Biztonsági rés kiaknázása elleni védelem engedélyezése

  • Cikk

Érintett szolgáltatás:

Tipp

Szeretné megismerni a Végponthoz készült Defendert? Regisztráció az ingyenes próbaverzióra

A biztonsági rés kiaknázása elleni védelem segít védekezni azokkal a kártevő szoftverekkel szemben, amelyek biztonsági rések kihasználása révén fertőzik meg az eszközöket és terjednek. A biztonsági rés kiaknázása elleni védelem számos olyan kockázatcsökkentésből áll, amely alkalmazható az operációs rendszerre vagy az egyes alkalmazásokra.

Fontos

A .NET 2.0 nem kompatibilis néhány biztonsági rés kiaknázása elleni védelmi funkcióval, különösen az exportálási címszűréssel (EAF) és az importálási címszűréssel (IAF). Ha engedélyezte a .NET 2.0-t, az EAF és az IAF használata nem támogatott.

Az Enhanced Mitigation Experience Toolkit (EMET) számos funkciója megtalálható a biztonsági rés kiaknázása elleni védelemben.

Az egyes kockázatcsökkentéseket az alábbi módszerek bármelyikével engedélyezheti:

A biztonsági rés kiaknázása elleni védelem alapértelmezés szerint konfigurálva van a Windows 10 és a Windows 11 rendszeren. Az egyes kockázatcsökkentéseket be- és kikapcsolhatja, illetve beállíthatja az alapértelmezett értékre. Egyes kockázatcsökkentések több lehetőséget is kínálnak. Ezeket a beállításokat XML-fájlként exportálhatja, és más eszközökre is telepítheti.

A kockázatcsökkentéseket naplózási módra is beállíthatja. A naplózási mód lehetővé teszi, hogy anélkül tesztelje a kockázatcsökkentések működését (és áttekintse az eseményeket), hogy befolyásolná az eszköz normál használatát.

Windows biztonság alkalmazás

  1. Nyissa meg a Windows biztonság alkalmazást a tálca pajzs ikonjának kiválasztásával vagy keressen rá a Biztonság kifejezésre a Start menüben.

  2. Válassza az Alkalmazás- és böngészőszabályozás csempét (vagy a bal oldali menüsáv alkalmazásikonját), majd válassza a Biztonsági rés kiaknázása elleni védelem beállításait elemet.

  3. Nyissa meg a Programbeállítások menüt és válassza ki azt az alkalmazást, amelyre kockázatcsökkentést szeretne alkalmazni.

    • Ha a konfigurálni kívánt alkalmazás már szerepel a listában, jelölje ki, majd válassza a Szerkesztés lehetőséget.
    • Ha az alkalmazás nem szerepel a listában, a lista tetején válassza a Testre szabni kívánt program hozzáadása lehetőséget, majd válassza ki az alkalmazás hozzáadásának módját.
    • A Hozzáadás programnév alapján lehetőséggel alkalmazhatja a kockázatcsökkentést az adott névvel rendelkező futó folyamatokra. Meghatározhatja a fájlt annak kiterjesztésével. Megadhatja a teljes elérési utat, ha a kockázatcsökkentést csak az adott nevű alkalmazásra szeretné korlátozni az adott helyen.
    • A Pontos fájlelérési út kiválasztása lehetőséggel egy szabványos Windows Intéző fájlválasztó ablakot használhat a kívánt fájl megkereséséhez és kijelöléséhez.

  4. Az alkalmazás kiválasztása után megjelenik az összes alkalmazható kockázatcsökkentés listája. A Naplózás lehetőség választása csak naplózási módban alkalmazza a kockázatcsökkentést. Értesítést kap, ha újra kell indítania a folyamatot vagy az alkalmazást, vagy ha újra kell indítania a Windowst.

  5. Ismételje meg a 3–4. lépést az összes konfigurálni kívánt alkalmazásra és kockázatcsökkentésre.

  6. A Rendszerbeállítások szakaszban keresse meg a konfigurálni kívánt kockázatcsökkentést, majd adja meg az alábbi beállítások egyikét. Azok az alkalmazások, amelyek nincsenek külön konfigurálva a Programbeállítások szakaszban, az itt konfigurált beállításokat használják.

