Regras ASR do Defender por GPO: verificar endpoints

O que são as regras ASR do Defender por GPO?

As regras ASR do Defender por GPO permitem aos administradores distribuir proteções baseadas no comportamento para dispositivos Windows através da Política de Grupo. As regras de redução da superfície de ataque (Attack Surface Reduction, ASR) visam atividades como aplicações Office que criam processos subordinados ou scripts que iniciam executáveis transferidos. A questão útil é saber quais os GUIDs de regras, modos e exclusões que o dispositivo de destino tem efetivamente, em vez de verificar apenas se existe uma política ASR. Orientações de configuração da Microsoft

Uma política pode descrever uma proteção pretendida sem demonstrar que todos os computadores a recebem. O modo Audit pode registar atividade relevante sem a bloquear; as exclusões podem alterar o que uma regra avalia. Analise em conjunto a origem da implementação e a configuração do endpoint antes de comunicar a cobertura.

Este guia utiliza páginas do Microsoft Learn verificadas em 3 de outubro de 2026 e a implementação analisada do etc-collector. Os comandos PowerShell são exemplos baseados na documentação para um administrador Windows autorizado; não foram executados num ambiente Windows para este artigo. Não se afirma qualquer cobertura de endpoints, prevalência de ataques ou correção bem-sucedida.

Como funciona: uma matriz de regras, modos e exclusões

A configuração ASR é uma lista de regras com ações individuais. Na Gestão de Política de Grupo, edite a GPO pretendida em Configuração do Computador → Modelos Administrativos → Componentes do Windows → Microsoft Defender Antivirus → Microsoft Defender Exploit Guard → Attack Surface Reduction. Abra Configure Attack Surface Reduction rules, selecione Enabled e utilize Show... para introduzir o GUID de cada regra como nome do valor e o respetivo modo como valor. Os modelos mais antigos podem utilizar Windows Defender Antivirus no caminho. Procedimento GPO da Microsoft

As ações numéricas documentadas pelo Learn são:

Os valores provêm da página de configuração ASR. A disponibilidade dos modos, as dependências e o suporte do sistema operativo continuam a exigir uma análise específica de cada regra na referência das regras ASR.

Crie uma matriz com uma linha por regra pretendida e população de destino. As linhas seguintes são exemplos de análise, não um conjunto completo de regras recomendado nem medições de um ambiente:

A Microsoft documenta uma condição de localização da instalação para a regra do Office: o Office tem de estar instalado em %ProgramFiles% ou %ProgramFiles(x86)%. Também afirma que a regra LSASS não é necessária e não proporciona proteção adicional quando a proteção LSA está ativada, recomendando essa proteção em conjunto com o Credential Guard. Não trate todas as regras disponíveis como requisitos incondicionais. Detalhes específicos das regras

O nosso guia sobre Credential Guard após uma atualização explica como verificar o isolamento de credenciais baseado em VBS e a desativação herdada. Essa evidência não estabelece a configuração do conjunto mais amplo de regras ASR baseadas no comportamento. Mantenha separadas a aplicabilidade das proteções e as respetivas medições.

Determinar qual a origem de gestão que prevalece

Uma entrada GPO e um perfil Intune podem entrar em conflito para a mesma regra. A página atual de configuração do Learn documenta que as definições baseadas em políticas têm precedência sobre as definições locais de Set-MpPreference no arranque. Essa página descreve a Política de Grupo como prevalecendo por predefinição sobre MDM, com MDMWinsOverGP=1 a favorecer MDM, e desaconselha configurar as mesmas regras ASR através de ambas as origens. As orientações separadas de resolução de problemas do Defender da Microsoft avisam que este parâmetro não se aplica às regras ASR no Windows 10. Estas páginas divergem nesse limite: verifique o sistema operativo de destino e o resultado observado da política, em vez de pressupor que o parâmetro resolve todos os conflitos.

Existe outro limite explícito: controlled configuration impõe as definições do Intune ou da gestão de definições de segurança do Defender for Endpoint e ignora definições conflituantes da Política de Grupo, do Configuration Manager e da configuração local. Verifique se esse mecanismo se aplica antes de atribuir a responsabilidade à GPO. Tratamento de conflitos de políticas pela Microsoft

Registe a origem de gestão pretendida, a população de dispositivos, os perfis conflituantes e a evidência da configuração que prevalece. Uma alteração local temporária em PowerShell pode desaparecer quando a política gerida entrar em vigor. Por isso, não é adequada como única prova de que a implementação gerida foi corrigida.

