ASR-regels (Attack Surface Reduction) en uitsluitingen configureren

Asr-regels (Attack Surface Reduction) zijn gericht op riskant softwaregedrag op Windows-apparaten die aanvallers vaak misbruiken via malware (bijvoorbeeld het starten van scripts die bestanden downloaden, het uitvoeren van verborgen scripts en het injecteren van code in andere processen). In dit artikel wordt beschreven hoe u ASR-regels inschakelt en configureert.

Voor de beste resultaten gebruikt u beheeroplossingen op ondernemingsniveau, zoals Microsoft Intune of Microsoft Configuration Manager om ASR-regels te beheren. ASR-regelinstellingen van Intune of Configuration Manager conflicterende instellingen van groepsbeleid of PowerShell bij het opstarten overschrijven.

Vereisten

Zie Vereisten voor ASR-regels voor meer informatie.

ASR-regels configureren in Microsoft Intune

Microsoft Intune is het aanbevolen hulpprogramma voor het configureren en distribueren van ASR-regelbeleid naar apparaten. Vereist Microsoft Intune Plan 1 (opgenomen in abonnementen zoals Microsoft 365 E3 of beschikbaar als zelfstandige invoegtoepassing).

In Intune is eindpuntbeveiligingsbeleid de aanbevolen methode voor het implementeren van ASR-regels, hoewel er ook andere methoden beschikbaar zijn in Intune zoals beschreven in de volgende subsecties.

ASR-regels en -uitsluitingen configureren in Intune met behulp van eindpuntbeveiligingsbeleid

Zie Een eindpuntbeveiligingsbeleid maken (wordt geopend op een nieuw tabblad in de documentatie van de Intune) om ASR-regels te configureren met behulp van een Microsoft Intune endpoint security attack surface surface reduction policy. Gebruik deze instellingen bij het maken van het beleid:

• Beleidstype: Kwetsbaarheid voor aanvallen verminderen
• Platform: Windows
• Profiel: Regels voor het verminderen van kwetsbaarheid voor aanvallen
• Configuratie-instellingen:

  • Kwetsbaarheid voor aanvallen verminderen: normaal gesproken kunt u de standaardbeveiligingsregels inschakelen in de modus Blokkeren of Waarschuwen zonder te testen. U moet andere ASR-regels testen in de controlemodus voordat u deze overschakelt naar de modus Blokkeren of Waarschuwen . Zie de implementatiehandleiding voor ASR-regels voor meer informatie.

    Nadat u de regelmodus hebt ingesteld op Controleren, Blokkeren of Waarschuwen, wordt een asr alleen per regeluitsluitingssectie weergegeven waarin u uitsluitingen kunt opgeven die alleen van toepassing zijn op die regel.

  • Alleen uitsluitingen voor kwetsbaarheid voor aanvallen verminderen: gebruik deze sectie om uitsluitingen op te geven die van toepassing zijn op alle ASR-regels.

    Gebruik een van de volgende methoden om uitsluitingen per ASR-regel of algemene ASR-regeluitsluitingen op te geven:

    • Kies Toevoegen. Voer in het vak dat wordt weergegeven het pad of pad en de bestandsnaam in die u wilt uitsluiten. Bijvoorbeeld:

      • C:\folder
      • %ProgramFiles%\folder\file.exe C:\path

    • Selecteer Importeren om een CSV-bestand te importeren dat de namen bevat van bestanden en mappen die u wilt uitsluiten. Het CSV-bestand gebruikt de volgende indeling:

      AttackSurfaceReductionOnlyExclusions
      "C:\folder"
      "%ProgramFiles%\folder\file.exe"
      "C:\path"
      ...
      

      Tip

      Dubbele aanhalingstekens rond de waarden zijn optioneel en worden genegeerd (worden niet gebruikt in de waarden) als u deze opneemt. Gebruik geen enkele aanhalingstekens rond de waarden.

    Zie Bestands- en mapuitsluitingen voor ASR-regels voor meer informatie over uitsluitingen.

  • Gecontroleerde maptoegang, beveiligde mappen met gecontroleerde mappentoegang en gecontroleerde maptoegang inschakelen: zie Belangrijke mappen beveiligen met gecontroleerde maptoegang voor meer informatie.

ASR-regels configureren in Intune met behulp van aangepaste profielen met OMA-URIs en CSP's

Hoewel eindpuntbeveiligingsbeleid wordt aanbevolen, kunt u ook ASR-regels configureren in Intune met behulp van aangepaste profielen die OMA-URI-profielen (Open Mobile Alliance – Uniform Resource) bevatten met behulp van een Windows Policy Configuration Service Provider (CSP).