    • Alapértelmezés szerint bekapcsolva: A kockázatcsökkentés engedélyezve van az olyan alkalmazások esetében, amelyeken nincs beállítva ez a kockázatcsökkentés az alkalmazásspecifikus Programbeállítások szakaszban
    • Alapértelmezés szerint kikapcsolva: A kockázatcsökkentés le van tiltva az olyan alkalmazások esetében, amelyeken nincs beállítva ez a kockázatcsökkentés az alkalmazásspecifikus Programbeállítások szakaszban
    • Alapértelmezett használata: A kockázatcsökkentés vagy engedélyezve van, vagy le van tiltva, a Windows 10 vagy a Windows 11 telepítése által beállított alapértelmezett konfigurációtól függően; az alapértelmezett érték (Be vagy Ki) mindig az Alapértelmezett használata mellett van megadva az egyes kockázatcsökkentésekhez

  7. Ismételje meg a 6. lépést az összes konfigurálni kívánt rendszerszintű kockázatcsökkentésre. Ha végzett a konfiguráció beállításával, válassza az Alkalmaz lehetőséget.

Ha hozzáad egy alkalmazást a Programbeállítások szakaszhoz, és ott konfigurálja az egyes kockázatcsökkentési beállításokat, azokat a rendszerbeállítások szakaszban megadott ugyanazon kockázatcsökkentések konfigurációja felett fogja figyelembe venni. Az alábbi mátrix és példák segítenek az alapértelmezett értékek működésének szemléltetésében:

Engedélyezve a Programbeállítások között Engedélyezve a Rendszerbeállítások között Viselkedés
Igen Nem A Programbeállítások között megadottak szerint
Igen Igen A Programbeállítások között megadottak szerint
Nem Igen A Rendszerbeállítások között megadottak szerint
Nem Nem Alapértelmezett az Alapértelmezett érték használata között megadottak szerint

1. példa: Mikael úgy konfigurálja az adatvégrehajtás megakadályozását a rendszerbeállítások szakaszban, hogy az alapértelmezés szerint ki legyen kapcsolva

Mikael hozzáadja a test.exe alkalmazást a Programbeállítások szakaszhoz. Az adott alkalmazás beállításaiban az Adatvégrehajtás megakadályozása (DEP) területen Mikael engedélyezi a Rendszerbeállítások felülbírálása lehetőséget, és Be állásba kapcsolja a kapcsolót. A Programbeállítások szakaszban nincsenek más alkalmazások.

Az eredmény az, hogy a DEP csak a test.exe fájlhoz van engedélyezve. Az összes többi alkalmazásra nem lesz alkalmazva a DEP.

2. példa: Josie úgy konfigurálja az adatvégrehajtás megakadályozását a rendszerbeállításokban, hogy az alapértelmezés szerint ki legyen kapcsolva

Josie hozzáadja a test.exe alkalmazást a Programbeállítások szakaszhoz. Az adott alkalmazás beállításaiban az Adatvégrehajtás megakadályozása (DEP) területen Josie engedélyezi a Rendszerbeállítások felülbírálása lehetőséget, és Be állásba kapcsolja a kapcsolót.

Josie emellett hozzáadja a miles.exe alkalmazást is a Programbeállítások szakaszhoz, és konfigurálja a Vezérlésfolyam-őrfeltételt (CFG)Be értékre állítja. A Josie nem engedélyezi a DEP Rendszerbeállítások felülbírálása beállítását, sem egyéb kockázatcsökkentést az alkalmazásra.

Az eredmény az, hogy a DEP engedélyezve van test.exe fájlhoz. A DEP nem lesz engedélyezve semmilyen más alkalmazáshoz, beleértve amiles.exe. A CFG engedélyezve lesz a miles.exe fájlhoz.

  1. Nyissa meg a Windows biztonság alkalmazást a tálca pajzs ikonjának kiválasztásával, vagy keressen rá a Windows biztonság kifejezésre a Start menüben.

  2. Válassza az Alkalmazás- és böngészőszabályozás csempét (vagy a bal oldali menüsáv alkalmazásikonját), majd válassza a Biztonsági rés kiaknázása elleni védelem elemet.

  3. Nyissa meg a Programbeállítások menüt és válassza ki azt az alkalmazást, amelyre kockázatcsökkentést szeretne alkalmazni.

