[English]Noch eine kurze Meldung von Mitte des Monats. Microsoft hat die Funktion Tamper Protection (Manipulationsschutz) für den Defender aus Windows 10 Version 1903 auf frühere Windows 10-Versionen zurück portiert.
Anzeige
Der Defender Manipulationsschutz
Mit Windows 10 Mai 2019 Update (Version 1903) hat Microsoft einen Manipulationsschutz (Tamper-Protection) für den Windows Defender implementiert. Dieser Schutz soll den Defender vor Manipulationen durch Malware schützen. Einem Schadprogramm soll es nicht möglich sein, den Windows Defender über Registry-Einträge, Programmbefehle der Eingabeaufforderung, Tools oder Gruppenrichtlinien auszuschalten.
Ich hatte bereits vor einem Jahr im Blog-Beitrag Windows 10 V1903 mit Windows Defender Tamper-Protection auf dies Funktion, die durchaus Probleme bereiten kann, hingewiesen (siehe diesen Microsoft Beitrag zur Preview Build 18305 im Windows-Blog). Daher war der Manipulationsschutz zuerst nicht automatisch aktiviert.
Im Blog-Beitrag Windows 10 V1903: Microsoft aktiviert Tamper Protection gab es dann Mitte Oktober 2019 den Hinweis, dass Microsoft die Funktion zum Manipulationsschutz im Windows Defender jetzt standardmäßig aktivieren werde. In diesem Techcommunity-Beitrag erklärt Microsoft die Details.
Rückportierung auch für ältere Windows 10-Versionen
Bereits am 19. Februar 2020 hat Microsoft dann bekannt gegeben, dass der Defender-Manipulationsschutz für alle Windows 10-Versionen zur Verfügung stehe.
Anzeige
Tamper protection for Defender has been backported for earlier versions of Windows 10, too. https://t.co/EyrbzCmcvp
— Kevin Beaumont (@GossiTheDog) February 19, 2020
Tamper Protection ist nun auch für frühere Windows 10-Versionen verfügbar und lässt sich z.B. über Intune verwalten. In diesem Techcommunity-Beitrag geht Microsoft auf die Details ein.
Ähnliche Artikel:
Windows 10 V1903 mit Windows Defender Tamper-Protection
Windows 10 V1903: Microsoft aktiviert Tamper Protection
Windows 10: Probleme mit dem Defender/Ransomwareschutz
Anzeige
Eigentlich ja nett, MS sollte seine Kapazitäten aber eher nicht für Rückportierungen nutzen, sondern die aktuelle Version voranbringen. Gibt da eindeutig wichtigere Baustellen… Die Defender-Tamper-Protection ist ja nur für die interessant, die Defender auch als AV verwenden, und die sind ja eher im Privatbereich oder Kleingewerbe zu finden, die eh recht schnell zum aktuellen Feature-Update getrieben werden. Unternehmen, die noch eine 180x oder früher einsetzen, haben meistens andere AV-Lösungen.
AUTSCH: diese "tamper protection" ist eine BANKROTT-ERKLÄRUNG und HANEBÜCHENER SCHWACHSINN!
Welche Angriffe bzw. Angreifer soll sie abwehren?
Angreifer/Angriffe mit ADMINISTRATOR-Privilegien.
Dummerweise haben diese jedoch ALLE Möglichkeiten, solchen Firlefanz zu umgehen: der ist hier schlicht UNWIRKSAM!
Ausserdem erschwert dieser Firlefanz die Administration/Konfiguration der "geschützten" Komponente(n) mittels der STANDARD-Methoden wie GPO etc. und erhöht unnötigerweise die Komplexität.
WEG MIT DEM SCHROTT!
Verstehe ich nicht. Tamper Protection ist doch, dass der AV sich sebst überwacht und schützt, in dem er sich bei Angriffen selbst neu startet und seine Konfiguration wieder herstellt, wenn diese manipuliert wird. Das machen doch andere AVs schon seit Jahren.
Alles falsch!
1. läuft die MPENGINE.dll in einem eigenen Dienst unter SYSTEM-Konto. Sollte der Dienstprozess abstürzen, dann startet der "Service Control Manager" einen neuen Prozess.
2. die Konfiguration steht unterhalb von [HKEY_LOCAL_MACHINE] und kann nur von einem Administrator geändert werden. Derselbe Administrator kann selbstverständlich JEDEN Schutz der benutzten Registry-Schlüssel aufheben bzw. die Funktionen zum Ändern der Konfiguration aufrufen.
FAZIT: ÜBERFLÜSSIGER FIRLEFANZ!
Dass andere Anbieter NOCH verblödeter sind als Microsoft ist KEINE Entschuldigung für solchen UNFUG!
Wehret den Dummköpfen!
Schädlinge, die sich per Pass The Hash, Silber/Golden-Tickets (Mimikatz) in ihren Rechten hochhangeln, wirds freuen!