Erstellen von Indikatoren für Zertifikate in Microsoft Defender for Endpoint

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

In diesem Artikel erfahren Sie, wie Sie zertifikatbasierte Indikatoren in Microsoft Defender for Endpoint erstellen, um signierte Anwendungen zuzulassen oder zu blockieren. Zu den gängigen Anwendungsfällen gehören:

  • Szenarien, in denen Sie blockierende Technologien einsetzen müssen, z. B. Regeln zur Verringerung der Angriffsfläche, aber das Verhalten signierter Anwendungen zulassen müssen, indem Sie das Zertifikat zur Zulassungsliste hinzufügen.
  • Blockieren der Verwendung einer bestimmten signierten Anwendung in Ihrer Organisation. Durch das Erstellen eines Indikators zum Blockieren des Zertifikats der Anwendung verhindert Microsoft Defender Antivirus Dateiausführungen (Blockieren und Korrigieren), und die automatisierte Untersuchung und Wartung verhält sich genauso.

Bevor Sie beginnen

Es ist wichtig, die folgenden Anforderungen zu verstehen, bevor Sie Indikatoren für Zertifikate erstellen:

  • Dieses Feature ist verfügbar, wenn Ihr organization Microsoft Defender Antivirus (im aktiven Modus) verwendet und der cloudbasierte Schutz aktiviert ist. Weitere Informationen finden Sie unter Verwalten des cloudbasierten Schutzes.

  • Die Version des Anti-Malware-Clients muss 4.18.1901.x oder höher sein.

  • Unterstützt auf Computern mit Windows 10 Version 1703 oder höher, Windows Server 2012 R2 und höher oder Azure Stack HCI-Betriebssystem, Version 23H2 und höher.

    Hinweis

    Windows Server 2016 und Windows Server 2012 R2 müssen anhand der Anweisungen in Windows Server 2012 R2 und Windows Server 2016 in Microsoft Defender für Endpunkt einbinden eingebunden werden, damit zertifikatbasierte Indikatoren funktionieren.

  • Die Viren- und Bedrohungsschutzdefinitionen müssen auf dem neuesten Stand sein.

  • Dieses Feature unterstützt die Eingabe von . CER oder . PEM-Dateierweiterungen.

Wichtig

  • Ein gültiges untergeordnetes Zertifikat ist ein Signaturzertifikat mit einem gültigen Zertifizierungspfad und muss mit der Stammzertifizierungsstelle verkettet sein, der Microsoft vertraut. Alternativ kann ein benutzerdefiniertes (selbstsigniertes) Zertifikat verwendet werden, solange es vom Client als vertrauenswürdig eingestuft wird (das Zertifikat der Stammzertifizierungsstelle wird unter „Lokaler Computer – Vertrauenswürdige Stammzertifizierungsstellen“ installiert).
  • Die untergeordneten oder übergeordneten Elemente des Zertifikat-IoCs für Zulassen/Blockieren sind nicht in der IoC-Funktion „Zulassen/Blockieren“ enthalten. Es werden nur untergeordnete Zertifikate unterstützt.
  • Von Microsoft signierte Zertifikate können nicht blockiert werden.

Hinweis

In Situationen, in denen ein zertifikatbasierter Indikator für Blockieren konfiguriert ist, aber ein Dateihashindikator für eine seiner signierten Dateien auf Zulassen konfiguriert ist, wird diese Konfiguration entwurfsbedingt nicht unterstützt. Zertifikatbasierte Indikatoren haben eine höhere Priorität in der Microsoft Defender for Endpoint Auswertungspipeline und überschreiben immer Dateihash-Zulassungsindikatoren. Eine Konfiguration, die gleichzeitig:

  • sperrt ein Zertifikat und
  • versucht, eine der signierten Dateien per Dateihash zuzulassen

wird nicht unterstützt. Zertifikatbasierte Indikatoren haben Vorrang, sodass die Datei weiterhin blockiert wird.

Erstellen eines Indikators für Zertifikate auf der Einstellungsseite

Führen Sie die folgenden Schritte aus, um einen Zertifikatindikator auf der Seite "Einstellungen" zu erstellen.

Wichtig

Das Erstellen oder Entfernen eines Zertifikatindikators für Kompromittierung (IoC) kann bis zu 3 Stunden dauern.

  1. Wählen Sie im Navigationsbereich Einstellungen>Endpunktindikatoren>(unterRegeln) aus.

  2. Wählen Sie Indikator hinzufügen aus.

  3. Geben Sie die folgenden Details an:

    • Indikator: Geben Sie die Entitätsdetails an, und definieren Sie den Ablauf des Indikators.
    • Aktion: Geben Sie die auszuführende Aktion an, und geben Sie eine Beschreibung an.
    • Bereich: Definieren Sie den Bereich der Computergruppe.

  4. Überprüfen Sie die Details auf der Registerkarte Zusammenfassung , und wählen Sie dann Speichern aus.

  • Last updated on