Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Beim Exploit-Schutz werden automatisch mehrere Risikominimierungstechniken auf Betriebssystemprozesse und Apps angewendet. Der Exploit-Schutz wird ab Windows 10, Version 1709, Windows 11 und Windows Server, Version 1803, unterstützt.
Der Exploit-Schutz funktioniert am besten mit Defender für Endpunkt, wodurch Sie detaillierte Berichte zu Exploit-Schutzereignissen und -blöcken als Teil der üblichen Warnungsuntersuchungsszenarien erhalten.
Sie können auf einem einzelnen Gerät den Exploit-Schutz aktivieren und dann Gruppenrichtlinie verwenden, um die XML-Datei auf mehrere Geräte gleichzeitig zu verteilen.
Wenn auf dem Gerät eine Gegenmaßnahme erkannt wird, wird im Info-Center eine Benachrichtigung angezeigt. Mit Ihren Unternehmensdetails und Kontaktinformationen können Sie die Benachrichtigung anpassen. Sie können die Regeln auch einzeln aktivieren, um anzupassen, welche Techniken das Feature überwacht.
Sie können auch den Überwachungsmodus verwenden, um festzustellen, wie sich der Exploit-Schutz auf Ihre Organisation auswirken würde, wenn er aktiviert wäre.
Viele der Features im Enhanced Mitigation Experience Toolkit (EMET) sind im Exploit-Schutz enthalten. Tatsächlich können Sie vorhandene EMET-Konfigurationsprofile in Exploit-Schutz konvertieren und importieren. Weitere Informationen finden Sie unter Importieren, Exportieren und Bereitstellen von Exploit-Schutzkonfigurationen.
Wichtig
Wenn Sie derzeit EMET verwenden, ist es wichtig zu beachten, dassEMET das Ende des Supports am 31. Juli 2018 erreicht hat. Sie sollten in Betracht ziehen, EMET durch Exploit-Schutz in Windows 10 zu ersetzen.
Warnung
Bei einigen Technologien zur Sicherheitsminderung können Kompatibilitätsprobleme mit einigen Anwendungen auftreten. Sie sollten den Exploit-Schutz in allen Zielverwendungsszenarien testen, indem Sie Überwachungsmodus verwenden, bevor Sie die Konfiguration in einer Produktionsumgebung oder im restlichen Netzwerk bereitstellen.
Überprüfen von Exploit-Schutzereignissen im Microsoft Defender-Portal
Defender for Endpoint bietet im Rahmen seiner Warnungsuntersuchungsszenarien detaillierte Berichte über Ereignisse und Blockierungen.
Sie können Defender für Endpunktdaten abfragen, indem Sie Erweiterte Sucheverwenden. Wenn Sie Überwachungsmodusverwenden, können Sie mithilfe der erweiterten Suche ermitteln, wie sich Exploit-Schutzeinstellungen auf Ihre Umgebung auswirken können.
Hier ist eine Beispielabfrage:
DeviceEvents
| where ActionType startswith 'ExploitGuard' and ActionType !contains 'NetworkProtection'
Exploit-Schutz und erweiterte Suche
Die für Exploit-Schutz verfügbaren aktionstypen für die erweiterte Suche sind wie folgt:
| Name der Exploit Protection-Risikominderung | Exploit-Schutz – Erweiterte Suche – ActionTypes |
|---|---|
| Willkürlicher Codewächter | ExploitGuardAcgAudited ExploitGuardAcgEnforced |
| Kindprozesse nicht zulassen | ExploitGuardChildProcessAudited ExploitGuardChildProcessBlocked |
| Export-Adressfilterung (EAF) | ExploitGuardEafViolationAudited ExploitGuardEafViolationBlocked |
| Import-Adressfilterung (IAF) | ExploitGuardIafViolationAudited ExploitGuardIafViolationBlocked |
| Bilder mit niedriger Integrität blockieren | Exploit Guard – Image mit niedriger Integrität überwacht Exploit-Schutz: Image mit niedriger Integrität blockiert |
| Codeintegritätsschutz | ExploitGuardNonMicrosoftSignedAudited Exploit Guard: Nicht von Microsoft signierte Elemente blockiert |
| • Simulieren der Ausführung (SimExec) • Überprüfen des API-Aufrufs (CallerCheck) • Überprüfen der Stapelintegrität (StackPivot) |
ExploitGuardRopExploitAudited ExploitGuardRopExploitBlocked |
| Remote-Bilder blockieren | ExploitGuardSharedBinaryAudited ExploitGuardSharedBinaryBlocked |
| Win32k-Systemaufrufe deaktivieren | ExploitGuardWin32SystemCallAudited ExploitGuardWin32SystemCallBlocked |
Ereignisse des Exploit-Schutzes in der Windows-Ereignisanzeige überprüfen
Sie können das Windows-Ereignisprotokoll überprüfen, um Ereignisse anzuzeigen, die erstellt werden, wenn der Exploit-Schutz eine App blockiert (oder überprüft):
| Anbieter/Quelle | Ereignis-ID | Beschreibung |
