Настройка защиты от эксплойтов

Область применения:

• Microsoft Defender для конечной точки (план 1)
• Microsoft Defender для конечной точки (план 2)
• Microsoft Defender XDR

Хотите попробовать Defender для конечной точки? Зарегистрироваться для бесплатной пробной версии.

Защита от эксплойтов автоматически применяет ряд методов устранения эксплойтов как к процессам операционной системы, так и к отдельным приложениям.

Настройте эти параметры с помощью приложения «Безопасность Windows» на отдельном устройстве. Затем экспортируйте конфигурацию в виде XML-файла, чтобы ее можно было развернуть на других устройствах. Используйте групповую политику для одновременного распространения XML-файла на несколько устройств. Вы также можете настроить меры по снижению рисков с помощью PowerShell.

В этой статье перечислены все средства защиты от эксплойтов. В ней указано, можно ли применить меры по устранению рисков в масштабах всей системы или к отдельным приложениям, а также приведено краткое описание того, как они работают.

В ней также описывается, как включить или настроить средства устранения рисков с помощью приложения поставщик служб конфигурации «Безопасности Windows», PowerShell и управления мобильными устройствами (MDM). Это первый шаг в создании конфигурации, которую можно развернуть в сети. Следующий шаг включает создание, экспорт, импорт и развертывание конфигурации на нескольких устройствах.

Меры защиты от эксплойтов

Все меры по устранению рисков можно настроить для отдельных приложений. Некоторые меры по устранению рисков также могут быть применены на уровне операционной системы.

Вы можете включить или выключить каждое из мер по устранению рисков или установить его значение по умолчанию. Некоторые меры имеют дополнительные параметры, которые указаны в описании в таблице.

Значения по умолчанию всегда указываются в скобках в параметре Использовать по умолчанию для каждой меры по устранению рисков. В следующем примере по умолчанию для предотвращения выполнения данных установлено значение «Вкл.».

Конфигурация Использовать по умолчанию для каждого из параметров меры по устранению рисков указывает на нашу рекомендацию по базовому уровню защиты для повседневного использования домашними пользователями. В корпоративных развертываниях необходимо учитывать защиту, необходимую для их индивидуальных потребностей, и, возможно, потребуется изменить конфигурацию по умолчанию.

Связанные командлеты PowerShell для каждой меры устранения рисков см. в справочной таблице PowerShell в нижней части этой статьи.

Настройка средства защиты на уровне системы с помощью приложения для «Безопасность Windows».

1. Откройте приложение \"Безопасность Windows\", выбрав значок щита на панели задач или открыв меню "Пуск" и выбрав параметр Безопасность Windows.

2. Выберите плитку Управление приложениями и браузером (или значок приложения в левой панели меню), а затем выберите Защита от эксплойтов.

3. В разделе Параметры системы найдите меры, которые необходимо настроить, и выберите один из следующих вариантов. Приложения, которые не настроены индивидуально в разделе Параметры программы, будут использовать параметры, настроенные здесь.

   • Включено по умолчанию: эта мера включена для приложений, для которых она не задана в разделе Параметры программы для конкретного приложения
   • Выключено по умолчанию: эта мера выключена для приложений, для которых она не задана в разделе Параметры программы для конкретного приложения
   • Использовать значение по умолчанию: эта мера включена или отключена в зависимости от конфигурации по умолчанию, настроенной при установке Windows 10 или Windows 11; значение по умолчанию (вкл. или выкл.) всегда указывается рядом с меткой Использовать по умолчанию для каждой меры

   Примечание.

   При изменении некоторых параметров может появиться окно контроля учетных записей пользователя. Введите учетные данные администратора, чтобы применить параметр.

   Для изменения некоторых параметров может потребоваться перезагрузка.

4. Повторите это для всех приложений и мер, которые вы хотите настроить.

5. Перейдите в раздел Параметры программы и выберите приложение, к которому вы хотите применить меры.

   1. Если приложение, которое вы хотите настроить, уже указано в списке, выберите его и нажмите Изменить
   2. Если приложение не указано в списке, в верхней части списка найдите Добавить программу для индивидуальной настройки, а затем выберите, как вы хотите добавить приложение.
      • Используйте Добавить по имени программы, чтобы применить меры к любым запущенным процессам с таким именем. Необходимо указать файл с расширением. Вы можете ввести полный путь, чтобы ограничить применение мер только приложением с таким именем в этом расположении.
      • Нажмите Выбрать точный путь файла, чтобы использовать стандартное окно выбора файлов проводника Windows Explorer для поиска и выбора нужного файла.

