Aktivieren des Exploit-Schutzes

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Der Exploit-Schutz wendet Schutzmaßnahmen auf das Betriebssystem und einzelne Apps an, um Windows-Geräte vor Malware zu schützen, die Exploits nutzt. Sicherheitsadministratoren können System- und App-Schutzmaßnahmen konfigurieren, indem sie Microsoft Intune, Mobile Device Management (MDM), Microsoft Configuration Manager, Group Policy, PowerShell oder die Windows-Sicherheit-App verwenden.

Windows aktiviert standardmäßig mehrere Schutzmaßnahmen gegen Exploits in Windows 10 und Windows 11. Du kannst jede Minderung ein- oder ausschalten oder ihren Standardwert verwenden. Einige Minderungsmaßnahmen unterstützen auch den Audit-Modus, der es ermöglicht, die Kompatibilität zu bewerten, ohne die normale Gerätenutzung zu beeinträchtigen.

Du kannst die Einstellungen zur Schutzminderung von Exploits als XML-Datei exportieren und die Konfiguration auf andere Geräte bereitstellen.

Wichtig

Exportadressfilterung (EAF) und Importadressfilterung (IAF) sind veraltet und nicht kompatibel mit .NET Framework 2.0- oder 3.5-Anwendungen.

Voraussetzungen

Bevor Sie den Exploit-Schutz einsetzen, bereiten Sie die folgenden Überwachungs- und Testfunktionen vor:

Warnung

Das Bereitstellen von Schutzmaßnahmen gegen Exploits ohne Tests kann zu Kompatibilitätsproblemen bei der App führen und die Produktivität der Nutzer beeinträchtigen.

Sichere Bereitstellungsmethoden

Safe Deployment Practices (SDP) helfen Ihnen, das Risiko von App-Kompatibilität und Produktivitätsproblemen zu managen. Beginnen Sie mit einer kleinen Gruppe von Windows-Geräten und testen Sie die Minderungsmaßnahmen mit den Apps, die Sie schützen möchten. Deaktiviere inkompatible Minderungsmaßnahmen für die betroffenen Apps und wiederhole dann die Tests.

Nachdem Sie die Richtlinie validiert haben, stellen Sie sie an eine User Acceptance Testing (UAT)-Gruppe bereit, die IT-Administratoren, Sicherheitsadministratoren und Helpdesk-Mitarbeiter umfasst. Erweitern Sie den Einsatz in Etappen basierend auf den Ergebnissen jeder Gruppe.

Aktivieren des Exploit-Schutzes mithilfe von Microsoft Intune

Microsoft Intune ist das empfohlene Werkzeug zum Konfigurieren und Verteilen von Microsoft Defender for Endpoint-Funktionen auf Geräten. Intune ist jedoch ein separates Produkt, das nicht Teil von Defender für Endpunkt ist und nicht in allen Abonnements enthalten ist. Um Intune zu verwenden, benötigen Sie ein Abonnement, das es enthält, oder Sie können es separat als eigenständiges Abonnement oder Add-On kaufen. Wenn Sie nicht über Intune verfügen, können Sie eine der anderen Methoden in diesem Artikel verwenden. Weitere Informationen finden Sie unter Microsoft Intune-Lizenzierung.

Um den Exploit-Schutz in Microsoft Intune zu konfigurieren, verwenden Sie eine Endpunkt-Sicherheitsrichtlinie zur Reduzierung von Angriffsflächen. Für detaillierte Anweisungen siehe Endpoint-Sicherheitsrichtlinien erstellen oder bestehende Richtlinien ändern (Links öffnen neue Tabs in der Intune-Dokumentation).

Wenn Sie die Richtlinie erstellen, verwenden Sie diese spezifischen Einstellungen:

Wenn Sie die Richtlinie erstellen oder ändern, verwenden Sie diese spezifischen Einstellungen im Tab Konfigurationseinstellungen :

  • Einstellungen zum Exploit-Schutz im Bereich Exploit-Schutz: Schieben Sie den Schalter auf Konfiguriert.
  • Neben dem daraufhin angezeigten Feld wählen Sie Datei öffnen aus, suchen dann Ihre XML-Datei für den Exploit-Schutz, und wählen sie aus.

