Konfigurirajte Windows Defender Exploit zaščito v sistemu Windows 10
- Kategorija: Windows
Zaščita pred izkoriščanjem je nova varnostna funkcija sistema Windows Defender, ki jo je Microsoft predstavil v posodobitvi Fall Creators Update za operacijski sistem.
Exploit Guard je niz funkcij, ki vključuje zaščito pred izkoriščanjem, zmanjšanje napadne površine , zaščita omrežja in nadzorovan dostop do mape .
Zaščito pred izkoriščanjem je mogoče najbolje opisati kot integrirano različico Microsoftovega sistema EMET - Exploit Mitigation Experience Toolkit - varnostnega orodja, ki ga podjetje uporablja se bo upokojil sredi leta 2018 .
Microsoft je pred tem trdil, da je operacijski sistem Windows 10 podjetja bi zagon sistema EMET poleg sistema Windows nepotreben ; Vsaj en raziskovalec pa je Microsoftovo trditev ovrgel.
Windows Defender Exploit zaščita
Zaščita pred izkoriščanjem je privzeto omogočena, če je omogočen Windows Defender. Ta funkcija je edina funkcija Exploit Guard, ki ne zahteva, da je v programu Windows Defender omogočena zaščita v realnem času.
Funkcijo lahko konfigurirate v aplikaciji Windows Defender Security Center, prek ukazov PowerShell ali kot pravilnike.
Konfiguracija v aplikaciji Windows Defender Security Center
V aplikaciji Windows Defender Security Center lahko konfigurirate zaščito pred izkoriščanjem.
- S programom Windows-I odprite aplikacijo Nastavitve.
- Pojdite na Posodobitve in varnost> Windows Defender.
- Izberite Odpri varnostni center Windows Defender.
- V novem oknu, ki se prikaže kot povezava stranske vrstice, izberite nadzor aplikacije in brskalnika.
- Na strani poiščite vnos zaščite pred izkoriščanjem in kliknite na nastavitve zaščite izkoriščanja.
Nastavitve so razdeljene na sistemske nastavitve in nastavitve programa.
Sistemske nastavitve navajajo razpoložljive zaščitne mehanizme in njihovo stanje. V posodobitvi sistema Windows 10 Fall Creators Update so na voljo naslednji:
- Nadzor pretoka krmiljenja (CFG) - privzeto vklopljen.
- Preprečevanje izvajanja podatkov (DEP) - privzeto vklopljeno.
- Prisilite randomizacijo slik (obvezno ASLR) - privzeto izklopljeno.
- Naključno razporedite dodelitve pomnilnika (spodaj ASLR) - privzeto.
- Preverite verige izjem (SEHOP) - privzeto vklopljeno.
- Preverjanje celovitosti kopice - privzeto vklopljeno.
Stanje katere koli možnosti lahko spremenite v „privzeto vklopljeno“, „privzeto izklopljeno“ ali „uporabi privzeto“.
Nastavitve programa vam omogočajo prilagoditev zaščite za posamezne programe in aplikacije. To deluje podobno kot dodajanje izjem v programu Microsoft EMET za določene programe; dobro, če se program slabo obnese, ko so omogočeni določeni zaščitni moduli.
Kar nekaj programov ima privzeto izjeme. To vključuje svchost.exe, spools.exe, runtimebroker.exe, iexplore.exe in druge osnovne programe Windows. Upoštevajte, da lahko te izjeme preglasite tako, da izberete datoteke in kliknete na urejanje.
Kliknite na 'dodaj program po meri', da dodate program po imenu ali natančni poti datoteke na seznam izjem.
Status vseh podprtih zaščit lahko nastavite posamično za vsak program, ki ste ga dodali v programskih nastavitvah. Poleg razveljavitve privzetega sistema in ga prisilite na izklop ali izklop, obstaja tudi možnost nastavitve na »samo revizijo«. Slednji beleži dogodke, ki bi se sprožili, če bi bil status zaščite vklopljen, vendar bo v dnevnik dogodkov Windows zapisal le dogodek.
Nastavitve programa navajajo dodatne možnosti zaščite, ki jih ne morete konfigurirati v sistemskih nastavitvah, ker so konfigurirane za delovanje samo na ravni aplikacij.
To so:
- Samovoljna zaščitna koda (ACG)
- Blow slike z nizko integriteto
- Blokirajte oddaljene slike
- Blokirajte nezaupljive pisave
- Ščitnik integritete kode
- Onemogočite podaljšanje točk
- Onemogoči sistemske klice sistema Win32
- Ne dovolite otroških procesov
- Filtriranje izvoznih naslovov (EAF)
- Uvozi filtriranje naslovov (IAF)
- Simulacija izvedbe (SimExec)
- Preverjanje priklica API-ja (CallerCheck)
- Preverite uporabo ročaja
- Preverjanje integracije odvisnosti slike
- Preverjanje celovitosti nabora (StackPivot)
Konfiguriranje zaščite izkoriščanja s pomočjo PowerShell-a
PowerShell lahko uporabite za nastavitev, odstranjevanje ali seznam ublažitev. Na voljo so naslednji ukazi:
Če želite seznam vseh ublažitev določenega postopka: Get-ProcessMitigation -Name processName.exe
Nastavitev omilitev: Set-ProcessMitigation - - ,,
- Področje uporabe: je -System ali -Name.
- Ukrep: je -Omogočeno ali -Omogoči.
- Omilitev: ime omilitve. Oglejte si spodnjo tabelo. Zmanjšanje lahko ločite z vejico.
