Exploit Protection'i özelleştirin

  • Makale

Şunlar için geçerlidir:

Uç nokta için Defender'i deneyimlemek ister misiniz? Ücretsiz deneme için kaydolun.

Açıklardan yararlanma koruması, hem işletim sistemi işlemlerine hem de tek tek uygulamalara otomatik olarak bir dizi güvenlik açığından yararlanma azaltma tekniği uygular.

Tek bir cihazda Windows Güvenliği uygulamasını kullanarak bu ayarları yapılandırın. Ardından, diğer cihazlara dağıtabilmek için yapılandırmayı xml dosyası olarak dışarı aktarın. XML dosyasını aynı anda birden çok cihaza dağıtmak için grup ilkesi kullanın. Azaltmaları PowerShell ile de yapılandırabilirsiniz.

Bu makalede, açıklardan yararlanma korumasında sağlanan risk azaltmaların her biri listelenir. Azaltmanın sistem genelinde mi yoksa tek tek uygulamalara mı uygulanabileceğini gösterir ve azaltmanın nasıl çalıştığına ilişkin kısa bir açıklama sağlar.

Ayrıca Windows Güvenliği, PowerShell ve mobil cihaz yönetimi (MDM) yapılandırma hizmeti sağlayıcıları (CSP) kullanarak risk azaltmaların nasıl etkinleştirileceği veya yapılandırıldığı açıklanır. Bu, ağınız genelinde dağıtabileceğiniz bir yapılandırma oluşturmanın ilk adımıdır. Sonraki adım, yapılandırmayı birden çok cihaza oluşturma, dışarı aktarma, içeri aktarma ve dağıtmayı içerir.

Uyarı

Bazı güvenlik azaltma teknolojilerinde bazı uygulamalarla uyumluluk sorunları olabilir. Yapılandırmayı bir üretim ortamına veya ağınızın geri kalanına dağıtmadan önce denetim modunu kullanarak tüm hedef kullanım senaryolarında açıklardan yararlanma korumasını test etmelisiniz.

Açıklardan yararlanma koruması risk azaltmaları

Tüm azaltmalar tek tek uygulamalar için yapılandırılabilir. Bazı azaltmalar işletim sistemi düzeyinde de uygulanabilir.

Risk azaltmaların her birini açık, kapalı veya varsayılan değerlerine ayarlayabilirsiniz. Bazı azaltmalar, tablodaki açıklamada belirtilen ek seçeneklere sahiptir.

Varsayılan değerler her zaman her azaltma için Varsayılanı kullan seçeneğinde köşeli ayraç içinde belirtilir. Aşağıdaki örnekte, Veri Yürütme Engellemesi için varsayılan değer "Açık"tır.

Risk azaltma ayarlarının her biri için varsayılan yapılandırmayı kullan ayarı, ev kullanıcıları için günlük kullanım için temel koruma düzeyi önerimizi gösterir. Kurumsal dağıtımlar, kendi gereksinimleri için gereken korumayı dikkate almalıdır ve yapılandırmayı varsayılanlardan farklı bir şekilde değiştirmesi gerekebilir.

Her azaltma için ilişkili PowerShell cmdlet'leri için bu makalenin altındaki PowerShell başvuru tablosuna bakın.