|---|---|---|
| Sicherheitsmaßnahmen | 1 | ACG-Überwachung |
| Sicherheitsmaßnahmen | 2 | ACG durchsetzen |
| Sicherheitsmaßnahmen | 3 | Überprüfung untergeordneter Prozesse nicht zulassen |
| Sicherheitsmaßnahmen | 4 | Das Blockieren durch untergeordnete Prozesse nicht zulassen |
| Sicherheitsmaßnahmen | 5 | Überprüfung zum Blockieren von Bildern mit geringer Integrität |
| Sicherheitsmaßnahmen | 6 | Blockieren von Images mit niedriger Integritätsstufe |
| Sicherheitsmaßnahmen | 7 | Blockieren von Remote-Abbildern (Überwachung) |
| Sicherheitsmaßnahmen | 8 | Externe Bilder blockieren |
| Sicherheitsmaßnahmen | 9 | Win32k Systemaufrufe deaktivieren (Überwachung) |
| Sicherheitsmaßnahmen | 10 | Blockierung von Win32k-Systemaufrufen deaktivieren |
| Sicherheitsmaßnahmen | 11 | Audit der Code-Integritätsschutzfunktion |
| Sicherheitsmaßnahmen | 12 | Codeintegritätsschutzblock |
| Sicherheitsmaßnahmen | 13 | EAF-Überwachung |
| Sicherheitsmaßnahmen | 14 | EAF erzwingen |
| Sicherheitsmaßnahmen | 15 | EAF+ (Überwachung) |
| Sicherheitsmaßnahmen | 16 | EAF+ erzwingen |
| Sicherheitsmaßnahmen | 17 | IAF-Überwachung |
| Sicherheitsmaßnahmen | 18 | IAF erzwingen |
| Sicherheitsmaßnahmen | 19 | ROP StackPivot-Prüfung |
| Sicherheitsmaßnahmen | 20 | ROP StackPivot erzwingen |
| Sicherheitsmaßnahmen | 21 | ROP CallerCheck-Überprüfung |
| Sicherheitsmaßnahmen | 22 | ROP CallerCheck erzwingen |
| Sicherheitsmaßnahmen | 23 | ROP SimExec-Prüfung |
| Sicherheitsmaßnahmen | 24 | ROP SimExec erzwingen |
| WER-Diagnose | 5 | CFG-Block |
| Win32K | 260 | Nicht vertrauenswürdige Schriftart |
Vergleich der Risikominderungen
Die in EMET verfügbaren Gegenmaßnahmen sind nativ in Windows 10 (ab Version 1709), Windows 11 und Windows Server (ab Version 1803) unter Exploit-Schutz verfügbar.
Die Tabelle in diesem Abschnitt gibt die Verfügbarkeit und Unterstützung nativer Risikominderungen zwischen EMET und Exploit-Schutz an.
| Risikominderung | Verfügbar unter Exploit-Schutz | Verfügbar in EMET |
|---|---|---|
| Schutz vor beliebigem Code (ACG) | Ja | Ja Als „Prüfung des Speicherschutzes“ |
| Remote-Bilder blockieren | Ja | Ja Als "Bibliotheksüberprüfung laden" |
| Nicht vertrauenswürdige Schriftarten blockieren | Ja | Ja |
| Datenausführungsverhinderung (DATA Execution Prevention, DEP) | Ja | Ja |
| Export-Adressfilterung (EAF) | Ja | Ja |
| Zufällige Anordnung für Images erzwingen (obligatorisches ASLR) | Ja | Ja |
| NullPage-Sicherheitsabhilfe | Ja Nativ in Windows 10 und Windows 11 enthalten Weitere Informationen finden Sie unter Entschärfen von Bedrohungen mithilfe von Windows 10 Sicherheitsfeatures. |
Ja |
| Speicherzuweisungen randomisieren (Bottom-Up ASLR) | Ja | Ja |
| Simulieren der Ausführung (SimExec) | Ja | Ja |
| Überprüfen des API-Aufrufs (CallerCheck) | Ja | Ja |
| Ausnahmeketten überprüfen (SEHOP) | Ja | Ja |
| Überprüfen der Stapelintegrität (StackPivot) | Ja | Ja |
| Zertifikatsvertrauen (konfigurierbares Zertifikat-Pinning) | Windows 10 und Windows 11 ermöglichen Unternehmen das Anheften von Zertifikaten | Ja |
| Heap-Spray-Zuordnung | Ist gegen neuere browserbasierte Angriffe wirkungslos; neuere Schutzmaßnahmen bieten besseren Schutz Weitere Informationen finden Sie unter Entschärfen von Bedrohungen mithilfe von Windows 10 Sicherheitsfeatures. |
Ja |
| Bilder mit niedriger Integrität blockieren | Ja | Nein |
| Codeintegritätsschutz | Ja | Nein |
| Deaktivieren von Erweiterungspunkten | Ja | Nein |
| Win32k-Systemaufrufe deaktivieren | Ja | Nein |
| Kindprozesse nicht zulassen | Ja | Nein |
| Import-Adressfilterung (IAF) | Ja | Nein |
| Verwendung von Handles überprüfen | Ja | Nein |
| Heap-Integrität überprüfen | Ja | Nein |
| Integrität von Image-Abhängigkeiten überprüfen | Ja | Nein |
Hinweis
Die in EMET verfügbaren erweiterten ROP-Schutzmaßnahmen werden in Windows 10 und Windows 11 durch ACG abgelöst, wobei andere erweiterte EMET-Einstellungen standardmäßig aktiviert werden, wenn die Anti-ROP-Schutzmaßnahmen für einen Prozess aktiviert werden. Weitere Informationen dazu, wie Windows 10 vorhandene EMET-Technologie einsetzt, finden Sie unter Risikominderung von Bedrohungen mithilfe von Windows 10 Sicherheitsfeatures.