Primeri:
- Set-Processmitigation -System -Omogoči DEP
- Set-Processmitigation -Name test.exe -Remove -Disable DEP
- Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll, dllName2.dll
| Zmanjševanje | Velja za | PowerShell cmdlets | Cmdlet načina revizije |
|---|---|---|---|
| Ščitnik regulacijskega pretoka (CFG) | Sistemska in aplikacijska raven | CFG, StrictCFG, SuppressExports | Revizija ni na voljo |
| Preprečevanje izvajanja podatkov (DEP) | Sistemska in aplikacijska raven | DEP, EmulateAtlThunks | Revizija ni na voljo |
| Prisilna randomizacija slik (Obvezen ASLR) | Sistemska in aplikacijska raven | ForceRelocate | Revizija ni na voljo |
| Naključna dodelitev pomnilnika (spodaj navzgor ASLR) | Sistemska in aplikacijska raven | BottomUp, HighEntropy | Revizija ni na voljo |
| Preverjanje izjemnih verig (SEHOP) | Sistemska in aplikacijska raven | SEHOP, SEHOPTelemetrija | Revizija ni na voljo |
| Preverite celovitost kopice | Sistemska in aplikacijska raven | PrenehajOnHeapError | Revizija ni na voljo |
| Samovoljna zaščitna koda (ACG) | Samo na ravni aplikacije | DynamicCode | AuditDynamicCode |
| Blokirajte slike z nizko integriteto | Samo na ravni aplikacije | BlockLowLabel | AuditImageLoad |
| Blokirajte oddaljene slike | Samo na ravni aplikacije | BlockRemoteImages | Revizija ni na voljo |
| Blokirajte nezaupljive pisave | Samo na ravni aplikacije | DisableNonSystemFonts | AuditFont, FontAuditOnly |
| Ščitnik integritete kode | Samo na ravni aplikacije | BlockNonMicrosoftSigned, AllowStoreSigned | AuditMicrosoftSigned, AuditStoreSigned |
| Onemogočite podaljšanje točk | Samo na ravni aplikacije | ExtensionPoint | Revizija ni na voljo |
| Onemogoči sistemske klice sistema Win32k | Samo na ravni aplikacije | DisableWin32kSystemCalls | AuditSystemCall |
| Ne dovolite otroških procesov | Samo na ravni aplikacije | DisallowChildProcessCreation | AuditChildProcess |
| Filtriranje izvoznih naslovov (EAF) | Samo na ravni aplikacije | EnableExportAddressFilterPlus, EnableExportAddressFilter [ena] | Revizija ni na voljo |
| Uvozi filtriranje naslovov (IAF) | Samo na ravni aplikacije | EnableImportAddressFilter | Revizija ni na voljo |
| Simulacija izvedbe (SimExec) | Samo na ravni aplikacije | EnableRopSimExec | Revizija ni na voljo |
| Preverjanje priklica API-ja (CallerCheck) | Samo na ravni aplikacije | EnableRopCallerCheck | Revizija ni na voljo |
| Preverite uporabo ročaja | Samo na ravni aplikacije | StrictHandle | Revizija ni na voljo |
| Preverite celovitost odvisnosti slike | Samo na ravni aplikacije | EnforceModuleDepencySigning | Revizija ni na voljo |
| Preverjanje celovitosti nabora (StackPivot) | Samo na ravni aplikacije | EnableRopStackPivot | Revizija ni na voljo |
Uvoz in izvoz konfiguracij
Konfiguracije je mogoče uvoziti in izvoziti. To lahko storite z uporabo nastavitev zaščite za izkoriščanje Windows Defender v varnostnem centru Windows Defender, z uporabo PowerShell, z uporabo pravilnikov.
Konfiguracije EMET je mogoče nadalje pretvoriti tako, da jih je mogoče uvoziti.
Uporaba nastavitev zaščite Exploit
Konfiguracije lahko izvozite v aplikaciji za nastavitve, ne pa da jih uvozite. Izvoz doda vse omilitve na ravni sistema in aplikacij.
Samo kliknite povezavo »izvoz nastavitev« pod zaščito izkoriščanja, da to storite.
Uporaba programa PowerShell za izvoz konfiguracijske datoteke
- Odprite povzdignjen poziv Powershell.
- Get-ProcessMitigation -RegistryConfigFilePath filename.xml
Uredi ime datoteke.xml tako, da odraža mesto shranjevanja in ime datoteke.
Uporaba programa PowerShell za uvoz konfiguracijske datoteke
- Odprite povzdignjen poziv Powershell.
- Zaženite naslednji ukaz: Set-ProcessMitigation -PolicyFilePath filename.xml
Uredi ime datoteke.xml tako, da kaže na lokacijo in ime datoteke konfiguracijske datoteke XML.
Uporaba pravilnika skupine za namestitev konfiguracijske datoteke
Konfiguracijske datoteke lahko namestite s pomočjo pravilnikov.
- Tapnite tipko Windows, vnesite gpedit.msc in pritisnite tipko Enter, da zaženete urejevalnik skupinskih pravilnikov.
- Pomaknite se do Konfiguracija računalnika> Skrbniške predloge> Windows komponente> Windows Defender Exploit Guard> Izkoristite zaščito.
- Dvokliknite 'Uporabi ukazni niz nastavitev zaščite izkoriščanja'.
- Nastavite pravilnik na omogočeno.
- V polje z možnostmi dodajte pot in ime datoteke za konfiguracijo XML.
Pretvarjanje datoteke EMET
- Odprite povzdignjen poziv PowerShell, kot je opisano zgoraj.
- Zaženite ukaz ConvertTo-ProcessMitigationPolicy -EMETFilePath emetFile.xml -OutputFilePath filename.xml
Spremenite emetFile.xml na pot in lokacijo konfiguracijske datoteke EMET.
Spremenite filename.xml na pot in lokacijo, v katero želite shraniti pretvorjeno konfiguracijsko datoteko.