Risk azaltma Açıklama Can be applied to Denetim modu kullanılabilir
Denetim akış koruması (CFG) Dolaylı çağrılar için denetim akışı bütünlüğünü sağlar. İsteğe bağlı olarak dışarı aktarmaları bastırabilir ve katı CFG kullanabilir. Sistem ve uygulama düzeyi Hayır
Veri Yürütme Engellemesi (DEP) Kodun yığın ve yığınlar gibi yalnızca veri bellek sayfalarından çalıştırılmasını engeller. Yalnızca 32 bit (x86) uygulamalar için yapılandırılabilir, diğer tüm mimariler için kalıcı olarak etkinleştirilir. İsteğe bağlı olarak ATL thunk öykünmesini etkinleştirebilir. Sistem ve uygulama düzeyi Hayır
Görüntüleri rastgele seçmeye zorla (Zorunlu ASLR) /DYNAMICBASE ile derlenmeyen görüntüleri zorla yeniden yerleştirir. İsteğe bağlı olarak, yeniden konumlandırma bilgileri olmayan görüntüleri yüklemede başarısız olabilir. Sistem ve uygulama düzeyi Hayır
Bellek ayırmalarını rastgele seç (Aşağıdan Yukarı ASLR) Sanal bellek ayırmaları için konumları rastgele belirler. Sistem yapısı yığınlarını, yığınları, TEB'leri ve PEB'leri içerir. İsteğe bağlı olarak 64 bit işlemler için daha geniş bir rastgelelik varyansı kullanabilir. Sistem ve uygulama düzeyi Hayır
Özel durum zincirlerini doğrula (SEHOP) Özel durum dağıtma sırasında bir özel durum zincirinin bütünlüğünü sağlar. Yalnızca 32 bit (x86) uygulamalar için yapılandırılabilir. Sistem ve uygulama düzeyi Hayır
Yığın bütünlüğünü doğrula Yığın bozulması algılandığında işlemi sonlandırır. Sistem ve uygulama düzeyi Hayır
İsteğe bağlı kod koruması (ACG) Resim destekli olmayan yürütülebilir kodun kullanıma sunulmasını engeller ve kod sayfalarının değiştirilmesini engeller. İsteğe bağlı olarak iş parçacığının geri çevirmesine izin verebilir ve uzaktan sürüm düşürmeye izin verebilir (yalnızca PowerShell ile yapılandırılabilir). Yalnızca uygulama düzeyi Evet
Bütünlük düzeyi düşük görüntüleri engelle Düşük Bütünlük ile işaretlenmiş görüntülerin yüklenmesini engeller. Yalnızca uygulama düzeyi Evet
Uzak görüntüleri engelle Uzak cihazlardan görüntülerin yüklenmesini engeller. Yalnızca uygulama düzeyi Hayır
Güvenilmeyen yazı tiplerini engelle Özellikle web'den yazı tipleri gibi sistem yazı tipleri dizinine yüklenmeyen GDI tabanlı yazı tiplerinin yüklenmesini engeller. Yalnızca uygulama düzeyi Evet
Kod bütünlüğü koruması Microsoft, WHQL veya üzeri tarafından imzalanan görüntülerin yüklenmesini kısıtlar. İsteğe bağlı olarak Microsoft Store imzalı görüntülerine izin verebilir. Yalnızca uygulama düzeyi Evet
Uzantı noktalarını devre dışı bırak AppInit DLL'leri, pencere kancaları ve Winsock hizmet sağlayıcıları gibi tüm işlemlere DLL eklemeye izin veren çeşitli genişletilebilirlik mekanizmalarını devre dışı bırakır. Yalnızca uygulama düzeyi Hayır
Win32k sistem çağrılarını devre dışı bırak Bir uygulamanın Win32k sistem çağrı tablosunu kullanmasını engeller. Yalnızca uygulama düzeyi Evet
Alt işlemlere izin verme Bir uygulamanın alt işlemler oluşturmasını engeller. Yalnızca uygulama düzeyi Evet
Dışarı aktarma adresi filtrelemesi (EAF) Kötü amaçlı kod tarafından çözümlenen tehlikeli işlemleri algılar. İsteğe bağlı olarak, açıklardan yararlanmalar tarafından yaygın olarak kullanılan modüllere göre erişimi doğrulayabilir. Yalnızca uygulama düzeyi Evet
İçeri aktarma adresi filtrelemesi (IAF) Kötü amaçlı kod tarafından çözümlenen tehlikeli işlemleri algılar. Yalnızca uygulama düzeyi Evet
Yürütme simülasyonu (SimExec) Hassas API'lere yapılan çağrıların meşru arayanlara döndürülmesini sağlar. Yalnızca 32 bit (x86) uygulamalar için yapılandırılabilir. ACG ile uyumlu değil. Yalnızca uygulama düzeyi Evet
API çağrısını doğrula (CallerCheck) Hassas API'lerin meşru arayanlar tarafından çağrılmasını sağlar. Yalnızca 32 bit (x86) uygulamalar için yapılandırılabilir. ACG ile uyumlu değil Yalnızca uygulama düzeyi Evet
Tutamaç kullanımını doğrula Geçersiz tanıtıcı başvurularında bir özel durumun tetiklenmesine neden olur. Yalnızca uygulama düzeyi Hayır
Görüntü bağımlılığı bütünlüğünü doğrula Windows görüntü bağımlılığı yüklemesi için kod imzalamayı zorlar. Yalnızca uygulama düzeyi Hayır
Yığın bütünlüğünü doğrula (StackPivot) Yığının hassas API'ler için yeniden yönlendirilmediklerinden emin olun. ACG ile uyumlu değil. Yalnızca uygulama düzeyi Evet