    • Ha a konfigurálni kívánt alkalmazás már szerepel a listában, jelölje ki, majd válassza a Szerkesztés lehetőséget.
    • Ha az alkalmazás nem szerepel a listában, a lista tetején válassza a Testre szabni kívánt program hozzáadása lehetőséget, majd válassza ki az alkalmazás hozzáadásának módját.
      • A Hozzáadás programnév alapján lehetőséggel alkalmazhatja a kockázatcsökkentést az adott névvel rendelkező futó folyamatokra. Meghatározhatja a fájlt kiterjesztéssel. Megadhatja a teljes elérési utat, ha a kockázatcsökkentést csak az adott nevű alkalmazásra szeretné korlátozni az adott helyen.
      • A Pontos fájlelérési út kiválasztása lehetőséggel egy szabványos Windows Intéző fájlválasztó ablakot használhat a kívánt fájl megkereséséhez és kijelöléséhez.

  4. Az alkalmazás kiválasztása után megjelenik az összes alkalmazható kockázatcsökkentés listája. A Naplózás lehetőség választása csak naplózási módban alkalmazza a kockázatcsökkentést. Értesítést kap, ha újra kell indítania a folyamatot vagy az alkalmazást, vagy ha újra kell indítania a Windowst.

  5. Ismételje meg a 3–4. lépést az összes konfigurálni kívánt alkalmazásra és kockázatcsökkentésre. Ha végzett a konfiguráció beállításával, válassza az Alkalmaz lehetőséget.

Intune

  1. Jelentkezzen be az Azure portálra és nyissa meg az Intune-t..

  2. Nyissa meg az Eszközkonfigurációs>konfigurációs profilok>Létrehozás profil lehetőséget.

  3. Nevezze el a profilt, válassza a Windows 10 és újabb lehetőséget, válassza a Profiltípushoz tartozó sablonokat, majd válassza az Endpoint Protection elemet a sablon neve alatt.

    Végpontvédelmi profil létrehozása

  4. Válassza a Konfigurálás>Windows Defender Biztonsági rés kiaknázása>elleni védelem lehetőséget.

  5. Töltsön fel egy XML-fájlt a biztonsági rés kiaknázása elleni védelem beállításaival:

    A Hálózatvédelem engedélyezése beállítás az Intune-ban

  6. Kattintson az OK gombra az egyes megnyitott panelek mentéséhez, majd válassza a Létrehozás lehetőséget.

  7. Válassza a profil Hozzárendelések lapját, rendelje hozzá a szabályzatot a Minden felhasználó és minden eszköz elemhez, majd válassza a Mentés lehetőséget.

MDM

Használja a ./Vendor/MSFT/Policy/Config/ExploitGuard/ExploitProtectionSettings konfigurációs szolgáltatót (CSP) a biztonsági rés kiaknázása elleni védelem kockázatcsökkentésének engedélyezéséhez vagy letiltásához, illetve a naplózási mód használatához.

Microsoft Configuration Manager

Végpontbiztonság

  1. A Microsoft Configuration Manager lépjen az Endpoint SecurityAttack surface reduction (Végpontbiztonság > támadási felületének csökkentése) szakaszra.

  2. Válassza Létrehozás Szabályzatplatform> lehetőséget, majd a Profil területen válassza a Biztonsági rés kiaknázása elleni védelem lehetőséget. Válassza a Létrehozás lehetőséget.

  3. Adjon meg egy nevet és egy leírást, majd válassza a Tovább lehetőséget.

  4. Válassza az XML-fájl kiválasztása lehetőséget, és keresse meg a biztonsági rés kiaknázása elleni védelem XML-fájljának helyét. Jelölje ki a fájlt, majd válassza a Tovább lehetőséget.

  5. Szükség esetén konfigurálja a Hatókörcímkék és Hozzárendelések elemeket.

  6. A Felülvizsgálat + létrehozás területen tekintse át a konfigurációs beállításokat, majd válassza a Létrehozás lehetőséget.

Eszközök és megfelelőség

  1. A Microsoft Configuration Manager lépjen az Eszközök és megfelelőség>Végpontvédelem>Windows Defender Exploit Guard elemre.