Deteção: comparar a intenção da GPO com a configuração do endpoint

Passo 1: preservar a política pretendida

Leia a lista configurada de GUIDs/ações e as exclusões da GPO efetiva. Inspecione os seus dados descodificados de registry.pol para o ramo ASR do Windows Defender Exploit Guard, conservando a identidade da GPO e o momento da recolha com a evidência. Um ficheiro binário de política exige descodificação que interprete as políticas; o nome do ficheiro, por si só, não revela as suas definições.

Mantenha a lista por regra distinta do DWORD agregado exploitguard_asr_rules utilizado pelo parser do collector descrito abaixo. Uma definição agregada ativada não é um inventário de GUIDs e ações.

O nosso guia de quatro verificações de segurança de GPO no Active Directory aplica o mesmo método de verificação a LLMNR, WSUS, proteção LSA e caminhos UNC: comparar a intenção da política, o âmbito de destino e a evidência do cliente. Esses quatro controlos não estabelecem cobertura ASR; a sua disciplina de verificação é útil neste contexto.

Passo 2: ler as preferências do dispositivo de destino

Em cada dispositivo de destino avaliado, obtenha as preferências do Defender. A referência de Get-MpPreference documenta o cmdlet e o seu comportamento local por predefinição. A página de configuração ASR documenta as propriedades dos IDs de regras e das ações.

Execute os comandos seguintes separadamente na sessão administrativa de PowerShell do dispositivo de destino:

$p = Get-MpPreference

$p.AttackSurfaceReductionRules_Ids

$p.AttackSurfaceReductionRules_Actions

Associe as entradas pela posição no array: a ação num índice pertence ao ID da regra nesse mesmo índice. Preserve a saída original. Se uma das listas estiver ausente, os comprimentos forem diferentes ou a recolha falhar, registe o resultado como não resolvido, em vez de eliminar entradas silenciosamente ou declarar conformidade.

Para um par de arrays alinhados e não vazios, este exemplo apresenta a correspondência:

for ($i = 0; $i -lt $p.AttackSurfaceReductionRules_Ids.Count; $i++) {
    [pscustomobject]@{
        Id = $p.AttackSurfaceReductionRules_Ids[$i]
        Action = $p.AttackSurfaceReductionRules_Actions[$i]
    }
}

Analise as exclusões ASR globais com o comando de leitura documentado pela Microsoft:

(Get-MpPreference).AttackSurfaceReductionOnlyExclusions

Inspecione também as exclusões por regra na política de gestão que constitui a fonte de autoridade. A lista global, por si só, não é uma análise completa das exceções quando existem exclusões específicas de regras. Configuração de exclusões da Microsoft

Compare cada GUID e modo esperado com a saída do endpoint. Investigue regras ausentes, ações inesperadas e exclusões inesperadas. Inclua o host, o momento da observação e a origem de gestão no registo; repita após a aplicação da política para distinguir uma definição local transitória do resultado gerido. Estas preferências estabelecem a configuração do dispositivo, enquanto a telemetria de atividade fornece evidência de que uma regra foi acionada.

Passo 3: analisar os eventos ASR

No Visualizador de Eventos, navegue para Registos de Aplicações e Serviços → Microsoft → Windows → Windows Defender → Operational. A Microsoft apresenta os seguintes eventos de regras ASR na sua página sobre o Visualizador de Eventos do Windows:

Correlacione o identificador da regra, o dispositivo, a hora e a atividade com a matriz de configuração. A Microsoft também documenta Windows Event Forwarding para centralizar a recolha. As suas orientações de teste da implementação distinguem o Visualizador de Eventos local das capacidades de relatórios que dependem do produto e do plano Defender.

Correção: testar num piloto, analisar e impor as regras aprovadas (Remediation)

Passo 1: definir um piloto representativo

Escolha uma população controlada de dispositivos e os responsáveis pelas aplicações. Verifique o suporte e as dependências das regras selecionadas, estabeleça a origem de gestão e registe as preferências iniciais dos endpoints. Inclua os fluxos de trabalho de negócio suscetíveis de acionar as regras, em vez de tratar um dispositivo inativo como teste de compatibilidade.