Önemli

Program ayarları bölümüne bir uygulama ekler ve burada tek tek risk azaltma ayarlarını yapılandırırsanız, bunlar Sistem ayarları bölümünde belirtilen aynı risk azaltmaları için yapılandırmanın üzerinde kabul edilir. Aşağıdaki matris ve örnekler, varsayılanların nasıl çalıştığını göstermeye yardımcı olur:

Program ayarlarında etkinleştirildi Sistem ayarlarında etkinleştirildi Davranış
Evet Hayır Program ayarlarında tanımlandığı gibi
Evet Evet Program ayarlarında tanımlandığı gibi
Hayır Evet Sistem ayarlarında tanımlandığı gibi
Hayır Hayır Varsayılanı kullan seçeneğinde tanımlandığı gibi varsayılan

  • Örnek 1 Mikael, Sistem ayarları bölümündeki Veri Yürütme Engellemesi'ni (DEP)varsayılan olarak Kapalı olarak yapılandırıyor. Mikael daha sonra uygulama test.exeProgram ayarları bölümüne ekler. Bu uygulamanın seçeneklerinde , Veri Yürütme Engellemesi (DEP) altında Sistem ayarlarını geçersiz kıl seçeneğini etkinleştirir ve anahtarı Açık olarak ayarlar. Program ayarları bölümünde listelenen başka uygulama yok. Sonuç olarak DEP yalnızca test.exeiçin etkinleştirilir. Diğer tüm uygulamalarda DEP uygulanmaz.

  • Örnek 2 Josie, Sistem ayarları bölümündeki Veri Yürütme Engellemesi'ni (DEP)varsayılan olarak Kapalı olarak yapılandırıyor. Josie daha sonra uygulama test.exeProgram ayarları bölümüne ekler. Bu uygulamanın seçeneklerinde , Veri Yürütme Engellemesi (DEP) altında Sistem ayarlarını geçersiz kıl seçeneğini etkinleştirir ve anahtarı Açık olarak ayarlar. Josie ayrıca, miles.exe uygulamasını Program ayarları bölümüne ekler ve Denetim akışı korumasını (CFG)Açık olarak yapılandırır. DEP için Sistem ayarlarını geçersiz kıl seçeneğini veya söz konusu uygulama için diğer risk azaltmaları etkinleştirmez. Sonuç, DEP'nin test.exeiçin etkinleştirilmesi olur. DEP, miles.exe dahil olmak üzere başka hiçbir uygulama için etkinleştirilmez. CFG, miles.exe için etkinleştirilir.

Not

Bu makalede herhangi bir sorun bulduysanız, bunu doğrudan bir Windows Server/Windows İstemcisi iş ortağına bildirebilir veya ülkeniz/bölgeniz için Microsoft teknik destek numaralarını kullanabilirsiniz.

Windows Güvenliği uygulamasıyla sistem düzeyinde risk azaltmaları yapılandırma

  1. Görev çubuğundaki kalkan simgesini seçerek veya başlat menüsünde Windows Güvenliği için arama yaparak Windows Güvenliği uygulamasını açın.

  2. Uygulama ve tarayıcı denetimi kutucuğunu (veya sol menü çubuğundaki uygulama simgesini) seçin ve ardından Açıklardan yararlanma koruması öğesini seçin.

