Exploit Protection'i etkinleştirin

  • Şunlara uygulanır: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Açıklardan yararlanma koruması, cihazlara bulaşmak ve yayılmak için açıklardan yararlanan kötü amaçlı yazılımlara karşı korunmaya yardımcı olur. Açıklardan yararlanma koruması, işletim sistemine veya tek tek uygulamalara uygulanabilecek birçok risk azaltmadan oluşur.

Bu makalede, Windows Güvenliği uygulaması, Microsoft Intune, MDM, Microsoft Configuration Manager, Grup İlkesi veya PowerShell kullanarak açıklardan yararlanma koruması azaltmalarının nasıl etkinleştirileceği ve yapılandırıldığı açıklanır.

Önemli

.NET 2.0, özellikle Dışarı Aktarma Adresi Filtreleme (EAF) ve İçeri Aktarma Adresi Filtreleme (IAF) gibi bazı açıklardan yararlanma koruması özellikleriyle uyumlu değildir. .NET 2.0'ı etkinleştirdiyseniz, EAF ve IAF kullanımı desteklenmez.

Gelişmiş Risk Azaltma Deneyimi Araç Seti'nin (EMET) birçok özelliği, açıklardan yararlanma korumasına dahildir.

Önkoşullar

Aşağıdaki öneriler, açıklardan yararlanma korumasını başarıyla dağıtmanıza yardımcı olabilir.

  • Uygulama kilitlenmeleri (Olay Kimliği 1000 ve/veya Olay Kimliği 1001) ve/veya yanıt vermeme durumları (Olay Kimliği 1002) için izlemeyi yapılandırma

  • tam kullanıcı modu dökümü toplamayı etkinleştir

  • Öncelikli olarak bellek bozulması güvenlik açıklarını azaltmaya odaklanan "Denetim Akışı Koruması" (CFG) ile derlenmiş olan uygulamaları denetleyin. CfG ile derlenip derlenmediğini görmek için dumpbin aracını kullanın. Zaten CFG ile derlenmiş uygulamalarda DEP, ASLR, SEHOP ve ACG için zorunlu kılmayı etkinleştirmeyi atlayabilirsiniz.

  • İstismar koruması değişikliklerini aşamalı olarak test etmek ve kullanıma sunmak için güvenli dağıtım uygulamalarını (SDP) kullanın.

Uyarı

Test yapmazsanız ve güvenli dağıtım uygulamalarından geçmezseniz, son kullanıcı üretkenlik kesintilerine katkıda bulunabilirsiniz.

Güvenli dağıtım uygulamaları

Güvenli dağıtım uygulamaları (SDP): Güvenli dağıtım süreçleri ve yordamları, iş yükünüzde güvenli bir şekilde değişiklik yapmayı ve dağıtmayı tanımlar. SDP'yi uygulamak için dağıtımları risk yönetimi merceği üzerinden düşünmeniz gerekir. SDP'yi uygulayarak dağıtımlarınızda son kullanıcı üretkenliği kesintisi riskini en aza indirip sorunlu dağıtımların kullanıcılarınız üzerindeki etkilerini sınırlayabilirsiniz.

Küçük bir Windows cihaz kümesiyle (örneğin, 10-50) başlayın ve 21 azaltmadan hangisinin açıktan yararlanma korumasıyla uyumlu olmadığını görmek için bu cihaz grubunu test ortamınız olarak kullanın. Uygulamayla uyumlu olmayan azaltmaları kaldırın. Hedeflediğiniz uygulamaları belirterek tekrar edin. İstismar koruması ilkesi üretime hazır olduğunda, bunu daha geniş çapta dağıtmaya başlayın.

İlk olarak, BT yöneticileri, güvenlik yöneticileri ve yardım masası personelinden oluşan Kullanıcı Kabul Testi (UAT) ortamına dağıtım yapın. Ardından %1, %5, %10, %25, %50, %75 ve son olarak da ortamınızın %100'lerine.

