Overzicht van ASR-regels (Attack Surface Reduction)

  • Van toepassing op: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Tip

Als aanvulling op dit artikel raadpleegt u de installatiehandleiding voor Security Analyzer om best practices te bekijken en te leren hoe u de beveiliging versterkt, de naleving verbetert en met vertrouwen door het cyberbeveiligingslandschap navigeert. Voor een aangepaste ervaring op basis van uw omgeving hebt u toegang tot de handleiding voor automatische installatie van Security Analyzer in de Microsoft 365-beheercentrum.

De kwetsbaarheid voor aanvallen van uw organisatie bevat alle plaatsen waar een aanvaller toegang kan krijgen. Zie Kwetsbaarheid voor aanvallen verminderen in Microsoft Defender voor Eindpunt voor meer informatie.

Asr-regels (Attack Surface Reduction) in Microsoft Defender Antivirus zijn gericht op riskant softwaregedrag op Windows-apparaten die aanvallers vaak misbruiken via malware. Bijvoorbeeld:

  • Uitvoerbare bestanden en scripts starten die proberen bestanden te downloaden of uit te voeren.
  • Verborgen of anderszins niet-vertrouwde scripts uitvoeren.
  • Onderliggende processen maken van mogelijk kwetsbare toepassingen (bijvoorbeeld Office-apps).
  • Code injecteren in andere processen.

Hoewel legitieme apps dit ook kunnen doen, gebruiken aanvallers vaak malware die zich op dezelfde manier gedraagt.

Zie de volgende reeks artikelen voor het plannen, testen, implementeren en bewaken van ASR-regels:

Tip

Als u op zoek bent naar informatie over antivirus voor andere platforms, raadpleegt u:

ASR-regels

ASR-regels zijn gegroepeerd in de volgende categorieën:

De beschikbare ASR-regels, de bijbehorende GUID-waarden en hun categorieën worden beschreven in de volgende tabel:

Regelnaam in Microsoft Intune Regelnaam in Microsoft Configuration Manager GUID Categorie
Standaardbeveiligingsregels
Misbruik van misbruik van kwetsbare ondertekende stuurprogramma's blokkeren (apparaat) n.v.t. 56a863a9-875e-4185-98a7-b882c64b5ce5 Misc
Het stelen van referenties van het windows-subsysteem voor lokale beveiligingsinstantie blokkeren Dezelfde 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2 Laterale verplaatsing & diefstal van referenties
Persistentie blokkeren via WMI-gebeurtenisabonnement n.v.t. e6db77e5-3df2-4cf1-b95a-636979351e5b Laterale verplaatsing & diefstal van referenties
Andere ASR-regels
Voorkomen dat Adobe Reader onderliggende processen kan maken n.v.t. 7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c Productiviteits-apps
Voorkomen dat alle Office-toepassingen onderliggende processen kunnen maken Het maken van onderliggende processen voor Office-toepassingen blokkeren d4f940ab-401b-4efc-aadc-ad5f3c50688a Productiviteits-apps
Uitvoerbare inhoud van e-mailclient en webmail blokkeren Dezelfde be9ba2d9-53ea-4cdc-84e5-9b1eee46550 E-mail
Uitvoerbare bestanden blokkeren, tenzij ze voldoen aan een criterium voor de prevalentie, leeftijd of vertrouwde lijst Uitvoerbare bestanden blokkeren, tenzij ze voldoen aan een prevalentie, leeftijd of vertrouwde lijstcriteria 01443614-cd74-433a-b99e-2ecdc07bfc25 Polymorfe bedreigingen
Uitvoering van mogelijk verborgen scripts blokkeren Dezelfde 5beb7efe-fd9a-4556-801d-275e5ffc04cc Script
JavaScript of VBScript blokkeren voor het starten van gedownloade uitvoerbare inhoud Dezelfde d3e037e1-3eb8-44c8-a917-57927947596d Script
Office-toepassingen blokkeren voor het maken van uitvoerbare inhoud Dezelfde 3b576869-a4ec-4529-8536-b80a7769e899 Productiviteits-apps
Voorkomen dat Office-toepassingen code in andere processen injecteren Dezelfde 75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84 Productiviteits-apps
Office-communicatietoepassing blokkeren voor het maken van onderliggende processen n.v.t. 26190899-1602-49e8-8b27-eb1d0a1ce869 Email, Productiviteits-apps
Procescreaties blokkeren die afkomstig zijn van PSExec- en WMI-opdrachten n.v.t. d1e49aac-8f56-4280-b9ba-993a6d77406c Laterale verplaatsing & diefstal van referenties
Het opnieuw opstarten van de computer in de veilige modus blokkeren n.v.t. 33ddedf1-c6e0-47cb-833e-de6133960387 Misc
Niet-vertrouwde en niet-ondertekende processen blokkeren die worden uitgevoerd vanaf USB Dezelfde b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4 Polymorfe bedreigingen
Het gebruik van gekopieerde of geïmiteerde systeemhulpprogramma's blokkeren n.v.t. c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb Misc
Het maken van webshells voor servers blokkeren n.v.t. a8f5898e-1dc8-49a9-9878-85004b8a61e6 Misc
Win32 API-aanroepen blokkeren vanuit Office-macro's Dezelfde 92e97fa1-2edf-4476-bdd6-9ddb4dddc7b Productiviteits-apps
Geavanceerde beveiliging tegen ransomware gebruiken Dezelfde c1db55ab-c21a-4637-bb3f-a12568109d35 Polymorfe bedreigingen

