Vil du lære hvordan du bruker en gruppepolicy for å konfigurere regler for reduksjon av angrepsoverflate? I denne opplæringen vil vi vise deg hvordan du oppretter en gruppepolicy for å legge til en ASR-regel for å blokkere prosessopprettelser som stammer fra PSExec- og WMI-kommandoer.
• Windows 2012 R2 • Windows 2016 • Windows 2019 • Windows 2022 • Windows 10 • Windows 11
Liste over utstyr
Her finner du listen over utstyr som brukes til å lage denne opplæringen.
Denne koblingen vil også vise programvarelisten som brukes til å lage denne opplæringen.
Windows Relatert Tutorial:
På denne siden tilbyr vi rask tilgang til en liste over tutorials knyttet til Windows.
Opplæring GPO ASR – Blokker prosessopprettelser fra PSExec og WMI
Åpne verktøyet for gruppepolicybehandling på domenekontrolleren.
Opprett en ny gruppepolicy.
Skriv inn et navn på den nye gruppepolicyen.
I vårt eksempel ble det nye Gruppepolicyobjektet kalt MY-GPO.
Utvid mappen med navnet Gruppepolicyobjekter i skjermbildet Gruppepolicybehandling.
Høyreklikk det nye gruppepolicyobjektet, og velg alternativet Rediger.
Utvid datamaskinkonfigurasjonsmappen på skjermbildet redigeringsprogram for gruppepolicy, og finn følgende element.
Få tilgang til mappen som heter Attack surface reduction.
Aktiver elementet som heter Konfigurer angrepsoverflatereduksjonsregler.
Klikk på Vis-knappen.
Skriv inn ASR-regel-ID og ønsket handling.
I vårt eksempel aktivert vi en regel for å blokkere prosessopprettelser fra PSExec og WMI.
Det er flere tilgjengelige handlinger.
Hvis du vil lagre konfigurasjonen av gruppepolicy, må du lukke redigeringsprogrammet for gruppepolicy.
Gratulerer! Du er ferdig med GPO-opprettelsen.
GPO ASR – Blokker prosessopprettelser fra PSExec og WMI
I skjermbildet Gruppepolicybehandling må du høyreklikke den ønskede organisasjonsenheten og velge alternativet for å koble et eksisterende gruppepolicyobjekt.
I vårt eksempel skal vi koble gruppepolicyen my-GPO til roten av domenet.
Etter påføring av gruppepolicyobjektet må du vente i 10 eller 20 minutter.
I løpet av denne tiden vil Gruppepolicyobjektet bli replikert til andre domenekontrollere.
List alle konfigurerte ASR-regler på en ekstern datamaskin.
Her er kommandoutdataene.
Prøv å lage en prosess ved hjelp av WMI.
I vårt eksempel konfigurerte vi en ASR-regel for å blokkere prosessopprettelser fra PSExec og WMI ved å bruke en GPO.