Açıklardan yararlanma koruması risk azaltmalarını etkinleştirme

Aşağıdaki yöntemlerden herhangi birini kullanarak her azaltmayı ayrı ayrı etkinleştirebilirsiniz:

Açıklardan yararlanma koruması, Windows 10 ve Windows 11'de varsayılan olarak yapılandırılmıştır. Her risk azaltmayı açık, kapalı veya varsayılan değerine ayarlayabilirsiniz. Bazı risk azaltmaların daha fazla seçeneği vardır. Exploit protection risk azaltma ayarlarını XML dosyası olarak dışarı aktarabilir ve bunları diğer cihazlara dağıtabilirsiniz.

Risk azaltmalarını denetim moduna da ayarlayabilirsiniz. Denetim modu, cihazın normal kullanımını etkilemeden risk azaltmalarının nasıl çalışacağını test etmenize (ve olayları incelemenize) olanak tanır.

Windows Güvenliği uygulamasını kullanarak güvenlik açığından yararlanma korumasını etkinleştirme

Windows Güvenliği uygulamasında açıklardan yararlanma koruması azaltmalarını yapılandırmak için aşağıdaki adımları kullanın:

  1. Görev çubuğunuzdaki kalkan simgesini seçerek veya Başlat menüsünde Güvenliği için arama yaparak Windows Güvenliği uygulamasını açın.

  2. Uygulama ve tarayıcı denetimi kutucuğunu (veya sol menü çubuğundaki uygulama simgesini) seçin ve ardından Açıklardan yararlanma koruması ayarları öğesini seçin.

  3. Program ayarlarına gidin ve risk azaltmalarını uygulamak istediğiniz uygulamayı seçin.

    • Yapılandırmak istediğiniz uygulama zaten listelenmişse uygulamayı seçin ve Düzenle öğesini seçin.
    • Uygulama listelenmiyorsa, listenin üst kısmında Özelleştirmek için program ekle'yi seçin ve ardından uygulamayı nasıl eklemek istediğinizi seçin.
    • Risk azaltmanın bu adla çalışan herhangi bir işleme uygulanması için Program adına göre ekle'yi kullanın. Uzantısıyla birlikte bir dosya belirtin. Risk azaltmayı yalnızca bu konumdaki bu ada sahip uygulamayla sınırlamak için tam bir yol girebilirsiniz.
    • İstediğiniz dosyayı bulmak ve seçmek için standart bir Windows Gezgini dosya seçici penceresi kullanmak üzere Tam dosya yolunu seçin'i kullanın.

  4. Uygulamayı seçtikten sonra, uygulanabilecek tüm risk azaltmalarının bir listesini göreceksiniz. Denetim'in seçilmesi azaltmayı yalnızca denetim modunda uygular. İşlemi veya uygulamayı yeniden başlatmanız veya Windows'un yeniden başlatılması gerekiyorsa size bildirilir.

  5. Yapılandırmak istediğiniz tüm uygulamalar ve risk azaltmaları için 3-4 adımlarını tekrarlayın.

  6. Sistem ayarları bölümünde, yapılandırmak istediğiniz risk azaltmasını bulun ve ardından aşağıdaki ayarlardan birini belirtin. Program ayarları bölümünde tek tek yapılandırılmamış uygulamalar, burada yapılandırılan ayarları kullanır.

    • Varsayılan olarak açık: Risk azaltma, uygulamaya özel Program ayarları bölümünde bu risk azaltma ayarına sahip olmayan uygulamalar için etkindir.
    • Varsayılan olarak kapalı: Risk azaltma, uygulamaya özel Program ayarları bölümünde bu risk azaltma ayarına sahip olmayan uygulamalar için devre dışıdır.
    • Varsayılanı kullan: Risk azaltma, Windows 10 veya Windows 11 yüklemesi tarafından ayarlanan varsayılan yapılandırmaya bağlı olarak etkinleştirilir veya devre dışı bırakılır; varsayılan değer (Açık veya Kapalı) her zaman her azaltma için Varsayılan etiketi kullan öğesinin yanında belirtilir

  7. Yapılandırmak istediğiniz tüm sistem düzeyinde risk azaltmaları için 6. adımı tekrarlayın. Yapılandırmanızı ayarlamayı tamamladığınızda Uygula'yı seçin.

