Хотите узнать, как использовать групповую политику для настройки правил уменьшения поверхности атаки? В этом учебнике мы покажем вам, как создать групповую политику для добавления правила ASR для блокировки процессов, созданных из команд PSExec и WMI.
• Windows 2012 R2 • Windows 2016 • Windows 2019 • Windows 2022 • Windows 10 • Windows 11
Список оборудования
Здесь вы можете найти список оборудования, используемого для создания этого учебника.
Эта ссылка будет также показать список программного обеспечения, используемого для создания этого учебника.
Windows Связанные Учебник:
На этой странице мы предлагаем быстрый доступ к списку учебников, связанных с Windows.
Учебное пособие GPO ASR — Блокировка создания процессов из PSExec и WMI
На контроллере домена откройте инструмент управления групповой политикой.
Создание новой групповой политики.
Введите имя для новой политики группы.
В нашем примере, новый GPO был назван: MY-GPO.
На экране управления групповой политикой расширьте папку под названием «Объекты групповой политики».
Нажмите правой кнопкой мыши на новый объект групповой политики и выберите опцию редактирования.
На экране редактора групповой политики расширьте папку конфигурации компьютера и найдите следующий элемент.
Откройте папку с именем Уменьшение поверхности атаки.
Включите элемент с именем Настройка правил уменьшения поверхности атаки.
Нажмите на кнопку Показать.
Введите идентификатор правила ASR и требуемое действие.
В нашем примере мы включили правило для блокировки создания процессов из PSExec и WMI.
Доступно несколько действий.
Чтобы сохранить конфигурацию групповой политики, необходимо закрыть редактор групповой политики.
Поздравляю! Вы закончили создание GPO.
GPO ASR — Блокировка процессов создания из PSExec и WMI
На экране управления политикой Группы необходимо правильно нажать на желаемую Организационную группу и выбрать возможность связать существующий GPO.
В нашем примере мы собираемся связать групповую политику под названием MY-GPO с корнем домена.
После применения GPO вам нужно подождать 10 или 20 минут.
В течение этого времени GPO будет реплицироваться на другие контроллеры доменов.
На удаленном компьютере перечислите все настроенные правила ASR.
Вот вывод команды.
Попробуйте создать процесс с помощью WMI.
В нашем примере мы настроили правило ASR для блокировки создания процессов из PSExec и WMI с помощью объекта групповой политики.
