Sie haben Attack Surface Reduction (ASR) getestet und benötigen nun Produktionseinstellungen auf Windows Server 2019: 1) Office soll daran gehindert werden, Child-Prozesse zu erstellen, aber ein signierter Helfer unter C:\Program Files\Contoso\XLLHelper.exe soll zugelassen werden; 2) 'Block process creations originating from PSExec and WMI' soll im Überwachungsmodus bleiben, um die Nutzung von Admin-Tools zu überwachen. Welcher Befehl erfüllt die Anforderung?

Die korrekte Antwort verwendet den Set-MpPreference-Befehl, um die ASR-Regeln zu konfigurieren. Die Regel-ID D4F940AB-401B-4EFC-AADC-AD5F3C50688A (Block Office applications from creating child processes) wird auf Enabled gesetzt, wie gefordert. Die Regel-ID D3E037E1-3EB8-44C8-A917-57927947596D (Block process creations originating from PSExec and WMI) wird auf AuditMode gesetzt, ebenfalls wie gefordert. Der Parameter -AttackSurfaceReductionOnlyExclusions erlaubt das Ausschließen der spezifischen ausführbaren Datei C:\Program Files\Contoso\XLLHelper.exe von der ASR-Regel, die Office-Child-Prozesse blockiert. Die zweite Option ist falsch, da sie zwei separate Befehle verwendet und die Ausschlüsse nicht korrekt handhabt. Die dritte Option ist falsch, da sie einen Platzhalter im Ausschluss verwendet, der zu weit gefasst ist, und beide Regeln auf Enabled setzt, anstatt eine im Überwachungsmodus zu belassen. Die vierte Option verwendet falsche Regel-IDs.