Вы протестировали Attack Surface Reduction (ASR) и теперь вам нужны производственные настройки на Windows Server 2019: 1) Заблокировать Office от создания дочерних процессов, но разрешить подписанный вспомогательный процесс по пути C:\Program Files\Contoso\XLLHelper.exe; 2) Сохранить «Block process creations originating from PSExec and WMI» в режиме аудита для мониторинга использования административных инструментов. Какая команда соответствует требованиям?

Правильный ответ соответствует требованиям, так как он устанавливает два правила ASR с помощью их GUID: D4F940AB-401B-4EFC-AADC-AD5F3C50688A для блокировки Office от создания дочерних процессов и D3E037E1-3EB8-44C8-A917-57927947596D для блокировки создания процессов, исходящих от PSExec и WMI. Действия для этих правил установлены как Enabled (включено) и AuditMode (режим аудита) соответственно, что соответствует требованию. Параметр -AttackSurfaceReductionOnlyExclusions правильно исключает указанный исполняемый файл из всех правил ASR, что позволяет ему работать. Второй вариант неверен, потому что он использует -AttackSurfaceReductionExcludedPaths, который является устаревшим и менее точным, чем -AttackSurfaceReductionOnlyExclusions для исключения файлов из всех правил ASR. Третий вариант неверен, так как он устанавливает оба правила в режим Enabled, тогда как одно должно быть в AuditMode, и использует Add-MpPreference с неверным параметром. Четвертый вариант неверен, так как он использует неправильные GUID для правил ASR.