die Exploit-Schutzrichtlinie für die Produktion bereit ist, führen Sie sie breiter ein.

Beginnen Sie damit, zunächst das User Acceptance Testing (UAT) für IT-Administratoren, Sicherheitsadministratoren und Helpdesk-Personal bereitzustellen. Dann auf 1 %, 5 %, 10 %, 25 %, 50 %, 75 % und schließlich auf 100 % Ihrer Umgebung.

Exploit-Schutzminderungen aktivieren

Sie können jede Gegenmaßnahme separat aktivieren, indem Sie eine der folgenden Methoden verwenden:

Der Exploit-Schutz ist in Windows 10 und Windows 11 standardmäßig konfiguriert. Sie können die einzelnen Risikominderungsfunktionen auf "Ein", "Aus" oder den Standardwert festlegen. Einige Schutzmaßnahmen bieten mehr Optionen. Sie können die Exploit-Schutz-Entschärfungseinstellungen als XML-Datei exportieren und auf anderen Geräten bereitstellen.

Sie können Abhilfemaßnahmen auch in den Überwachungsmodus versetzen. Im Überwachungsmodus können Sie testen, wie die Risikominderungen funktionieren (und Ereignisse überprüfen), ohne die normale Verwendung des Geräts zu beeinträchtigen.

Aktivieren des Exploit-Schutzes mithilfe der Windows-Sicherheit-App

Führen Sie die folgenden Schritte aus, um Exploit-Schutz-Gegenmaßnahmen in der Windows-Sicherheit-App zu konfigurieren:

  1. Öffnen Sie die Windows-Sicherheit-App, indem Sie entweder das Schildsymbol in der Taskleiste anklicken oder über das Startmenü nach Sicherheit suchen.

  2. Wählen Sie die Kachel App- und Browsersteuerung (oder das App-Symbol auf der linken Menüleiste) und dann Exploit-Schutzeinstellungen aus.

  3. Wechseln Sie zu den Programmeinstellungen, und wählen Sie die App aus, auf die Sie Risikominderungsfunktionen anwenden möchten.

    • Wenn die App, die Sie konfigurieren möchten, bereits aufgeführt ist, wählen Sie sie aus, und klicken Sie dann auf Bearbeiten.
    • Wenn die App nicht aufgeführt ist, wählen Sie oben in der Liste Programm zum Anpassen hinzufügen aus, und wählen Sie dann aus, wie Sie die App hinzufügen möchten.
    • Verwenden Sie Per Programmnamen hinzufügen, um die Risikominderung auf alle laufenden Prozesse mit diesem Namen anzuwenden. Geben Sie eine Datei samt ihrer Erweiterung an. Sie können den vollständigen Pfad angeben, um die Abhilfemaßnahme nur auf die App mit diesem Namen an diesem Speicherort zu beschränken.
    • Wählen Sie Genauen Dateipfad auswählen, um über ein Standard-Windows-Explorer-Fenster die gewünschte Datei zu suchen und auszuwählen.

  4. Nach dem Auswählen der App wird eine Liste aller Risikominderungsfunktionen angezeigt, die angewendet werden können. Wenn Sie Überwachung auswählen, wird die Entschärfung nur im Überwachungsmodus angewendet. Sie werden benachrichtigt, wenn Sie den Prozess oder die App neu starten müssen oder Windows neu starten müssen.

  5. Wiederholen Sie die Schritte 3 bis 4 für alle Apps und Risikominderungsfunktionen, die Sie konfigurieren möchten.

  6. Suchen Sie im Abschnitt Systemeinstellungen die Risikominderung, die Sie konfigurieren möchten, und legen Sie dann eine der folgenden Einstellungen fest. Für Apps, die im Abschnitt Programmeinstellungen nicht einzeln konfiguriert sind, gelten die hier festgelegten Einstellungen.

