🛡️ Defender ASR + AppLocker: Premium ГАЙД для Security Engineers и SOC-аналитиков 2026

Полноценный рабочий комплект для тех, кто защищает периметр: валидированные XML-шаблоны, PowerShell-скрипты с обработкой ошибок, KQL-запросы для Sentinel и реальные сценарии блокировки атак. Всё, что нужно для внедрения enterprise-защиты без лишнего шума. 🎯

📋 Платформа: Windows 11 24H2 | Defender Platform 4.18.26040.7+ | Sentinel/Intune
⚠️ Аудит обязателен перед Block mode. Скрипты требуют прав SYSTEM или локального администратора + SeSecurityPrivilege.

🏗️ Архитектура и принципы работы

┌───────────────────────────────┐
│ Атака → Вектор → Блокировка ASR/AppLocker │
├───────────────────────────────┤
│ 📄 Макросы из Office → Block office macros │
│ ⚡ PowerShell из WScript → Block script exec │
│ 🔐 LSASS dump → Block credential stealing │
│ 🔄 Safe Mode reboot → Block safe mode (2026) │
│ 🎭 Copied sysinternals → Block impersonation │
└───────────────────────────────┘

Ключевые компоненты:

• ASR-движок — поведенческий анализ в реальном времени, интегрирован с Defender Antivirus
• AppLocker — контроль запуска приложений на основе пути/хэша/сертификата
• Event Channel — Microsoft-Windows-Windows Defender/Operational (ID 1121/1122)
• Управление — локально (PowerShell/реестр), через GPO, через Intune (OMA-URI)

⚠️ Критичные ограничения 2026:
Правило Block credential stealing from LSASS не поддерживает режим Warn — только Audit → Block
Правило Block executable files... требует включённой Cloud-delivered protection
AppLocker + Constrained Language Mode в Win11 24H2 могут конфликтовать — тестируйте на пилоте
Правило Block rebooting machine in Safe Mode не блокирует ручной вход через Windows Recovery Environment

📜 Кастомные XML-правила AppLocker (Production-ready)

🔹 Базовый шаблон с исключениями для легитимных процессов

<?xml version="1.0" encoding="utf-8"?>
<AppLockerPolicy Version="1" xmlns="http://schemas.microsoft.com/applocker/2010/09/rules">
<RuleCollection Type="Exe" EnforcementMode="Enabled">

<!-- ✅ Разрешить всё из Program Files и Windows -->
<FilePublisherRule Id="allow-microsoft-signed" Name="Allow Microsoft Signed Binaries"
Description="Trusted Microsoft publishers" UserOrGroupSid="S-1-1-0" Action="Allow">
<Conditions>
<FilePublisherCondition PublisherName="CN=Microsoft Windows, O=Microsoft Corporation, L=Redmond, S=Washington, C=US"
ProductName="*" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*" />
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>

<!-- ✅ Разрешить встроенные приложения Win11 24H2 -->
<FilePathRule Id="allow-win11-builtins" Name="Allow Win11 24H2 Built-in Apps"
Description="Prevent false positives on Notepad, Terminal, Teams" UserOrGroupSid="S-1-1-0" Action="Allow">
<Conditions>
<FilePathCondition Path="%ProgramFiles%\WindowsApps\Microsoft.WindowsNotepad_*" />
<FilePathCondition Path="%ProgramFiles%\WindowsApps\Microsoft.WindowsTerminal_*" />
<FilePathCondition Path="%LocalAppData%\Microsoft\Teams\*" />
<FilePathCondition Path="%ProgramFiles%\dotnet\*" />
</Conditions>
</FilePathRule>

<!-- ❌ Запретить запуск из пользовательских папок -->
<FilePathRule Id="block-user-exec" Name="Block Execution from User Folders"
Description="Prevent malware execution from profile/temp" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePathCondition Path="%USERPROFILE%\Downloads\*" />
<FilePathCondition Path="%USERPROFILE%\Desktop\*" />
<FilePathCondition Path="%TEMP%\*" />
<FilePathCondition Path="C:\Users\Public\*" />
</Conditions>
<Exceptions>
<FilePathCondition Path="%USERPROFILE%\Downloads\CompanyApprovedInstallers\*" />
</Exceptions>
</FilePathRule>

</RuleCollection>

<!-- 🔹 DLL Rules (опционально) -->
<RuleCollection Type="Dll" EnforcementMode="AuditOnly">
<FilePublisherRule Id="allow-dll-microsoft" Name="Allow Microsoft DLLs" Action="Allow">
<Conditions>
<FilePublisherCondition PublisherName="CN=Microsoft Windows, O=Microsoft Corporation" ProductName="*" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*" />
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
</RuleCollection>

</AppLockerPolicy>

🔹 Применение с валидацией и логированием

<#
.SYNOPSIS: Deploy AppLocker policy with validation and rollback
.REQUIRES: SYSTEM or local admin + SeSecurityPrivilege
#>
param(
[Parameter(Mandatory=$true)][string]$PolicyPath,
[Parameter(Mandatory=$false)][string]$LogPath = "C:\Logs\AppLocker_Deploy.log",
[Parameter(Mandatory=$false)][switch]$WhatIf
)

function Write-Log {
param([string]$Message, [string]$Level = "INFO")
$Timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
$Entry = "[$Timestamp] [$Level] $Message"
Add-Content -Path $LogPath -Value $Entry -Force
if ($Level -eq "ERROR") { Write-Error $Message } else { Write-Host $Entry }
}

$CurrentPrincipal = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())
if (-not $CurrentPrincipal.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) {
Write-Log "Требуется запуск от имени администратора или SYSTEM" "ERROR"
exit 1
}

if (-not (Test-Path $PolicyPath)) {
Write-Log "Policy file not found: $PolicyPath" "ERROR"
exit 1
}

try {
$PolicyXml = Get-Content $PolicyPath -Raw -ErrorAction Stop
[xml]$XmlDoc = $PolicyXml

if ($WhatIf) {
Write-Log "[WHATIF] Policy validation passed. No changes applied." "INFO"
exit 0
}

$BackupPath = "C:\Backups\AppLocker_$(Get-Date -Format 'yyyyMMdd_HHmmss').xml"
Export-AppLockerPolicy -Xml -FilterType Publish | Out-File $BackupPath -Encoding UTF8
Write-Log "Backup created: $BackupPath" "INFO"

Set-AppLockerPolicy -XmlPolicy $PolicyXml -Merge -ErrorAction Stop
Write-Log "Policy deployed successfully from: $PolicyPath" "INFO"

gpupdate /force /target:computer | Out-Null

} catch {
Write-Log "Deployment failed: $($_.Exception.Message)" "ERROR"
if (Test-Path $BackupPath) {
Set-AppLockerPolicy -XmlPolicy (Get-Content $BackupPath -Raw) -Merge -ErrorAction SilentlyContinue
Write-Log "Auto-rollback completed from: $BackupPath" "WARN"
}
exit 1
}

🎯 ASR-правила: полный список с приоритетами внедрения

Высокий приоритет

• 📄 Block Office apps from creating executable content — GUID: 3b576869-a4ec-4529-8536-b80a7769e899 — Режим: Block — Стандартное, низкий шум
• ⚡ Block execution of potentially obfuscated scripts — GUID: 5beb7efe-fd9a-4556-801d-275e5ffc04cc — Режим: Block — Стандартное
• 🌐 Block JavaScript or VBScript from launching downloaded executable content — GUID: d3e037e1-3eb8-44c8-a917-57927947596d — Режим: Block — Стандартное

Средний приоритет

• 📊 Block executable files from running unless they meet prevalence, age, or trusted list criterion — GUID: 01443614-cd74-433a-b99e-2ecdc07bfc25 — Режим: Audit → Block — ⚠️ Требует Cloud-delivered protection
• 🔄 Block process creations originating from PSExec and WMI commands — GUID: d1e49aac-8f56-4280-b9ba-993a6d77406c — Режим: Audit → Block — Тестировать 7 дней
• 🎭 Block use of copied or impersonated system tools (2026) — GUID: c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb — Режим: Block — ⚠️ Не поддерживает Warn

Низкий приоритет

• 🔄 Block rebooting machine in Safe Mode (2026) — GUID: 33ddedf1-c6e0-47cb-833e-de6133960387 — Режим: Block — ⚠️ Не блокирует ручной вход через WinRE

⚠️ Особый режим

• 🔐 Block credential stealing from the Windows local security authority subsystem (lsass.exe) — GUID: 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2 — Режим: Block — ⚠️ Не поддерживает Warn; высокий шум аудита

💡 Важно: Правила с пометкой «Не поддерживает Warn» нельзя протестировать в режиме предупреждения — только Audit → Block.

⚙️ PowerShell-скрипты: сбор, анализ, откат

🔹 Сбор событий ASR (1121/1122) с фильтрацией и экспортом

<#
.SYNOPSIS: Сбор и экспорт событий ASR для SIEM-интеграции
.REQUIRES: SYSTEM or local admin + SeSecurityPrivilege
.OUTPUT: JSON с валидной схемой для Sentinel ingestion
#>
param(
[int]$HoursBack = 24,
[string]$OutputPath = "C:\Logs\ASR_Export_$(Get-Date -Format 'yyyyMMdd_HHmmss').json",
[string]$SIEMEndpoint = $null,
[string]$SIEMToken = $null
)

$CurrentPrincipal = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())
if (-not $CurrentPrincipal.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) {
Write-Error "Требуется запуск от имени администратора или SYSTEM"
exit 1
}

$StartTime = (Get-Date).AddHours(-$HoursBack).ToUniversalTime()
$LogName = 'Microsoft-Windows-Windows Defender/Operational'

try {
$Events = Get-WinEvent -FilterHashtable @{
LogName = $LogName
ID = 1121, 1122
StartTime = $StartTime
} -ErrorAction Stop | ForEach-Object {
$Xml = [xml]$_.ToXml()
$EventData = $Xml.Event.EventData.Data

[PSCustomObject]@{
time = $_.TimeCreated.ToUniversalTime().ToString('o')
computer = $env:COMPUTERNAME
event_id = $_.Id
action = if ($_.Id -eq 1121) { 'block' } else { 'audit' }
rule_name = $EventData[0].'#text'
rule_guid = $EventData[1].'#text'
process_path = $EventData[2].'#text'
user_sid = $EventData[3].'#text'
user_name = try { (New-Object System.Security.Principal.SecurityIdentifier($EventData[3].'#text')).Translate([System.Security.Principal.NTAccount]).Value } catch { 'UNKNOWN' }
sha256 = if ($EventData.Count -gt 4) { $EventData[4].'#text' } else { $null }
custom_fields = @{
source_script = $MyInvocation.MyCommand.Name
collection_time = (Get-Date).ToUniversalTime().ToString('o')
}
}
}
} catch {
Write-Error "Failed to query events: $($_.Exception.Message)"
exit 1
}

$ExportData = @{
schema_version = "1.0"
source = "Defender-ASR-Collector"
records = $Events
} | ConvertTo-Json -Depth 10 -Compress

$ExportData | Out-File $OutputPath -Encoding UTF8 -Force
Write-Host "[$(Get-Date)] Exported $($Events.Count) events to $OutputPath"

if ($SIEMEndpoint -and $SIEMToken) {
try {
Invoke-RestMethod -Uri $SIEMEndpoint -Method Post -Body $ExportData `
-ContentType 'application/json' -Headers @{ "Authorization" = "Bearer $SIEMToken" } `
-TimeoutSec 30 -ErrorAction Stop
Write-Host "[$(Get-Date)] Sent to SIEM successfully"
} catch {
Write-Warning "Failed to send to SIEM: $($_.Exception.Message)"
$QueuePath = $OutputPath -replace '\.json$', '.pending'
$ExportData | Out-File $QueuePath -Encoding UTF8 -Force
}
}

🔹 Массовая настройка ASR-правил через конфигурационный файл

<#
.SYNOPSIS: Массовое применение ASR-правил из JSON-конфига
.MODES: 0=Off, 1=Block, 2=Audit, 5=Not Configured, 6=Warn
.NOTE: Правила без поддержки Warn будут пропущены при mode=6
#>
param(
[Parameter(Mandatory=$true)][string]$ConfigPath,
[switch]$DryRun
)

$Config = Get-Content $ConfigPath -Raw | ConvertFrom-Json
$ValidModes = @(0,1,2,5,6)
$NoWarnRules = @(
'9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2',
'33ddedf1-c6e0-47cb-833e-de6133960387'
)

foreach ($Rule in $Config.rules) {
if ($Rule.guid -notmatch '^[0-9a-f]{8}-([0-9a-f]{4}-){3}[0-9a-f]{12}$') {
Write-Warning "Invalid GUID format: $($Rule.guid)"
continue
}
if ($Rule.mode -notin $ValidModes) {
Write-Warning "Invalid mode for $($Rule.guid): $($Rule.mode)"
continue
}

if ($Rule.mode -eq 6 -and $Rule.guid -in $NoWarnRules) {
Write-Warning "Rule $($Rule.guid) does not support Warn mode. Skipping."
continue
}

if ($Rule.guid -eq '01443614-cd74-433a-b99e-2ecdc07bfc25') {
$CloudEnabled = (Get-MpPreference).CloudBlockLevel -ne 'Off'
if (-not $CloudEnabled -and $Rule.mode -eq 1) {
Write-Warning "Rule $($Rule.guid) requires Cloud-delivered protection"
}
}

if ($DryRun) {
Write-Host "[DRYRUN] Would set rule $($Rule.guid) to mode $($Rule.mode)" -ForegroundColor Yellow
continue
}

try {
Set-MpPreference -AttackSurfaceReductionRules_Ids $Rule.guid `
-AttackSurfaceReductionRules_Actions $Rule.mode `
-ErrorAction Stop
Write-Host "[OK] Applied rule $($Rule.guid) = $($Rule.mode)" -ForegroundColor Green
} catch {
Write-Error "Failed to apply rule $($Rule.guid): $($_.Exception.Message)"
}
}

📄 Пример конфига asr_config.json:

{
"description": "ASR baseline for production - Phase 1",
"rules": [
{ "guid": "3b576869-a4ec-4529-8536-b80a7769e899", "mode": 1, "comment": "Block Office macros" },
{ "guid": "5beb7efe-fd9a-4556-801d-275e5ffc04cc", "mode": 1, "comment": "Block obfuscated scripts" },
{ "guid": "d3e037e1-3eb8-44c8-a917-57927947596d", "mode": 2, "comment": "Audit JS/VBS download exec" },
{ "guid": "9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2", "mode": 1, "comment": "Block LSASS steal (no Warn)" }
]
}

☁️ Интеграция с Sentinel: Schema + KQL + Alert Rules

🔹 Schema Mapping для Custom Table DefenderASR_CL

.create table DefenderASR_CL (
time: datetime,
computer: string,
event_id: int,
action: string,
rule_name: string,
rule_guid: string,
process_path: string,
user_sid: string,
user_name: string,
sha256: string,
custom_fields: dynamic
)

🔹 KQL-запросы для детекции и расследования

// 🔍 Запрос 1: Массовые блокировки одного процесса (аномалия)
DefenderASR_CL
| where action == 'block'
| summarize
BlockCount = count(),
Users = dcount(user_name),
Computers = dcount(computer),
FirstSeen = min(time),
LastSeen = max(time)
by process_path, rule_guid, rule_name
| where BlockCount > 10 or Users > 5 or Computers > 3
| extend RiskScore = case(
BlockCount > 50, 95,
BlockCount > 20 and Users > 10, 85,
Computers > 5, 75,
50
)
| project TimeGenerated = LastSeen, computer, process_path, rule_name, BlockCount, Users, Computers, RiskScore
| order by RiskScore desc, BlockCount desc

-------------------------------------------------

// 🔍 Запрос 2: Поиск попыток обхода через копирование системных утилит
DefenderASR_CL
| where rule_guid == 'c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb'
| extend FileName = extract(@'\\([^\\]+)$', 1, process_path)
| where FileName matches regex @"(?i)(psexec|procdump|mimikatz|bloodhound|adconnectdump)"
| summarize Attempts = count(), UniqueUsers = dcount(user_name) by computer, FileName
| where Attempts > 3
| project TimeGenerated = now(), computer, FileName, Attempts, UniqueUsers

-------------------------------------------------

// 🔍 Запрос 3: Корреляция с другими событиями безопасности
DefenderASR_CL
| where action == 'block'
| join kind=inner (
SecurityEvent
| where EventID in (4688, 4624, 4625)
| extend ProcessName = extract(@'\\([^\\]+)$', 1, ProcessName)
) on $left.computer == $right.Computer, $left.user_sid == $right.SubjectUserSid
| where datetime_diff('minute', DefenderASR_CL.time, SecurityEvent.TimeGenerated) between (-5 .. 5)
| summarize
ASR_Blocks = countif(DefenderASR_CL.action == 'block'),
LogonFailures = countif(SecurityEvent.EventID == 4625),
Processes = make_set(SecurityEvent.ProcessName)
by DefenderASR_CL.computer, DefenderASR_CL.user_name
| where ASR_Blocks > 5 or LogonFailures > 10

🔹 Alert Rule для Sentinel (JSON-экспорт)

{
"name": "ASR_Mass_Block_Anomaly",
"description": "Detects mass blocking of a single process across multiple users/computers",
"query": "// Вставить KQL из Запроса 1 выше",
"queryFrequency": "PT1H",
"queryPeriod": "PT1H",
"triggerOperator": "GreaterThan",
"triggerThreshold": 0,
"severity": "Medium",
"tactics": ["DefenseEvasion", "Execution"],
"techniques": ["T1059", "T1105"],
"alertRuleTemplateName": "ASR-Anomaly-Detection",
"customDetails": {
"RuleGUID": "{{rule_guid}}",
"ProcessPath": "{{process_path}}",
"RiskScore": "{{RiskScore}}"
},
"entityMappings": [
{ "entityType": "Account", "fieldMappings": [{ "identifier": "FullName", "columnName": "user_name" }] },
{ "entityType": "Host", "fieldMappings": [{ "identifier": "HostName", "columnName": "computer" }] },
{ "entityType": "File", "fieldMappings": [{ "identifier": "Path", "columnName": "process_path" }] }
]
}

↩️ Сценарии отката (Rollback)

🔹 Откат через Set-MpPreference (ASR)

<#
.SYNOPSIS: Откат конкретного или всех ASR-правил в режим 'Not Configured'
.REQUIRES: SYSTEM or local admin + SeSecurityPrivilege
#>
param(
[string]$RuleGuid = $null,
[switch]$Confirm
)

$AllASRRules = @(
'3b576869-a4ec-4529-8536-b80a7769e899', '5beb7efe-fd9a-4556-801d-275e5ffc04cc',
'd3e037e1-3eb8-44c8-a917-57927947596d', '01443614-cd74-433a-b99e-2ecdc07bfc25',
'd1e49aac-8f56-4280-b9ba-993a6d77406c', 'c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb',
'33ddedf1-c6e0-47cb-833e-de6133960387', '9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2'
)

$RulesToReset = if ($RuleGuid) { @($RuleGuid) } else { $AllASRRules }

foreach ($Guid in $RulesToReset) {
if ($Confirm) {
$Response = Read-Host "Reset rule $Guid to 'Not Configured'? (y/N)"
if ($Response -ne 'y') { continue }
}

try {
Set-MpPreference -AttackSurfaceReductionRules_Ids $Guid `
-AttackSurfaceReductionRules_Actions 5 `
-ErrorAction Stop
Write-Host "[OK] Reset rule $Guid" -ForegroundColor Green
} catch {
Write-Error "Failed to reset rule $Guid`: $($_.Exception.Message)"
}
}

🔹 Откат через реестр (альтернативный метод)

<#
.SYNOPSIS: Прямое управление ключами реестра ASR (требует SYSTEM)
.PATH: HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules
#>
param(
[string]$RuleGuid,
[switch]$RemoveAll
)

$RegPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules"

if ($RemoveAll) {
if (Test-Path $RegPath) {
Get-ItemProperty -Path $RegPath -ErrorAction SilentlyContinue |
Select-Object -ExpandProperty PSProperty |
Where-Object { $_ -match '^[0-9a-f]{8}-([0-9a-f]{4}-){3}[0-9a-f]{12}$' } |
ForEach-Object {
Remove-ItemProperty -Path $RegPath -Name $_ -Force -ErrorAction SilentlyContinue
Write-Host "[Removed] $_" -ForegroundColor Yellow
}
}
} elseif ($RuleGuid -and (Test-Path "$RegPath\$RuleGuid")) {
Remove-ItemProperty -Path $RegPath -Name $RuleGuid -Force -ErrorAction Stop
Write-Host "[Removed] $RuleGuid" -ForegroundColor Yellow
}

Restart-Service WinDefend -Force -ErrorAction SilentlyContinue
Write-Host "[Info] WinDefend service restarted" -ForegroundColor Cyan

🧪 Тестирование и валидация

🔹 Чек-лист пред-продакшн тестирования

✅ Экспорт базовой политики: Export-AppLockerPolicy -Xml
✅ Развёртывание на пилотной группе (50-100 устройств)
✅ Запуск стандартных правил в Audit на 7-14 дней
✅ Сбор событий через скрипт, экспорт в Sentinel
✅ Анализ KQL-запросом: поиск аномалий
✅ Верификация ложных срабатываний (легитимные процессы)
✅ Добавление исключений через AttackSurfaceReductionOnlyExclusions
✅ Поэтапный перевод в Block (по одному правилу в неделю)
✅ Настройка alert-правил в Sentinel
✅ Документирование всех изменений с хэшем и временной меткой
✅ *⚠️ Валидация совместимости AppLocker + Constrained Language Mode на Win11 24H2*
✅ ⚠️ Проверка Cloud-delivered protection для prevalence-based правила

🔹 Тестовые сценарии для валидации

📄 Сценарий 1: Проверка блокировки макроса из Office

# Ожидание: событие 1121, правило 3b576869-a4ec-4529-8536-b80a7769e899

# Действие: создать тестовый .docm с макросом, открыть в Word на тестовой машине

⚡ Сценарий 2: Проверка блокировки PowerShell из WScript

# Ожидание: событие 1121, правило 5beb7efe-fd9a-4556-801d-275e5ffc04cc

# Действие: создать .vbs с кодом: CreateObject("WScript.Shell").Run("powershell.exe")

🔄 Сценарий 3: Проверка нового правила 2026 (Safe Mode)

# Ожидание: блокировка команды: bcdedit /set {default} safeboot minimal

# Примечание: правило не блокирует ручной вход через Windows Recovery Environment

# Действие: запустить команду из PowerShell с правами администратора

📊 Мониторинг и дашборды

🔹 KQL для дашборда в Sentinel

// 📊 Сводка по ASR-событиям за последние 24 часа
DefenderASR_CL
| where time > ago(24h)
| summarize
TotalEvents = count(),
Blocks = countif(action == 'block'),
Audits = countif(action == 'audit'),
UniqueRules = dcount(rule_guid),
UniqueComputers = dcount(computer),
UniqueUsers = dcount(user_name)
| render columnchart

---------------------------------------------------

// 📈 Топ-10 правил по количеству блокировок
DefenderASR_CL
| where action == 'block' and time > ago(7d)
| summarize BlockCount = count() by rule_name, rule_guid
| top 10 by BlockCount desc
| render barchart

--------------------------------------------------------

// 🌍 Гео-распределение (если компьютеры имеют теги локации)
DefenderASR_CL
| where time > ago(24h)
| join kind=leftouter (
Heartbeat
| summarize Location = any(OSType) by Computer
) on $left.computer == $right.Computer
| summarize Blocks = countif(action == 'block') by Location
| render piechart

📋 Соответствие требованиям (Compliance Mapping)

🔐 NIST 800-53 AC-3 (Access Enforcement) → Механизм: AppLocker FilePathRule → Реализация: block-user-exec

🛡️ NIST 800-53 SI-3 (Malicious Code Protection) → Механизм: ASR: Block obfuscated scripts → Реализация: GUID: 5beb7efe-fd9a-4556-801d-275e5ffc04cc

⚙️ CIS Benchmark 5.1 (Configure Application Control) → Механизм: AppLocker EnforcementMode=Enabled → Реализация: Set-AppLockerPolicy -EnforcementMode Enabled

☁️ PCI DSS 5.2 (Anti-malware on all systems) → Механизм: Defender ASR + Cloud Protection → Реализация: Set-MpPreference -CloudBlockLevel High

📄 ISO 27001 A.12.2.1 (Protection against malware) → Механизм: ASR: Block Office macros → Реализация: GUID: 3b576869-a4ec-4529-8536-b80a7769e899

🔧 Troubleshooting и частые ошибки

🔹 Проблема: События 1121/1122 не появляются в логе

# Проверка включения логирования

Get-MpPreference | Select-Object EnableControlledFolderAccess, AttackSurfaceReductionOnlyExclusions

# Принудительное включение логирования

Set-MpPreference -SubmitSamplesConsent SendAllSamples -ErrorAction SilentlyContinue

# Проверка размера и переполнения лога

wevtutil gl "Microsoft-Windows-Windows Defender/Operational" | findstr "maxSize"

# При необходимости увеличить:

wevtutil sl "Microsoft-Windows-Windows Defender/Operational" /ms:33554432

🔹 Проблема: AppLocker блокирует легитимное приложение

# 1. Найти событие блокировки

$Event = Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-AppLocker/EXE and DLL'; ID=8004} -MaxEvents 1

# 2. Извлечь путь и хэш

$Xml = [xml]$Event.ToXml()
$Path = $Xml.Event.EventData.Data[1].'#text'
$Hash = $Xml.Event.EventData.Data[3].'#text'

# 3. Добавить исключение по хэшу (предпочтительно) или пути
# Через XML-политику добавить FileHashRule с нужным Hash

# 4. Обновить политику

Set-AppLockerPolicy -XmlPolicy $UpdatedPolicy -Merge
gpupdate /force /target:computer

🔹 Проблема: Скрипт не работает из-за прав

# Запуск от имени SYSTEM через PsExec

psexec.exe -s -i powershell.exe -File C:\Scripts\deploy_asr.ps1

# Или через Task Scheduler (задача с highest privileges)

$action = New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\deploy_asr.ps1'

$principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount -RunLevel Highest

Register-ScheduledTask -TaskName "Deploy-ASR" -Action $action -Principal $principal -Force

📌 Финальный чек-лист перед запуском в production:
✅ Все скрипты протестированы на пилотной группе
✅ Логирование настроено и проверяется ежедневно
✅ Исключения добавлены только после верификации
✅ Откат-сценарии задокументированы и протестированы
✅ SIEM-интеграция валидирована (события поступают, alert срабатывают)
✅ Команда знает, как реагировать на срабатывания (playbook)
✅ ⚠️ Подтверждена совместимость с Win11 24H2
✅ ⚠️ Cloud-delivered protection включена для prevalence-based правил

💡 Про-совет: Автоматизируйте проверку соответствия: создайте еженедельную задачу, которая сравнивает текущие настройки ASR/AppLocker с эталонным конфигом и отправляет отчёт в Teams/Slack при отклонениях. Все изменения логируйте с хэшем и временной меткой для аудита.