Übersicht über Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR)

Die Angriffsfläche Ihres organization umfasst alle Orte, an denen ein Angreifer Zugriff erhalten könnte. Weitere Informationen finden Sie unter Verringerung der Angriffsfläche in Microsoft Defender for Endpoint.

Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) in Microsoft Defender Antivirus zielen auf riskantes Softwareverhalten auf Windows-Geräten ab, die Angreifer häufig durch Schadsoftware ausnutzen. Zum Beispiel:

• Starten ausführbarer Dateien und Skripts, die versuchen, Dateien herunterzuladen oder auszuführen.
• Ausführen von verschleierten oder anderweitig nicht vertrauenswürdigen Skripts.
• Erstellen von untergeordneten Prozessen aus potenziell anfälligen Anwendungen (z. B. Office-Apps).
• Einfügen von Code in andere Prozesse.

Obwohl legitime Apps auch diese Aufgaben ausführen können, verwenden Angreifer häufig Schadsoftware, die sich genauso verhält.

Informationen zum Planen, Testen, Implementieren und Überwachen von ASR-Regeln finden Sie in den folgenden Artikeln:

• Bereitstellung von ASR-Regeln – Übersicht
  • Planen der Bereitstellung von ASR-Regeln
  • Testen von ASR-Regeln
  • ASR-Regeln aktivieren
  • Verwalten und Überwachen von ASR-Regeln

ASR-Regeln

ASR-Regeln sind in die folgenden Kategorien unterteilt:

• Standard Schutzregeln bieten erhebliche Sicherheitsvorteile, daher empfiehlt Microsoft, sie im Blockierungsmodus zu aktivieren, ohne dass umfangreiche Tests erforderlich sind. In der Regel haben diese Regeln minimale oder keine spürbaren Auswirkungen auf Benutzer, es gibt jedoch Ausnahmen:

  • Persistenz über WMI-Ereignisabonnement blockieren: Wenn Sie Microsoft Configuration Manager zum Verwalten von Geräten verwenden, verwenden Sie keine anderen verfügbaren Bereitstellungsmethoden (z. B. Gruppenrichtlinie oder PowerShell), um diese Regel im Block- oder Warn-Modus auf dem Gerät ohne umfangreiche Tests im Überwachungsmodus zu aktivieren. Der Konfigurations-Manager-Client basiert stark auf WMI.
  • Diebstahl von Anmeldeinformationen aus dem Subsystem der lokalen Windows-Sicherheitsautorität blockieren: Wenn Sie den Schutz der lokalen Sicherheitsautorität (Local Security Authority, LSA) aktiviert haben (zusammen mit Credential Guard empfohlen), ist diese Regel redundant.

• Andere ASR-Regeln bieten einen wichtigen Schutz, erfordern jedoch Tests im Überwachungsmodus , bevor Sie sie im Block- oder Warn-Modus aktivieren, wie im Bereitstellungshandbuch zur Verringerung der Angriffsfläche beschrieben.

Die verfügbaren ASR-Regeln, die entsprechenden GUID-Werte und ihre Kategorien werden in der folgenden Tabelle beschrieben:

• Links in den Regelnamen führen Sie zu detaillierten Regelbeschreibungen im Referenzartikel zu ASR-Regeln .

• Mit Ausnahme von Endpunktsicherheitsrichtlinien in Microsoft Intune und Microsoft Configuration Manager identifizieren alle anderen ASR-Regelkonfigurationsmethoden Regeln anhand des GUID-Werts.

  Alle Unterschiede zwischen asr-Regelnamen zwischen Microsoft Intune und Microsoft Configuration Manager werden in der Tabelle beschrieben.

  Tipp

  Microsoft Configuration Manager war zuvor unter anderen Namen bekannt:

  • Microsoft System Center Configuration Manager: Version 1511 bis 1906 (November 2015 bis Juli 2019)
  • Microsoft Endpoint Configuration Manager: Version 1910 bis 2211 (Dezember 2019 bis Dezember 2022)
  • Microsoft Configuration Manager: Version 2303 (April 2023) oder höher

  Support- und Updateinformationen finden Sie unter Updates und Wartung für Konfigurations-Manager.