  3. Sistem ayarları bölümünde, yapılandırmak istediğiniz azaltmayı bulun ve aşağıdakilerden birini seçin. Program ayarları bölümünde tek tek yapılandırılmamış uygulamalar burada yapılandırılan ayarları kullanır:

    • Varsayılan olarak açık - Azaltma, uygulamaya özgü Program ayarları bölümünde bu azaltma ayarlı olmayan uygulamalar için etkindir
    • Varsayılan olarak kapalı - Azaltma, uygulamaya özgü Program ayarları bölümünde bu azaltma ayarlı olmayan uygulamalar için devre dışıdır
    • Varsayılanı kullan - Windows 10 veya Windows 11 yükleme tarafından ayarlanan varsayılan yapılandırmaya bağlı olarak azaltma etkin veya devre dışıdır; varsayılan değer (Açık veya Kapalı) her zaman Her azaltma için varsayılan etiketi kullan seçeneğinin yanında belirtilir

    Not

    Bazı ayarları değiştirirken Bir Kullanıcı Hesabı Denetimi penceresi görebilirsiniz. Ayarı uygulamak için yönetici kimlik bilgilerini girin.

    Bazı ayarların değiştirilmesi için yeniden başlatma gerekebilir.

  4. Yapılandırmak istediğiniz tüm sistem düzeyinde risk azaltma işlemleri için bunu yineleyin.

  5. Program ayarları bölümüne gidin ve azaltmaları uygulamak istediğiniz uygulamayı seçin:

    1. Yapılandırmak istediğiniz uygulama zaten listelenmişse uygulamayı seçin ve Düzenle'yi seçin.
    2. Uygulama listelenmiyorsa, listenin üst kısmında Özelleştirmek için program ekle'yi seçin ve ardından uygulamayı nasıl eklemek istediğinizi seçin:
      • Risk azaltmanın bu adla çalışan herhangi bir işleme uygulanması için Program adına göre ekle'yi kullanın. Uzantılı bir dosya belirtmeniz gerekir. Risk azaltmayı yalnızca bu konumdaki bu ada sahip uygulamayla sınırlamak için tam bir yol girebilirsiniz.
      • İstediğiniz dosyayı bulmak ve seçmek için standart bir Windows Gezgini dosya seçici penceresi kullanmak üzere Tam dosya yolunu seçin'i kullanın.

  6. Uygulamayı seçtikten sonra, uygulanabilecek tüm risk azaltmalarının bir listesini göreceksiniz. Azaltmayı etkinleştirmek için onay kutusunu seçin ve kaydırıcıyı Açık olarak değiştirin. Ek seçenekleri belirleyin. Denetim'in seçilmesi, azaltmayı yalnızca denetim modunda uygular. İşlemi, uygulamayı veya Windows'u yeniden başlatmanız gerekirse size bildirilecektir.

  7. Yapılandırmak istediğiniz tüm uygulamalar ve risk azaltmalar için bu adımları yineleyin. Yapılandırmanızı ayarlamayı tamamladığınızda Uygula'yı seçin.

Artık bu ayarları XML dosyası olarak dışarı aktarabilir veya uygulamaya özgü risk azaltmaları yapılandırmak için devam edebilirsiniz.

Yapılandırmayı XML dosyası olarak dışarı aktarmak, yapılandırmayı bir cihazdan diğer cihazlara kopyalamanıza olanak tanır.

PowerShell başvurusu

Exploit protection'ı yapılandırmak için Windows Güvenliği uygulamasını veya PowerShell cmdlet'lerini kullanabilirsiniz.

PowerShell veya Windows Güvenliği kullanmanızdan bağımsız olarak, en son değiştirilen yapılandırma ayarları her zaman uygulanır. Başka bir deyişle, bir azaltma yapılandırmak için uygulamayı kullanırsanız ve powershell kullanarak aynı azaltmayı yapılandırırsanız, uygulama PowerShell ile yaptığınız değişiklikleri gösterecek şekilde güncelleştirilir. Daha sonra düzeltmeyi yeniden değiştirmek için uygulamayı kullanırsanız, bu değişiklik geçerli olur.