Vereisten voor ASR-regels

Voor ASR-regels is Microsoft Defender Antivirus vereist als de primaire antivirus-app op Windows-apparaten:

  • Microsoft Defender Antivirus moet zijn ingeschakeld en in de actieve modus staan. Met name Microsoft Defender Antivirus kan zich niet in een van de volgende modi afspelen:

    • Passieve
    • Passieve modus met eindpuntdetectie en -respons (EDR) in blokmodus
    • Beperkt periodiek scannen (LPS)
    • Uit

    Zie Hoe Microsoft Defender Antivirus de functionaliteit van Defender voor Eindpunt beïnvloedt voor meer informatie over modi in Microsoft Defender Antivirus.

  • Realtime-beveiliging in Microsoft Defender Antivirus moet zijn ingeschakeld.

  • Cloudbeveiliging (ook wel Microsoft Advanced Protection Service of MAPS genoemd) is essentieel voor de functionaliteit van de ASR-regel. Cloudbeveiliging verbetert de standaard realtime-beveiliging en is een essentieel onderdeel van het voorkomen van inbreuken door malware. Sommige ASR-regels hebben specifiek cloudbeveiligingsvereisten voor EDR-waarschuwingen (Endpoint Detection and Response) in Defender for Endpoint en pop-ups voor gebruikersmeldingen. Zie Waarschuwingen en meldingen van ASR-regelacties voor meer informatie.

    Om dezelfde reden moet uw omgeving verbindingen met de Microsoft Defender Antivirus-cloudservice toestaan.

  • Microsoft Defender Antivirus-onderdeelversies mogen niet meer dan twee versies ouder zijn dan de meest beschikbare versie:

    • Versie van platformupdate: maandelijks bijgewerkt.
    • MEngine-versie: maandelijks bijgewerkt.
    • Beveiligingsintelligentie: Microsoft werkt voortdurend beveiligingsinformatie (ook wel definities en handtekeningen genoemd) bij om de nieuwste bedreigingen aan te pakken en de detectielogica te verfijnen.

    Door Microsoft Defender antivirusversies actueel te houden, vermindert u fout-positieven van de ASR-regel en verbetert u Microsoft Defender antivirusdetectiemogelijkheden. Zie Microsoft Defender Antivirus-platform voor meer informatie over de huidige versies en het bijwerken van de verschillende Microsoft Defender Antivirus-onderdelen.

  • Hoewel voor ASR-regels geen Microsoft 365 E5 is vereist, raadt Microsoft de beveiligingsmogelijkheden van E5 of gelijkwaardige abonnementen aan om te profiteren van de volgende geavanceerde beheermogelijkheden:

    • Bewaking, analyse en werkstromen in Defender voor Eindpunt.
    • Rapportage- en configuratiemogelijkheden in de Microsoft Defender XDR portal.

    Geavanceerde beheermogelijkheden zijn niet beschikbaar met andere licenties (bijvoorbeeld Windows Professional of Microsoft 365 E3). U kunt echter uw eigen hulpprogramma's voor bewaking en rapportage ontwikkelen op basis van de ASR-regel gebeurtenissen die worden gegenereerd in Windows Logboeken op elk apparaat (bijvoorbeeld Windows Event Forwarding).