    • Standardmäßig aktiviert: Die Risikominderung ist für Apps aktiviert, für die sie nicht im App-spezifischen Abschnitt in den Programmeinstellungen festgelegt wurde.
    • Standardmäßig deaktiviert: Die Risikominderung ist für Apps deaktiviert, für die sie nicht im App-spezifischen Abschnitt in den Programmeinstellungen festgelegt wurde.
    • Standardwert verwenden: Die Risikominderung ist entweder aktiviert oder deaktiviert, abhängig von der Standardkonfiguration, die durch die Windows 10- oder Windows 11-Installation eingerichtet wurde. Der Standardwert (Ein oder Aus) wird immer neben der Bezeichnung Standardwert verwenden für die einzelnen Risikominderungen angegeben.

  7. Wiederholen Sie Schritt 6 für alle Risikominderungsfunktionen auf Systemebene, die Sie konfigurieren möchten. Klicken Sie auf Übernehmen, wenn Sie mit der Einrichtung Ihrer Konfiguration fertig sind.

Wenn Sie eine App zum Abschnitt Programmeinstellungen hinzufügen und dort individuelle Risikominderungseinstellungen konfigurieren, haben diese Vorrang vor der Konfiguration für dieselben Risikominderungen, die im Abschnitt Systemeinstellungen angegeben sind. Die folgende Matrix und Beispiele veranschaulichen, wie Standardeinstellungen funktionieren:

Aktiviert in den Programmeinstellungen Aktiviert in den Systemeinstellungen Verhalten
Ja Nein Wie in den Programmeinstellungen festgelegt
Ja Ja Wie in den Programmeinstellungen festgelegt
Nein Ja Wie in den Systemeinstellungen festgelegt
Nein Nein Standardwert wie in der Option Standardwert verwenden festgelegt

Beispiel 1: Michael konfiguriert die Datenausführungsverhinderung im Abschnitt "Systemeinstellungen" als standardmäßig deaktiviert.

Michael fügt die App test.exe zum Abschnitt Programmeinstellungen hinzu. In den Optionen für diese App aktiviert Michael unter Datenausführungsverhinderung die Option Systemeinstellungen außer Kraft setzen und legt den Schalter auf Ein fest. Im Abschnitt Programmeinstellungen sind keine anderen Apps aufgeführt.

Das Ergebnis ist, dass DEP nur für test.exe aktiviert ist. Für alle anderen Apps wird DEP nicht angewendet.

Beispiel 2: Hannah konfiguriert die Datenausführungsverhinderung in den "Systemeinstellungen" als standardmäßig deaktiviert.

Hannah fügt die App test.exe zum Abschnitt Programmeinstellungen hinzu. In den Optionen für diese App aktiviert Hannah unter Datenausführungsverhinderung die Option Systemeinstellungen außer Kraft setzen und legt den Schalter auf Ein fest.

Josie fügt außerdem die App miles.exe zum Abschnitt Programmeinstellungen hinzu und legt Ablaufsteuerungsschutz (Control Flow Guard, CFG) auf Ein fest. Josie aktiviert für diese App weder die Option Systemeinstellungen außer Kraft setzen für DEP noch für andere Risikominderungen.

Das Ergebnis ist, dass DEP (Datenausführungsverhinderung) für test.exe aktiviert ist. DEP wird für keine andere App aktiviert, einschließlich miles.exe. CFG wird für miles.exe aktiviert.

  1. Öffnen Sie die Windows-Sicherheit-App, indem Sie entweder das Schildsymbol in der Taskleiste anklicken oder über das Startmenü nach Windows-Sicherheit suchen.

  2. Wählen Sie die Kachel App- und Browsersteuerung (oder das App-Symbol auf der linken Menüleiste) und dann Exploit-Schutz aus.

  3. Wechseln Sie zu den Programmeinstellungen, und wählen Sie die App aus, auf die Sie Risikominderungsfunktionen anwenden möchten.