Önemli

grup ilkesi aracılığıyla bir cihaza dağıtılan tüm değişiklikler yerel yapılandırmayı geçersiz kılar. İlk yapılandırmayı ayarlarken, değişikliklerinizin geçersiz kılınmamasını sağlamak için grup ilkesi yapılandırması uygulanmayan bir cihaz kullanın.

PowerShell fiili Get veya Set, cmdlet ProcessMitigation ile kullanılabilir. Get kullanmak, cihazda etkinleştirilen tüm risk azaltmalarının geçerli yapılandırma durumunu listeler - yalnızca bu uygulama için risk azaltmaları görmek için -Name cmdlet'ini ve uygulama exe'sini ekleyin:

Get-ProcessMitigation -Name processName.exe

Önemli

Yapılandırılmamış sistem düzeyindeki risk azaltmaları NOTSET durumunu gösterecektir.

Sistem düzeyindeki ayarlar için NOTSET, bu risk azaltmanın uygulandığı varsayılan ayarı belirtir.

Uygulama düzeyindeki ayarlar için NOTSET, risk azaltma için sistem düzeyindeki ayarın uygulanacağını belirtir.

Her sistem düzeyinde risk azaltma için varsayılan ayar, Windows Güvenliği'nde görülebilir.

Her bir risk azaltmayı aşağıdaki biçimde yapılandırmak için Set kullanın:

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Konum:

  • <Kapsam>:
    • Risk azaltmaların belirli bir uygulamaya uygulanması gerektiğini belirtmek için -Name. Bu bayraktan sonra uygulamanın yürütülebilir dosyasını belirtin.
    • Risk azaltmanın sistem düzeyinde uygulanması gerektiğini belirtmek için -System
  • <Eylem>:
    • Risk azaltmayı etkinleştirmek için -Enable
    • Risk azaltmayı devre dışı bırakmak için -Disable
  • <>Azaltma:

Örneğin, ATL thunk öykünmesi ile Veri Yürütme Engellemesi (DEP) risk azaltmayı etkinleştirmek ve C:\Apps\LOB\tests klasöründeki testing.exe adlı yürütülebilir dosya için ve bu yürütülebilir dosyanın alt işlemler oluşturmasını önlemek için aşağıdaki komutu kullanırsınız:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP, EmulateAtlThunks, DisallowChildProcessCreation

Önemli

Her risk azaltma seçeneğini virgülle ayırın.

DEP'yi sistem düzeyinde uygulamak istiyorsanız, aşağıdaki komutu kullanırsınız:

Set-Processmitigation -System -Enable DEP

Risk azaltmalarını devre dışı bırakmak için -Enable yerine -Disable koyabilirsiniz. Ancak, uygulama düzeyindeki risk azaltmalar için bu, azaltmanın yalnızca söz konusu uygulama için devre dışı bırakılmasına zorlar.

Risk azaltmayı sistem varsayılanı olarak geri yüklemeniz gerekiyorsa, aşağıdaki örnekte olduğu gibi -Remove cmdlet'ini de eklemeniz gerekir:

Set-Processmitigation -Name test.exe -Remove -Disable DEP

Denetim moduna bazı risk azaltmaları da ayarlayabilirsiniz. Azaltma için PowerShell cmdlet'ini kullanmak yerine, aşağıdaki azaltma cmdlet'leri tablosunda belirtildiği gibi Denetim moducmdlet'ini kullanın.

Örneğin, daha önce kullanılan testing.exe denetim modunda Rastgele Code Guard'ı (ACG) etkinleştirmek için aşağıdaki komutu kullanırsınız:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable AuditDynamicCode

Denetim modunu aynı komutu kullanarak ancak yerine ile -Disabledeğiştirerek -Enable devre dışı bırakabilirsiniz.

PowerShell başvuru tablosu

Bu tabloda, her azaltmayı yapılandırmak için kullanılabilecek PowerShell cmdlet'leri (ve ilişkili denetim modu cmdlet'i) listelenir.

