Regeln zur Reduzierung der Angriffsfläche werden nicht angewendet oder funktionieren nicht

Attack Surface Reduction (ASR)-Regeln stellen eine wichtige Verteidigungsebene in Microsoft Defender for Endpoint dar; sie sollen übliche Malware-Verhaltensweisen verhindern. Doch IT-Administratoren stehen oft vor dem frustrierenden Problem, dass diese Regeln zwar aktiviert sind, aber nicht wie erwartet ausgelöst oder Aktionen blockieren. In diesem Beitrag erfahren Sie, was Sie tun können, wenn Attack Surface Reduction-Regeln nicht angewendet werden oder nicht funktionieren.

Wie aktiviere ich die Regeln zur Reduzierung der Angriffsfläche?

Je nach Umgebung können Sie ASR-Regeln mithilfe verschiedener Verwaltungstools aktivieren. Für einzelne Geräte können Sie sie über die Windows-Sicherheits-App unter Einstellungen zum Schutz vor Viren und Bedrohungen > Einstellungen verwalten > Regeln zur Reduzierung der Angriffsfläche aktivieren. In Unternehmensumgebungen werden sie in der Regel über Gruppenrichtlinien konfiguriert (indem man die ASR-GUIDs unter „Administrative Vorlagen > Windows-Komponenten > Microsoft Defender Antivirus“ bearbeitet), über Microsoft Intune (unter „Endpoint Security > Reduzierung der Angriffsfläche“) oder per PowerShell (unter Verwendung des Befehls Set-MpPreference -AttackSurfaceReductionRules_Ids).

Regeln zur Verringerung der Angriffsfläche werden auf Windows-Computern nicht angewendet oder funktionieren nicht

ASR-Regeln (Attack Surface Reduction) lassen sich oft nicht anwenden, aufgrund von Verwaltungs- oder Konfigurationskonflikten. Dies tritt meist auf, wenn verschiedene Richtlinien - wie etwa von Intune, der Gruppenrichtlinie oder Microsoft 365 Defender - um die Kontrolle konkurrieren oder wenn die Ausschlusslisten zu umfangreich sind. Manchmal weisen Plattformversionen Fehler auf, und die erforderlichen Cloud-Schutzdienste werden nicht ordnungsgemäß initialisiert. Dadurch können die Regeln nicht funktionieren - auch wenn sie in der Konsole als aktiv angezeigt werden.

Falls die Regeln zur Reduzierung der Angriffsfläche nicht angewendet werden oder bei Ihnen nicht funktionieren, befolgen Sie die unten stehenden Lösungen.

1. Auf kollidierende Richtlinien prüfen
2. Überprüfen Sie die Liste der ausgeführten ASM-Regeln
3. Überprüfen, ob der cloudbasierte Schutz aktiviert ist
4. Neustart und Überprüfung des Dienstezustands

Lassen Sie uns ausführlich darüber sprechen.

1. Auf widersprüchliche Richtlinien prüfen

Falls Ihre Geräte von mehreren Quellen verwaltet werden (z. B. eine verbliebene lokale GPO und eine neue Intune-Richtlinie), gilt in der Regel die zuletzt angewandte Richtlinie - oder es kommt zu unerwarteten Kombinationen der Richtlinien. Dieser Konflikt kann dazu führen, dass die Einstellungen unbeabsichtigt auf Nicht konfiguriert oder Deaktiviert gesetzt werden, wodurch Ihre gewünschte Blockierungskonfiguration überschrieben wird.

Öffnen Sie auf dem betroffenen Computer PowerShell als Administrator und führen Sie den folgenden Befehl aus.

Get-MpPreference | Select-Object *asr*

Hier werden die derzeit aktiven Regeln sowie ihre GUIDs/IDs angezeigt.

Überprüfen Sie AttackSurfaceReductionRules_Ids und AttackSurfaceReductionRules_Actions, um zu sehen, welcher Zustand tatsächlich aktiv ist.

Überprüfen Sie die Ergebnisse Ihrer Gruppenrichtlinien, indem Sie rsop.msc (Resultant Set of Policy) ausführen, um zu sehen, welche GPO die Einstellungen anwendet.

In Intune/MEM navigieren Sie zu Endpunktsicherheit > Reduzierung der Angriffsfläche und stellen Sie sicher, dass kein anderes Profil dieselben Regeln für dieselbe Gerätegruppe zuweist.

2. Überprüfen Sie die Liste der ASR-Regelausschlüsse

Die ASR-Regeln verfügen über eine eigene, spezifische Liste der auszuschließenden Elemente - unabhängig von den Standardausschlüssen von Defender Antivirus. Wenn ein Prozess oder ein Dateipfad in der ASR-Ausschlussliste aufgeführt ist, werden die Regeln dieses Verhalten vollständig ignorieren. Oft kopieren Administratoren umfangreiche Ausschlüsse (z. B. ganze Laufwerke), um Leistungsprobleme zu beheben - wodurch der Schutz unwissentlich deaktiviert wird. Befolgen Sie die unten aufgeführten Schritte, um dasselbe zu tun.

