Przeprowadzono pilotażowe wdrożenie Attack Surface Reduction (ASR) i teraz potrzebne są ustawienia produkcyjne na Windows Server 2019: 1) Zablokuj pakietowi Office tworzenie procesów potomnych, ale zezwól na podpisany pomocnik w C:\Program Files\Contoso\XLLHelper.exe; 2) Zachowaj „Blokuj tworzenie procesów pochodzących z PSExec i WMI” w trybie audytu, aby monitorować użycie narzędzi administracyjnych. Które polecenie spełnia te wymagania?

Poprawna odpowiedź spełnia oba wymagania. Identyfikator D4F940AB-401B-4EFC-AADC-AD5F3C50688A odpowiada regule "Blokuj aplikacjom pakietu Office tworzenie procesów potomnych", a D3E037E1-3EB8-44C8-A917-57927947596D odpowiada regule "Blokuj tworzenie procesów pochodzących z PSExec i WMI". Parametr -AttackSurfaceReductionRulesActions Enabled, AuditMode prawidłowo ustawia pierwszą regułę w tryb blokowania (Enabled), a drugą w tryb audytu (AuditMode). Parametr -AttackSurfaceReductionOnlyExclusions "C:\Program Files\Contoso\XLLHelper.exe" dodaje wykluczenie dla określonej ścieżki, pozwalając na działanie pomocnika. Pozostałe opcje są nieprawidłowe, ponieważ: Druga opcja próbuje ustawić reguły w dwóch oddzielnych poleceniach, co nie jest optymalne i może prowadzić do błędów. Używa też AttackSurfaceReductionExcludedPaths zamiast AttackSurfaceReductionOnlyExclusions, co ma inne zastosowanie. Trzecia opcja używa Add-MpPreference z nieprawidłową składnią dla wykluczeń i ustawia obie reguły w tryb blokowania (Enabled), zamiast jednej w tryb audytu. Czwarta opcja używa nieprawidłowych identyfikatorów reguł ASR.