• MS Defender Device Control: Warum Regeln mit mehreren Reusable Settings ins Leere laufen

Microsoft Defender Device Control: Warum Regeln mit mehreren Reusable Settings ins Leere laufen

Tobias MarkwartJunior Security Consultant

Wechselmedien wie USB-Sticks, externe Festplatten, Drucker und Bluetooth-Geräte gehören zu den häufig unterschätzten Risiken in der IT-Sicherheit. Bereits ein nicht autorisierter USB-Stick kann ausreichen, um sensible Daten aus einem Unternehmen zu entwenden oder Schadsoftware einzuschleusen. Microsoft Defender Device Control ermöglicht als Bestandteil von Microsoft Defender for Endpoint die zentrale und granulare Steuerung des Zugriffs auf Peripheriegeräte.

Wie wird Microsoft Defender Device Control konfiguriert?

Die Konfiguration von Microsoft Defender Device Control erfolgt über Microsoft Intune mithilfe von Richtlinien und sogenannten Reusable Settings. Diese identifizieren Geräte anhand von Kriterien wie PrimaryId, Vendor-ID oder SerialNumberId. Gerade das Zusammenspiel von Regeln und Reusable Settings kann jedoch komplex sein. Werden innerhalb einer Regel mehrere Reusable Settings kombiniert, greift die Regel nur, wenn das Gerät die Kriterien aller hinterlegten Reusable Settings erfüllt.

Technischer Hintergrund

Microsoft Defender Device Control wird über Endpoint Security > Attack Surface Reduction in Microsoft Intune konfiguriert. Eine Microsoft Defender Device Control Richtlinie setzt sich aus mehreren Bestandteilen zusammen.

1.Regel:

  • Eine Regel definiert die Aktions- und Benachrichtigungsoptionen für die eingeschlossenen Reusable Setting Gruppen.
  • Kleinere Gruppen, für die eine Regel nicht gelten soll, können zusätzlich ausgeschlossen werden.
  • Greift keine Regel oder entspricht kein Gerät den definierten Gruppen, wird das Default Enforcement angewendet.

2.Reusable Setting Gruppen:

  • Eine Reusable Settings Gruppe ist eine Sammlung von Geräten, die anhand von Kriterien wie „PrimaryId“, „Vendor-ID“ oder „SerialNumberId“ erkannt bzw. „gematcht“ werden. Dies kann von einer kompletten Geräteklasse bis hin zu einer einzelnen Seriennummer variieren.
  • Innerhalb einer Gruppe lassen sich mehrere Kriterien über verschiedene Match Types miteinander verknüpfen.
  • Eine Regel referenziert unter „Included Devices“ oder „Excluded Devices“ auf eine oder mehrere dieser Gruppen.

3.Einträge:

  • Einträge enthalten die konkrete Aktions- und Benachrichtigungseinstellungen innerhalb einer Regel.
  • Jede Regel enthält mindestens einen Eintrag des Typen „Allow“, „Deny“, „AuditAllow“ oder „AuditDeny“ sowie die Berechtigungen Read, Write und Execute
  • Zusätzlich lässt sich festlegen, ob bei einer Aktion eine Benachrichtigung an den Benutzer sowie ein Event für das „Advanced Hunting“ ausgelöst werden soll.

4.Default Enforcement:

  • Das Default Enforcement legt fest, welche Aktion ausgeführt wird, wenn keine Regel greift („Allow“ oder „Deny“).
  • Wird diese Einstellung nicht konfiguriert, gilt standardmäßig „Allow“.

Es gibt weitere Bestandteile einer Microsoft Defender Device Control Richtlinie, die für das in diesem beschriebenen Szenario jedoch nicht relevant sind.

ZurückWeiter
12

Feststellung: Mehrere Reusable Settings werden anders ausgewertet als erwartet

Werden in einer Regel zwei oder mehr Reusable Setting Gruppen eingeschlossen, erfolgt die Auswertung nicht nach dem häufig erwarteten ODER-Prinzip, sondern nach dem UND-Prinzip. Dieses Verhalten tritt unabhängig davon auf, ob als Zugriffseintrag „Deny“ oder „Allow“ definiert wurde. Die Geräte werden weder blockiert noch explizit freigegeben.

Bookmark Bookmark

Eine Regel wird nur ausgewertet, wenn das Gerät die Kriterien aller enthaltenen Reusable Settings erfüllt.