• Führen Sie auf einem Testsystem erneut `Get-MpPreference | Select-Object *asr*` aus und suchen Sie nach dem Parameter AttackSurfaceReductionOnlyExclusions.
• Falls die Liste mit Pfaden oder Hashwerten gefüllt ist, vergleichen Sie diese mit Ihrer aktuellen Richtlinie.
• Entfernen Sie diese Ausschlüsse vorübergehend (oder kommentieren Sie sie in Ihrer Richtlinie aus) und stellen Sie die Konfiguration erneut bereit, um zu prüfen, ob die Regeln nun funktionieren.
• Stellen Sie sicher, dass Sie keine kritischen Systemprozesse ausschließen, die ASR überwachen soll (z. B. wscript.exe, rundll32.exe).

Nachdem Sie diese Änderungen vorgenommen haben, prüfen Sie, ob Ihr Problem weiterhin besteht.

3. Überprüfen Sie, ob der durch die Cloud bereitgestellte Schutz aktiviert ist

Viele moderne Regeln für die automatische Spracherkennung (ASR) setzen auf einen Dienst namens Cloud-Delivered Protection bzw. MAPS - was für „Microsoft Active Protection Service“ steht. Dieser Dienst hilft dabei, schnell zu entscheiden, ob eine Datei verdächtig ist. Wenn Sie diesen Dienst deaktivieren, funktioniert die Regel möglicherweise nicht ordnungsgemäß oder reagiert zu langsam, sodass es den Anschein hat, als würde die Regel überhaupt nicht wirken.

Folgen Sie den untenstehenden Schritten, um die Einstellungen des cloudbasierten Schutzes zu überprüfen.

• Öffnen Sie die App „Windows-Sicherheit“ auf dem Client-Computer.
• Gehen Sie zu Virus- und Bedrohungsschutz > Einstellungen für Virus- und Bedrohungsschutz > Einstellungen verwalten.
• Stellen Sie sicher, dass sowohl Cloud-basierter Schutz als auch Automatische Absendung von Samples aktiviert sind.
• In Ihrer Verwaltungskonsole (Intune/GPO) stellen Sie sicher, dass die Richtlinie Cloud-Schutz zulassen auf „Aktiviert“ gesetzt ist und dass der Schutzlevel der Cloud auf „Hoch“ oder mindestens „Standard“ eingestellt ist.

Nachdem Sie diese Änderungen vorgenommen haben, fragen Sie den Kunden, ob das Problem weiterhin besteht.

4. Neustart durchführen und Dienstzustände überprüfen

Manchmal ist die einfachste Lösung die richtige. Nach der Anwendung einer ASR-Richtlinie müssen bestimmte Dienste möglicherweise neu gestartet werden, damit sie mit laufenden Prozessen verknüpft werden können. Wenn der Microsoft Defender Antivirus-Dienst (WinDefend) oder der Microsoft Defender Security Center-Dienst (SecurityHealthService) im „Gestoppt“-Zustand ist, werden die Regeln nicht durchgesetzt.

Starten Sie den Endpunkt neu. Dadurch werden alle Komponenten im Kernel-Modus sowie Dienste im Benutzer-Modus neu geladen.

Nach dem Neustart öffnen Sie Services.msc und suchen Sie nach Microsoft Defender Antivirus Service.

Stellen Sie sicher, dass der Status Laufend ist und der Starttyp Automatisch ist.

Erzeugen Sie eine Testbenachrichtigung unter Verwendung eines bekannten ASR-Testtools (z. B. den Test zum Ausführen von PSH-Dateien für die Regel BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550), um die Funktionalität zu überprüfen.

Das war’s!

Funktioniert die Zulassungsliste für ASR nicht? Lösen Sie das Problem mit der Überschreibung der USB-Drucker.

Dieses Problem tritt in der Regel aufgrund einer bestimmten Regel auf, die „Unvertrauenswürdige und unsignierte Prozesse, die von einem USB-Laufwerk ausgeführt werden, blockieren“ heißt. Diese Regel blockiert jegliche Aktivitäten über USB und berücksichtigt keine standardmäßigen Ausnahmen für Antivirenprogramme. Sie verfügt über eine eigene Methode, um zu bestimmen, welche Dateien zugelassen sind. Selbst wenn Sie den Treiber oder das Programm des Druckers in Ihre allgemeine Ausnahmeliste aufnehmen, kann diese Regel sie dennoch blockieren. Dies liegt daran, dass die Regel die Quelle der Datei (das USB-Laufwerk) prüft - und nicht die Datei selbst.

Um dieses Problem zu beheben, müssen Sie die spezifischen Dateipfade oder Ordnerorte der Druckersoftware direkt in den ASR-Richtlinieneinstellungen angeben - entweder in Intune oder in der Gruppenrichtlinie. Sie können sich nicht allein auf die standardmäßigen Ausnahmen des Defender-Antivirusverfahrens verlassen. Beachten Sie außerdem, dass jede hinzugefügte Ausnahme für alle ASR-Regeln gilt. Seien Sie daher vorsichtig bei der Angabe der richtigen Pfade, um andere Schutzmechanismen nicht zu schwächen.