    Voor meer informatie over Windows-licenties raadpleegt u Windows-licenties en raadpleegt u de Referentiehandleiding voor Microsoft-volumelicenties.

Ondersteunde besturingssystemen voor ASR-regels

ASR-regels zijn een Microsoft Defender Antivirus-functie die te vinden is in elke editie van Windows die Microsoft Defender Antivirus bevat (bijvoorbeeld Windows 11 Home). U kunt ASR-regels lokaal configureren op apparaten met behulp van PowerShell of groepsbeleid.

Gecentraliseerd beheer, rapportage en waarschuwingen voor ASR-regels in Microsoft Defender voor Eindpunt zijn beschikbaar in de volgende edities en versies van Windows:

  • Pro- en Enterprise-edities van Windows 10 of hoger.
  • Windows Server 2012 R2 of hoger.
  • Azure Lokaal (voorheen bekend als Azure Stack HCI) versie 23H2 of hoger.

Zie Besturingssysteemondersteuning voor ASR-regels voor meer informatie over ondersteuning van besturingssystemen.

Modi voor ASR-regels

Een ASR-regel kan zich in een van de volgende modi bevinden, zoals beschreven in de volgende tabel:

Regelmodus Code Omschrijving
Uit of
Uitgeschakeld		 0 De ASR-regel is expliciet uitgeschakeld.

Deze waarde kan conflicten veroorzaken wanneer aan hetzelfde apparaat dezelfde ASR-regel in verschillende modi wordt toegewezen door verschillende beleidsregels.
Blokkeren of
Geactiveerd		 1 De ASR-regel is ingeschakeld in de blokmodus .
Controleren of
Controlemodus		 2 De ASR-regel wordt ingeschakeld als in de blokmodus , maar zonder actie te ondernemen.

Detecties voor ASR-regels in de controlemodus zijn beschikbaar op de volgende locaties:
Niet geconfigureerd 5 De ASR-regel is niet expliciet ingeschakeld.

Deze waarde is functioneel gelijk aan Uitgeschakeld of Uit, maar zonder de kans op regelconflicten.
Waarschuwen of
Waarschuwing		 6 De ASR-regel is ingeschakeld als in de blokmodus , maar gebruikers kunnen Blokkering opheffen selecteren in het pop-upvenster met waarschuwingsmeldingen om het blok gedurende 24 uur te omzeilen. Na 24 uur moet de gebruiker het blok opnieuw omzeilen.

Waarschuwingsmodus wordt ondersteund in Windows 10 versie 1809 (november 2018) of hoger. ASR-regels in de waarschuwingsmodus voor niet-ondersteunde versies van Windows zijn effectief in de blokmodus (bypass is niet beschikbaar).

Waarschuwingsmodus is niet beschikbaar in Microsoft Configuration Manager.

De waarschuwingsmodus heeft de volgende Microsoft Defender antivirusversievereisten:
  • Platformrelease: 4.18.2008.9 (augustus 2020) of hoger.
  • Enginerelease: 1.1.17400.5 (augustus 2020) of hoger.

De volgende ASR-regels bieden geen ondersteuning voor de waarschuwingsmodus :

Microsoft raadt de blokmodus aan voor de standaardbeveiligingsregels en in eerste instantie te testen in de controlemodus voor andere ASR-regels voordat ze worden geactiveerd in de modus Blokkeren of Waarschuwen .

Veel Line-Of-Business-toepassingen zijn geschreven met beperkte beveiligingsproblemen en ze werken mogelijk op een manier die lijkt op malware. Door gegevens van ASR-regels in de controlemodus te bewaken en uitsluitingen toe te voegen voor vereiste apps, kunt u ASR-regels implementeren zonder de productiviteit te verlagen.

Voordat u ASR-regels inschakelt in de blokmodus , beoordeelt u de effecten ervan in de controlemodus en beveiligingsaanbeveling. Zie ASR-regels testen voor meer informatie.

