Configureer Windows Defender Exploit-beveiliging in Windows 10
- Categorie: Ramen
Exploit-bescherming is een nieuwe beveiligingsfunctie van Windows Defender die Microsoft heeft geïntroduceerd in de Fall Creators Update van het besturingssysteem.
Exploit Guard is een set functies die bescherming tegen misbruik omvat, vermindering van het oppervlak van de aanval , netwerkbeveiliging en gecontroleerde maptoegang .
Exploitbescherming kan het beste worden omschreven als een geïntegreerde versie van Microsoft's EMET - Exploit Mitigation Experience Toolkit - beveiligingstool die het bedrijf gaat medio 2018 met pensioen .
Microsoft beweerde eerder dat het Windows 10-besturingssysteem van het bedrijf is zou EMET naast Windows overbodig maken ; tenminste één onderzoeker weerlegde de bewering van Microsoft echter.
Windows Defender Exploit-bescherming
Exploitbeveiliging is standaard ingeschakeld als Windows Defender is ingeschakeld. De functie is de enige Exploit Guard-functie waarvoor niet vereist is dat real-time bescherming is ingeschakeld in Windows Defender.
De functie kan worden geconfigureerd in de Windows Defender Security Center-toepassing, via PowerShell-opdrachten of als beleid.
Configuratie in de Windows Defender Security Center-app
U kunt misbruikbeveiliging configureren in de Windows Defender Security Center-toepassing.
- Gebruik Windows-I om de applicatie Instellingen te openen.
- Navigeer naar Update en beveiliging> Windows Defender.
- Selecteer Open Windows Defender Security Center.
- Selecteer App- en browserbeheer vermeld als een zijbalklink in het nieuwe venster dat wordt geopend.
- Zoek het item voor exploit-bescherming op de pagina en klik op instellingen voor exploit-bescherming.
De instellingen zijn onderverdeeld in Systeeminstellingen en Programma-instellingen.
Systeeminstellingen geven een overzicht van de beschikbare beschermingsmechanismen en hun status. Het volgende is beschikbaar in de Windows 10 Fall Creators Update:
- Control Flow Guard (CFG) - standaard ingeschakeld.
- Preventie van gegevensuitvoering (DEP) - standaard ingeschakeld.
- Randomisatie forceren voor afbeeldingen (verplichte ASLR) - standaard uitgeschakeld.
- Willekeurige geheugentoewijzingen (Bottom-up ASLR) - standaard ingeschakeld.
- Valideer uitzonderingsketens (SEHOP) - standaard ingeschakeld.
- Valideer heap-integriteit - standaard ingeschakeld.
U kunt de status van elke optie wijzigen in 'standaard aan', 'standaard uit' of 'standaard gebruiken'.
Programma-instellingen bieden u opties om de bescherming aan te passen voor individuele programma's en toepassingen. Dit werkt op dezelfde manier als u uitzonderingen zou kunnen toevoegen in Microsoft EMET voor bepaalde programma's; goed als een programma zich misdraagt wanneer bepaalde beveiligingsmodules zijn ingeschakeld.
Heel wat programma's hebben standaard uitzonderingen. Dit omvat svchost.exe, spools.exe, runtimebroker.exe, iexplore.exe en andere Windows-kernprogramma's. Merk op dat u deze uitzonderingen kunt overschrijven door de bestanden te selecteren en op bewerken te klikken.
Klik op 'programma toevoegen om aan te passen' om een programma op naam of exact bestandspad toe te voegen aan de lijst met uitzonderingen.
U kunt de status van alle ondersteunde beveiligingen afzonderlijk instellen voor elk programma dat u hebt toegevoegd onder de programma-instellingen. Naast het overschrijven van de systeemstandaard, en het forceren naar een of uit, is er ook een optie om het in te stellen op 'alleen audit'. De laatste registreert gebeurtenissen die zouden zijn geactiveerd als de beveiligingsstatus zou zijn ingeschakeld, maar zal alleen de gebeurtenis opnemen in het Windows-gebeurtenissenlogboek.
Programma-instellingen geven aanvullende beveiligingsopties weer die u niet kunt configureren onder de systeeminstellingen omdat ze zijn geconfigureerd om alleen op toepassingsniveau te worden uitgevoerd.
Dit zijn:
- Willekeurige code bewaker (ACG)
- Blaas afbeeldingen met lage integriteit op
- Blokkeer externe afbeeldingen
- Blokkeer niet-vertrouwde lettertypen
- Code integriteit bewaker
- Schakel uitbreidingspunten uit
- Schakel Win32-systeemoproepen uit
- Sta geen onderliggende processen toe
- Adresfiltering exporteren (EAF)
- Adresfiltering importeren (IAF)
- Simuleer uitvoering (SimExec)
- Valideer API-aanroep (CallerCheck)
- Valideer het gebruik van de handle
- Valideer de integratie van afbeeldingsafhankelijkheid
- Stack-integriteit valideren (StackPivot)
Bescherming tegen misbruik configureren met PowerShell
U kunt PowerShell gebruiken om beperkende maatregelen in te stellen, te verwijderen of weer te geven. De volgende commando's zijn beschikbaar:
Om alle beperkende factoren van het opgegeven proces weer te geven: Get-ProcessMitigation -Name processName.exe
Beperkende maatregelen instellen: Set-ProcessMitigation - --``
- Bereik: is ofwel -Systeem of -Naam.
- Actie: is -Inschakelen of -Uitschakelen.
- Mitigation: de naam van de Mitigation. Raadpleeg de volgende tabel. U kunt de beperkende factoren door komma's scheiden.