Anforderungen für ASR-Regeln

ASR-Regeln erfordern Microsoft Defender Antivirus als primäre Antiviren-App auf Windows-Geräten:

• Microsoft Defender Antivirus muss aktiviert sein und sich im aktiven Modus befinden. Insbesondere darf Microsoft Defender Antivirus keinen der folgenden Modi verwenden:

  • Passive
  • Passiver Modus mit Endpunkterkennung und -antwort (EDR) im Blockmodus
  • Eingeschränktes regelmäßiges Scannen (LPS)
  • Aus

  Weitere Informationen zu Modi in Microsoft Defender Antivirus finden Sie unter Auswirkungen Microsoft Defender Antivirus auf die Defender für Endpunkt-Funktionalität.

• Echtzeitschutz in Microsoft Defender Antivirus muss aktiviert sein.

• Der von der Cloud bereitgestellte Schutz (auch als Microsoft Advanced Protection Service oder MAPS bezeichnet) ist für die ASR-Regelfunktionalität von entscheidender Bedeutung. Cloudschutz verbessert den standardmäßigen Echtzeitschutz und ist eine wichtige Komponente zur Verhinderung von Sicherheitsverletzungen durch Schadsoftware. Einige ASR-Regeln enthalten speziell Cloud-Delivery Protection-Anforderungen für EDR-Warnungen (Endpoint Detection and Response) in Defender für Endpunkt und Benutzerbenachrichtigungs-Popups. Weitere Informationen finden Sie unter Warnungen und Benachrichtigungen von ASR-Regelaktionen.

  Aus dem gleichen Grund muss Ihre Umgebung Verbindungen mit dem Microsoft Defender Antivirus-Clouddienst zulassen.

• Microsoft Defender Antivirus-Komponentenversionen dürfen nicht mehr als zwei Versionen älter als die derzeit verfügbare Version sein:

  • Plattformupdateversion: Monatlich aktualisiert.
  • MEngine-Version: Monatlich aktualisiert.
  • Security Intelligence: Microsoft aktualisiert kontinuierlich Security Intelligence (auch als Definitionen und Signaturen bezeichnet), um die neuesten Bedrohungen zu beheben und die Erkennungslogik zu verfeinern.

  Wenn Sie Microsoft Defender Antivirus-Versionen auf dem neuesten Stand halten, können Sie die False Positive-Ergebnisse der ASR-Regel reduzieren und Microsoft Defender Antivirus-Erkennungsfunktionen verbessern. Weitere Informationen zu den aktuellen Versionen und zum Aktualisieren der verschiedenen Microsoft Defender Antivirus-Komponenten finden Sie unter Microsoft Defender Antivirus-Plattformunterstützung.

• Obwohl ASR-Regeln keine Microsoft 365 E5 erfordern, empfiehlt Microsoft die Sicherheitsfunktionen von E5 oder gleichwertigen Abonnements, um die folgenden erweiterten Verwaltungsfunktionen zu nutzen:

  • Überwachung, Analyse und Workflows in Defender für Endpunkt.
  • Berichts- und Konfigurationsfunktionen im Microsoft Defender XDR-Portal.

  Erweiterte Verwaltungsfunktionen sind für andere Lizenzen (z. B. Windows Professional oder Microsoft 365 E3) nicht verfügbar. Sie können jedoch eigene Überwachungs- und Berichterstellungstools entwickeln, die auf den ASR-Regelereignissen basieren, die in Windows Ereignisanzeige auf jedem Gerät generiert werden (z. B. Windows-Ereignisweiterleitung).

  Weitere Informationen zur Windows-Lizenzierung finden Sie unter Windows-Lizenzierung und im Referenzhandbuch zur Microsoft-Volumenlizenzierung.

Unterstützte Betriebssysteme für ASR-Regeln

ASR-Regeln sind ein Microsoft Defender Antivirus-Feature, das in jeder Edition von Windows zu finden ist, die Microsoft Defender Antivirus enthält (z. B. Windows 11 Home). Sie können ASR-Regeln lokal auf Geräten mithilfe von PowerShell oder Gruppenrichtlinie konfigurieren.

Die zentrale Verwaltung, Berichterstellung und Warnung für ASR-Regeln in Microsoft Defender for Endpoint sind in den folgenden Editionen und Versionen von Windows verfügbar:

• Pro- und Enterprise-Editionen von Windows 10 oder höher.
• Windows Server 2012 R2 oder höher.
• Azure Local (früher als Azure Stack HCI bezeichnet) Version 23H2 oder höher.