O guia de implementação da Microsoft organiza o trabalho em planeamento, testes, ativação e monitorização contínua. Afirma que as regras de proteção padrão podem normalmente começar em Block ou Warn sem testes, enquanto outras regras devem ser avaliadas primeiro em Audit. Um piloto Audit é aqui uma escolha deliberada de avaliação, não uma afirmação de que a Microsoft exige a mesma sequência para todas as regras.

Passo 2: configurar Audit através da política responsável

Para o piloto gerido por GPO, ative Configure Attack Surface Reduction rules e preencha Show... com os GUIDs selecionados e a ação 2. Utilize os valores documentados sem aspas, caracteres adicionais ou espaços no início ou no fim. Confirme que os computadores previstos para o piloto recebem essa GPO e repita a recolha de preferências dos endpoints.

Por exemplo, o nome do valor da regra de processos subordinados do Office é d4f940ab-401b-4efc-aadc-ad5f3c50688a; o seu valor Audit é 2. Isto ilustra o mapeamento GUID/ação da Microsoft, não uma configuração descoberta. Configuração de regras por GPO

Passo 3: analisar eventos e documentar exceções de aplicações

Utilize a atividade Audit para identificar fluxos de trabalho legítimos que a imposição poderia interromper. Analise o contexto efetivo dos processos e ficheiros com o responsável pela aplicação antes de aprovar uma exclusão. Registe a regra afetada, a exceção exata, o motivo, o responsável e a decisão da análise.

A Política de Grupo disponibiliza exclusões globais e exclusões por regra. No procedimento GPO global, o Learn documenta as exclusões de ficheiros específicos como preferíveis à exclusão de uma pasta inteira. As exclusões específicas de regras exigem os modelos administrativos adequados; a página atual identifica modelos 24H2 ou posteriores quando essa definição está ausente da GPMC. Verifique a definição disponível antes de estruturar a implementação em torno dela. Exclusões GPO da Microsoft

Passo 4: passar para Block ou Warn suportado e verificar novamente

Altere as ações aprovadas das regras na política responsável para Block 1, ou para Warn 6 quando suportado e adequado. A regra LSASS contra o roubo de credenciais não suporta Warn. Expanda através de anéis de implementação após analisar o comportamento das aplicações e a configuração dos endpoints. Guia de implementação e referência das regras

Repita a comparação de GUIDs/ações e analise os eventos Block ou as anulações Warn. Uma edição concluída da GPO não é o critério de aceitação. Encerre a decisão de implementação para uma população quando a configuração pretendida for observada nos dispositivos avaliados, os fluxos de trabalho relevantes tiverem sido analisados e as exceções restantes ou os dispositivos desconhecidos estiverem explícitos.

Evite substituir uma lista gerida de regras por um comando local de conveniência. A Microsoft avisa que Set-MpPreference substitui as regras e ações existentes fornecidas através desse cmdlet, e que as definições geridas substituem alterações locais conflituantes no arranque. Resolva o conflito entre origens e preserve a configuração não relacionada. Comportamento da configuração PowerShell

Como o EtcSec deteta esta configuração

O etc-collector do EtcSec inclui DEFENDER_ASR_NOT_CONFIGURED, uma verificação de configuração GPO de gravidade média. A implementação analisada de defender-asr.go chama FindRegistrySettingInt para DefenderASREnabled. Um valor ausente ou diferente de 1 produz Count 1; um valor de 1 mantém Count 0.

O helper dá prioridade a um valor não nil de Default Domain Controllers Policy, depois de Default Domain Policy e depois de outra GPO disponível. Esta é a ordem de pesquisa do collector, não a precedência de políticas Windows para um endpoint individual. Não calcula as ligações efetivas, a filtragem, a herança ou os conflitos MDM de cada computador.

O registrypol_parser.go analisado preenche o campo apenas a partir de um DWORD chamado exploitguard_asr_rules numa chave que contém Windows Defender e ASR. Não preenche o inventário completo de GUIDs/ações para esta verificação. O valor agregado comparado com 1 não deve ser interpretado como a ação Block de todas as regras.

Utilize este sinal para iniciar uma investigação de configuração focada. Anexe a lista GPO pretendida, as preferências dos endpoints e os eventos ASR relevantes ao registo de correção. Mantenha as medições indisponíveis como não resolvidas até serem recolhidas; uma verificação de configuração ao nível do domínio não substitui a evidência dos endpoints.