Program ayarları bölümüne bir uygulama ekler ve burada tek tek azaltma ayarlarını yapılandırırsanız, bunlar Sistem ayarları bölümünde belirtilen aynı risk azaltmaları için yapılandırmanın üstünde kabul edilir. Aşağıdaki matris ve örnekler, varsayılanların nasıl çalıştığını göstermeye yardımcı olur:

Program ayarlarında etkinleştirildi Sistem ayarlarında etkinleştirildi Davranış
Evet Hayır Program ayarlarında tanımlandığı gibi
Evet Evet Program ayarlarında tanımlandığı gibi
Hayır Evet Sistem ayarlarında tanımlandığı gibi
Hayır Hayır Varsayılanı kullan seçeneğinde tanımlandığı gibi varsayılan

Örnek 1: Mikael, sistem ayarları bölümünde Veri Yürütme Engellemesi'ni varsayılan olarak kapalı olacak şekilde yapılandırır

Mikael, test.exe uygulamasını Program ayarları bölümüne ekler. Bu uygulamanın seçeneklerinde, Veri Yürütme Engellemesi (DEP) altında, Mikael Sistem ayarlarını geçersiz kıl seçeneğini etkinleştirir ve anahtarı Açık olarak ayarlar. Program ayarları bölümünde listelenen başka uygulama yok.

Sonuç olarak, DEP yalnızca test.exe için etkindir. Diğer tüm uygulamalarda DEP uygulanmaz.

Örnek 2: Josie, sistem ayarlarında Veri Yürütme Engellemesi'ni varsayılan olarak kapalı olacak şekilde yapılandırır

Josie, test.exe uygulamasını Program ayarları bölümüne ekler. Bu uygulamanın seçeneklerinde, Veri Yürütme Engellemesi (DEP) altında, Josie Sistem ayarlarını geçersiz kıl seçeneğini etkinleştirir ve anahtarı Açık olarak ayarlar.

Josie ayrıca, miles.exe uygulamasını Program ayarları bölümüne ekler ve Denetim akışı korumasını (CFG)Açık olarak yapılandırır. Josie, bu uygulama için DEP veya diğer risk azaltmaları için Sistem ayarlarını geçersiz kıl seçeneğini etkinleştirmez.

Sonuç olarak, test.exe için DEP etkindir. DEP, miles.exedahil olmak üzere başka hiçbir uygulama için etkinleştirilmez. CFG, miles.exe için etkinleştirilir.

  1. Görev çubuğundaki kalkan simgesini seçerek veya başlat menüsünde Windows Güvenliği için arama yaparak Windows Güvenliği uygulamasını açın.

  2. Uygulama ve tarayıcı denetimi kutucuğunu (veya sol menü çubuğundaki uygulama simgesini) seçin ve ardından Açıklardan yararlanma koruması öğesini seçin.

  3. Program ayarlarına gidin ve risk azaltmalarını uygulamak istediğiniz uygulamayı seçin.

    • Yapılandırmak istediğiniz uygulama zaten listelenmişse uygulamayı seçin ve Düzenle öğesini seçin.
    • Uygulama listelenmiyorsa, listenin üst kısmında Özelleştirmek için program ekle'yi seçin ve ardından uygulamayı nasıl eklemek istediğinizi seçin.
      • Risk azaltmanın bu adla çalışan herhangi bir işleme uygulanması için Program adına göre ekle'yi kullanın. Uzantısı olan bir dosya belirtin. Risk azaltmayı yalnızca bu konumdaki bu ada sahip uygulamayla sınırlamak için tam bir yol girebilirsiniz.
      • İstediğiniz dosyayı bulmak ve seçmek için standart bir Windows Gezgini dosya seçici penceresi kullanmak üzere Tam dosya yolunu seçin'i kullanın.

  4. Uygulamayı seçtikten sonra, uygulanabilecek tüm risk azaltmalarının bir listesini göreceksiniz. Denetim'in seçilmesi azaltmayı yalnızca denetim modunda uygular. İşlemi veya uygulamayı yeniden başlatmanız veya Windows'un yeniden başlatılması gerekiyorsa size bildirilir.

