Aktifkan perlindungan eksploitasi

  • Berlaku untuk: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Perlindungan eksploitasi membantu melindungi dari malware yang menggunakan eksploitasi untuk menginfeksi perangkat dan menyebarkan. Perlindungan eksploitasi terdiri dari banyak mitigasi yang dapat diterapkan ke sistem operasi atau aplikasi individual.

Artikel ini menjelaskan cara mengaktifkan dan mengonfigurasi mitigasi perlindungan eksploitasi dengan menggunakan aplikasi Keamanan Windows, Microsoft Intune, MDM, Microsoft Configuration Manager, Kebijakan Grup, atau PowerShell.

Important

.NET 2.0 tidak kompatibel dengan beberapa kemampuan perlindungan eksploitasi, khususnya, Pemfilteran Alamat Ekspor (EAF) dan Pemfilteran Alamat Impor (IAF). Jika Anda telah mengaktifkan .NET 2.0, penggunaan EAF dan IAF tidak didukung.

Banyak fitur dari Enhanced Mitigation Experience Toolkit (EMET) yang disertakan dalam perlindungan eksploitasi.

Prasyarat

Rekomendasi berikut dapat membantu Anda berhasil menyebarkan perlindungan eksploitasi.

  • Siapkan pemantauan untuk aplikasi mogok (ID Peristiwa 1000 dan/atau ID Peristiwa 1001) dan/atau tidak merespons (ID Peristiwa 1002)

  • Aktifkan pengumpulan cadangan mode pengguna penuh

  • Periksa untuk melihat aplikasi mana yang sudah dikompilasi dengan "Control Flow Guard" (CFG) yang terutama berfokus pada mitigasi kerentanan kerusakan memori. Gunakan alat dumpbin untuk melihat apakah dikompilasi dengan CFG. Untuk aplikasi yang sudah dikompilasi dengan CFG, Anda dapat melewati pengaktifan penerapan untuk DEP, ASLR, SEHOP, dan ACG.

  • Gunakan praktik penyebaran aman (SDP) untuk menguji dan meluncurkan perubahan perlindungan eksploitasi secara bertahap.

Warning

Jika Anda tidak menguji dan tidak melalui praktik penyebaran yang aman, Anda dapat berkontribusi pada pemadaman produktivitas pengguna akhir.

Praktik penyebaran yang aman

Praktik penyebaran aman (SDP): Proses dan prosedur penyebaran yang aman menentukan cara membuat dan menyebarkan perubahan dengan aman pada beban kerja Anda. Menerapkan SDP mengharuskan Anda memikirkan penyebaran melalui lensa mengelola risiko. Anda dapat meminimalkan risiko pemadaman produktivitas pengguna akhir dalam penyebaran Anda dan membatasi efek penyebaran bermasalah pada pengguna Anda dengan menerapkan SDP.

Mulailah dengan set kecil (misalnya, 10 hingga 50) perangkat Windows dan gunakan grup perangkat tersebut sebagai lingkungan pengujian Anda untuk melihat 21 mitigasi mana, yang tidak kompatibel dengan perlindungan eksploitasi. Hapus mitigasi yang tidak kompatibel dengan aplikasi. Ulangi dengan aplikasi yang Anda targetkan. Setelah kebijakan perlindungan eksploitasi siap untuk produksi, mulailah meluncurkannya secara lebih luas.

Mulailah dengan mendorong terlebih dahulu ke Pengujian Penerimaan Pengguna (UAT) yang terdiri dari administrator TI, administrator Keamanan, dan personel staf help desk. Kemudian ke 1%, 5%, 10%, 25%, 50%, 75%, dan akhirnya ke 100% lingkungan Anda.

Mengaktifkan mitigasi perlindungan eksploitasi

Anda dapat mengaktifkan setiap mitigasi secara terpisah dengan menggunakan salah satu metode berikut:

Perlindungan eksploitasi dikonfigurasi secara default di Windows 10 dan Windows 11. Anda dapat mengatur setiap mitigasi ke aktif, nonaktif, atau ke nilai defaultnya. Beberapa mitigasi memiliki lebih banyak opsi. Anda dapat mengekspor pengaturan mitigasi perlindungan eksploitasi sebagai file XML dan menyebarkannya ke perangkat lain.

Anda juga dapat mengatur mitigasi ke mode audit. Mode audit memungkinkan Anda menguji cara kerja mitigasi (dan meninjau peristiwa) tanpa memengaruhi penggunaan normal perangkat.

Mengaktifkan perlindungan eksploitasi dengan menggunakan aplikasi Keamanan Windows

Gunakan langkah-langkah berikut untuk mengonfigurasi mitigasi perlindungan eksploitasi di aplikasi Keamanan Windows:

  1. Buka aplikasi Keamanan Windows dengan memilih ikon perisai di bilah tugas Anda, atau dengan mencari menu Mulai untuk Keamanan.

  2. Pilih ubin Kontrol aplikasi & browser (atau ikon aplikasi di bilah menu sebelah kiri), lalu pilih Pengaturan perlindungan eksploitasi.

  3. Buka Pengaturan program dan pilih aplikasi yang ingin Anda terapkan mitigasinya.

    • Jika aplikasi yang ingin Anda konfigurasi sudah tercantum, pilih aplikasi tersebut, lalu pilih Edit.
    • Jika aplikasi tidak tercantum, di bagian atas daftar pilih Tambahkan program untuk dikustomisasi lalu pilih bagaimana Anda ingin menambahkan aplikasi.
    • Gunakan Tambahkan berdasarkan nama program agar mitigasi diterapkan pada semua proses yang sedang berjalan dengan nama tersebut. Tentukan file dengan ekstensinya. Anda dapat memasukkan jalur lengkap untuk membatasi mitigasi hanya ke aplikasi dengan nama tersebut di lokasi tersebut.
    • Gunakan Pilih jalur file yang tepat untuk menggunakan jendela pemilih file Windows Explorer standar untuk menemukan dan memilih file yang Anda inginkan.

  4. Setelah memilih aplikasi, Anda akan melihat daftar semua mitigasi yang dapat diterapkan. Memilih Audit hanya menerapkan mitigasi dalam mode audit. Anda akan diberi tahu jika perlu memulai ulang proses atau aplikasi, atau jika Anda perlu menghidupkan ulang Windows.

  5. Ulangi langkah 3-4 untuk semua aplikasi dan mitigasi yang ingin Anda konfigurasi.

  6. Di bawah bagian Pengaturan sistem , temukan mitigasi yang ingin Anda konfigurasi lalu tentukan salah satu pengaturan berikut. Aplikasi yang tidak dikonfigurasi satu per satu di bagian Pengaturan program menggunakan pengaturan yang dikonfigurasi di sini.

    • Aktif secara default: Mitigasi diaktifkan untuk aplikasi yang tidak memiliki mitigasi ini yang diatur di bagian Pengaturan program khusus aplikasi
    • Nonaktif secara default: Mitigasi dinonaktifkan untuk aplikasi yang tidak memiliki mitigasi ini yang diatur di bagian Pengaturan program khusus aplikasi
    • Gunakan default: Mitigasi diaktifkan atau dinonaktifkan, tergantung pada konfigurasi default yang disiapkan oleh penginstalan Windows 10 atau Windows 11; nilai default (Aktif atau Nonaktif) selalu ditentukan di samping Gunakan label default untuk setiap mitigasi

  7. Ulangi langkah 6 untuk semua mitigasi tingkat sistem yang ingin Anda konfigurasi. Pilih Terapkan saat Anda selesai menyiapkan konfigurasi Anda.

