قم بتكوين حماية Windows Defender Exploit في Windows 10

جرب أداة القضاء على المشاكل

الحماية من الاستغلال هي ميزة أمان جديدة لبرنامج Windows Defender قدمتها Microsoft في تحديث Fall Creators الخاص بنظام التشغيل.

استغلال الحرس هي مجموعة من الميزات التي تتضمن الحماية من الاستغلال ، هجوم الحد من السطح وحماية الشبكة و التحكم في الوصول إلى المجلد .

أفضل وصف للحماية من الاستغلال هو إصدار متكامل من Microsoft's EMET - Exploit Mitigation Experience Toolkit - أداة أمان تستخدمها الشركة سيتقاعد في منتصف عام 2018 .

ادعت Microsoft سابقًا أن نظام التشغيل Windows 10 الخاص بالشركة سيجعل تشغيل EMET جنبًا إلى جنب مع Windows غير ضروري ؛ ومع ذلك ، دحض باحث واحد على الأقل ادعاء شركة مايكروسوفت.

حماية Windows Defender Exploit

يتم تمكين الحماية من الاستغلال افتراضيًا إذا تم تمكين Windows Defender. الميزة هي ميزة Exploit Guard الوحيدة التي لا تتطلب تمكين الحماية في الوقت الحقيقي في Windows Defender.

يمكن تكوين الميزة في تطبيق Windows Defender Security Center ، عبر أوامر PowerShell ، أو كسياسات.

التكوين في تطبيق Windows Defender Security Center

exploit protection windows defender

يمكنك تكوين الحماية من الاستغلال في تطبيق Windows Defender Security Center.

  1. استخدم Windows-I لفتح تطبيق الإعدادات.
  2. انتقل إلى التحديث والأمان> Windows Defender.
  3. حدد فتح مركز أمان Windows Defender.
  4. حدد عنصر التحكم في التطبيق والمتصفح المدرج كرابط شريط جانبي في النافذة الجديدة التي تفتح.
  5. حدد موقع إدخال الحماية من الاستغلال في الصفحة ، وانقر فوق إعدادات الحماية من الاستغلال.

يتم تقسيم الإعدادات إلى إعدادات النظام وإعدادات البرنامج.

تسرد إعدادات النظام آليات الحماية المتاحة وحالتها. يتوفر ما يلي في تحديث Windows 10 Fall Creators:

  • Control Flow Guard (CFG) - قيد التشغيل افتراضيًا.
  • منع تنفيذ البيانات (DEP) - قيد التشغيل افتراضيًا.
  • فرض التوزيع العشوائي للصور (ASLR إلزامي) - إيقاف افتراضيًا.
  • قم بترتيب تخصيصات الذاكرة عشوائيًا (من أسفل إلى أعلى ASLR) افتراضيًا.
  • التحقق من صحة سلاسل الاستثناء (SEHOP) - قيد التشغيل افتراضيًا.
  • تحقق من سلامة الكومة - بشكل افتراضي.

يمكنك تغيير حالة أي خيار إلى 'تشغيل افتراضيًا' أو 'إيقاف التشغيل افتراضيًا' أو 'استخدام افتراضي'.

تمنحك إعدادات البرنامج خيارات لتخصيص الحماية للبرامج والتطبيقات الفردية. يعمل هذا بشكل مشابه لكيفية إضافة استثناءات في Microsoft EMET لبرامج معينة ؛ جيد إذا أسيء البرنامج التصرف عند تمكين وحدات حماية معينة.

عدد غير قليل من البرامج لديها استثناءات بشكل افتراضي. يتضمن ذلك svchost.exe و spools.exe و runtimebroker.exe و iexplore.exe وبرامج Windows الأساسية الأخرى. لاحظ أنه يمكنك تجاوز هذه الاستثناءات عن طريق تحديد الملفات والنقر فوق تحرير.

program settings exploit protection

انقر فوق 'إضافة برنامج للتخصيص' لإضافة برنامج بالاسم أو مسار الملف الدقيق إلى قائمة الاستثناءات.

