Powershell ASR – 从 PSExec 和 WMI 创建块进程

是否要了解如何使用 Powershell 配置攻击面减少规则？ 在本教程中，我们将向您展示如何使用命令行添加 ASR 规则来阻止源自 PSExec 和 WMI 命令的进程创建。

• Windows 2012 R2 • Windows 2016 • Windows 2019 • Windows 2022 • Windows 10 • Windows 11

教程 Powershell ASR – 阻止源自 PSExec 和 WMI 的进程创建

启动提升的 Powershell 命令行。

使用 Powershell 添加 ASR 规则。

在我们的示例中，我们添加了一个规则来阻止源自 PSExec 和 WMI 命令的进程创建。

有多种操作可用。

WARN 模式阻止执行并向用户显示警告窗口。

列出所有已配置的 ASR 规则。

下面是命令输出。

重新启动计算机以启用 ASR 规则。

（可选）重新启动防御者实时保护以启用 ASR 规则。

若要测试 ASR 配置，请尝试使用 WMI 创建进程。

列出与 ASR 规则相关的事件。

下面是命令输出。

使用 Powershell 禁用 ASR 规则。

使用 Powershell 删除 ASR 规则。

祝贺！ 可以使用 Powershell 配置 ASR 规则，以阻止源自 PSExec 和 WMI 命令的进程创建。