  2. Válassza a Kezdőlap>Létrehozás Biztonsági rés kiaknázása elleni védelem szabályzata lehetőséget.

  3. Adjon meg egy nevet és egy leírást, válassza a Biztonsági rés kiaknázása elleni védelem, majd a Tovább lehetőséget.

  4. Keresse meg a biztonsági rés kiaknázása elleni védelem XML-fájljának helyét, majd válassza a Tovább lehetőséget.

  5. Tekintse át a beállításokat, majd a szabályzat létrehozásához válassza a Tovább elemet.

  6. A házirend létrehozása után válassza a Bezárás lehetőséget.

Csoportházirend

  1. A Csoportházirend felügyeleti eszközön nyissa meg a Csoportházirend-kezelő konzolt, kattintson a jobb gombbal a konfigurálni kívánt Csoportházirend objektumra, majd kattintson a Szerkesztés parancsra.

  2. A Csoportházirend-felügyeleti szerkesztőben lépjen a Számítógép konfigurációja elemre, és válassza a Felügyeleti sablonok lehetőséget.

  3. Bontsa ki a fát a Windows-összetevőkre>Windows Defender Exploit Guard>Exploit ProtectionA biztonsági rés kiaknázása elleni védelem> általános beállításainak használata.

  4. Válassza az Engedélyezve lehetőséget, írja be az XML-fájl helyét, majd kattintson az OK gombra.

PowerShell-

A(z) Get vagy Set PowerShell-parancsmagot használhatja a(z) ProcessMitigation parancsmaggal. A(z) Get használatával listázhatja az eszközön engedélyezett kockázatcsökkentések aktuális konfigurációs állapotát – adja hozzá a(z) -Name parancsmagot és az app exe alkalmazást, hogy csak az adott alkalmazásra vonatkozó kockázatcsökkentéseket láthassa:

Get-ProcessMitigation -Name processName.exe

Fontos

A nem konfigurált rendszerszintű kockázatcsökkentések NOTSET állapotot fognak megjeleníteni.

  • Rendszerszintű beállításoknál a(z) NOTSET azt jelzi, hogy a kockázatcsökkentés alapértelmezett beállítása alkalmazva lett.
  • Alkalmazásszintű beállításoknál a(z) NOTSET azt jelzi, hogy a kockázatcsökkentés rendszerszintű beállítása lesz alkalmazva. Az egyes rendszerszintű kockázatcsökkentések alapértelmezett beállítása a Windows biztonság alkalmazásban látható.

A(z) Set használatával az alábbi formátumban konfigurálhatja az egyes kockázatcsökkentéseket:

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Hely:

  • <Hatókör>:
    • -Name jelzi, hogy a kockázatcsökkentéseket egy adott alkalmazásra kell alkalmazni. Adja meg az alkalmazás végrehajtható fájlját a jelző után.
      • -System jelzi, hogy a kockázatcsökkentéseket rendszerszinten kell alkalmazni.
  • <Művelet>:
    • -Enable a kockázatcsökkentés engedélyezéséhez
    • -Disable a kockázatcsökkentés letiltásához
  • <Kockázatcsökkentés>:
    • A kockázatcsökkentés parancsmagja az esetleges (szóközökkel körülvett) részopciókkal együtt. A kockázatcsökkentések vesszővel vannak elválasztva.

Például, ha engedélyezni szeretné az Adatvégrehajtás megakadályozása (DEP) kockázatcsökkentést ATL thunk emulációval, egy testing.exe nevű végrehajtható fájlhoz a C:\Apps\LOB\tests mappában, és meg szeretné akadályozni, hogy a végrehajtható fájl gyermekfolyamatokat hozzon létre, a következő parancsot kell használnia:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP, EmulateAtlThunks, DisallowChildProcessCreation

Fontos

Az egyes kockázatcsökkentési lehetőségeket vesszővel válassza el egymástól.

A DEP rendszerszintű alkalmazásához használja a következő parancsot:

Set-Processmitigation -System -Enable DEP

A kockázatcsökkentések letiltásához cserélje -Enable-t a következőre: -Disable. Viszont alkalmazásszintű kockázatcsökkentés esetén ez a művelet csak az adott alkalmazásra kényszeríti ki a kockázatcsökkentés letiltását.