Implementatie- en configuratiemethoden voor ASR-regels

Microsoft Defender voor Eindpunt ondersteunt ASR-regels, maar bevat geen ingebouwde methode voor het implementeren van ASR-regelinstellingen op apparaten. In plaats daarvan gebruikt u een afzonderlijk implementatie- of beheerprogramma om ASR-regelbeleid te maken en te distribueren naar apparaten. Niet alle implementatiemethoden ondersteunen elke ASR-regel. Zie Ondersteuning van implementatiemethode voor ASR-regels voor meer informatie per regel.

De volgende tabel bevat een overzicht van de beschikbare methoden. Zie Asr-regels en uitsluitingen (Attack Surface Reduction) configureren voor gedetailleerde configuratie-instructies.

Methode Beschrijving
Microsoft Intune eindpuntbeveiligingsbeleid De aanbevolen methode voor het configureren en distribueren van ASR-regelbeleid naar apparaten. Vereist Microsoft Intune Plan 1 (opgenomen in abonnementen zoals Microsoft 365 E3 of beschikbaar als zelfstandige invoegtoepassing).
aangepaste profielen Microsoft Intune met OMA-URI's Een alternatieve methode voor het configureren van ASR-regels in Intune met behulp van OMA-URI-profielen (Open Mobile Alliance – Uniform Resource).
Elke MDM-oplossing die gebruikmaakt van de beleids-CSP Gebruik de Windows Policy Configuration Service Provider (CSP) met elke MDM-oplossing.
Microsoft Configuration Manager Maakt gebruik van het Microsoft Defender Antivirus-beleid in de werkruimte Activa en naleving.
Groepsbeleid Gebruik Gecentraliseerde groepsbeleid om ASR-regels te configureren en te distribueren naar apparaten die lid zijn van een domein. U kunt groepsbeleid ook lokaal configureren op afzonderlijke apparaten.
PowerShell ASR-regels lokaal configureren op afzonderlijke apparaten. PowerShell ondersteunt alle ASR-regels.

Bestands- en mapuitsluitingen voor ASR-regels

Belangrijk

Het uitsluiten van bestanden of mappen kan de beveiliging van ASR-regels aanzienlijk verminderen. Uitgesloten bestanden mogen worden uitgevoerd en er worden geen rapporten of gebeurtenissen over het bestand vastgelegd. Als ASR-regels bestanden detecteren die niet moeten worden gedetecteerd, gebruikt u de controlemodus om de regel te testen.

U kunt specifieke bestanden en mappen uitsluiten van evaluatie door ASR-regels. Zelfs als een ASR-regel bepaalt dat het bestand of de map schadelijk gedrag bevat, wordt de uitvoering van de uitgesloten bestanden niet geblokkeerd.

U kunt de volgende methoden gebruiken om bestanden en mappen uit te sluiten van ASR-regels:

De afdwinging van verschillende typen uitsluitingen voor ASR-regels wordt samengevat in de volgende tabel:

Regelnaam Respecteert het MDAV-bestand en
mapuitsluitingen		 Eert wereldwijde ASR
Uitsluitingen		 Regels voor eer per ASR
Uitsluitingen		 Honoreert IOC's voor
Bestanden		 Honoreert IOC's voor
Certificaten
Standaardbeveiligingsregels
Misbruik van misbruik van kwetsbare ondertekende stuurprogramma's blokkeren (apparaat) J J J J J
Het stelen van referenties van het windows-subsysteem voor lokale beveiligingsinstantie blokkeren N J J N N
Persistentie blokkeren via WMI-gebeurtenisabonnement N J J N N
Andere ASR-regels
Voorkomen dat Adobe Reader onderliggende processen kan maken N J J J J
Voorkomen dat alle Office-toepassingen onderliggende processen kunnen maken J J J J J
Uitvoerbare inhoud van e-mailclient en webmail blokkeren J J J J J
Uitvoerbare bestanden blokkeren, tenzij ze voldoen aan een criterium voor de prevalentie, leeftijd of vertrouwde lijst J J J J J
Uitvoering van mogelijk verborgen scripts blokkeren J J J J J
JavaScript of VBScript blokkeren voor het starten van gedownloade uitvoerbare inhoud J J J J J
Office-toepassingen blokkeren voor het maken van uitvoerbare inhoud N J J J J
Voorkomen dat Office-toepassingen code in andere processen injecteren N J J N N
Office-communicatietoepassing blokkeren voor het maken van onderliggende processen N J J J J
Procescreaties blokkeren die afkomstig zijn van PSExec- en WMI-opdrachten N J J J J
Het opnieuw opstarten van de computer in de veilige modus blokkeren J J J J J
Niet-vertrouwde en niet-ondertekende processen blokkeren die worden uitgevoerd vanaf USB J J J J J
Het gebruik van gekopieerde of geïmiteerde systeemhulpprogramma's blokkeren J J J J J
Het maken van webshells voor servers blokkeren J J J J J
Win32 API-aanroepen blokkeren vanuit Office-macro's J J J J N
Geavanceerde beveiliging tegen ransomware gebruiken J J J J J

