Wiki source code of VirTool:Win32/DefenderTamperingRestore triggert einen Bedrohungs-Alarm

Last modified by Sabrina V. on 2024/10/11 08:43

version	line-number	content
1.1	1	{{aagon.priorisierung}}
	2	160
	3	{{/aagon.priorisierung}}
	4
	5	Es gibt Defender-Einstellungen in der GPO, die als Bedrohungen erkannt werden. Das sind Einstellungen, die Module deaktivieren und somit eine Sicherheitslücke erzeugen.
	6	Sind solche Einstellungen gesetzt worden, werden diese als Bedrohung "VirTool:Win32/DefenderTamperingRestore" erkannt und der Ereignistyp //Alarm// mit der Ereignis-ID 1116 getriggert.
	7
	8	{{aagon.warnungsbox}}
	9	Beachten Sie, dass das Deaktivieren von Modulen generell nicht empfohlen wird!
	10	{{/aagon.warnungsbox}}
	11
	12	Sollten Sie dennoch Module deaktivieren müssen, muss die Bedrohung als Ausnahme definiert werden, sodass diese beim Fund ignoriert wird.
	13	Gehen Sie dafür folgendermaßen vor:
	14
	15	1. Gehen Sie unter //Defender Management > Konfigurationsprofile > Default Defender// über einen Doppelklick in die Einstellungen.
	16
	17	{{figure}}
	18	[[image:63_Defender Management_Konfig Einstellungen_3838.png]]
	19
	20	{{figureCaption}}
	21	Konfigurationsprofil-Einstellungen
	22	{{/figureCaption}}
	23	{{/figure}}
	24
	25	2. Navigieren Sie zum Punkt //Aktionen bei Bedrohungen// und fügen Sie über das Plus unter// Bedrohungsaktion// den Bedrohungsnamen und die Bedrohungs-ID hinzu. Über das DropDown-Menü bei// Aktion //können Sie entscheiden, was mit der Bedrohung geschehen soll. Es wird empfohlen, die Bedrohung zu ignorieren.
	26
	27	{{figure}}
	28	[[image:63_Defender Management_Bedrohungsaktion_577.png]]
	29
	30	{{figureCaption}}
	31	Bedrohungsaktion definieren
	32	{{/figureCaption}}
	33	{{/figure}}
	34
	35	Diese Einstellung führt dazu, dass die Bedrohung ab dann ignoriert wird und auch in der Ereignisliste nicht mehr aufgeführt wird.