Zie Deploy OMA-URIs to target a CSP through Intune (OMA-URIs implementeren om een CSP te targeten via Intune) en een vergelijking met on-premises voor algemene informatie over OMA-URIs in Intune.

1. Selecteer in het Microsoft Intune beheercentrum op https://intune.microsoft.comapparatenConfiguratievan apparaten>> beheren. Of om rechtstreeks naar de apparaten | te gaan Configuratiepagina , gebruik https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration.

2. Op het tabblad Beleid van apparaten | Configuratiepaginaselecteert u Nieuw beleid maken>.

   

3. Configureer in de flyout Een profiel maken die wordt geopend de volgende instellingen:

   • Platform: selecteer Windows 10 en hoger.
   • Profieltype: Selecteer Sjablonen.
     • Selecteer Aangepast in de sectie Sjabloonnaam die wordt weergegeven.

   Selecteer Maken.

   

4. De wizard Aangepaste sjabloon wordt geopend. Configureer op het tabblad Basisinformatie de volgende instellingen:

   • Naam: voer een unieke naam in voor de sjabloon.
   • Beschrijving: voer een optionele beschrijving in.

   Wanneer u klaar bent op het tabblad Basisinformatie , selecteert u Volgende.

5. Selecteer op het tabblad Configuratie-instellingende optie Toevoegen.

   

   Configureer in de flyout Rij toevoegen die wordt geopend de volgende instellingen:

   • Naam: voer een unieke naam in voor de regel.

   • Beschrijving: voer een optionele, korte beschrijving in.

   • OMA-URI: voer de apparaatwaarde in van de AttackSurfaceReductionRules-CSP : ./Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionRules

     • Gegevenstype: selecteer Tekenreeks.

     • Waarde: gebruik de volgende syntaxis:

       <RuleGuid1>=<ModeForRuleGuid1>
       <RuleGuid2>=<ModeForRuleGuid2>
       ...
       <RuleGuidN>=<ModeForRuleGuidN>
       

       • GUID-waarden voor ASR-regels zijn beschikbaar op ASR-regels.
       • De volgende regelmodi zijn beschikbaar:
         • 0:Uit
         • 1:Blok
         • 2:Audit
         • 5: Niet geconfigureerd
         • 6:Waarschuwen

       Bijvoorbeeld:

       75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84=2
       3b576869-a4ec-4529-8536-b80a7769e899=1
       d4f940ab-401b-4efc-aadc-ad5f3c50688a=2
       d3e037e1-3eb8-44c8-a917-57927947596d=1
       5beb7efe-fd9a-4556-801d-275e5ffc04cc=0
       be9ba2d9-53ea-4cdc-84e5-9b1eeee46550=1
       

     

     Wanneer u klaar bent met de flyout Rij toevoegen , selecteert u Opslaan.

     Tip

     Op dit moment kunt u ook algemene uitsluitingen van ASR-regels toevoegen aan het aangepaste profiel in plaats van alleen een afzonderlijk profiel te maken voor uitsluitingen. Zie de volgende subsectie Algemene uitsluitingen van ASR-regels configureren in Intune met aangepaste profielen met OMA-URIs en CSP's voor instructies.

   Ga terug naar het tabblad Configuratie-instellingen en selecteer Volgende.

6. Configureer op het tabblad Toewijzingen de volgende instellingen:

   • Sectie Opgenomen groepen : selecteer een van de volgende opties:
     • Groepen toevoegen: selecteer een of meer groepen die u wilt opnemen.
     • Alle gebruikers toevoegen
     • Alle apparaten toevoegen
   • Sectie Uitgesloten groepen : selecteer Groepen toevoegen om groepen op te geven die moeten worden uitgesloten.

   Wanneer u klaar bent op het tabblad Toewijzingen , selecteert u Volgende.

   

7. Selecteer op het tabblad Toepasselijkheidsregels de optie Volgende.

   U kunt de eigenschappen van de editie van het besturingssysteem en de versie van het besturingssysteem gebruiken om de typen apparaten te definiëren die het profiel al dan niet moeten krijgen.

   

8. Controleer de instellingen op het tabblad Controleren en maken . U kunt Vorige gebruiken of een tabblad selecteren om terug te gaan en wijzigingen aan te brengen.