  5. Yapılandırmak istediğiniz tüm uygulamalar ve risk azaltmaları için 3-4 adımlarını tekrarlayın. Yapılandırmanızı ayarlamayı tamamladığınızda Uygula'yı seçin.

Microsoft Intune kullanarak güvenlik açığı istismarına karşı korumayı etkinleştirin

Microsoft Intune Endpoint Security Saldırı yüzeyi azaltma ilkesi kullanılarak istismar korumasını yapılandırmak için bkz. Uç nokta güvenlik ilkesi oluşturma (Intune belgelerinde yeni bir sekmede açılır). İlkeyi oluştururken şu ayarları kullanın:

  • İlke türü: Saldırı yüzeyini azaltma
  • Platform: Windows 10, Windows 11 ve Windows Server
  • Profil: Yararlanma Koruması
  • Yapılandırma ayarları: Exploit Protection AyarlarınıYapılandırıldı olarak ayarlayın, ardından exploit protection XML dosyanıza gidin ve dosyayı seçin

Açıklardan yararlanma koruması XML dosyası oluşturma hakkında daha fazla bilgi için bkz. Açıklardan yararlanma koruması yapılandırmalarını içeri aktarma, dışarı aktarma ve dağıtma.

Microsoft Intune saldırı yüzeyi azaltma ilkeleri hakkında daha fazla bilgi için bkz. Intune'da uç nokta güvenliği için saldırı yüzeyi azaltma ilkesi.

MDM kullanarak istismar korumasını etkinleştirin

ExploitGuard ExploitProtectionSettings yapılandırma hizmeti sağlayıcısını (CSP) kullanarak exploit protection risk azaltmalarını etkinleştirin veya devre dışı bırakın ya da denetim modunu kullanın.

Microsoft Configuration Manager kullanarak yararlanma korumasını etkinleştirme

Endpoint Security düğümünü veya Varlıklar ve Uyumluluk çalışma alanını kullanarak Yapılandırma Yöneticisi aracılığıyla açıklardan yararlanma koruması dağıtabilirsiniz.

Endpoint Security düğümünden istismar korumasını etkinleştirin

Endpoint Security düğümünü kullanarak Microsoft Configuration Manager'da bir açıklardan yararlanma koruma ilkesi oluşturmak için şu adımları izleyin:

  1. Microsoft Configuration Manager'de Endpoint Security>Attack yüzey azaltma bölümüne gidin.

  2. İlke Oluştur>Platform'u seçin ve Profil için Yararlanma Koruması seçeneğini belirleyin. Ardından Oluştur’u seçin.

  3. Bir ad ve açıklama belirtin ve İleri'yi seçin.

  4. XML Dosyası Seç'i seçin ve açıklardan yararlanma koruması XML dosyasının konumuna göz atın. Dosyayı seçin ve İleri'yi seçin.

  5. Gerekirse Kapsam etiketlerini ve Atamaları yapılandırın.

  6. Gözden geçir + oluştur altında, yapılandırma ayarlarınızı gözden geçirin ve ardından Oluştur'u seçin.

Varlıklar ve Uyumluluk çalışma alanından istismar korumasını etkinleştirme

Microsoft Configuration Manager’da, Varlıklar ve Uyumluluk çalışma alanını kullanarak bir açıklardan yararlanma koruması ilkesi oluşturmak için şu adımları izleyin:

  1. Microsoft Configuration Manager'da Varlıklar ve Uyumluluk>Endpoint Protection>Windows Defender Exploit Guard'a gidin.

  2. Ana Sayfa>Exploit Guard İlkesi Oluştur seçin.

  3. Bir ad ve açıklama belirtin, Yararlanma koruması'nı seçin ve ardından İleri'yi seçin.

  4. Açıklardan yararlanma koruması XML dosyasının konumuna göz atın ve İleri'yi seçin.

  5. Ayarları gözden geçirin ve ilkeyi oluşturmak için İleri'yi seçin.

  6. İlke oluşturulduktan sonra Kapat'ı seçin.