Weitere Informationen zum Erstellen einer EXPLOIT-Schutz-XML-Datei finden Sie unter Importieren, Exportieren und Bereitstellen von Exploit-Schutzkonfigurationen.

Weitere Informationen zu Richtlinien zur Verringerung der Angriffsfläche in Microsoft Intune finden Sie unter Richtlinie zur Verringerung der Angriffsfläche für die Endpunktsicherheit in Intune.

Aktivieren Sie den Exploit-Schutz durch die Verwendung einer MDM-Lösung

Der Policy Configuration Service Provider (CSP) ermöglicht es Organisationen, Richtlinien auf Windows-Geräten mit jeder MDM-Lösung zu konfigurieren, nicht nur Microsoft Intune. Weitere Informationen finden Sie unter Richtlinien-CSP.

Konfigurieren Sie den Exploit-Schutz durch die Verwendung des ExploitProtectionSettings CSP mit den folgenden Einstellungen:

OMA-URI-Pfad: ./Device/Vendor/MSFT/Policy/Config/ExploitGuard/ExploitProtectionSettings
Datentyp: Zeichenfolge
Wert: Der Inhalt Ihrer XML-Datei zum Exploit-Schutz.

Systemebene-Einstellungen erfordern einen Neustart des Geräts. Einstellungen auf App-Ebene erfordern keinen Neustart. Informationen zur Erstellung der XML-Datei finden Sie unter Importieren, Exportieren und Bereitstellen von Exploit-Schutz-Konfigurationen.

Aktivieren des Exploit-Schutzes mithilfe von Microsoft Configuration Manager

In Microsoft Configuration Manager konfigurieren Sie den Exploit-Schutz in einer Windows Defender Exploit Guard-Politik. Anweisungen finden Sie unter Erstellen und Bereitstellen einer Exploit Guard-Richtlinie.

Wenn Sie die Richtlinie erstellen, verwenden Sie diese spezifischen Einstellungen:

  • Exploit Guard-Komponenten: Selectiere Exploit-Schutz.
  • Exploitschutz-XML: Wählen Sie Durchsuchen aus, und wählen Sie dann die XML-Datei aus, die Ihre systemweiten und App-spezifischen Einstellungen zur Risikominderung enthält.

Warnung

Halte die Exploit-Schutz-XML-Datei sicher, wenn du sie zwischen Geräten überträgst. Lösche die Datei nach dem Import oder speichere sie an einem sicheren Ort.

Aktivieren des Exploit-Schutzes mithilfe von Gruppenrichtlinien

Um den Exploit-Schutz über die Gruppenrichtlinie zu konfigurieren, folgen Sie diesen Schritten:

  1. In einer Domänenumgebung öffnen Sie die Group Policy Management Console (GPMC) auf Ihrem Group Policy Management-Computer.

  2. Im GPMC-Konsolenbaum erweitern Sie die Gruppenrichtlinienobjekte im Forest und der Domäne, die das Gruppenrichtlinienobjekt (GPO) enthalten, das Sie bearbeiten möchten.

  3. Klicken Sie mit der rechten Maustaste auf das GPO, und wählen Sie dann Bearbeiten aus.

  4. Im Group Policy Management Editor gehen Sie zu Computerkonfiguration>Administrative TemplatesWindows-Komponenten>>Microsoft Defender Exploit Guard>Exploit Protection.

    Note

    Gruppenrichtlinienpfade vor Windows 10, Version 2004 (Mai 2020), könnten Windows Defender Exploit Guard anstelle von Microsoft Defender Exploit Guard verwenden. Beide Namen verweisen auf denselben Richtlinienspeicherort.

  5. Im Bereich Exploit Protection-Details öffnen Sie die Einstellung "Verwenden Sie einen gemeinsamen Satz von Exploit-Schutz-Einstellungen " mit einer der folgenden Methoden:

    • Doppelklicken Sie auf die Einstellung.
    • Klicken Sie mit der rechten Maustaste auf die Einstellung, und wählen Sie dann "Bearbeiten" aus.
    • Wählen Sie die Einstellung und dann Aktion>Bearbeiten aus.

  6. Konfigurieren Sie im daraufhin geöffneten Einstellungsfenster die folgenden Optionen:

    1. Wählen Sie "Aktiviert" aus.
    2. Im Bereich Optionen geben Sie den lokalen Pfad, den Universal Naming Convention (UNC)-Pfad oder die URL der Exploit-Schutz-XML-Datei ein.