يمكنك تعيين حالة جميع وسائل الحماية المدعومة بشكل فردي لكل برنامج قمت بإضافته ضمن إعدادات البرنامج. إلى جانب تجاوز النظام الافتراضي وإجباره على واحد أو إيقاف تشغيله ، هناك أيضًا خيار لتعيينه على 'التدقيق فقط'. يسجل الأخير الأحداث التي كان من الممكن إطلاقها إذا كانت حالة الحماية تعمل ، ولكنها ستسجل الحدث فقط في سجل أحداث Windows.

تسرد إعدادات البرنامج خيارات الحماية الإضافية التي لا يمكنك تكوينها ضمن إعدادات النظام لأنها مهيأة للتشغيل على مستوى التطبيق فقط.

هؤلاء هم:

  • حارس الكود التعسفي (ACG)
  • تفجير الصور منخفضة التكامل
  • حظر الصور البعيدة
  • حظر الخطوط غير الموثوق بها
  • كود حارس النزاهة
  • تعطيل نقاط الامتداد
  • تعطيل مكالمات نظام Win32
  • لا تسمح العمليات الفرعية
  • تصفية عنوان التصدير (EAF)
  • تصفية عنوان الاستيراد (IAF)
  • محاكاة التنفيذ (SimExec)
  • التحقق من صحة استدعاء API (CallerCheck)
  • تحقق من صحة استخدام المقبض
  • تحقق من صحة تكامل تبعية الصورة
  • التحقق من سلامة المكدس (StackPivot)

تكوين الحماية من الاستغلال باستخدام PowerShell

يمكنك استخدام PowerShell لتعيين عوامل التخفيف أو إزالتها أو سردها. الأوامر التالية متوفرة:

لسرد كافة عوامل تخفيف العملية المحددة: Get-ProcessMitigation -Name processName.exe

لتعيين عوامل التخفيف: Set-ProcessMitigation - - ،،

  • النطاق: إما -System أو -Name.
  • الإجراء: إما -Enable أو -Disable.
  • التخفيف: اسم التخفيف. راجع الجدول التالي. يمكنك فصل عوامل التخفيف بفاصلة.

أمثلة:

  • تعيين-معالجة-نظام-تمكين DEP
  • تعيين - معالجة - اسم test.exe - إزالة - تعطيل DEP
  • Set-ProcessMitigation -Name processName.exe - تمكين EnableExportAddressFilterPlus -EAFModules dllName1.dll، dllName2.dll
تخفيفينطبق علىأوامر cmdlets لـ PowerShellوضع التدوين cmdlet
حارس تدفق التحكم (CFG)على مستوى النظام والتطبيقCFG ، StrictCFG ، SuppressExportsالتدقيق غير متوفر
منع تنفيذ البيانات (DEP)على مستوى النظام والتطبيقDEP ، EmulateAtlThunksالتدقيق غير متوفر
فرض التوزيع العشوائي للصور (ASLR إلزامي)على مستوى النظام والتطبيقالقوةالتدقيق غير متوفر
ترتيب مخصصات الذاكرة عشوائيًا (من أسفل إلى أعلى ASLR)على مستوى النظام والتطبيقأسفل ، ارتفاع الانتروبالتدقيق غير متوفر
التحقق من صحة سلاسل الاستثناء (SEHOP)على مستوى النظام والتطبيقSEHOP ، SEHOPTelemetryالتدقيق غير متوفر
تحقق من سلامة الكومةعلى مستوى النظام والتطبيقTerminateOnHeapErrorالتدقيق غير متوفر
حارس الكود التعسفي (ACG)على مستوى التطبيق فقطDynamicCodeAuditDynamicCode
منع الصور منخفضة التكاملعلى مستوى التطبيق فقطBlockLowLabelAuditImageLoad
حظر الصور البعيدةعلى مستوى التطبيق فقطBlockRemoteImagesالتدقيق غير متوفر
حظر الخطوط غير الموثوق بهاعلى مستوى التطبيق فقطDisableNonSystemFontsAuditFont ، FontAuditOnly
كود حارس النزاهةعلى مستوى التطبيق فقطBlockNonMicrosoftSigned ، AllowStoreSignedAuditMicrosoftSigned ، AuditStoreSigned
تعطيل نقاط الامتدادعلى مستوى التطبيق فقطإكستينشنبوينتالتدقيق غير متوفر
تعطيل مكالمات نظام Win32kعلى مستوى التطبيق فقطDisableWin32kSystemCallsAuditSystemCall
لا تسمح العمليات الفرعيةعلى مستوى التطبيق فقطDisallowChildProcessCreationتدوين عملية الطفل
تصفية عنوان التصدير (EAF)على مستوى التطبيق فقطEnableExportAddressFilterPlus ، EnableExportAddressFilter [واحد] التدقيق غير متوفر
تصفية عنوان الاستيراد (IAF)على مستوى التطبيق فقطEnableImportAddressFilterالتدقيق غير متوفر
محاكاة التنفيذ (SimExec)على مستوى التطبيق فقطEnableRopSimExecالتدقيق غير متوفر
التحقق من صحة استدعاء API (CallerCheck)على مستوى التطبيق فقطEnableRopCallerCheckالتدقيق غير متوفر
تحقق من صحة استخدام المقبضعلى مستوى التطبيق فقطStrictHandleالتدقيق غير متوفر
تحقق من سلامة تبعية الصورةعلى مستوى التطبيق فقطEnforceModuleDepencySigningالتدقيق غير متوفر
التحقق من سلامة المكدس (StackPivot)على مستوى التطبيق فقطEnableRopStackPivotالتدقيق غير متوفر

