Warnung
Dieses Thema enthält Empfehlungen. Stellen Sie sicher, dass Sie sich mit Ihrem Sicherheitsteam abstimmen, bevor Sie eine der Empfehlungen umsetzen.
Wenn Nerdio Manager Pakete bereitstellt oder Skripte ausführt, werden diese auf der lokalen VM oder dem lokalen Computer bereitgestellt und ausgeführt.
Die Hauptverzeichnisse sind:
-
Für die meisten Nerdio Manager-Pakete - C:\\Packages\\Plugins\\Microsoft.PowerShell.DSC\\<version>\\DSCWork
-
Für Scripted Actions und benutzerdefinierte Skripte - C:\Packages\Plugins\Microsoft.Compute.CustomScriptExtension\<version>\Downloads
Da wir unsere geschützten Informationen schützen möchten, verschleiern oder verbergen wir häufig den Code, den wir zum Ausführen der Skripte verwenden. Dies kann sich als Sicherheitsrisiko für viele Regeln/Plattformen zur Angriffsflächenreduzierung (ASR) manifestieren. Wenn unser Code blockiert oder eingeschränkt wird, verhindert dies, dass Nerdio Manager seine Automatisierungsaufgaben auf einem Sitzungshost ausführen kann.
Die wichtigsten ASR-Regeln, bei denen wir Konflikte festgestellt haben, sind:
Beide durch die ASR-Regel blockierten Methoden können von legitimen und schädlichen Quellen verwendet werden. Daher ist es wichtig, sicherzustellen, dass Sie nur zulassen, dass Inhalte aus vertrauenswürdigen Quellen ausgeführt werden. Obwohl jedes ASR-Tool anders ist, sollten alle über eine ähnliche Funktionalität verfügen, um Ausschlüsse für Dateien/Ordner hinzuzufügen, die diese vertrauenswürdigen Funktionen ausführen dürfen.
Nachfolgend finden Sie einige Beispiele für Fehler, die in den Nerdio Manager-Protokollen erscheinen können:
-
Join ARM AVD-Erweiterung installieren
-
Fehler: Während der Installation der Join ARM WVD-Erweiterung ist ein Fehler aufgetreten: System.AggregateException: Ein oder mehrere Fehler sind aufgetreten. (Lang andauernder Vorgang mit Status 'Fehlgeschlagen'. Zusätzliche Informationen: 'VM hat einen Fehler bei der Verarbeitung der Erweiterung '(VM Name)-join-arm-wvd-ext' (Herausgeber 'Microsoft.PowerShell' und Typ 'DSC') gemeldet.'
-
Fehlermeldung: "DSC-Konfiguration 'AdditionalSessionHosts' wurde mit Fehler(n) abgeschlossen." Nachfolgend sind die ersten paar aufgeführt: PowerShell DSC-Ressource MSFT_ScriptResource konnte die Set-TargetResource-Funktionalität nicht ausführen, Fehlermeldung: Dieser Befehl kann aufgrund des folgenden Fehlers nicht ausgeführt werden: Zugriff verweigert.
-
-
Fehler: Während der Installation der FSLogix-Erweiterung ist ein Fehler aufgetreten:
-
System.AggregateException: Ein oder mehrere Fehler sind aufgetreten. (Lang andauernder Vorgang mit Status 'Fehlgeschlagen'. Zusätzliche Informationen: 'VM hat einen Fehler bei der Verarbeitung der Erweiterung '(VM Name)-install-fslogix-ext' (Herausgeber 'Microsoft.PowerShell' und Typ 'DSC') gemeldet.' Fehlermeldung: 'Die DSC-Erweiterung konnte nicht ausgeführt werden:' Fehler beim Herunterladen von https://nmmstorageaccount.blob.core.windows.net/vm-extensions/FSLogixSetup.5.1.0.zip nach 29 Versuchen: Verbindung zum Remoteserver nicht möglich.
-
Die folgenden Anweisungen beschreiben, wie Sie Ihre Microsoft Defender ASR-Beschränkungen über eine Intune-Richtlinie ändern. Das gleiche Konzept sollte jedoch auch auf andere ASR-Plattformen angewendet werden können.
Anmerkung
-
Während wir Wildcard-Ausschlüsse verwenden (siehe Microsoft Defender Antivirus-Ausschlüsse für Details), können Sie Ihre Ausschlüsse so explizit gestalten, wie Sie möchten. Je expliziter Sie jedoch sind, desto sorgfältiger müssen Sie Ihre Ausschlüsse auf dem neuesten Stand halten und überprüfen, ob diese bei Softwareänderungen noch korrekt sind.
-
Obwohl Sie diese ASR-Ausschüsse technisch gesehen auf alle Geräte anwenden könnten, wird empfohlen, diese Ausschlüsse nur auf AVD-Hosts und/oder Geräte anzuwenden, auf denen Nerdio Manager Scripted Actions ausgeführt werden.
So ändern Sie Ihre Microsoft Defender ASR-Beschränkungen:
-
Navigieren Sie im Intune Admin Center zu Endpunktsicherheit > Angriffsflächenreduzierung > (Richtlinie zur Angriffsflächenreduzierung).
-
Suchen Sie in der Regelliste nach Ausführung potenziell verschleierter Skripte blockieren.
-
Setzen Sie die Aktion auf blockieren.
-
Fügen Sie in ASR-Ausschlüsse nur pro Regel die folgenden Ausschlüsse hinzu:
-
C:\Packages\Plugins\Microsoft.Compute.CustomScriptExtension\*\Downloads\*
-
C:\Packages\Plugins\Microsoft.PowerShell.DSC\*\DSCWork\*
-
-
Suchen Sie in der Regelliste nach Prozesserstellungen aus PSExec- und WMI-Befehlen blockieren.
-
Setzen Sie die Aktion auf blockieren.
-
Fügen Sie in ASR-Ausschlüsse nur pro Regel die folgenden Ausschlüsse hinzu:
-
C:\Packages\Plugins\Microsoft.Compute.CustomScriptExtension\*\Downloads\*
-
C:\Packages\Plugins\Microsoft.PowerShell.DSC\*\DSCWork\*
-
C:\DeployFSLogix\FSLogixAppsSetup.exe
-
C:\DeployAgent\RDAgentBootLoaderInstall\Microsoft.RDInfra.RDAgentBootLoader.Installer-x64*.msi
-
C:\DeployAgent\RDInfraAgentInstall\Microsoft.RDInfra.RDAgent.Installer-x64*.msi
-
-
Überprüfen Sie im Blatt Zuweisungen, ob die Richtlinie korrekt Ihrer AVD-Host-Sicherheitsgruppe zugewiesen ist.
Anmerkung
Wir empfehlen Ihnen, dynamische Gerätegruppen basierend auf Ihrem Namensschema für Hostpools zu verwenden.
-
Überprüfen und speichern Sie Ihre Richtlinienänderungen.
Anmerkung
Im Allgemeinen verschwinden die Bereitstellungsfehler, nachdem Sie diese Ausnahmen vorgenommen und Ihre Hosts erneut bereitgestellt haben. Je nach Ihren anderen ASR-Einstellungen können jedoch zusätzliche Ausnahmen erforderlich sein.
Kommentare (0 Kommentare)