Jika Anda menambahkan aplikasi ke bagian Pengaturan program dan mengonfigurasi pengaturan mitigasi individual di sana, aplikasi tersebut dihormati di atas konfigurasi untuk mitigasi yang sama yang ditentukan di bagian Pengaturan sistem . Matriks dan contoh berikut membantu mengilustrasikan cara kerja default:

Diaktifkan dalam pengaturan Program Diaktifkan dalam Pengaturan sistem Behavior
Yes No Seperti yang didefinisikan dalam pengaturan Program
Yes Yes Seperti yang didefinisikan dalam pengaturan Program
No Yes Seperti yang didefinisikan dalam Pengaturan sistem
No No Default seperti yang didefinisikan dalam opsi Gunakan default

Contoh 1: Mikael mengonfigurasi Pencegahan Eksekusi Data di bagian pengaturan sistem untuk nonaktif secara default

Mikael menambahkan aplikasitest.exe ke bagian Pengaturan program . Dalam opsi untuk aplikasi tersebut, di bawah Pencegahan Eksekusi Data (DEP), Mikael mengaktifkan opsi Ganti pengaturan sistem dan mengatur pengalihan ke Aktif. Tidak ada aplikasi lain yang tercantum di bagian Pengaturan program .

Hasilnya adalah bahwa DEP diaktifkan hanya untuk test.exe. Semua aplikasi lain tidak akan menerapkan DEP.

Contoh 2: Josie mengonfigurasi Pencegahan Eksekusi Data dalam pengaturan sistem untuk nonaktif secara default

Josie menambahkan aplikasitest.exe ke bagian Pengaturan program . Dalam opsi untuk aplikasi tersebut, di bawah Pencegahan Eksekusi Data (DEP), Josie mengaktifkan opsi Ganti pengaturan sistem dan mengatur pengalihan ke Aktif.

Josie juga menambahkan aplikasimiles.exe ke bagian Pengaturan program dan mengonfigurasi Control flow guard (CFG) ke Aktif. Josie tidak mengaktifkan opsi Ganti pengaturan sistem untuk DEP atau mitigasi lainnya untuk aplikasi tersebut.

Hasilnya adalah bahwa DEP diaktifkan untuk test.exe. DEP tidak akan diaktifkan untuk aplikasi lain, termasuk miles.exe. CFG akan diaktifkan untuk miles.exe.

  1. Buka aplikasi Keamanan Windows dengan memilih ikon perisai di bilah tugas atau cari menu mulai untuk Keamanan Windows.

  2. Pilih ubin Kontrol aplikasi & browser (atau ikon aplikasi di bilah menu sebelah kiri), kemudian pilih Perlindungan eksploit.

  3. Buka Pengaturan program dan pilih aplikasi yang ingin Anda terapkan mitigasinya.

    • Jika aplikasi yang ingin Anda konfigurasi sudah tercantum, pilih aplikasi tersebut, lalu pilih Edit.
    • Jika aplikasi tidak tercantum, di bagian atas daftar pilih Tambahkan program untuk dikustomisasi lalu pilih bagaimana Anda ingin menambahkan aplikasi.
      • Gunakan Tambahkan berdasarkan nama program agar mitigasi diterapkan pada semua proses yang sedang berjalan dengan nama tersebut. Tentukan file beserta ekstensinya. Anda dapat memasukkan jalur lengkap untuk membatasi mitigasi hanya ke aplikasi dengan nama tersebut di lokasi tersebut.
      • Gunakan Pilih jalur file yang tepat untuk menggunakan jendela pemilih file Windows Explorer standar untuk menemukan dan memilih file yang Anda inginkan.

  4. Setelah memilih aplikasi, Anda akan melihat daftar semua mitigasi yang dapat diterapkan. Memilih Audit hanya menerapkan mitigasi dalam mode audit. Anda akan diberi tahu jika perlu memulai ulang proses atau aplikasi, atau jika Anda perlu menghidupkan ulang Windows.

  5. Ulangi langkah 3-4 untuk semua aplikasi dan mitigasi yang ingin Anda konfigurasi. Pilih Terapkan saat Anda selesai menyiapkan konfigurasi Anda.

Mengaktifkan perlindungan eksploitasi dengan menggunakan Microsoft Intune

Untuk mengonfigurasi perlindungan eksploitasi menggunakan kebijakan pengurangan permukaan Serangan Keamanan Titik Akhir Microsoft Intune, lihat Membuat kebijakan keamanan titik akhir (terbuka di tab baru dalam dokumentasi Intune). Saat membuat kebijakan, gunakan pengaturan ini:

  • Jenis kebijakan: Pengurangan permukaan serangan
  • Platform: Windows 10, Windows 11, dan Windows Server
  • Profil: Perlindungan Eksploitasi
  • Pengaturan konfigurasi: Atur Pengaturan Perlindungan Eksploitasi ke Dikonfigurasi, lalu telusuri dan pilih file XML perlindungan eksploitasi Anda

Untuk informasi selengkapnya tentang membuat file XML perlindungan eksploitasi, lihat Mengimpor, mengekspor, dan menyebarkan konfigurasi perlindungan eksploitasi.