    • Wenn die App, die Sie konfigurieren möchten, bereits aufgeführt ist, wählen Sie sie aus, und klicken Sie dann auf Bearbeiten.
    • Wenn die App nicht aufgeführt ist, wählen Sie oben in der Liste Programm zum Anpassen hinzufügen aus, und wählen Sie dann aus, wie Sie die App hinzufügen möchten.
      • Verwenden Sie Per Programmnamen hinzufügen, um die Risikominderung auf alle laufenden Prozesse mit diesem Namen anzuwenden. Geben Sie eine Datei samt einer Erweiterung an. Sie können den vollständigen Pfad angeben, um die Abhilfemaßnahme nur auf die App mit diesem Namen an diesem Speicherort zu beschränken.
      • Wählen Sie Genauen Dateipfad auswählen, um über ein Standard-Windows-Explorer-Fenster die gewünschte Datei zu suchen und auszuwählen.

  4. Nach dem Auswählen der App wird eine Liste aller Risikominderungsfunktionen angezeigt, die angewendet werden können. Wenn Sie Überwachung auswählen, wird die Entschärfung nur im Überwachungsmodus angewendet. Sie werden benachrichtigt, wenn Sie den Prozess oder die App neu starten müssen oder Windows neu starten müssen.

  5. Wiederholen Sie die Schritte 3 bis 4 für alle Apps und Risikominderungsfunktionen, die Sie konfigurieren möchten. Klicken Sie auf Übernehmen, wenn Sie mit der Einrichtung Ihrer Konfiguration fertig sind.

Aktivieren des Exploit-Schutzes mithilfe von Microsoft Intune

Informationen zum Konfigurieren des Exploit-Schutzes mithilfe einer Microsoft Intune Endpunktsicherheitsrichtlinie zur Verringerung der Angriffsfläche finden Sie unter Erstellen einer Endpunktsicherheitsrichtlinie (wird in der Intune-Dokumentation in einer neuen Registerkarte geöffnet). Verwenden Sie beim Erstellen der Richtlinie die folgenden Einstellungen:

  • Richtlinientyp: Verringerung der Angriffsfläche
  • Plattform: Windows 10, Windows 11 und Windows Server
  • Profil: Exploit-Schutz
  • Konfigurationseinstellungen: Legen Sie Exploit-Schutzeinstellungen auf Konfiguriert fest, navigieren Sie dann zu Ihrer Exploit-Schutz-XML-Datei, und wählen Sie sie aus.

Weitere Informationen zum Erstellen einer EXPLOIT-Schutz-XML-Datei finden Sie unter Importieren, Exportieren und Bereitstellen von Exploit-Schutzkonfigurationen.

Weitere Informationen zu Richtlinien zur Verringerung der Angriffsfläche in Microsoft Intune finden Sie unter Richtlinie zur Verringerung der Angriffsfläche für die Endpunktsicherheit in Intune.

Aktivieren des Exploit-Schutzes mithilfe von MDM

Verwenden Sie den ExploitGuard ExploitProtectionSettings-Konfigurationsdienstanbieter (CSP), um Exploit-Schutzminderungen zu aktivieren oder zu deaktivieren oder den Überwachungsmodus zu verwenden.

Aktivieren des Exploit-Schutzes mithilfe von Microsoft Configuration Manager

Sie können Exploit-Schutz über Konfigurations-Manager bereitstellen, indem Sie entweder den Endpunktsicherheitsknoten oder den Arbeitsbereich "Assets and Compliance" verwenden.

Aktivieren des Exploit-Schutzes über den Endpunktsicherheitsknoten

Führen Sie die folgenden Schritte aus, um mithilfe des Endpunktsicherheitsknotens eine Exploit-Schutzrichtlinie in Microsoft Configuration Manager zu erstellen:

  1. Wechseln Sie Microsoft Configuration Manager zu Endpunktsicherheit>Angriffsfläche reduzieren.

  2. Wählen Sie Richtlinie erstellen>Plattform und für Profil die Option Exploit-Schutz aus. Wählen Sie dann Erstellen aus.