   Wanneer u klaar bent om het profiel te maken, selecteert u Maken op het tabblad Controleren en maken .

   

U keert onmiddellijk terug naar het tabblad Beleid van de apparaten | Configuratiepagina . Mogelijk moet u Vernieuwen selecteren om het beleid te zien.

ASR-regels zijn binnen enkele minuten actief.

Algemene uitsluitingen van ASR-regels configureren in Intune met behulp van aangepaste profielen met OMA-URIs en CSP's

De stappen voor het configureren van algemene ASR-regeluitsluitingen in Intune met behulp van een aangepast profiel zijn vergelijkbaar met de ASR-regelstappen in de vorige sectie. Het enige verschil is in stap 5 (het tabblad Configuratie-instellingen ) waar u de informatie voor uitzonderingen voor ASR-regels invoert:

Selecteer op het tabblad Configuratie-instellingende optie Toevoegen. Configureer in de flyout Rij toevoegen die wordt geopend de volgende instellingen:

• Naam: voer een unieke naam in voor de regel.
  • Beschrijving: voer een optionele, korte beschrijving in.
  • OMA-URI: voer de apparaatwaarde in van de AttackSurfaceReductionOnlyExclusions-CSP : ./Device/Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionOnlyExclusions

    • Gegevenstype: selecteer Tekenreeks.

    • Waarde: gebruik de volgende syntaxis:

      <PathOrPathAndFilename1>
      <PathOrPathAndFilename1>
      ...
      <PathOrPathAndFilenameN>
      

      Bijvoorbeeld:

      C:\folder
      %ProgramFiles%\folder\file.exe
      C:\path
      

Wanneer u klaar bent met de flyout Rij toevoegen , selecteert u Opslaan.

Ga terug naar het tabblad Configuratie-instellingen en selecteer Volgende.

De rest van de stappen zijn hetzelfde als het configureren van ASR-regels.

ASR-regels configureren in elke MDM-oplossing met behulp van de beleids-CSP

Met de Beleidsconfiguratieserviceprovider (CSP) kunnen ondernemingsorganisaties beleidsregels configureren op Windows-apparaten met behulp van elke MDM-oplossing (Mobile Device Management), niet alleen Microsoft Intune. Zie Beleids-CSP voor meer informatie.

U kunt ASR-regels configureren met behulp van de CSP AttackSurfaceReductionRules met de volgende instellingen:

OMA-URI-pad: ./Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionRules
Waarde: <RuleGuid1>=<ModeForRuleGuid1>|<RuleGuid2>=<ModeForRuleGuid2>|...<RuleGuidN>=<ModeForRuleGuidN>

• GUID-waarden voor ASR-regels zijn beschikbaar via ASR-regels
• De volgende regelmodi zijn beschikbaar:
  • 0:Uit
  • 1:Blok
  • 2:Audit
  • 5: Niet geconfigureerd
  • 6:Waarschuwen

Bijvoorbeeld:

75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84=2|3b576869-a4ec-4529-8536-b80a7769e899=1|d4f940ab-401b-4efc-aadc-ad5f3c50688a=2|d3e037e1-3eb8-44c8-a917-57927947596d=1|5beb7efe-fd9a-4556-801d-275e5ffc04cc=0|be9ba2d9-53ea-4cdc-84e5-9b1eeee46550=1

Globale uitsluitingen van ASR-regels configureren in een MDM-oplossing met behulp van de beleids-CSP

U kunt de beleids-CSP gebruiken om het globale ASR-regelpad en -pad en uitsluitingen voor bestandsnaam te configureren met behulp van de AttackSurfaceReductionOnlyExclusions-CSP met de volgende instellingen:

OMA-URI-pad: ./Device/Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionOnlyExclusions
Waarde: <PathOrPathAndFilename1>=0|<PathOrPathAndFilename1>=0|...<PathOrPathAndFilenameN>=0

Bijvoorbeeld C:\folder|%ProgramFiles%\folder\file.exe|C:\path

ASR-regels en algemene uitsluitingen van ASR-regels configureren in Microsoft Configuration Manager

Zie de informatie over het verminderen van kwetsbaarheid voor aanvallen in Een Exploit Guard-beleid maken en implementeren voor instructies.

ASR-regels en -uitsluitingen configureren in groepsbeleid

1. Open in Gecentraliseerde groepsbeleid de groepsbeleid Beheerconsole (GPMC) op uw groepsbeleid beheercomputer.

2. Vouw in de gpmc-consolestructuur groepsbeleid Objecten in het forest en domein uit met het groepsbeleidsobject dat u wilt bewerken.