Voorbeelden:
- Set-Processmitigation -System-DEP inschakelen
- Set-Processmitigation -Name test.exe -Verwijderen -Dep. Uitschakelen
- Set-ProcessMitigation -Name processName.exe -Schakel EnableExportAddressFilterPlus -EAFModules dllName1.dll, dllName2.dll in
| Mitigatie | Geldt voor | PowerShell-cmdlets | Cmdlet voor controlemodus |
|---|---|---|---|
| Regelingsstroombeveiliging (CFG) | Systeem- en app-niveau | CFG, StrictCFG, SuppressExports | Audit niet beschikbaar |
| Preventie van gegevensuitvoering (DEP) | Systeem- en app-niveau | DEP, EmulateAtlThunks | Audit niet beschikbaar |
| Randomisatie forceren voor afbeeldingen (verplichte ASLR) | Systeem- en app-niveau | ForceRelocate | Audit niet beschikbaar |
| Willekeurige geheugentoewijzingen (Bottom-Up ASLR) | Systeem- en app-niveau | BottomUp, HighEntropy | Audit niet beschikbaar |
| Uitzonderingsketens valideren (SEHOP) | Systeem- en app-niveau | SEHOP, SEHOP Telemetrie | Audit niet beschikbaar |
| Valideer de heap-integriteit | Systeem- en app-niveau | TerminateOnHeapError | Audit niet beschikbaar |
| Willekeurige code bewaker (ACG) | Alleen app-niveau | DynamicCode | AuditDynamicCode |
| Blokkeer afbeeldingen met een lage integriteit | Alleen app-niveau | BlockLowLabel | AuditImageLoad |
| Blokkeer externe afbeeldingen | Alleen app-niveau | BlockRemoteImages | Audit niet beschikbaar |
| Blokkeer niet-vertrouwde lettertypen | Alleen app-niveau | DisableNonSystemFonts | AuditFont, FontAuditOnly |
| Code integriteit bewaker | Alleen app-niveau | BlockNonMicrosoftSigned, AllowStoreSigned | AuditMicrosoftSigned, AuditStoreSigned |
| Schakel uitbreidingspunten uit | Alleen app-niveau | ExtensionPoint | Audit niet beschikbaar |
| Schakel Win32k-systeemoproepen uit | Alleen app-niveau | Schakel Win32kSystemCalls uit | AuditSystemCall |
| Sta geen onderliggende processen toe | Alleen app-niveau | DisallowChildProcessCreation | AuditChildProcess |
| Adresfiltering exporteren (EAF) | Alleen app-niveau | EnableExportAddressFilterPlus, EnableExportAddressFilter [een] | Audit niet beschikbaar |
| Adresfiltering importeren (IAF) | Alleen app-niveau | EnableImportAddressFilter | Audit niet beschikbaar |
| Simuleer uitvoering (SimExec) | Alleen app-niveau | EnableRopSimExec | Audit niet beschikbaar |
| Valideer API-aanroep (CallerCheck) | Alleen app-niveau | EnableRopCallerCheck | Audit niet beschikbaar |
| Valideer het gebruik van de handle | Alleen app-niveau | StrictHandle | Audit niet beschikbaar |
| Valideer de integriteit van de afbeeldingsafhankelijkheid | Alleen app-niveau | EnforceModuleDepencySigning | Audit niet beschikbaar |
| Stack-integriteit valideren (StackPivot) | Alleen app-niveau | EnableRopStackPivot | Audit niet beschikbaar |
Configuraties importeren en exporteren
Configuraties kunnen worden geïmporteerd en geëxporteerd. U kunt dit doen met behulp van de Windows Defender-exploitbeveiligingsinstellingen in het Windows Defender-beveiligingscentrum, door PowerShell te gebruiken, door beleid te gebruiken.
EMET-configuraties kunnen bovendien worden geconverteerd zodat ze kunnen worden geïmporteerd.
De instellingen voor misbruikbeveiliging gebruiken
U kunt configuraties exporteren in de instellingenapp, maar ze niet importeren. Exporteren voegt alle beperkende maatregelen op systeemniveau en app-niveau toe.
Klik hiervoor op de link 'instellingen exporteren' onder bescherming tegen misbruik.
PowerShell gebruiken om een configuratiebestand te exporteren
- Open een verhoogde Powershell-prompt.
- Get-ProcessMitigation -RegistryConfigFilePath bestandsnaam.xml
Bewerk filename.xml zodat het de opslaglocatie en bestandsnaam weerspiegelt.
PowerShell gebruiken om een configuratiebestand te importeren
- Open een verhoogde Powershell-prompt.
- Voer de volgende opdracht uit: Set-ProcessMitigation -PolicyFilePath filename.xml
Bewerk filename.xml zodat het verwijst naar de locatie en de bestandsnaam van het XML-configuratiebestand.
Groepsbeleid gebruiken om een configuratiebestand te installeren
U kunt configuratiebestanden installeren met behulp van beleid.
- Tik op de Windows-toets, typ gpedit.msc, en druk op Enter om de Groepsbeleid-editor te starten.
- Navigeer naar Computerconfiguratie> Beheersjablonen> Windows-componenten> Windows Defender Exploit Guard> Exploitbeveiliging.
- Dubbelklik op 'Use a command set of exploit protection settings'.
- Stel het beleid in op ingeschakeld.
- Voeg het pad en de bestandsnaam van het XML-configuratiebestand toe in het optieveld.
Een EMET-bestand converteren
- Open een verhoogde PowerShell-prompt zoals hierboven beschreven.
- Voer de opdracht ConvertTo-ProcessMitigationPolicy -EMETFilePath emetFile.xml -OutputFilePath filename.xml uit
Wijzig emetFile.xml in het pad en de locatie van het EMET-configuratiebestand.
Verander filename.xml in het pad en de locatie waarnaar u het geconverteerde configuratiebestand wilt opslaan.