Möchten Sie erfahren, wie Sie mithilfe einer Gruppenrichtlinie Regeln zur Reduzierung der Angriffsfläche konfigurieren? In diesem Lernprogramm zeigen wir Ihnen, wie Sie eine Gruppenrichtlinie erstellen, um eine ASR-Regel hinzuzufügen, um Prozesserstellungen zu blockieren, die von PSExec- und WMI-Befehlen stammen.
• Windows 2012 R2
• Windows 2016
• Windows 2019
• Windows 2022
• Windows 10
• Windows 11
Geräteliste
Hier finden Sie die Liste der Geräte, die zum Erstellen dieses Tutorials verwendet wurden.
Dieser Link zeigt auch die Softwareliste, die zum Erstellen dieses Tutorials verwendet wurde.
Windows-bezogenes Tutorial:
Auf dieser Seite bieten wir schnellen Zugriff auf eine Liste von Tutorials zu Windows.
Lernprogramm GPO ASR - Blockprozesserstellungen aus PSExec und WMI
Öffnen Sie auf dem Domänencontroller das Gruppenrichtlinienverwaltungstool.
Erstellen Sie eine neue Gruppenrichtlinie.
Geben Sie einen Namen für die neue Gruppenrichtlinie ein.
In unserem Beispiel wurde das neue Gruppenrichtlinienobjekt mit dem Namen MY-GPO benannt.
Erweitern Sie auf dem Bildschirm Gruppenrichtlinienverwaltung den Ordner mit dem Namen Gruppenrichtlinienobjekte.
Klicken Sie mit der rechten Maustaste auf Ihr neues Gruppenrichtlinienobjekt, und wählen Sie die Option Bearbeiten aus.
Erweitern Sie auf dem Bildschirm des Gruppenrichtlinien-Editors den Ordner Computerkonfiguration, und suchen Sie das folgende Element.
Greifen Sie auf den Ordner Attack surface reduction zu.
Aktivieren Sie das Element Regeln zur Reduzierung der Angriffsfläche konfigurieren.
Klicken Sie auf die Schaltfläche Anzeigen.
Geben Sie die ASR-Regel-ID und die gewünschte Aktion ein.
In unserem Beispiel haben wir eine Regel aktiviert, um Prozesserstellungen von PSExec und WMI zu blockieren.
Es stehen mehrere Aktionen zur Verfügung.
Zum Speichern der Gruppenrichtlinienkonfiguration müssen Sie den Gruppenrichtlinien-Editor schließen.
Herzlichen glückwunsch! Sie haben die GPO-Erstellung abgeschlossen.
GPO ASR - Blockprozesserstellungen aus PSExec und WMI
Auf dem Bildschirm Gruppenrichtlinienverwaltung müssen Sie mit der rechten Maustaste auf die gewünschte Organisationseinheit klicken und die Option zum Verknüpfen eines vorhandenen Gruppenrichtlinienobjekts auswählen.
In unserem Beispiel verknüpfen wir die Gruppenrichtlinie mit dem Namen MY-GPO mit dem Stamm der Domäne.
Nach der Anwendung des Gruppenrichtlinienobjekts müssen Sie 10 oder 20 Minuten warten.
Während dieser Zeit wird das Gruppenrichtlinienobjekt auf andere Domänencontroller repliziert.
Listen Sie auf einem Remotecomputer alle konfigurierten ASR-Regeln auf.
Hier ist die Befehlsausgabe.
Versuchen Sie, einen Prozess mit WMI zu erstellen.
In unserem Beispiel haben wir eine ASR-Regel konfiguriert, um Prozesserstellungen von PSExec und WMI mithilfe eines Gruppenrichtlinienobjekts zu blockieren.