Untuk informasi selengkapnya tentang kebijakan pengurangan permukaan serangan di Microsoft Intune, lihat Kebijakan pengurangan permukaan serangan untuk keamanan titik akhir di Intune.

Mengaktifkan perlindungan eksploitasi dengan menggunakan MDM

Gunakan penyedia layanan konfigurasi (CSP) ExploitGuard ExploitProtectionSettings untuk mengaktifkan atau menonaktifkan mitigasi perlindungan eksploitasi atau menggunakan mode audit.

Mengaktifkan perlindungan eksploitasi dengan menggunakan Microsoft Configuration Manager

Anda dapat menyebarkan perlindungan eksploitasi melalui Configuration Manager dengan menggunakan simpul Keamanan Titik Akhir atau ruang kerja Aset dan Kepatuhan.

Mengaktifkan perlindungan eksploitasi dari simpul Keamanan Titik Akhir

Untuk membuat kebijakan perlindungan eksploitasi di Microsoft Configuration Manager dengan menggunakan simpul Keamanan Titik Akhir, ikuti langkah-langkah berikut:

  1. Di Microsoft Configuration Manager, buka Keamanan Titik Akhir>Pengurangan permukaan serangan.

  2. Pilih Buat Kebijakan>Platform, dan untuk Profil, pilih Perlindungan Eksploitasi. Lalu pilih Buat.

  3. Tentukan nama dan deskripsi, lalu pilih Berikutnya.

  4. Pilih Pilih File XML dan telusuri ke lokasi file XML perlindungan eksploitasi. Pilih file, lalu pilih Berikutnya.

  5. Konfigurasikan tag Cakupan dan Penugasan jika perlu.

  6. Di bawah Tinjau + buat, tinjau pengaturan konfigurasi Anda, lalu pilih Buat.

Mengaktifkan perlindungan eksploitasi dari ruang kerja Aset dan Kepatuhan

Untuk membuat kebijakan perlindungan eksploitasi di Microsoft Configuration Manager dengan menggunakan ruang kerja Aset dan Kepatuhan, ikuti langkah-langkah berikut:

  1. Di Microsoft Configuration Manager, buka Aset dan Kepatuhan>Perlindungan Titik Akhir>Windows Defender Exploit Guard.

  2. Pilih Beranda>Buat Kebijakan Penjaga Eksploitasi.

  3. Tentukan nama dan deskripsi, pilih Proteksi eksploitasi, lalu pilih Berikutnya.

  4. Telusuri ke lokasi file XML perlindungan eksploitasi dan pilih Berikutnya.

  5. Tinjau pengaturan, lalu pilih Berikutnya untuk membuat kebijakan.

  6. Setelah kebijakan dibuat, pilih Tutup.

Mengaktifkan perlindungan eksploitasi dengan menggunakan Kebijakan Grup

Lakukan langkah-langkah berikut untuk mengonfigurasi perlindungan eksploitasi melalui Kebijakan Grup:

  1. Di Kebijakan Grup Terpusat, buka Konsol Manajemen Kebijakan Grup (GPMC) di komputer manajemen Kebijakan Grup Anda.

  2. Di pohon konsol GPMC, perluas Objek Kebijakan Grup di dalam hutan dan domain yang berisi GPO yang ingin Anda edit.

  3. Klik kanan GPO, lalu pilih Edit.

  4. Di Group Policy Management Editor, buka Konfigurasi komputer>Template Administratif>Komponen Windows>Microsoft Defender Exploit Guard>Perlindungan Eksploitasi.

    Note

    Jalur Group Policy sebelum Windows 10, versi 2004 (Mei 2020) mungkin menggunakan Windows Defender Exploit Guard sebagai pengganti Microsoft Defender Exploit Guard. Kedua nama merujuk ke lokasi kebijakan yang sama.