Weitere Informationen zur Betriebssystemunterstützung finden Sie unter Betriebssystemunterstützung für ASR-Regeln.

Modi für ASR-Regeln

Eine ASR-Regel kann sich in einem der folgenden Modi befinden, wie in der folgenden Tabelle beschrieben:

Microsoft empfiehlt den Blockierungsmodus für die Standardschutzregeln und erste Tests im Überwachungsmodus für andere ASR-Regeln, bevor sie im Block - oder Warn-Modus aktiviert werden.

Viele branchenspezifische Anwendungen sind mit eingeschränkten Sicherheitsbedenken geschrieben, und sie können auf eine Weise handeln, die Schadsoftware ähnelt. Indem Sie Daten aus ASR-Regeln im Überwachungsmodus überwachen und Ausschlüsse für erforderliche Apps hinzufügen, können Sie ASR-Regeln bereitstellen, ohne die Produktivität zu verringern.

Bevor Sie ASR-Regeln im Blockmodus aktivieren, bewerten Sie deren Auswirkungen im Überwachungsmodus und Sicherheitsempfehlungen. Weitere Informationen finden Sie unter Testen von ASR-Regeln.

Bereitstellungs- und Konfigurationsmethoden für ASR-Regeln

Microsoft Defender for Endpoint unterstützt ASR-Regeln, enthält jedoch keine integrierte Methode zum Bereitstellen von ASR-Regeleinstellungen auf Geräten. Stattdessen verwenden Sie ein separates Bereitstellungs- oder Verwaltungstool, um ASR-Regelrichtlinien zu erstellen und an Geräte zu verteilen. Nicht alle Bereitstellungsmethoden unterstützen jede ASR-Regel. Ausführliche Informationen zu einzelnen Regeln finden Sie unter Bereitstellungsmethodenunterstützung für ASR-Regeln.

In der folgenden Tabelle sind die verfügbaren Methoden zusammengefasst. Ausführliche Konfigurationsanweisungen finden Sie unter Konfigurieren von Regeln und Ausschlüssen zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR).

Datei- und Ordnerausschlüsse für ASR-Regeln

Sie können bestimmte Dateien und Ordner von der Auswertung durch ASR-Regeln ausschließen. Selbst wenn eine ASR-Regel bestimmt, dass die Datei oder der Ordner schädliches Verhalten enthält, wird die Ausführung der ausgeschlossenen Dateien nicht blockiert.

Sie können die folgenden Methoden verwenden, um Dateien und Ordner aus ASR-Regeln auszuschließen:

• Microsoft Defender Antivirusausschlüsse: Nicht alle ASR-Regeln berücksichtigen diese Ausschlüsse. Weitere Informationen zu Microsoft Defender Antivirusausschlüssen finden Sie unter Konfigurieren von benutzerdefinierten Ausschlüssen für Microsoft Defender Antivirus.

  Tipp

  Alle ASR-Regeln berücksichtigen Prozessausschlüsse in Microsoft Defender Antivirus.

• Globale ASR-Regelausschlüsse: Diese Ausschlüsse gelten für alle ASR-Regeln. Alle Konfigurationsmethoden für ASR-Regeln unterstützen auch das Konfigurieren von globalen ASR-Regelausschlüssen.

• Ausschlüsse pro ASR-Regel: Weisen Sie verschiedenen ASR-Regeln selektiv verschiedene Ausschlüsse zu. Nur die folgenden KONFIGURATIONsmethoden für ASR-Regeln unterstützen auch die Konfiguration von Ausschlüssen pro ASR-Regel:

  • Gruppenrichtlinie (und die entsprechenden Registrierungseinstellungen)
  • Endpunktsicherheitsrichtlinien in Microsoft Intune.

• Indikatoren für Gefährdung (Indicators of Compromise, IoCs): Die meisten ASR-Regeln berücksichtigen IoCs für blockierte Dateien und blockierte Zertifikate. Weitere Informationen zu IoCs finden Sie unter Übersicht über Indikatoren in Microsoft Defender for Endpoint.

Die Erzwingung verschiedener Arten von Ausschlüssen für ASR-Regeln ist in der folgenden Tabelle zusammengefasst:

Beachten Sie beim Hinzufügen von Ausschlüssen die folgenden Punkte:

• Ausschlusspfade können Umgebungsvariablen und Wildcards verwenden. Weitere Informationen finden Sie unter Verwenden von Wildcards in den Ausschlusslisten für Dateinamen und Ordnerpfad oder Erweiterungen.