Das Problem dabei ist – es gibt keine Fehlermeldung. Die Richtlinie wird in Microsoft Intune erfolgreich zugewiesen und auf dem Endgerät in der Registry als angewendet angezeigt. Dennoch greift die Regel nicht. Ohne einen gezielten Funktionstest mit einem entsprechenden Gerät bleibt dieses Verhalten unbemerkt. Im schlimmsten Fall entsteht der Eindruck, dass die Regel den gewünschten Schutz bietet, obwohl sie tatsächlich nicht angewendet wird.

Lösungsansatz

Aus dieser Feststellung ergibt sich folgende Lösung, um das beschriebene Problem zu vermeiden.

Pro Regel nur eine Reusable Setting Group einschließen

Um das beschriebene Verhalten zu vermeiden, sollte pro Regel immer nur eine Reusable Setting Gruppe eingeschlossen werden. Sollen mehrere Gerätekriterien nach dem ODER-Prinzip ausgewertet werden, sollten diese innerhalb einer einzigen Reusable Settings Gruppe zusammengefasst werden. Alternativ kann für jede Gruppe eine eigene Regel erstellt werden. Diese Vorgehensweise gilt sowohl für Deny- als auch für Allow-Regeln, da das festgestellte Verhalten bei beiden Zugriffstypen gleichermaßen auftritt.

Überprüfen, ob eine Regel am Gerät angekommen ist

Da dieses Verhalten ohne Fehlermeldung auftritt, empfiehlt sich insbesondere nach einem Rollout ein Funktionstest. Dabei unterstützen die folgenden zwei PowerShell-Befehle:

1.

# Zeitpunkt der letzten erfolgreichen Device-Control-Policy-Aktualisierung
Get-MpComputerStatus | Select-Object DeviceControlPoliciesLastUpdated

2.

# Die vom Client aktuell wirksam angewendete Policy als XML auslesen
Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows Defender\Device Control" `
  -Name "LastKnownValidPolicyPackage" -ErrorAction SilentlyContinue |
  Select-Object -ExpandProperty LastKnownValidPolicyPackage

Bestätigen beide PowerShell-Befehle, dass die Microsoft Defender Device Control Richtlinie erfolgreich auf dem Endgerät angekommen ist, ein entsprechendes USB-Gerät jedoch trotz passender Konfiguration weder blockiert noch freigegeben wird, deutet dies auf das beschriebene Verhalten hin.

Fazit

Das Beispiel zeigt, dass Microsoft Defender Device Control nicht nur korrekt konfiguriert, sondern auch in seiner tatsächlichen Wirkung verstanden und getestet werden muss. Gerade bei mehreren Gerätekriterien entscheidet eine saubere Struktur der Reusable Settings darüber, ob eine Regel wie vorgesehen greift.

Jetzt kostenlose Erstberatung buchen!

Sie möchten Microsoft Defender Device Control sicher einsetzen oder Ihre Konfiguration überprüfen? In einer kostenfreien Erstberatung erhalten Sie eine erste fachliche Einschätzung und einen Überblick über mögliche nächste Schritte.

Häufige Fragen zu Microsoft Defender Device Control

Werden in einer Regel mehrere Reusable Settings-Gruppen eingeschlossen, erfolgt die Auswertung nach dem UND-Prinzip. Die Regel greift daher nur, wenn das Gerät die Kriterien aller hinterlegten Reusable Settings erfüllt.

Um das im Artikel beschriebene Verhalten zu vermeiden, sollte pro Regel nur eine Reusable Settings Gruppe eingeschlossen werden. Sollen mehrere Gerätekriterien berücksichtigt werden, können diese innerhalb einer Reusable Settings-Gruppe zusammengefasst oder auf mehrere Regeln verteilt werden.

Mit den im Artikel beschriebenen PowerShell-Befehlen können Sie prüfen, ob die Microsoft Defender Device Control Richtlinie erfolgreich auf dem Endgerät angekommen ist. Ergänzend empfiehlt sich ein Funktionstest mit einem entsprechenden USB-Gerät, um die Konfiguration zu verifizieren.

Auch wenn eine Microsoft Defender Device Control Richtlinie erfolgreich bereitgestellt wurde, bedeutet das nicht automatisch, dass sie wie vorgesehen greift. Ein Funktionstest hilft dabei, die Konfiguration zu überprüfen und unerwartetes Verhalten frühzeitig zu erkennen.

Weitere News zu diesem Thema