  5. Di panel detail Perlindungan Eksploitasi, buka pengaturan Gunakan set umum pengaturan perlindungan eksploitasi . Untuk membuka pengaturan, gunakan salah satu metode berikut:

    • Klik dua kali pengaturan.
    • Klik kanan pengaturan, lalu pilih Edit.
    • Pilih pengaturan, lalu pilih Tindakan>Edit.

  6. Di jendela pengaturan yang terbuka, konfigurasikan opsi berikut:

    1. Pilih Diaktifkan.
    2. Ketik lokasi (jalur lokal, jalur UNC, atau URL) dari file konfigurasi XML pengaturan mitigasi di bagian Opsi : Masukkan lokasi file XML.

    Setelah selesai, pilih OK.

Tip

Anda juga dapat mengonfigurasi Kebijakan Grup secara lokal di masing-masing perangkat dengan menggunakan Editor Kebijakan Grup Lokal (gpedit.msc). Buka jalur yang sama: Konfigurasi Komputer>Template Administratif>Komponen Windows>Microsoft Defender Exploit Guard>Perlindungan Eksploit.

Mengaktifkan perlindungan eksploitasi dengan menggunakan PowerShell

Anda dapat menggunakan kata kerja PowerShell Get atau Set dengan cmdlet ProcessMitigation. Menggunakan Get daftar status konfigurasi saat ini dari setiap mitigasi yang diaktifkan pada perangkat. Untuk meninjau mitigasi perlindungan eksploitasi yang saat ini diterapkan ke aplikasi tertentu, tambahkan -Name parameter dan aplikasi yang dapat dieksekusi:

Get-ProcessMitigation -Name processName.exe

Important

Mitigasi tingkat sistem yang belum dikonfigurasi akan menampilkan status NOTSET.

  • Untuk pengaturan tingkat sistem, NOTSET menunjukkan pengaturan default untuk mitigasi tersebut telah diterapkan.
  • Untuk pengaturan tingkat aplikasi, NOTSET menunjukkan pengaturan tingkat sistem untuk mitigasi akan diterapkan. Pengaturan default untuk setiap mitigasi tingkat sistem dapat dilihat di Keamanan Windows.

Gunakan Set untuk mengaktifkan atau menonaktifkan satu atau beberapa mitigasi perlindungan eksploitasi di tingkat sistem atau aplikasi. Sintaks umumnya adalah:

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Where:

  • <Cakupan>:
    • -Name untuk menunjukkan bahwa mitigasi tersebut harus diterapkan pada aplikasi tertentu. Tentukan executable aplikasi setelah bendera ini.
      • -System untuk menunjukkan mitigasi harus diterapkan pada tingkat sistem
  • <Tindakan>:
    • -Enable untuk mengaktifkan mitigasi
    • -Disable untuk menonaktifkan mitigasi
  • <Mitigasi>:
    • Cmdlet mitigasi beserta subopsi apa pun (diapit oleh spasi). Setiap mitigasi dipisahkan dengan koma.

Contoh berikut mengaktifkan DEP dengan emulasi thunk ATL dan memblokir pembuatan proses turunan untuk aplikasi line-of-business bernama testing.exe di folder C:\Apps\LOB\tests:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP, EmulateAtlThunks, DisallowChildProcessCreation

Important

Pisahkan setiap opsi mitigasi dengan koma.

Untuk mengaktifkan DEP sebagai mitigasi di seluruh sistem yang berlaku untuk semua proses, gunakan perintah berikut:

Set-Processmitigation -System -Enable DEP

Untuk menonaktifkan mitigasi, Anda dapat mengganti -Enable dengan -Disable. Namun, untuk mitigasi tingkat aplikasi, mengganti -Enable dengan -Disable memaksa mitigasi dinonaktifkan hanya untuk aplikasi tersebut.