Grup İlkesi'ni kullanarak istismar korumasını etkinleştirin

Grup İlkesi aracılığıyla açıklardan yararlanma korumasını yapılandırmak için aşağıdaki adımları gerçekleştirin:

  1. grup ilkesi yönetim cihazınızda grup ilkesi Yönetim Konsolu'nu açın. Yapılandırmak istediğiniz grup ilkesi Nesnesine sağ tıklayın ve Düzenle'yi seçin.

  2. Grup İlkesi Yönetimi Düzenleyicisi'nde Bilgisayar yapılandırması'na gidin ve Yönetim şablonları'nı seçin.

  3. Ağacı Windows bileşenleri>Windows Defender Exploit Guard>> olarak genişletinOrtak bir açıktan yararlanma koruma ayarları kümesi kullanın.

  4. Etkin'i seçin, XML dosyasının konumunu yazın ve Tamam'ı seçin.

PowerShell kullanarak güvenlik açığından yararlanma korumasını etkinleştirme

PowerShell fiili Get veya Set, cmdlet ProcessMitigation ile kullanılabilir. kullanıldığında Get , cihazda etkinleştirilen tüm risk azaltmaların geçerli yapılandırma durumu listelenir. Belirli bir uygulama için şu anda uygulanan istismar koruması azaltmalarını gözden geçirmek üzere, -Name parametresini ve uygulamanın yürütülebilir dosyasını ekleyin:

Get-ProcessMitigation -Name processName.exe

Önemli

Yapılandırılmamış sistem düzeyindeki risk azaltmaları NOTSET durumunu gösterecektir.

  • Sistem düzeyindeki ayarlar için NOTSET, bu risk azaltmanın uygulandığı varsayılan ayarı belirtir.
  • Uygulama düzeyindeki ayarlar için NOTSET, risk azaltma için sistem düzeyindeki ayarın uygulanacağını belirtir. Her sistem düzeyinde risk azaltma için varsayılan ayar, Windows Güvenliği'nde görülebilir.

Sistem veya uygulama düzeyinde bir veya daha fazla açık koruması azaltmasını etkinleştirmek veya devre dışı bırakmak için kullanın Set . Genel söz dizimi şöyledir:

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Nerede:

  • <Kapsam>:
    • Risk azaltmaların belirli bir uygulamaya uygulanması gerektiğini belirtmek için -Name. Bu işaretten sonra uygulamanın çalıştırılabilir dosyasını belirtin.
      • Risk azaltmanın sistem düzeyinde uygulanması gerektiğini belirtmek için -System
  • <Eylem>:
    • Risk azaltmayı etkinleştirmek için -Enable
    • Risk azaltmayı devre dışı bırakmak için -Disable
  • < >Azaltma:
    • Tüm alt seçeneklerle birlikte risk azaltma cmdlet'i (boşluklarla çevrili). Her risk azaltma bir virgülle ayrılır.

Aşağıdaki örnek, C:\Apps\LOB\tests klasöründeki testing.exe adlı iş kolu uygulaması için ATL thunk öykünmesiyle DEP'yi etkinleştirir ve alt işlem oluşturulmasını engeller:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP, EmulateAtlThunks, DisallowChildProcessCreation

Önemli

Her risk azaltma seçeneğini virgülle ayırın.

DEP'yi tüm işlemler için geçerli olan sistem genelinde bir azaltma olarak etkinleştirmek için aşağıdaki komutu kullanın:

Set-Processmitigation -System -Enable DEP

Risk azaltmalarını devre dışı bırakmak için -Enable yerine -Disable koyabilirsiniz. Ancak, uygulama düzeyindeki azaltmalar için -Enable yerine -Disable kullanılması, azaltmanın yalnızca o uygulama için devre dışı bırakılmasını zorunlu kılar.

Uygulamaya özgü bir DEP geçersiz kılmasını kaldırmak ve korumayı yeniden sistem varsayılanına döndürmek için, aşağıdaki örnekte gösterildiği gibi -Remove cmdlet'ini ekleyin:

Set-Processmitigation -Name test.exe -Remove -Disable DEP

Aşağıdaki tablo, -Enable veya -Disable cmdlet parametreleriyle kullanılacak tek tek Azaltmaları (ve varsa Denetimleri) listeler.

