攻撃面削減 - AVD 除外

Avatar
Nerdio Product Support

警告

このトピックには推奨事項が含まれています。推奨事項を導入する前に、必ずセキュリティチームに確認してください。

Nerdio Manager

主なディレクトリは次のとおりです：

  • For most Nerdio Manager packages - C:\Packages\Plugins\Microsoft.PowerShell.DSC\<version>\DSCWork

  • Scripted Actions およびカスタムスクリプト用 - C:\Packages\Plugins\Microsoft.Compute.CustomScriptExtension\<version>\Downloads

私たちは独自の情報を保護したいため、スクリプトを実行するために使用するコードをしばしば難読化または隠します。これは、多くの攻撃面削減 (ASR) ルール/プラットフォームにとってセキュリティリスクとして現れる可能性があります。私たちのコードがブロックまたは制限されると、 Nerdio Manager

私たちが見た主な ASR ルールで、競合を引き起こすものは次のとおりです：

ASR ルールによってブロックされる両方の方法は、正当なソースと悪意のあるソースの両方によって使用される可能性があるため、信頼できるソースからのみスクリプトやコードを実行できるようにしていることを確認することが重要です。各 ASR ツールは異なりますが、信頼できる機能を実行するために許可されるファイル/フォルダーの除外項目を追加できる同様の機能を持っているはずです。

エラーの例

以下は、 Nerdio Manager

  • Join ARM AVD 拡張機能をインストールする

    • エラーJoin ARM WVD 拡張機能のインストール中にエラーが発生しました：System.AggregateException:1 つ以上のエラーが発生しました。（長時間実行された操作が「失敗」というステータスになりました。）追加情報：VM は、拡張機能「(VM名)-join-arm-wvd-ext」（パブリッシャー「Microsoft.Powershell」、タイプ「DSC」）の処理中に失敗が発生したと報告しました。

    • エラーメッセージ:"DSC構成「AdditionalSessionHosts」はエラーが発生した状態で完了しました。"以下は最初のいくつかです:PowerShell DSCリソースMSFT_ScriptResourceは、エラーメッセージとともにSet-TargetResource機能の実行に失敗しました：このコマンドは次のエラーのため実行できません：アクセスが拒否されました。

  • エラーFSLogix拡張機能のインストール中にエラーが発生しました:

    • System.AggregateException:1 つ以上のエラーが発生しました。（長時間実行された操作が「失敗」というステータスになりました。）追加情報：VM は、拡張機能「(VM名)-install-fslogix-ext」（パブリッシャー「Microsoft.Powershell」、タイプ「DSC」）の処理中に失敗が発生したと報告しました。エラーメッセージ:'DSC拡張機能が実行に失敗しました:29回の試行後、https://nmmstorageaccount.blob.core.windows.net/vm-extensions/FSLogixSetup.5.1.0.zipのダウンロード中にエラーが発生しました:リモートサーバーに接続できません。

Microsoft Defender ASR制限を変更してください。

以下の指示は、Intuneポリシーを通じてMicrosoft Defender ASR制限を変更する方法を説明していますが、同じ概念は他のASRプラットフォームにも適用できるはずです。

注記

  • ワイルドカード除外を使用していますが（詳細はMicrosoft Defender アンチウイルスの除外項目を参照）、除外項目をより明示的に指定することもできます。ただし、明示的であればあるほど、除外を最新の状態に保ち、ソフトウェアのエディションが変更される際に除外が正確であることを確認する必要があります。

  • これらのASR除外をすべてのデバイスに適用することは技術的には可能ですが、AVDホストおよび/または Nerdio Manager

  1. Intune管理センターで、エンドポイントセキュリティ > 攻撃面削減 > (攻撃面削減ポリシー) に移動します。

  2. ルールのリストで、潜在的に難読化されたスクリプトの実行をブロックするを見つけます。

  3. アクションをブロックに設定します。

  4. ASRのみのルール除外項目に次の除外項目を追加します:

    • C:\Packages\Plugins\Microsoft.Compute.CustomScriptExtension\*\Downloads\*

    • C:\Packages\Plugins\Microsoft.PowerShell.DSC\*\DSCWork\*

  5. ルールのリストで、PSExecおよびWMIコマンドから発生するプロセスの作成をブロックするを見つけます。

  6. アクションをブロックに設定します。

  7. ASRのみのルール除外項目に次の除外項目を追加します:

    • C:\Packages\Plugins\Microsoft.Computer.CustomScriptExtension\*\Downloads\*

    • C:\Packages\Plugins\Microsoft.PowerShell.DSC\*\DSCWork\*

    • C:\DeployFSLogix\FSLogixAppsSetup.exe

    • C:\DeployAgent\RDAgentBootLoaderInstall\Microsoft.RDInfra.RDAgentBootLoader.Installer-x64*.msi

    • C:\DeployAgent\RDInfraAgentInstall\Microsoft.RDInfra.RDAgent.Installer-x64*.msi

  8. 割り当てブレードで、ポリシーがAVDホストセキュリティグループに正しくアサインされていることを確認します。

    注記

    ホストプールの命名スキームに基づいて動的デバイスグループを使用することをお勧めします。

  9. ポリシーの変更を確認し、保存します。

注記

一般的に、これらの除外項目を作成し、ホストを再展開した後、展開エラーは解消されます。ただし、他のASR設定に応じて追加の除外項目が必要になる場合があります。

この記事は役に立ちましたか？

1人中1人がこの記事が役に立ったと言っています
他にご質問がございましたら、リクエストを送信してください

関連記事

コメント (0件のコメント)

記事コメントは受け付けていません。