6. После выбора приложения вы увидите список всех мер, которые можно применить. Чтобы включить меры по устранению рисков, установите флажок, а затем переместите ползунок в положение Вкл.. Выберите дополнительные параметры. При выборе параметра Аудит применяется меры только в режиме аудита. Вы будете уведомлены при возникновении необходимости перезапуска процесса или приложения или перезапуска Windows.

7. Повторите эти действия для всех приложений и мер, которые вы хотите настроить. После настройки конфигурации выберите Применить.

Теперь вы можете экспортировать эти параметры в виде XML-файла или продолжить настройку мер по устранению рисков для конкретных приложений.

Экспорт конфигурации в виде XML-файла позволяет копировать конфигурацию с одного устройства на другие устройства.

Справочные материалы по PowerShell

Для настройки защиты от эксплойтов можно использовать приложение «Безопасность Windows» или использовать командлеты PowerShell.

Параметры конфигурации, которые были изменены последними, будут применяться всегда — независимо от того, используете ли вы PowerShell или приложение «Безопасность Windows». Это означает, что если вы используете приложение для настройки мер по устранению рисков, а затем используете PowerShell для настройки той же меры, приложение обновится, чтобы показать изменения, внесенные вами с помощью PowerShell. Если вы затем снова используете приложение для изменения меры пр устранению рисков, это изменение будет применено.

Вы можете использовать глагол PowerShell Get или Set командлет ProcessMitigation. При использовании Get вы увидите текущее состояние конфигурации всех мер, включенных на устройстве. Добавьте командлет -Name и расширение приложения, чтобы увидеть меры только для этого приложения:

Get-ProcessMitigation -Name processName.exe

Используйте Set для настройки каждой меры в следующем формате:

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Где:

• <Область:>
  • -Name для указания мер, которые следует применить к определенному приложению. Укажите исполняемый файл приложения после того, как поставите этот флажок.
  • -System для указания мер, которые следует применить на уровне системы
• <Действие>:
  • -Enable, чтобы включить меры
  • -Disable, чтобы отключить меры
• <Устранение рисков>.
  • Командлет меры по устранению рисков, как определено в таблице командлетов мер по устранению рисков ниже, вместе с любыми подпараметрами (обведенными пробелами). Каждая мера отделена запятой.

Например, для включения предотвращения выполнения данных (DEP) с эмуляцией преобразователя ATL, а также для исполняемого файла с названием testing.exe в папке C:\Apps\LOB\tests и предотвращения создания этим исполняемым файлом дочерних процессов необходимо использовать следующую команду:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP, EmulateAtlThunks, DisallowChildProcessCreation

Чтобы применить DEP на уровне системы, необходимо использовать следующую команду:

Set-Processmitigation -System -Enable DEP

Чтобы отключить меры, можно заменить -Enable на -Disable. Однако для мер на уровне приложения это действие приведет к отключению меры только для этого приложения.

Если необходимо восстановить меры по умолчанию, включите командлет -Remove, как показано в следующем примере:

Set-Processmitigation -Name test.exe -Remove -Disable DEP

Вы также можете настроить некоторые меры в режиме аудита. Вместо использования командлета PowerShell для мер устранения рисков используйте командлет режима аудита, как указано в приведенной ниже таблице командлетов мер устранения рисков.

Например, чтобы включить Arbitrary Code Guard (ACG) в режиме аудита для используемого ранее testing.exe, необходимо использовать следующую команду:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable AuditDynamicCode

Режим аудита можно отключить, используя ту же команду, но заменив -Enable на -Disable.

Справочная таблица PowerShell

В этой таблице перечислены командлеты PowerShell (и связанный с ними командлет режима аудита), которые можно использовать для настройки мер устранения рисков.

[1]: используйте следующий формат, чтобы включить модули EAF для dll для процесса:

Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll,dllName2.dll

[2]. Аудит для этой защиты недоступен с помощью командлетов PowerShell.

Настройка уведомлений

Дополнительные сведения о настройке уведомлений при срабатывании правила и блокировке приложения или файла см. в разделе Безопасность Windows.

См. также

• Защита устройств от эксплойтов
• Оценка защиты от эксплойтов
• Включить защиту от эксплойтов
• Импорт, экспорт и развертывание конфигураций защиты от эксплойтов