| 加固项 | 行为层攻击阻断 |
|---|---|
| 适用平台 | Windows 10/11、Server 2019+（Defender 实时保护开启） |
| 风险等级 | 高 |
| 基线 | 关键 ASR 规则处于监听/阻止状态 |
核查现有规则
核查现有规则
Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Ids
Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Actions启用常用规则（Block 模式）
启用常用规则（Block 模式）
Add-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EFC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions Enabled # Office 创建子进程
Add-MpPreference -AttackSurfaceReductionRules_Ids 9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2 -AttackSurfaceReductionRules_Actions Enabled # 窃取 LSASS 凭据
Add-MpPreference -AttackSurfaceReductionRules_Ids 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC -AttackSurfaceReductionRules_Actions Enabled # 混淆脚本执行先在 Audit 模式跑 2-4 周收集误报再切 Block；排除项（开发机、自动化平台）要建立清单并定期复核。