Risk azaltma türü Uygulandığı öğe Azaltma cmdlet parametresi için anahtar sözcük Denetim modu cmdlet parametresi
Kontrol akışı koruması (CFG) Sistem ve uygulama düzeyi CFG, StrictCFG, SuppressExports Denetim mevcut değil
Veri Yürütme Önleme (DEP) Sistem ve uygulama düzeyi DEP, EmulateAtlThunks Denetim mevcut değil
Görüntüleri rastgele seçmeye zorla (Zorunlu ASLR) Sistem ve uygulama düzeyi ForceRelocateImages Denetim mevcut değil
Bellek ayırmalarını rastgele seç (Aşağıdan Yukarı ASLR) Sistem ve uygulama düzeyi BottomUp, HighEntropy Denetim mevcut değil
Özel durum zincirlerini doğrula (SEHOP) Sistem ve uygulama düzeyi SEHOP, SEHOPTelemetry Denetim mevcut değil
Yığın bütünlüğünü doğrula Sistem ve uygulama düzeyi TerminateOnError Denetim mevcut değil
İsteğe bağlı kod koruması (ACG) Yalnızca uygulama düzeyi DynamicCode AuditDynamicCode
Bütünlük düzeyi düşük görüntüleri engelle Yalnızca uygulama düzeyi BlockLowLabel AuditImageLoad
Uzak görüntüleri engelle Yalnızca uygulama düzeyi BlockRemoteImages Denetim mevcut değil
Güvenilmeyen yazı tiplerini engelle Yalnızca uygulama düzeyi DisableNonSystemFonts AuditFont, FontAuditOnly
Kod bütünlüğü koruması Yalnızca uygulama düzeyi BlockNonMicrosoftSigned, AllowStoreSigned AuditMicrosoftSigned, AuditStoreSigned
Uzantı noktalarını devre dışı bırak Yalnızca uygulama düzeyi ExtensionPoint Denetim mevcut değil
Win32k sistem çağrılarını devre dışı bırak Yalnızca uygulama düzeyi DisableWin32kSystemCalls AuditSystemCall
Alt süreçlere izin verme Yalnızca uygulama düzeyi DisallowChildProcessCreation AuditChildProcess
Dışarı aktarma adresi filtrelemesi (EAF) Yalnızca uygulama düzeyi EnableExportAddressFilterPlus, EnableExportAddressFilter[1] Denetim kullanılamıyor [2]
İçeri aktarma adresi filtrelemesi (IAF) Yalnızca uygulama düzeyi EnableImportAddressFilter Denetim kullanılamıyor [2]
Yürütme simülasyonu (SimExec) Yalnızca uygulama düzeyi EnableRopSimExec Denetim kullanılamıyor [2]
API çağrısını doğrula (CallerCheck) Yalnızca uygulama düzeyi EnableRopCallerCheck Denetim kullanılamıyor [2]
Tutamaç kullanımını doğrula Yalnızca uygulama düzeyi StrictHandle Denetim mevcut değil
Görüntü bağımlılığı bütünlüğünü doğrula Yalnızca uygulama düzeyi EnforceModuleDepencySigning Denetim mevcut değil
Yığın bütünlüğünü doğrula (StackPivot) Yalnızca uygulama düzeyi EnableRopStackPivot Denetim kullanılamıyor [2]

[1]: Belirli bir işlem için Adres Filtreleme Artı Dışarı Aktarma'yı (EAF+) etkinleştirmek ve izlemeyi seçili DLL'ler ile sınırlandırmak için aşağıdaki biçimi kullanın:

Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll,dllName2.dll

[2]: Bu risk azaltma denetimi PowerShell cmdlet'leri aracılığıyla kullanılamaz.

Açıklardan yararlanma koruması bildirimlerini özelleştirme

Kural tetiklendiğinde ve bir uygulama veya dosya engellendiğinde bildirimi özelleştirme hakkında bilgi için bkz. Windows Güvenliği.

İstismar koruması önlemlerini kaldırın

Açıklardan yararlanma koruması azaltmalarını sıfırlamak (geri almak veya kaldırmak) için bkz. Açıklardan yararlanma koruması azaltmalarını sıfırlama veya kaldırma.

Ayrıca bkz.

  • Last updated on