Risk azaltma Uygulandığı öğe PowerShell cmdlet'leri Denetim modu cmdlet'i
Denetim akış koruması (CFG) Sistem ve uygulama düzeyi CFG, StrictCFG, SuppressExports Denetim kullanılamıyor
Veri Yürütme Engellemesi (DEP) Sistem ve uygulama düzeyi DEP, EmulateAtlThunks Denetim kullanılamıyor
Görüntüleri rastgele seçmeye zorla (Zorunlu ASLR) Sistem ve uygulama düzeyi ForceRelocateImages Denetim kullanılamıyor
Bellek ayırmalarını rastgele seç (Aşağıdan Yukarı ASLR) Sistem ve uygulama düzeyi BottomUp, HighEntropy Denetim kullanılamıyor
Özel durum zincirlerini doğrula (SEHOP) Sistem ve uygulama düzeyi SEHOP, SEHOPTelemetry Denetim kullanılamıyor
Yığın bütünlüğünü doğrula Sistem ve uygulama düzeyi TerminateOnError Denetim kullanılamıyor
İsteğe bağlı kod koruması (ACG) Yalnızca uygulama düzeyi DynamicCode AuditDynamicCode
Bütünlük düzeyi düşük görüntüleri engelle Yalnızca uygulama düzeyi BlockLowLabel AuditImageLoad
Uzak görüntüleri engelle Yalnızca uygulama düzeyi BlockRemoteImages Denetim kullanılamıyor
Güvenilmeyen yazı tiplerini engelle Yalnızca uygulama düzeyi DisableNonSystemFonts AuditFont, FontAuditOnly
Kod bütünlüğü koruması Yalnızca uygulama düzeyi BlockNonMicrosoftSigned, AllowStoreSigned AuditMicrosoftSigned, AuditStoreSigned
Uzantı noktalarını devre dışı bırak Yalnızca uygulama düzeyi ExtensionPoint Denetim kullanılamıyor
Win32k sistem çağrılarını devre dışı bırak Yalnızca uygulama düzeyi DisableWin32kSystemCalls AuditSystemCall
Alt işlemlere izin verme Yalnızca uygulama düzeyi DisallowChildProcessCreation AuditChildProcess
Dışarı aktarma adresi filtrelemesi (EAF) Yalnızca uygulama düzeyi EnableExportAddressFilterPlus, EnableExportAddressFilter [1] Denetim kullanılamıyor[2]
İçeri aktarma adresi filtrelemesi (IAF) Yalnızca uygulama düzeyi EnableImportAddressFilter Denetim kullanılamıyor[2]
Yürütme simülasyonu (SimExec) Yalnızca uygulama düzeyi EnableRopSimExec Denetim kullanılamıyor[2]
API çağrısını doğrula (CallerCheck) Yalnızca uygulama düzeyi EnableRopCallerCheck Denetim kullanılamıyor[2]
Tutamaç kullanımını doğrula Yalnızca uygulama düzeyi StrictHandle Denetim kullanılamıyor
Görüntü bağımlılığı bütünlüğünü doğrula Yalnızca uygulama düzeyi EnforceModuleDepencySigning Denetim kullanılamıyor
Yığın bütünlüğünü doğrula (StackPivot) Yalnızca uygulama düzeyi EnableRopStackPivot Denetim kullanılamıyor[2]

[1]: Bir işlem için dll'ler için EAF modüllerini etkinleştirmek için aşağıdaki biçimi kullanın:

Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll,dllName2.dll

[2]: Bu risk azaltma denetimi PowerShell cmdlet'leri aracılığıyla kullanılamaz.

Bildirimi özelleştirme

Bir kural tetiklendiğinde ve bir uygulama veya dosyayı engellediğinde bildirimi özelleştirme hakkında daha fazla bilgi için bkz. Windows Güvenliği.

Ayrıca bkz.

İpucu

Daha fazla bilgi edinmek mi istiyorsunuz? Teknoloji Topluluğumuzdaki Microsoft Güvenlik topluluğuyla Engage: Uç Nokta için Microsoft Defender Teknoloji Topluluğu.