Ha vissza kell állítania a kockázatcsökkentést a rendszer alapértelmezett értékére, a(z) -Remove parancsmagot is fel kell vennie a következő példába:

Set-Processmitigation -Name test.exe -Remove -Disable DEP

Az alábbi táblázat felsorolja az egyes Kockázatcsökkentéseket (és Naplózásokat, ha vannak), amelyeket használhat a(z) -Enable vagy -Disable parancsmag-paraméterekkel.

Kockázatcsökkentés típusa A következőkre vonatkozik: Kockázatcsökkentési parancsmag paraméterének kulcsszava Naplózási mód parancsmag-paramétere
Vezérlésfolyam-szabályozás (CFG) Rendszer- és alkalmazásszintű CFG, StrictCFG, SuppressExports A naplózás nem érhető el
Adatvégrehajtás megakadályozása (DEP) Rendszer- és alkalmazásszintű DEP, EmulateAtlThunks A naplózás nem érhető el
Véletlenszerűsítés kényszerítése a lemezképeknél (kötelező ASLR) Rendszer- és alkalmazásszintű ForceRelocateImages A naplózás nem érhető el
Véletlenszerű memóriafoglalás (ASLR alulról felfelé) Rendszer- és alkalmazásszintű BottomUp, HighEntropy A naplózás nem érhető el
Kivételláncok ellenőrzése (SEHOP) Rendszer- és alkalmazásszintű SEHOP, SEHOPTelemetry A naplózás nem érhető el
Halommemória-integritás ellenőrzése Rendszer- és alkalmazásszintű TerminateOnError A naplózás nem érhető el
Tetszőleges programkód futtatása elleni védelem (ACG) Csak alkalmazásszintű DynamicCode AuditDynamicCode
Alacsony integritású lemezképek blokkolása Csak alkalmazásszintű BlockLowLabel AuditImageLoad
Távoli lemezképek blokkolása Csak alkalmazásszintű BlockRemoteImages A naplózás nem érhető el
Nem megbízható betűkészletek blokkolása Csak alkalmazásszintű DisableNonSystemFonts AuditFont, FontAuditOnly
Kódintegritás-védelem Csak alkalmazásszintű BlockNonMicrosoftSigned, AllowStoreSigned AuditMicrosoftSigned, AuditStoreSigned
Hosszabbítópontok letiltása Csak alkalmazásszintű ExtensionPoint A naplózás nem érhető el
Win32k rendszerhívások letiltása Csak alkalmazásszintű DisableWin32kSystemCalls AuditSystemCall
Gyermekfolyamatok tiltása Csak alkalmazásszintű DisallowChildProcessCreation AuditChildProcess
Exportcímszűrés (EAF) Csak alkalmazásszintű EnableExportAddressFilterPlus, EnableExportAddressFilter[1] A naplózás nem érhető el [2]
Importcímszűrés (IAF) Csak alkalmazásszintű EnableImportAddressFilter A naplózás nem érhető el [2]
Végrehajtás szimulálása (SimExec) Csak alkalmazásszintű EnableRopSimExec A naplózás nem érhető el [2]
API-meghívás ellenőrzése (CallerCheck) Csak alkalmazásszintű EnableRopCallerCheck A naplózás nem érhető el [2]
Leírókezelés ellenőrzése Csak alkalmazásszintű StrictHandle A naplózás nem érhető el
Lemezképfüggőség-integritás ellenőrzése Csak alkalmazásszintű EnforceModuleDepencySigning A naplózás nem érhető el
Halomintegritás ellenőrzése (StackPivot) Csak alkalmazásszintű EnableRopStackPivot A naplózás nem érhető el [2]

[1]: A következő formátummal engedélyezheti az EAF-modulokat a DLL-ek számára egy folyamathoz:

Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll,dllName2.dll

[2]: A kockázatcsökkentés naplózása nem érhető el PowerShell-parancsmagokkal.

Az értesítés testreszabása

A szabály aktiválásakor és egy alkalmazás vagy fájl letiltásakor megjelenő értesítés testreszabásáról további információt a Windows biztonság című témakörben talál.

Lásd még

Tipp

Szeretne többet megtudni? Engage a Microsoft biztonsági közösségével a technikai közösségünkben: Végponthoz készült Microsoft Defender Tech Community.