استيراد وتصدير التكوينات

يمكن استيراد التكوينات وتصديرها. يمكنك القيام بذلك باستخدام إعدادات الحماية من استغلال Windows Defender في مركز أمان Windows Defender ، باستخدام PowerShell ، باستخدام السياسات.

علاوة على ذلك ، يمكن تحويل تكوينات EMET بحيث يمكن استيرادها.

استخدام إعدادات الحماية من الاستغلال

يمكنك تصدير التكوينات في تطبيق الإعدادات ، لكن لا يمكنك استيرادها. يضيف التصدير كل عوامل التخفيف على مستوى النظام والتطبيق.

ما عليك سوى النقر على رابط 'إعدادات التصدير' تحت الحماية من الاستغلال للقيام بذلك.

استخدام PowerShell لتصدير ملف التكوين

  1. افتح موجه Powershell مرتفعًا.
  2. Get-ProcessMitigation -RegistryConfigFilePath filename.xml

قم بتحرير filename.xml بحيث يعكس مكان الحفظ واسم الملف.

استخدام PowerShell لاستيراد ملف التكوين

  1. افتح موجه Powershell مرتفعًا.
  2. قم بتشغيل الأمر التالي: Set-ProcessMitigation -PolicyFilePath filename.xml

قم بتحرير filename.xml بحيث يشير إلى مكان واسم ملف ملف XML للتوصيف.

استخدام نهج المجموعة لتثبيت ملف التكوين

use common set exploit protection

يمكنك تثبيت ملفات التكوين باستخدام السياسات.

  1. اضغط على مفتاح Windows ، واكتب gpedit.msc ، واضغط على مفتاح Enter لبدء محرر نهج المجموعة.
  2. انتقل إلى تكوين الكمبيوتر> القوالب الإدارية> مكونات Windows> Windows Defender Exploit Guard> حماية الاستغلال.
  3. انقر نقرًا مزدوجًا فوق 'استخدام مجموعة أوامر لإعدادات الحماية من الاستغلال'.
  4. اضبط السياسة على تمكين.
  5. أضف مسار واسم ملف XML للتوصيف في مجال الخيارات.

تحويل ملف EMET

  1. افتح موجه PowerShell مرتفعًا كما هو موضح أعلاه.
  2. قم بتشغيل الأمر ConvertTo-ProcessMitigationPolicy -EMETFilePath emetFile.xml -OutputFilePath filename.xml

قم بتغيير emetFile.xml إلى مسار وموقع ملف تكوين EMET.

قم بتغيير filename.xml إلى المسار والموقع الذي تريد حفظ ملف التكوين المحول فيه.

مصادر