    Wenn Sie fertig sind, wählen Sie OK aus.

Tipp

Sie können Gruppenrichtlinie auch lokal auf einzelnen Geräten konfigurieren, indem Sie den Editor für lokale Gruppenrichtlinie (gpedit.msc) verwenden. Navigieren Sie zum gleichen Pfad: Computerkonfiguration>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Exploit Guard>Exploit Protection.

Exploit-Schutz mit PowerShell konfigurieren

Verwenden Sie die Get-ProcessMitigation- und Set-ProcessMitigation-Cmdlets, um Exploit-Schutzmaßnahmen zu überprüfen und zu konfigurieren. Die Cmdlets erfordern eine erhöhte PowerShell-Sitzung, das ist ein PowerShell-Fenster, das durch die Auswahl "Als Administrator ausführen" geöffnet wird.

Für Hinweise zur Konfiguration einzelner Minderungsmaßnahmen siehe Konfigurieren und prüfen von Schwachstellenschutzminderungen.

  • Abhilfemaßnahmen für Prozesse:

    • Um die im Register gespeicherte Minderungsrichtlinie für einen bestimmten ausführbaren Namen zu überprüfen, verwenden Sie folgende Syntax:

      Get-ProcessMitigation -Name <ProcessPathAndFilename.exe>

      Beispiel:

      Get-ProcessMitigation -Name testing.exe

      Fügen Sie den Parameter RunningProcesses hinzu, um die aktuellen Einstellungen aus laufenden Instanzen der ausführbaren Datei abzurufen. Nicht konfigurierte Minderungen haben den Statuswert NOTSET, was bedeutet, dass Windows den Systemwert anwendet.

    • Um Minderungsmaßnahmen für einen bestimmten Prozess zu konfigurieren, verwenden Sie folgende Syntax:

      Set-ProcessMitigation -Name <ProcessPathAndFilename.exe> [-Remove] <-Enable | -Disable> Mitigation1,Mitigation2,...MitigationN

      Dieses Beispiel aktiviert die Datenausführungsverhinderung (DEP) mit ATL-Thunk-Emulation und blockiert das Erstellen untergeordneter Prozesse für den angegebenen Prozess:

      Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP,EmulateAtlThunks,DisallowChildProcessCreation

      Um dieselben Abhilfemaßnahmen für die angegebene App zu deaktivieren, verwenden Sie -Disable anstelle von -Enable.

    • Dieses Beispiel entfernt eine app-spezifische DEP-Überschreibung und stellt den Systemwert wieder her:

      Set-Processmitigation -Name c:\apps\lob\tests\testing.exe -Remove -Disable DEP

  • Systemebene Minderungen:

    • Um die auf Systemebene konfigurierten Prozessminderungen zu überprüfen, verwenden Sie folgende Syntax:

      Get-ProcessMitigation -System

      Der Statuswert NOTSET bedeutet, dass Windows den Standardwert für die Minderung anwendet.

      Sie können den Standardwert für jede systemebene Minderung in der Windows-Sicherheit-App einsehen.

    • Um Minderungen auf Systemebene zu aktivieren oder zu deaktivieren, verwenden Sie folgende Syntax:

      Set-Processmitigation -System [-Remove] <-Enable | -Disable> Mitigation1,Mitigation2,...MitigationN

      Dieses Beispiel ermöglicht DEP auf Systemebene:

      Set-Processmitigation -System -Enable DEP

      Um eine Abhilfemaßnahme zu deaktivieren, verwenden Sie -Disable anstelle von -Enable.

    • Dieses Beispiel entfernt die DEP-Überschreibung auf Systemebene und stellt den Standardwert wieder her:

      Set-ProcessMitigation -System -Remove -Disable DEP

Aktivieren des Exploit-Schutzes mithilfe der Windows-Sicherheit-App

Sie können die Windows-Sicherheit-App auf einzelnen Geräten verwenden, um Schutzmaßnahmen gegen Exploits zu konfigurieren.