  3. Geben Sie einen Namen und eine Beschreibung an, und klicken Sie dann auf Weiter.

  4. Wählen XML-Datei auswählen aus, und navigieren Sie zum Speicherort der Exploit-Schutz-XML-Datei. Wählen Sie die Datei aus, und klicken Sie anschließend auf Weiter.

  5. Konfigurieren Sie bei Bedarf Bereichskennzeichnungen und Zuweisungen.

  6. Überprüfen Sie unter Überprüfen und erstellen Ihre Konfigurationseinstellungen, und klicken Sie dann auf Erstellen.

Aktivieren Sie den Exploit-Schutz im Arbeitsbereich „Assets und Compliance“

Führen Sie die folgenden Schritte aus, um mithilfe des Arbeitsbereichs "Assets and Compliance" eine Exploit-Schutzrichtlinie in Microsoft Configuration Manager zu erstellen:

  1. Wechseln Sie in Microsoft Configuration Manager zu Ressourcen und Kompatibilität>Endpoint Protection>Windows Defender Exploit Guard.

  2. Wählen Sie Start>Exploit Guard-Richtlinie erstellen aus.

  3. Geben Sie einen Namen und eine Beschreibung an, klicken Sie auf Exploit-Schutz und dann auf Weiter.

  4. Navigieren Sie zum Speicherort der Exploit-Schutz-XML-Datei, und klicken Sie auf Weiter.

  5. Überprüfen Sie die Einstellungen, und wählen Sie dann Weiter aus, um die Richtlinie zu erstellen.

  6. Klicken Sie nach erfolgter Erstellung der Richtlinie auf Schließen.

Aktivieren des Exploit-Schutzes mithilfe von Gruppenrichtlinien

Führen Sie die folgenden Schritte aus, um den Exploit-Schutz über Gruppenrichtlinien zu konfigurieren:

  1. Öffnen Sie in der zentralen Gruppenrichtlinienverwaltung die Gruppenrichtlinien-Verwaltungskonsole (GPMC) auf Ihrem Computer zur Gruppenrichtlinienverwaltung.

  2. Erweitern Sie in der GPMC-Konsolenstruktur die Gruppenrichtlinienobjekte in der Gesamtstruktur und Domäne, die das zu bearbeitende Gruppenrichtlinienobjekt (GPO) enthalten.

  3. Klicken Sie mit der rechten Maustaste auf das GPO, und wählen Sie dann Bearbeiten aus.

  4. Im Group Policy Management Editor gehen Sie zu Computerkonfiguration>Administrative TemplatesWindows-Komponenten>>Microsoft Defender Exploit Guard>Exploit Protection.

    Note

    Gruppenrichtlinienpfade vor Windows 10, Version 2004 (Mai 2020), könnten Windows Defender Exploit Guard anstelle von Microsoft Defender Exploit Guard verwenden. Beide Namen verweisen auf denselben Richtlinienspeicherort.

  5. Öffnen Sie im Detailbereich von Exploit Protection die Einstellung Gemeinsamen Satz von Exploit-Schutzeinstellungen verwenden. Verwenden Sie zum Öffnen der Einstellung eine der folgenden Methoden:

    • Doppelklicken Sie auf die Einstellung.
    • Klicken Sie mit der rechten Maustaste auf die Einstellung, und wählen Sie dann "Bearbeiten" aus.
    • Wählen Sie die Einstellung und dann Aktion>Bearbeiten aus.

  6. Konfigurieren Sie im daraufhin geöffneten Einstellungsfenster die folgenden Optionen:

    1. Wählen Sie "Aktiviert" aus.
    2. Geben Sie den Standort (lokaler Pfad, UNC-Pfad oder URL) der XML-Datei der Einstellungsminderungseinstellungen im Bereich Optionen ein: Geben Sie den Speicherort der XML-Datei ein.

    Wenn Sie fertig sind, wählen Sie OK aus.