3. Klik met de rechtermuisknop op het groepsbeleidsobject en selecteer bewerken.

4. Ga in de groepsbeleid Beheereditor naar Computerconfiguratie>Beheersjablonen>Windows-onderdelen>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard > Attack Surface Reduction.

5. In het detailvenster van Kwetsbaarheid voor aanvallen verminderen zijn de beschikbare instellingen:

   • Regels voor het verminderen van kwetsbaarheid voor aanvallen configureren
   • Bestanden en paden uitsluiten van regels voor het verminderen van kwetsbaarheid voor aanvallen
   • Een lijst met uitsluitingen toepassen op specifieke ASR-regels (Attack Surface Reduction)

   Gebruik een van de volgende methoden om een ASR-regelinstelling te openen en te configureren:

   • Dubbelklik op de instelling.
   • Klik met de rechtermuisknop op de instelling en selecteer bewerken
   • Selecteer de instelling en selecteer vervolgens Actie>bewerken.

De beschikbare instellingen worden beschreven in de volgende subsecties.

ASR-regels configureren in groepsbeleid

1. Open in het detailvenster van Kwetsbaarheid voor aanvallen verminderen de instelling Regels voor het verminderen van kwetsbaarheid voor aanvallen configureren .

2. Configureer de volgende opties in het instellingsvenster dat wordt geopend:

   1. Selecteer Ingeschakeld.
   2. De status voor elke ASR-regel instellen: Selecteer Weergeven....

3. Configureer in het dialoogvenster De status instellen voor elke ASR-regel die wordt geopend de volgende instellingen:

   • Waardenaam: voer de GUID-waarde van de ASR-regel in.
   • Waarde: voer een van de volgende waarden voor de regelmodus in :
     • 0:Uit
     • 1:Blok
     • 2:Audit
     • 5: Niet geconfigureerd
     • 6:Waarschuwen

   

   Zie ASR-regelmodi voor meer informatie.

   Herhaal deze stap zo vaak als nodig is. Wanneer u klaar bent, selecteert u OK.

Algemene uitsluitingen van ASR-regels configureren in groepsbeleid

De paden of bestandsnamen met paden die u opgeeft, worden gebruikt als uitsluitingen voor alle ASR-regels.

1. Open in het detailvenster van Kwetsbaarheid voor aanvallen verminderen de instelling Bestanden en paden uitsluiten van regels voor het verminderen van kwetsbaarheid voor aanvallen.

2. Configureer de volgende opties in het instellingsvenster dat wordt geopend:

   1. Selecteer Ingeschakeld.
   2. Uitsluitingen van ASR-regels: selecteer Weergeven....

3. Configureer in het dialoogvenster Uitsluitingen van ASR-regels dat wordt geopend de volgende instellingen:

   • Waardenaam: voer het pad of pad en de bestandsnaam in om uit te sluiten van alle ASR-regels.
   • Waarde: voer in 0.

   De volgende typen waardenamen worden ondersteund:

   • Als u alle bestanden in een map wilt uitsluiten, voert u het volledige mappad in. Bijvoorbeeld C:\Data\Test.
   • Als u een specifiek bestand in een specifieke map wilt uitsluiten (aanbevolen), voert u het pad en de bestandsnaam in. Bijvoorbeeld C:\Data\Test\test.exe.

   Herhaal deze stap zo vaak als nodig is. Wanneer u klaar bent, selecteert u OK.

Uitsluitingen per ASR-regel configureren in groepsbeleid

De paden of bestandsnamen met paden die u opgeeft, worden gebruikt als uitsluitingen voor specifieke ASR-regels.

1. Open in het detailvenster van Kwetsbaarheid voor aanvallen verminderen de instelling Een lijst met uitsluitingen toepassen op specifieke ASR-regels (Attack Surface Reduction).

2. Configureer de volgende opties in het instellingsvenster dat wordt geopend:

   1. Selecteer Ingeschakeld.
   2. Uitsluitingen voor elke ASR-regel: selecteer Weergeven....

3. Configureer in het dialoogvenster Uitsluitingen voor elke ASR-regel die wordt geopend de volgende instellingen:

   • Waardenaam: voer de GUID-waarde van de ASR-regel in.
   • Waarde: voer een of meer uitsluitingen in voor de ASR-regel. Gebruik de syntaxis Path1\ProcessName1>Path2\ProcessName2>...PathN\ProcessNameN. Bijvoorbeeld C:\Windows\Notepad.exe>c:\Windows\regedit.exe>C:\SomeFolder\test.exe.

