Defender Ausschlüsse funktionieren nicht

[wos 0]

Hallo zusammen,

 

ich hab da mal ein Frage den Defender betreffend. Mir ist ja bekannt, dass wenn man will, das ein Virenscanner die Datei XYZ.EXE in Ruhe lassen soll, ein entspr. Ausschluss für Ruhe sorgen kann. So bin ich in meiner Naivität auch mal beim Defender davon ausgegangen. Habe dann entspr. Ausschlüsse in meiner GPO gesetzt ...

 

 

... die auch scheinbar so am entspr. Rechner ankommen:

 

 

Prima. müsste ja alles gut sein. Mein Problem ist nur, dass das dem Defender ziemlich egal ist. Wenn ich die Datei dann auf den Server kopiere, wird die sofort gelöscht. Auch wenn die Datei nicht harmlos wäre (ist von mir programmiert), so will ich verdammt nochmal das Recht haben eine solche Ausnahme zu erstellen und davon ausgehen, dass diese dann auch so beachtet wird.

 

Na gut, sicherlich ist Microsoft da wieder einmal schlauer oder hat wasweisich für einen hyperintelligenten Automatismus dahinter, der sich dann doch gegen die von mir getroffene Entscheidung stellt und die Datei löscht. Alles nur zu meinem Besten versteht sich. Sicher habe ich mich nur geirrt als ich die Ausnahme anlegen wollte. Insofern mag ich mal hier fragen, ob denn einer das sahnige Geheimnis von Philadelphia kennt .... wie man so eine Ausnahme "richtig" anlegt. Also wie man das macht, was eigentlich damit beabsichtigt war:

 

Der Wunsch wäre, die von mir genannte EXE vom Virenscanner auszuschließen (und damit natürlich jegliche Schutzaktion wie löschen oder in Quarantäne...). Dabei soll einfach nur gegen den Dateinamen gegangen werden (jaa ... ich weiß ...). Aber das sollte doch möglich sein?!

 

Vielleicht kann sich ja jemand erbarmen und mir erklären, warum mein Ausschluss nichts ausschließt, bzw. wie man den dann korrekt anlegen müsste.

Danke schon mal!

 

 

 

[chrismue 97]

Hi,

 

auf deinem Screenshot steht "Pfadausschlüsse"

 

MailSetup.exe ist aber kein Pfad

 

Gruß

chrismue

[wos 0]

Hallo, 

 

da hast Du völlig recht. Genau darüber habe ich mich auch gewundert. Aber dann in der GUI, wird es korrekt als Datei angezeigt. In den GPOs habe ich auch nichts anderes gefunden als eine Pfadregel eingeben zu können (von Datei steht da nichts mehr):

 

 

Wenn man dort nur stattdessen nur die Datei angibt, wird es dann zur Dateiregel. Auf jeden Fall zeigt es die Windows Sicherheits App auch dann so an (im Vergleich mal wie so eine Pfadregel dann dort ankommt aussieht):

 

 

Ich will jetzt auch nicht das Wort Logik, Benennungen der Dinge und Microsoft in einem Satz erwähnen. Das wär dann doch zuviel des Guten. Fakt ist, das kann man da nicht machen. Oder aber ich blicks nicht, kann ja auch sein, dagegen ist wohl keiner gefeilt. Fühlt sich nur so an, dass ich eigentlich (nach meinem dafürhalten) die korrekten Regeln angegeben habe. Wenn es einen Weg gibt, bin ich froh, wenn den jemand mit mir teilt.

 

Weißt Du vielleicht, wie man es stattdessen machen sollte? 

 

Irgendwie muss das doch gehen, dem Defender zu sagen ... hey ... das lässte mal in Ruhe. Hätte ich aus dem Stegreif auf jeden Fall so behauptet, bevor ich es selbst versucht hatte. Alles andere wär ja Blödsinn. 

[NorbertFe 2.045]

Versuch doch mal den kompletten Pfad, so wie es im Explain-Text der Policy steht:

Zitat

Ein vollqualifizierter Ressourcenname kann folgendermaßen definiert werden: "C:\Windows\App.exe". 

 

[wos 0]

Das kann ich leider nicht brauchen, manchmal muss ich die EXE bei dem Benutzer auf den Desktop legen, manchmal bei einem anderen und manchmal sogar ... ganz wo anders hin. Also auch irgendwelche Platzhalter wie %HOMEDRIVE%%HOMEPATH% bringen mich hier nicht weiter.

[NorbertFe 2.045]

Das mag ja sein, aber wenns dann geht, weißt du, dass es geht und deine Variante eben nicht. Dann muss man auch nicht weitersuchen.

[wos 0]

Ich werde das noch einmal probieren, dann wär es aber schon arg seltsam wenn sich das mit dem Defender nicht abbilden ließe. Dürfte sich um eine Funktionalität handeln, die man wohl von wirklich jedem Virenscanner erwarten dürfte. Auch wenn MS ja etliche Böcke abschießt, so dämlich können sie doch nicht sein, das glaub ich nicht.

 

Nach dem Eier suchen werde ich auch das noch mal probieren und hier Bescheid geben. Würde mich weiterhin natürlich auch über eine Aussage freuen, wenn das jemand schon mal gemacht hat und mir dann nett über die Straße hilft ;)

[winmadness 79]

vor 23 Minuten schrieb wos:

EXE bei dem Benutzer auf den Desktop legen, manchmal bei einem anderen und manchmal sogar ... ganz wo anders hin

Eine Idee hierzu: die EXE immer in das selbe Verzeichnis speichern und je nach Bedarf eine Verknüpfung in dem gewünschten Ordner anlegen

bearbeitet 6. April 2023 von winmadness

[MurdocX 952]

AFAIK sollte es möglich sein die Datei zu signieren und sie damit im Defender mittels einer Konfiguration als Vertrauenswürdig zu deklarieren. Dazu würde ein Self-Signed-Zertifikat reichen, welches du via GPO auf die Computer verteilen kannst.

 

Ressourcen:

- SignTool.exe (Signaturtool) - .NET Framework | Microsoft Learn

- https://learn.microsoft.com/de-de/microsoft-365/security/defender-endpoint/defender-endpoint-antivirus-exclusions?view=o365-worldwide#defender-for-endpoint-indicators