Tipp

Sie können Gruppenrichtlinie auch lokal auf einzelnen Geräten konfigurieren, indem Sie den Editor für lokale Gruppenrichtlinie (gpedit.msc) verwenden. Navigieren Sie zum gleichen Pfad: Computerkonfiguration>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Exploit Guard>Exploit Protection.

Aktivieren des Exploit-Schutzes mithilfe von PowerShell

Sie können das PowerShell-Verb Get oder Set mit dem Cmdlet ProcessMitigation verwenden. Mithilfe von Get werden die aktuellen Status aller Risikominderungen aufgelistet, die auf dem Gerät aktiviert sind. Um die derzeit auf eine bestimmte App angewendeten Exploit-Schutzmaßnahmen zu überprüfen, fügen Sie den -Name Parameter und die ausführbare Datei der App hinzu:

Get-ProcessMitigation -Name processName.exe

Wichtig

Nicht konfigurierte Risikominderungen auf Systemebene weisen den Status NOTSET auf.

  • Bei Einstellungen auf Systemebene gibt NOTSET an, dass die Standardeinstellung für diese Risikominderung angewendet wurde.
  • Bei Einstellungen auf App-Ebene gibt NOTSET an, dass die Einstellung auf Systemebene für diese Risikominderung angewendet wird. Die Standardeinstellung für die einzelnen Risikominderungen auf Systemebene wird in Windows-Sicherheit angezeigt.

Verwenden Sie Set, um eine oder mehrere Abhilfemaßnahmen für den Exploit-Schutz auf System- oder Appebene zu aktivieren oder zu deaktivieren. Die allgemeine Syntax lautet:

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Dabei gilt:

  • <Bereich>:
    • -Name, um anzugeben, dass die Risikominderungen auf eine bestimmte App angewendet werden sollen. Geben Sie die ausführbare Datei der App nach diesem Flag an.
      • -System, um anzugeben, dass die Risikominderungen auf Systemebene angewendet werden sollen.
  • <Aktion>:
    • -Enable, um die Risikominderung zu aktivieren
    • -Disable zum Deaktivieren der Abhilfemaßnahme
  • <Risikominderung>:
    • Das Cmdlet der Abhilfemaßnahme zusammen mit allen zugehörigen Unteroptionen (von Leerzeichen umgeben). Die einzelnen Risikominderungen sind durch ein Komma getrennt.

Das folgende Beispiel aktiviert DEP mit ATL-Thunk-Emulation und blockiert die Erstellung von Kindprozessen für eine Geschäftsanwendung mit dem Namen testing.exe im Ordner C:\Apps\LOB\tests:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP, EmulateAtlThunks, DisallowChildProcessCreation

Wichtig

Trennen Sie die einzelnen Risikominderungsoptionen durch Kommas.

Um DEP als systemweite Entschärfung zu aktivieren, die für alle Prozesse gilt, verwenden Sie den folgenden Befehl:

Set-Processmitigation -System -Enable DEP

Um Risikominderungen zu deaktivieren, können Sie -Enable durch -Disable ersetzen. Bei Schutzmaßnahmen auf Anwendungsebene bewirkt das Ersetzen von -Enable durch -Disable jedoch, dass die Schutzmaßnahme nur für diese Anwendung deaktiviert wird.

Um eine app-spezifische DEP-Überschreibung zu entfernen und die Risikominderung auf die Systemstandardeinstellung zurückzusetzen, verwenden Sie das -Remove-Cmdlet wie im folgenden Beispiel:

Set-Processmitigation -Name test.exe -Remove -Disable DEP

In der folgenden Tabelle sind die einzelnen Risikominderungen (und ggf. Überwachungen) aufgeführt, die mit den Cmdlet-Parametern -Enable oder -Disable verwendet werden sollen.

