GPOs (ws2019) Empfohlene gegen Ransomware

Hi.

Es ist ein großes Gebiet, aber ich hebe nur ein paar Dinge hervor:

->Du kannst bestimmen, welche Software auf den Rechnern läuft, wenn Du per GPO auf Windows 10 Enterprise Applocker (oder den Vorgänger "Softwareeinschränkungsrichtlinien", welcher auch auf Win10 Pro läuft) mit einer Whitelist ausstattest und alles, was da nicht drauf steht, verbietest. Das ist der beste Schutz gegen das Symptom (der beste Schutz gegen die Folgen ist hingegen ein gutes Backupkonzept). Leider muss diese Whitelist ständig um neue Programme/Skripte erweitert werden, was natürlich aufwändig ist. Ich empfehle, das vorm Rollout mindestens 2 Wochen IT-intern (mit Usern ohne Adminkonten) zu testen. https://4sysops.com/archives/applocker-tutorial-part-1-planning/ ist ein brauchbares Tutorial. Leider scheint der Autor nicht zu wissen, dass Microsoft selbst sagt, dass die Default Rules nur für die problemlose Einrichtung genutzt werden sollen, aber nicht im sicheren Betrieb. Die Default Rules verletzen nämlich schon den wichtigsten Grundsatz: "erlaube nie die Ausführung von Orten, in denen der User Schreibrechte hat".

->Du kannst desweiteren (oder alternativ) bestimmen, welche User und welche Prozesse auf deine Dokumentenordner schreiben dürfen. Das schränkt die Möglichkeiten von Malware so stark ein, dass keine Verschlüsselung möglich ist, ohne dass zuvor der Virenscanner deaktiviert wird. Ich spreche von dem in den Windows Defender eingebauten Schutz "controlled folder access": https://docs.microsoft.com/en-us/windows/security/threat-protection/micr ...

->Zudem kannst Du auch das von Malware automatisierte Deaktivieren des Defenders unmöglich machen, wenn Du den Manipulationsschutz anschaltest: https://docs.microsoft.com/en-us/windows/security/threat-protection/micr ...
Achtung: den kann man nicht per GPO aktivieren! Entweder ist er schon an (frische Installation Win10 1903 oder höher), oder man muss ihn manuell anschalten.