Attack Surface Reduction

Reduzierung der Angriffsfläche

Verwendung von ASR-Regeln (Attack Surface Reduction) zur Verhinderung von Malware-Infektionen Betreff: Die Verringerung der Angriffsoberfläche trägt dazu bei, Handlungen und Anwendungen zu vermeiden, die üblicherweise zur Infektion von Computern mit Malware eingesetzt werden. Die Angriffsflächenreduzierung eignet sich am besten für Windows Verteidiger Advanced Threat Protection, das detaillierte Reports über Windows Verteidiger EC-Ereignisse und -Blockaden als Teil der gängigen Warnhinweise für Warnuntersuchungen bereitstellt. Die Verringerung der Angreiferoberfläche stellt eine Vielzahl von Richtlinien zur Verfügung, die jeweils auf ein bestimmtes Verhalten abzielen, das beispielsweise von bösartiger Software und bösartigen Anwendungen zur Infektion von Computern genutzt wird:

Beim Auslösen einer Prüfregel wird im Info Center eine Meldung ausgeben. Mit Hilfe des Überwachungs-Modus können Sie auch beurteilen, welche Folgen die Reduktion der Angriffsflächen für Ihr Geschäft haben würde, wenn sie aktiviert würde. Reduzierte Angreiferoberfläche setzt Windows 10 Enteprise E5 und Windows Verteidiger AV Echtzeitschutz voraus. Dabei wird jede einzelne Richtlinie durch eine Regel-GUID gekennzeichnet, wie in der nachfolgenden Übersicht dargestellt:

Es handelt sich um ein charakteristisches Vorgehen bösartiger Software, vor allem bei makro-basierten Attacken, die versuchen, bösartige Ausführungsdateien mit Office-Anwendungen zu öffnen oder herunterzuladen. In diesem Fall ist dies der Fall. Die Richtlinie richtet sich an typischerweise auftretende Verhaltensmuster, die von missbräuchlichen und bösartigen Add-ons und Skripten (Erweiterungen) verwendet werden, die exe-Files erzeugen oder auslösen. Es handelt sich um eine übliche Art von Malware.

Extensions werden gesperrt, so dass sie nicht von Office-Anwendungen benutzt werden können. Typischerweise werden bei diesen Endungen Windows Scripting Host (WSH)-Dateien zur Ausführung von Skripten verwendet, mit denen die Automatisierung bestimmter Tasks oder die Bereitstellung benutzerdefinierter Zusatzfunktionen ermöglicht wird. Es wird typischerweise von bösartiger Software zur Ausführung von bösartigem Programmcode und zum Versuch, Aktivitäten vor Antivirenprogrammen zu verstecken, eingesetzt.

Javascript und VBScript-Skripte können von Malware mißbraucht werden, um andere bösartige Anwendungen zu aktivieren. Eine solche Regelung hindert diese Skripte daran, Anwendungen zu starten und die Skripte zu missbrauchen, um Malware zu verbreiten von Malware und PCs zu befallen. Malware und andere Gefahren können den Versuch unternehmen, ihren bösartigen Programmcode in Scriptdateien zu verstecken oder zu verstecken.

Auf diese Weise wird die Ausführung anscheinend versteckter Skripte unterdrückt. Dieses Script wird dann gesperrt. Auch Skripte werden beim Zugriff auf sie gesperrt. Malware kann Makrocode in Office-Dateien zum Importieren und Laden von Win32-DLL-Dateien verwenden, die dann verwendet werden können, um API-Aufrufe auszuführen, um weitere Infektionen im ganzen Unternehmen zu erlauben.

Dies ist der Versuch, Office-Dateien zu blockieren, die Makrocode beinhalten, der Win32-DLL-Dateien auslesen kann. Auf diese Weise wird das Starten und Starten der nachfolgenden Dateiarten unterbunden, es sei denn, sie werden von den Administratoren verbreitet oder entsprechen den Alterskriterien, oder sie stehen auf einer Auflistung von Vertrauens- oder Ausnahmelisten: Mit dieser Regelung wird ein zusätzlicher Schutz gegen Lösegeld geboten.

Die ausführbaren Systemdateien werden überprüft, um festzustellen, ob sie zuverlässig sind. Falls die Audiodateien Eigenschaften haben, die dafür sorgen, dass es funktioniert, werden sie für die Ausführung oder den Start gesperrt, es sei denn, sie sind bereits in der Auflistung der Vertrauens- oder Ausnahmelisten enthalten. Der Windows Verteidiger Berechtigungsschutz in Windows 10 unterbindet in der Regel den Versuch, Berechtigungsnachweise aus dem LSAß zu entfernen.

Mit dieser Regelung wird dieses Restrisiko einer Blockade von LSAß reduziert. Manche Anwendungen sind so kodiert, dass sie alle laufenden Vorgänge aufgelistet und versucht, sie mit umfangreichen Rechten zu starten. Dieses Regelwerk blockt die Verarbeitung über die WMI-Befehle von RosExec und führt sie aus, um die Ausführung von Remote-Code zu unterbinden, der durch Malware-Angriffe verbreitet werden kann.

Anhand dieser Richtlinie können Administratoren das Scannen von nicht signierten oder nicht vertrauenswürdigen ausführbaren Dateien, die von USB-Wechselspeichern, einschließlich SD-Karten, gestartet werden, unterbinden. Es handelt sich um ein charakteristisches Vorgehen bösartiger Software, vor allem bei makro-basierten Attacken, die versuchen, bösartige Ausführungsdateien mit Office-Anwendungen zu öffnen oder herunterzuladen. In diesem Fall ist dies der Fall. In diesem Fall wird Adobe Reader daran gehindert, Unterprozesse zu erstellen.

Du kannst das Ereignisprotokoll von Windows überprüfen, um zu sehen, welche Events erzeugt wurden, als eine Regel zur Reduzierung der Angriffsfläche ausgelöst (oder überprüft) wurde: Hierdurch wird eine angepasste Sicht erzeugt, die nur die nachfolgenden Attack Surface Reduction Events anzeigt: