微软关于 "Windows Defender Exploit Protection"的官方文档。

ELOHIM

https://docs.microsoft.com/zh-cn ... ction-exploit-guard
上面这个链接是 1709 Windows Defender Exploit Protection 的说明文档。
里面涵盖大量配置说明和名词解释。
如果对于安全有高标准，可以尝试在充分测试通过以后，
通过 Powershell 导入导出配置文件并且部署到其他计算机上。

功能强大，文档冗长、枯燥，看前来杯 82 年咖啡压压惊不错。
———————————————
使用 Windows Defender 攻击防护 保护设备不被攻击。
———————————————
该视图筛选到仅显示与 Exploit Protection 有关的以下事件：

提供程序/源	事件 ID	描述
安全缓解	1	ACG 审核
安全缓解	2	ACG 强制
安全缓解	3	不允许子进程审核
安全缓解	4	不允许子进程阻止
安全缓解	5	阻止低完整性图像审核
安全缓解	6	阻止低完整性图像阻止
安全缓解	7	阻止远程图像审核
安全缓解	8	阻止远程图像阻止
安全缓解	9	禁用 win32k 系统调用审核
安全缓解	10	禁用 win32k 系统调用阻止
安全缓解	11	代码完整性防护审核
安全缓解	12	代码完整性防护阻止
安全缓解	13	EAF 审核
安全缓解	14	EAF 强制
安全缓解	15	EAF+ 审核
安全缓解	16	EAF+ 强制
安全缓解	17	IAF 审核
安全缓解	18	IAF 强制
安全缓解	19	ROP StackPivot 审核
安全缓解	20	ROP StackPivot 强制
安全缓解	21	ROP CallerCheck 审核
安全缓解	22	ROP CallerCheck 强制
安全缓解	23	ROP SimExec 审核
安全缓解	24	ROP SimExec 强制
WER-诊断	5	CFG 阻止
Win32K	260	不受信任的字体

————————————————————————————————

PowerShell 参考表下表列出了可用于配置每个缓解的 PowerShell cmdlet（以及关联的审核模式 cmdlet）。

缓解	适用范围	PowerShell cmdlet	审核模式 cmdlet
控制流保护 (CFG)	系统和应用级别	CFG、StrictCFG、SuppressExports	审核不可用
数据执行保护 (DEP)	系统和应用级别	DEP, EmulateAtlThunks	审核不可用
强制图像随机化（强制 ASLR）	系统和应用级别	ForceRelocate	审核不可用
随机内存分配（由下而上 ASLR）	系统和应用级别	BottomUp, HighEntropy	审核不可用
验证异常链 (SEHOP)	系统和应用级别	SEHOP, SEHOPTelemetry	审核不可用
验证堆完整性	系统和应用级别	TerminateOnHeapError	审核不可用
任意代码防护 (ACG)	仅应用级别	DynamicCode	AuditDynamicCode
阻止低完整性图像	仅应用级别	BlockLowLabel	AuditImageLoad
阻止远程图像	仅应用级别	BlockRemoteImages	审核不可用
阻止不受信任的字体	仅应用级别	DisableNonSystemFonts	AuditFont, FontAuditOnly
代码完整性防护	仅应用级别	BlockNonMicrosoftSigned, AllowStoreSigned	AuditMicrosoftSigned, AuditStoreSigned
禁用扩展点	仅应用级别	ExtensionPoint	审核不可用
禁用 Win32k 系统调用	仅应用级别	DisableWin32kSystemCalls	AuditSystemCall
不允许子进程	仅应用级别	DisallowChildProcessCreation	AuditChildProcess
导出地址筛选 (EAF)	仅应用级别	EnableExportAddressFilterPlus,   EnableExportAddressFilter  [1]	审核不可用
导入地址筛选 (IAF)	仅应用级别	EnableImportAddressFilter	审核不可用
模拟执行 (SimExec)	仅应用级别	EnableRopSimExec	审核不可用
验证 API 调用 (CallerCheck)	仅应用级别	EnableRopCallerCheck	审核不可用
验证处理使用情况	仅应用级别	StrictHandle	审核不可用
验证映像依赖项完整性	仅应用级别	EnforceModuleDepencySigning	审核不可用
验证堆栈完整性 (StackPivot)	仅应用级别	EnableRopStackPivot	审核不可用

————————————————————————————————

使用 PowerShell 导出配置文件

• 在“开始”菜单中键入 powershell，右键单击 Windows PowerShell，并单击以管理员身份运行
• 输入以下 cmdlet：
  PowerShell
  

• [mw_shl_code=shell,true]Get-ProcessMitigation -RegistryConfigFilePath filename.xml[/mw_shl_code]
  

将 filename 更改为所选的任何名称或位置。
重要
使用组策略部署配置时，将使用该配置的所有计算机必须都能够访问该配置文件。 请确保将文件放在共享位置。

————————————————————————————————
使用 PowerShell 导入配置文件

• 在“开始”菜单中键入 powershell，右键单击 Windows PowerShell，并单击以管理员身份运行
• 输入以下 cmdlet：
  PowerShell
  

• [mw_shl_code=shell,true]Set-ProcessMitigation -RegistryConfigFilePath filename.xml[/mw_shl_code]
  

将 filename 更改到 Exploit Protection XML 文件的位置和名称。
重要
确保导入专为 Exploit Protection 创建的配置文件。 无法直接导入 EMET 配置文件，必须先将其转换。
————————————————————————————————

将 EMET 配置文件转换为 Exploit Protection 配置文件可以将现有 EMET 配置文件转换为 Exploit Protection 使用的新格式。 如果你想要将 EMET 配置导入到 Windows 10 中的 Exploit Protection，则必须执行此操作。
只能在 PowerShell 中进行此转换。

• 在“开始”菜单中键入 powershell，右键单击 Windows PowerShell，并单击以管理员身份运行
• 输入以下 cmdlet：
  PowerShell
  

• [mw_shl_code=shell,true]ConvertTo-ProcessMitigationPolicy -EMETFilePath emetFile.xml -OutputFilePath filename.xml[/mw_shl_code]
  

将 emetFile 更改到 EMET 配置文件的名称和位置，并将 filename 更改到你想要使用的任一位置和文件名。
————————————————————————————————

你对自己的系统安全有信心吗？        
那个说我是传教士的人怎么还没来？
这样配置好以后，是不是可以玩双击了？
还有那个受保护的文件夹功能，可以防止勒索吗？

你们的 高级安全 Windows Defender 防火墙策略分享一份可好…………

EnZhSTReLniKoVa

使用说明书，好不好玩

ELOHIM

君陌潇 发表于 2017-10-19 21:28
使用说明书，好不好玩

私信你了，帮帮我啊。。。

看的头疼。。。。。

wudimeisuowei

这个完全看不懂的说，小白还是默认设置了。。

GreenCodes

君陌潇 发表于 2017-10-19 21:28
使用说明书，好不好玩

还是配置VBS要紧，组策略改了设置，然而不知道怎么配置策略