Risikominderungstyp Gilt für Cmdlet-Parameterschlüsselwort für Risikominderung Cmdlet-Parameter für den Überwachungsmodus
Ablaufsteuerungsschutz (Control Flow Guard, CFG) System- und App-Ebene CFG, StrictCFGSuppressExports Überwachung nicht verfügbar
Datenausführungsverhinderung (DEP, Data Execution Prevention) System- und App-Ebene DEP, EmulateAtlThunks Überwachung nicht verfügbar
Randomisierung für Images erzwingen (Verpflichtendes ASLR) System- und App-Ebene ForceRelocateImages Überwachung nicht verfügbar
Speicherzuweisungen zufällig anordnen (Bottom-Up ASLR) System- und App-Ebene BottomUp, HighEntropy Überwachung nicht verfügbar
Ausnahmeketten überprüfen (SEHOP) System- und App-Ebene SEHOP, SEHOPTelemetry Überwachung nicht verfügbar
Heap-Integrität überprüfen System- und App-Ebene TerminateOnError Überwachung nicht verfügbar
Schutz vor arbiträrer Codeausführung (ACG, Arbitrary Code Guard) Nur auf App-Ebene DynamicCode AuditDynamicCode
Bilder mit niedriger Integrität blockieren Nur auf App-Ebene BlockLowLabel AuditImageLoad
Remote-Bilder blockieren Nur auf App-Ebene BlockRemoteImages Überwachung nicht verfügbar
Nicht vertrauenswürdige Schriftarten blockieren Nur auf App-Ebene DisableNonSystemFonts AuditFont, FontAuditOnly
Codeintegritätsschutz Nur auf App-Ebene BlockNonMicrosoftSigned, AllowStoreSigned AuditMicrosoftSigned, AuditStoreSigned
Deaktivieren von Erweiterungspunkten Nur auf App-Ebene ExtensionPoint Überwachung nicht verfügbar
Win32k-Systemaufrufe deaktivieren Nur auf App-Ebene DisableWin32kSystemCalls AuditSystemCall
Untergeordnete Prozesse nicht zulassen Nur auf App-Ebene DisallowChildProcessCreation AuditChildProcess
Export-Adressfilterung (EAF) Nur auf App-Ebene EnableExportAddressFilterPlus, EnableExportAddressFilter[1] Überwachung nicht verfügbar [2]
Import-Adressfilterung (IAF) Nur auf App-Ebene EnableImportAddressFilter Überwachung nicht verfügbar [2]
Simulieren der Ausführung (SimExec) Nur auf App-Ebene EnableRopSimExec Überwachung nicht verfügbar [2]
Überprüfen des API-Aufrufs (CallerCheck) Nur auf App-Ebene EnableRopCallerCheck Überwachung nicht verfügbar [2]
Handle-Verwendung überprüfen Nur auf App-Ebene StrictHandle Überwachung nicht verfügbar
Überprüfen der Integrität von Imageabhängigkeiten Nur auf App-Ebene EnforceModuleDepencySigning Überwachung nicht verfügbar
Überprüfen der Stapelintegrität (StackPivot) Nur auf App-Ebene EnableRopStackPivot Überwachung nicht verfügbar [2]

[1]: Verwenden Sie das folgende Format, um die Exportadressfilterung plus (EAF+) für einen bestimmten Prozess zu aktivieren und die Überwachung auf ausgewählte DLLs einzuschränken:

Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll,dllName2.dll

[2]: Die Überprüfung für diese Risikominderung ist nicht über PowerShell-Cmdlets verfügbar.

Anpassen von Exploit-Schutzbenachrichtigungen

Informationen zum Anpassen der Benachrichtigung, wenn eine Regel ausgelöst und eine App oder Datei blockiert wurde, finden Sie unter Windows-Sicherheit.

Entfernen Sie Exploit-Schutz-Schadensbegrenzungen

Informationen zum Zurücksetzen (Rückgängigmachen oder Entfernen) von Exploit-Schutzminderungen finden Sie unter Zurücksetzen oder Entfernen von Exploit-Schutzminderungen.

Siehe auch

  • Last updated on