Wanneer u uitsluitingen toevoegt, moet u rekening houden met deze punten:

  • Uitsluitingspaden kunnen omgevingsvariabelen en jokertekens gebruiken. Zie Jokertekens gebruiken in de uitsluitingslijsten voor bestandsnaam en mappad of extensie voor meer informatie.

    Tip

    Gebruik geen gebruikersomgevingsvariabelen als jokertekens in map- en procesuitsluitingen. Gebruik alleen de volgende typen omgevingsvariabelen als jokertekens:

    • Systeemomgevingsvariabelen.
    • Omgevingsvariabelen die van toepassing zijn op processen die worden uitgevoerd als het NT AUTHORITY\SYSTEM-account.

    Zie Systeemomgevingsvariabelen voor een lijst met systeemomgevingsvariabelen.

    • Jokertekens kunnen geen stationsletter definiëren.
    • Als u meer dan één map in een pad wilt uitsluiten, gebruikt u meerdere exemplaren van \*\ om meerdere geneste mappen aan te geven. Bijvoorbeeld c:\Folder\*\*\Test.
    • Microsoft Configuration Manager ondersteunt jokertekens (* of ?).
    • Als u een bestand met willekeurige tekens wilt uitsluiten (bijvoorbeeld van geautomatiseerde bestandsgeneratie), gebruikt u ? het symbool. Bijvoorbeeld C:\Folder\fileversion?.docx.

  • Uitsluitingen zijn alleen van toepassing wanneer de toepassing of service wordt gestart. Als u bijvoorbeeld een uitsluiting toevoegt voor een updateservice die al wordt uitgevoerd, blijft de updateservice ASR-regeldetecties activeren totdat u de service opnieuw start.

Beleidsconflicten in ASR-regels

Als aan hetzelfde apparaat twee verschillende ASR-regelbeleidsregels zijn toegewezen, kunnen mogelijke conflicten optreden op basis van de volgende elementen:

  • Of dezelfde ASR-regels in verschillende modi worden toegewezen.
  • Of er sprake is van conflictbeheer.
  • Of het resultaat een fout is.

Niet-conflicterende ASR-regels leiden niet tot fouten. De eerste regel wordt toegepast en de volgende niet-conflicterende regels worden samengevoegd in het beleid.

Als een MDM-oplossing (Mobile Device Management) en groepsbeleid verschillende ASR-regelinstellingen toepassen op hetzelfde apparaat, hebben de groepsbeleid-instellingen voorrang.

Zie Apparaten die worden beheerd door Intune voor meer informatie over hoe conflicten met ASR-regelinstellingen worden verwerkt voor de beschikbare implementatiemethoden in Microsoft Intune.

Meldingen en waarschuwingen voor ASR-regels

Wanneer een ASR-regel in de modus Blokkeren of Waarschuwen wordt geactiveerd op een apparaat, wordt er een melding weergegeven op het apparaat. U kunt de informatie in de meldingen aanpassen. Zie Contactgegevens aanpassen in Windows-beveiliging voor meer informatie.

Waarschuwingen voor eindpuntdetectie en -respons (EDR) in Defender voor Eindpunt worden gegenereerd wanneer ondersteunde ASR-regels worden geactiveerd.

Zie Waarschuwingen en meldingen van ASR-regelacties voor specifieke informatie over de functionaliteit van meldingen en waarschuwingen.

Zie Asr-regelactiviteit (Attack Surface Reduction, ASR) controleren om asr-waarschuwingsactiviteiten in de Microsoft Defender portal en op apparaten in Windows Logboeken weer te geven.

Asr-regelactiviteit bewaken

Zie Regelactiviteit van ASR-regel (Attack Surface Reduction) bewaken voor volledige informatie.

Verwante onderwerpen

  • Last updated on