  Tipp

  Verwenden Sie Benutzerumgebungsvariablen nicht als Wildcards in Ordner- und Prozessausschlüssen. Verwenden Sie nur die folgenden Typen von Umgebungsvariablen als Wildcards:

  • Systemumgebungsvariablen.
  • Umgebungsvariablen, die für Prozesse gelten, die als NT AUTHORITY\SYSTEM-Konto ausgeführt werden.

  Eine Liste der Systemumgebungsvariablen finden Sie unter Systemumgebungsvariablen.

  • Mit Wildcards kann kein Laufwerkbuchstabe definiert werden.
  • Um mehrere Ordner in einem Pfad auszuschließen, verwenden Sie mehrere Instanzen von \*\ , um mehrere geschachtelte Ordner anzugeben. Beispiel: c:\Folder\*\*\Test.
  • Microsoft Configuration Manager unterstützt Wildcards (* oder ?).
  • Um eine Datei auszuschließen, die zufällige Zeichen enthält (z. B. aus der automatisierten Dateigenerierung), verwenden Sie ? symbol. Beispiel: C:\Folder\fileversion?.docx.

• Ausschlüsse gelten nur, wenn die Anwendung oder der Dienst gestartet wird. Wenn Sie beispielsweise einen Ausschluss für einen bereits ausgeführten Updatedienst hinzufügen, löst der Updatedienst weiterhin ASR-Regelerkennungen aus, bis Sie den Dienst neu starten.

Richtlinienkonflikte in ASR-Regeln

Wenn demselben Gerät zwei verschiedene ASR-Regelrichtlinien zugewiesen sind, können potenzielle Konflikte basierend auf den folgenden Elementen auftreten:

• Gibt an, ob dieselben ASR-Regeln in verschiedenen Modi zugewiesen werden.
• Gibt an, ob ein Konfliktmanagement vorhanden ist.
• Gibt an, ob das Ergebnis ein Fehler ist.

Nicht konforme ASR-Regeln führen nicht zu Fehlern. Die erste Regel wird angewendet, und nachfolgende nicht zusammenhängende Regeln werden mit der Richtlinie zusammengeführt.

Wenn eine Mdm-Lösung (Mobile Device Management) und Gruppenrichtlinie unterschiedliche ASR-Regeleinstellungen auf dasselbe Gerät anwenden, haben die Gruppenrichtlinie Einstellungen Vorrang.

Informationen dazu, wie ASR-Regeleinstellungskonflikte für die verfügbaren Bereitstellungsmethoden in Microsoft Intune behandelt werden, finden Sie unter Geräte, die von Intune verwaltet werden.

Benachrichtigungen und Warnungen für ASR-Regeln

Wenn eine ASR-Regel im Block- oder Warn-Modus auf einem Gerät ausgelöst wird, wird eine Benachrichtigung auf dem Gerät angezeigt. Sie können die Informationen in den Benachrichtigungen anpassen. Weitere Informationen finden Sie unter Anpassen von Kontaktinformationen in Windows-Sicherheit.

EDR-Warnungen (Endpoint Detection and Response) in Defender für Endpunkt werden generiert, wenn unterstützte ASR-Regeln ausgelöst werden.

Ausführliche Informationen zu Benachrichtigungen und Warnungsfunktionen finden Sie unter Warnungen und Benachrichtigungen von ASR-Regelaktionen.

Informationen zum Anzeigen der ASR-Warnungsaktivität im Microsoft Defender-Portal und auf Geräten in Windows Ereignisanzeige finden Sie unter Überwachen der Regelaktivität der Angriffsfläche (Attack Surface Reduction, ASR).

Überwachen der ASR-Regelaktivität

Vollständige Informationen finden Sie unter Überwachen der Regelaktivität der Angriffsfläche (Attack Surface Reduction, ASR).

Verwandte Inhalte

• Regelbereitstellungshandbuch zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR)
• Planen der Bereitstellung von Asr-Regeln (Attack Surface Reduction, Verringerung der Angriffsfläche)
• Testen der Bereitstellung von Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR)
• Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) aktivieren
• Verwalten und Überwachen der Bereitstellung von Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR)
• Überwachen der Regelaktivität zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR)
• Bericht zu Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR)
• Ausschlüsse für Microsoft Defender for Endpoint und Microsoft Defender Antivirus