Führen Sie die folgenden Schritte aus, um Exploit-Schutz-Gegenmaßnahmen in der Windows-Sicherheit-App zu konfigurieren:

  1. In der Windows-Sicherheits-App auf dem Gerät gehen Sie zu App & Browser Control.
  2. Im Kontrollbereich App & Browser wählen Sie im Bereich Exploit-SchutzEinstellungen zum Exploit-Schutz aus.
  3. Der geöffnete Exploit-Schutzbereich hat zwei Tabs:

    • Programmeinstellungen: Wählen Sie die App aus, auf die Sie Minderungen anwenden möchten.

      • Wenn die App, die Sie konfigurieren möchten, bereits aufgeführt ist, wählen Sie sie aus, und klicken Sie dann auf Bearbeiten.
      • Wenn die App nicht aufgeführt ist, wähle oben im Tab Programme hinzufügen zum Anpassen und wähle dann, wie du die App hinzufügen möchtest:
        • Wählen Sie "Nach Programmnamen hinzufügen ", um die Minderung auf jeden laufenden Prozess mit diesem Namen anzuwenden. Geben Sie einen Dateinamen und eine Dateiendung (test.exe) oder einen vollständigen Pfad zur Datei (c:\test\test.exe) an, um die Minderung auf genau diese Datei zu beschränken. Wenn Sie fertig sind, wählen Sie Hinzufügen aus.
        • Wählen Sie Exakten Dateipfad auswählen aus, um die Datei zu finden und auszuwählen.

      A Programmeinstellungen: <Das App-Fenster> öffnet sich mit den möglichen Minderungsmaßnahmen. Wählen Sie Systemeinstellungen überschreiben aus und konfigurieren Sie dann die einzelnen für die Abhilfemaßnahme verfügbaren Einstellungen. Wenn die Minderung den Audit-Modus unterstützt, wählen Sie nur Audit , um die Minderung zu bewerten, ohne sie durchzusetzen.

      Screenshot des Programmeinstellungsfensters für die Exploit-Schutzeinstellungen einer App in der Windows-Sicherheit-App.

      Wählen Sie Anwenden aus, wenn Sie fertig sind. Sie werden benachrichtigt, wenn Sie den Prozess oder die App neu starten müssen oder Windows neu starten müssen.

      Wiederhole die App-Level-Konfiguration für alle Apps und Minderungsmaßnahmen, die du konfigurieren möchtest.

    • Systemeinstellungen : Finden Sie die Minderung, die Sie konfigurieren möchten, und geben Sie dann eine der folgenden Einstellungen an. Apps ohne eine app-spezifische Außerkraftsetzung für eine Risikominderungsmaßnahme verwenden die entsprechende Systemeinstellung.

      • Standardmäßig aktiviert: Die Risikominderung ist für Apps aktiviert, für die keine app-spezifische Außerkraftsetzung gilt.
      • Standardmäßig deaktiviert: Die Abhilfemaßnahme ist für Apps deaktiviert, für die keine app-spezifische Außerkraftsetzung festgelegt ist.
      • Verwende die Standardeinstellung (An | Aus): Die Minderung ist entweder aktiviert oder deaktiviert, abhängig von der von Windows festgelegten Standardkonfiguration. Der Standardwert An oder Aus wird nach dem Standardlabel Verwenden für jede Minderung angegeben.

      Wiederhole die Systemkonfiguration für alle Minderungsmaßnahmen, die du konfigurieren möchtest. Klicken Sie auf Anwenden, wenn Sie fertig sind.

Für jede Risikominderung hat die Konfiguration auf der Registerkarte Programmeinstellungen nur dann Vorrang, wenn Systemeinstellungen überschreiben ausgewählt ist. Wenn Systemeinstellungen Überschreiben nicht ausgewählt sind, verwendet die App die Konfiguration im Systemeinstellungen-Reiter. Wenn die Systemkonfiguration standardmäßig verwendet (An | Aus) ist, gilt die in Klammern angezeigte Windows-Standardeinstellung.

Anpassen von Exploit-Schutzbenachrichtigungen

Informationen zum Anpassen der Benachrichtigung, wenn eine Regel ausgelöst und eine App oder Datei blockiert wurde, finden Sie unter Windows-Sicherheit.

Entfernen Sie Exploit-Schutz-Schadensbegrenzungen

Informationen zum Zurücksetzen (Rückgängigmachen oder Entfernen) von Exploit-Schutzminderungen finden Sie unter Zurücksetzen oder Entfernen von Exploit-Schutzminderungen.

Verwandte Inhalte

  • Last updated on