   Herhaal deze stap zo vaak als nodig is. Wanneer u klaar bent, selecteert u OK.

ASR-regels configureren in PowerShell

Gebruik op het doelapparaat de volgende PowerShell-opdrachtsyntaxis in een PowerShell-sessie met verhoogde bevoegdheid (een PowerShell-venster dat u hebt geopend door Als administrator uitvoeren te selecteren):

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -AttackSurfaceReductionRules_Ids <RuleGuid1>,<RuleGuid2>,...<RuleGuidN> -AttackSurfaceReductionRules_Actions <ModeForRuleGuid1>,<ModeForRuleGuid2>,...<ModeForRuleGuidN>

• Set-MpPreferenceoverschrijft bestaande regels en de bijbehorende modi met de waarden die u opgeeft. Voer de volgende opdracht uit om de lijst met bestaande waarden weer te geven:

  $p = Get-MpPreference;0..([math]::Min($p.AttackSurfaceReductionRules_Ids.Count,$p.AttackSurfaceReductionRules_Actions.Count)-1) | % {[pscustomobject]@{Id=$p.AttackSurfaceReductionRules_Ids[$_];Action=$p.AttackSurfaceReductionRules_Actions[$_]}} | Format-Table -AutoSize
  

  Als u nieuwe regels en de bijbehorende modi wilt toevoegen zonder bestaande waarden te beïnvloeden, gebruikt u de cmdlet Add-MpPreference . Als u de opgegeven regels en de bijbehorende modi wilt verwijderen zonder dat dit van invloed is op andere bestaande waarden, gebruikt u de cmdlet Remove-MpPreference . De syntaxis van de opdracht is identiek voor de drie cmdlets.

• GUID-waarden voor ASR-regels zijn beschikbaar op ASR-regels.

• Geldige waarden voor de parameter AttackSurfaceReductionRules_Actions zijn:

  • 0 of Disabled
  • 1 of Enabled (blokmodus )
  • 2 of AuditMode of Audit
  • 5 of NotConfigured
  • 6 of Warn

In het volgende voorbeeld worden de opgegeven ASR-regels op het apparaat geconfigureerd:

• De eerste twee regels zijn ingeschakeld in de blokmodus .
• De derde regel is uitgeschakeld.
• De laatste regel is ingeschakeld in de controlemodus .

Set-MpPreference -AttackSurfaceReductionRules_Ids 26190899-1602-49e8-8b27-eb1d0a1ce869,3b576869-a4ec-4529-8536-b80a7769e899,e6db77e5-3df2-4cf1-b95a-636979351e5,01443614-cd74-433a-b99e-2ecdc07bfc25 -AttackSurfaceReductionRules_Actions Enabled,Enabled,Disabled,AuditMode

Algemene uitsluitingen van ASR-regels configureren in PowerShell

Gebruik op het doelapparaat de volgende PowerShell-opdrachtsyntaxis in een PowerShell-sessie met verhoogde bevoegdheid:

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -AttackSurfaceReductionOnlyExclusions "<PathOrPathAndFilename1>","<PathOrPathAndFilename2>",..."<PathOrPathAndFilenameN>"

• Set-MpPreferenceoverschrijft bestaande ASR-regeluitsluitingen met de waarden die u opgeeft. Voer de volgende opdracht uit om de lijst met bestaande waarden weer te geven:

  (Get-MpPreference).AttackSurfaceReductionOnlyExclusions
  

  Als u nieuwe uitzonderingen wilt toevoegen zonder bestaande waarden te beïnvloeden, gebruikt u de cmdlet Add-MpPreference . Als u de opgegeven uitzonderingen wilt verwijderen zonder dat dit van invloed is op andere waarden, gebruikt u de cmdlet Remove-MpPreference . De syntaxis van de opdracht is identiek voor de drie cmdlets.

  In het volgende voorbeeld configureert u het opgegeven pad en pad met bestandsnaam als uitsluitingen voor alle ASR-regels op het apparaat:

  Set-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Data\Test","C:\Data\LOBApp\app1.exe"
  

Verwante onderwerpen

• Referentie voor ASR-regels (Attack Surface Reduction)
• Vermindering van kwetsbaarheid voor aanvallen evalueren
• Veelgestelde vragen over het verminderen van kwetsbaarheid voor aanvallen