Untuk menghapus penimpaan DEP khusus aplikasi dan mengembalikan mitigasi ke default sistem, sertakan cmdlet -Remove seperti yang ditunjukkan dalam contoh berikut:

Set-Processmitigation -Name test.exe -Remove -Disable DEP

Tabel berikut mencantumkan masing-masing Mitigasi (dan Audit, jika tersedia) untuk digunakan dengan parameter cmdlet -Enable atau -Disable.

Jenis mitigasi Berlaku pada Kata kunci parameter mitigasi cmdlet Parameter cmdlet mode audit
Pelindung aliran kontrol (CFG) Sistem dan tingkat aplikasi CFG, StrictCFG, SuppressExports Audit tidak tersedia
Pencegahan Eksekusi Data (DEP) Sistem dan tingkat aplikasi DEP, EmulateAtlThunks Audit tidak tersedia
Terapkan pengacakan secara paksa untuk citra (ASLR wajib) Sistem dan tingkat aplikasi ForceRelocateImages Audit tidak tersedia
Mengacak alokasi memori (Bottom-Up ASLR) Sistem dan tingkat aplikasi BottomUp, HighEntropy Audit tidak tersedia
Memvalidasi rantai pengecualian (SEHOP) Sistem dan tingkat aplikasi SEHOP, SEHOPTelemetry Audit tidak tersedia
Validasi integritas heap Sistem dan tingkat aplikasi TerminateOnError Audit tidak tersedia
Penjaga kode arbitrer (ACG) Khusus tingkat aplikasi DynamicCode AuditDynamicCode
Memblokir gambar integritas rendah Khusus tingkat aplikasi BlockLowLabel AuditImageLoad
Memblokir gambar jarak jauh Khusus tingkat aplikasi BlockRemoteImages Audit tidak tersedia
Memblokir font yang tidak tepercaya Khusus tingkat aplikasi DisableNonSystemFonts AuditFont, FontAuditOnly
Penjaga integritas kode Khusus tingkat aplikasi BlockNonMicrosoftSigned, AllowStoreSigned AuditMicrosoftSigned, AuditStoreSigned
Menonaktifkan titik ekstensi Khusus tingkat aplikasi ExtensionPoint Audit tidak tersedia
Menonaktifkan panggilan sistem Win32k Khusus tingkat aplikasi DisableWin32kSystemCalls AuditSystemCall
Jangan izinkan proses anak Khusus tingkat aplikasi DisallowChildProcessCreation AuditChildProcess
Penyaringan alamat ekspor (EAF) Khusus tingkat aplikasi EnableExportAddressFilterPlus, EnableExportAddressFilter[1] Audit tidak tersedia [2]
Pemfilteran alamat impor (IAF) Khusus tingkat aplikasi EnableImportAddressFilter Audit tidak tersedia [2]
Menyimulasikan eksekusi (SimExec) Khusus tingkat aplikasi EnableRopSimExec Audit tidak tersedia [2]
Memvalidasi pemanggilan API (CallerCheck) Khusus tingkat aplikasi EnableRopCallerCheck Audit tidak tersedia [2]
Memvalidasi penggunaan handle Khusus tingkat aplikasi StrictHandle Audit tidak tersedia
Memvalidasi integritas dependensi gambar Khusus tingkat aplikasi EnforceModuleDepencySigning Audit tidak tersedia
Memvalidasi integritas tumpukan (StackPivot) Khusus tingkat aplikasi EnableRopStackPivot Audit tidak tersedia [2]

[1]: Untuk mengaktifkan Ekspor Pemfilteran Alamat Plus (EAF+) untuk proses tertentu dan membatasi pemantauan ke DLL yang dipilih, gunakan format berikut:

Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll,dllName2.dll

[2]: Audit untuk mitigasi ini tidak tersedia melalui cmdlet PowerShell.

Menyesuaikan pemberitahuan perlindungan eksploitasi

Untuk informasi tentang menyesuaikan pemberitahuan saat aturan dipicu dan aplikasi atau file diblokir, lihat Keamanan Windows.

Menghapus mitigasi perlindungan eksploitasi

Untuk mengatur ulang (membatalkan atau menghapus) mitigasi perlindungan eksploitasi, lihat Mengatur ulang atau menghapus mitigasi perlindungan eksploitasi.

Baca juga

  • Last updated on