ASR 拦的是攻击链的行为
攻击面缩减规则（ASR）工作在行为层：它不看文件是否为恶意，而是阻断可被利用的行为组合，例如 Office 应用创建子进程、脚本下载后直接执行、程序读取 LSASS 内存窃取凭据。这种做法对无文件攻击与勒索软件的早期阶段特别有效，因为拦的是动作而不是样本。代价是误报：开发工具、自动化脚本与某些业务软件的行为可能被判定为可疑，所以生产落地要先在审计模式观察，再切阻断。
基本信息
| 加固项 | 行为层攻击阻断 |
|---|---|
| 适用平台 | Windows 10/11、Windows Server 2019 及以上（需 Defender 实时保护） |
| 权限要求 | 本地管理员或域管理员 |
| 达标判据 | 关键 ASR 规则处于阻止或审计状态，且排除项有记录 |
| 前置条件 | Defender 实时保护开启；Server 2016 不支持 ASR |
典型使用场景
- 勒索软件与钓鱼文档攻击的高发场景防护
- 终端基线中补充行为层控制，弥补特征库滞后的空窗
- 攻防演练前提升对脚本与凭据窃取的拦截能力
- 从审计模式向阻断模式切换前的误报收集
- 统一办公终端与服务器端点防护策略
核查现有规则
核查现有规则
Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Ids
Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Actions
# 两者按顺序对应：Ids 的第 N 项对应 Actions 的第 N 项
# Actions 取值：Enabled 表示阻止，AuditMode 表示仅记录，Disabled 表示关闭启用常用规则（阻止模式）
启用常用规则（阻止模式）
# Office 应用创建子进程（钓鱼文档常见后续动作）
Add-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EFC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions Enabled
# 阻止窃取 LSASS 凭据
Add-MpPreference -AttackSurfaceReductionRules_Ids 9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2 -AttackSurfaceReductionRules_Actions Enabled
# 阻止混淆脚本执行
Add-MpPreference -AttackSurfaceReductionRules_Ids 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC -AttackSurfaceReductionRules_Actions Enabled
Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Ids # 复核已写入规则状态与落地节奏
| 状态 | 行为 | 适用阶段 |
|---|---|---|
| AuditMode | 只记录不阻断 | 推广初期收集误报，建议 2-4 周 |
| Enabled | 阻断并记录 | 确认误报可控后切换 |
| Disabled | 不生效 | 默认状态，需要显式启用 |
| 排除项 | 为特定程序或路径放行 | 必须登记理由并定期复核 |
| 事件日志 | 记录在 Defender 操作日志中 | 用于统计拦截次数与排查误报 |
不要一上线就切阻断：先在审计模式跑 2 到 4 周，收集被拦行为的清单，与业务方逐条确认后再切换。开发机、自动化发布平台、老旧业务软件往往需要排除项，但排除项必须建立清单并定期复核，否则会逐渐演变成一长串无人记得原因的豁免。
ASR 依赖 Defender 实时保护，用第三方杀毒或 EDR 替代 Defender 的环境中，需要确认替代产品是否提供等效的行为拦截能力，用其管理台证据说明，而不是照抄 Defender 的命令与结论。另外规则支持范围随系统版本不同，规则 ID 与可用性应以官方文档最新列表为准。