MDE_Enum

MDE_Enum

MDE_Enum adalah alat .NET komprehensif yang dirancang untuk mengekstrak dan menampilkan informasi terperinci tentang pengecualian Windows Defender dan aturan Attack Surface Reduction (ASR). Ia mampu menanyakan sistem lokal dan jarak jauh secara efektif, bahkan dari konteks pengguna rendah, menjadikannya alat serbaguna untuk administrator sistem dan profesional keamanan.

Fitur

• Dukungan Kueri Lokal dan Jarak Jauh : Mengkueri pengaturan Windows Defender dengan lancar pada mesin lokal dan jarak jauh.

• Konteks Pengguna : Beroperasi secara efisien dari konteks pengguna rendah, menghilangkan kebutuhan izin administratif.

• Pengecualian Windows Defender : Ambil dan daftar semua jalur pengecualian yang dikonfigurasi di Windows Defender.

• Aturan Attack Surface Reduction (ASR) : Hitung aturan ASR, tampilkan ID dan nama terkait untuk memudahkan identifikasi.

• Peristiwa ASR yang Dipicu : Ekstrak dan daftar semua peristiwa ASR yang dipicu untuk memantau aktivitas keamanan sistem.

• Hasil Terperinci : Menyajikan informasi dalam format tabel yang jelas agar mudah dibaca dan dianalisis.

Penggunaan

Jalur pengecualian Windows Defender

Fitur ini mengekstrak nilai dari log Windows Event ID 5007. Alat ini menggunakan pencocokan pola regex untuk secara akurat mengekstrak nilai-nilai ini dari teks deskripsi peristiwa.

1. Hitung jalur pengecualian secara lokal

MDE_Enum /local /paths

MDE_Enum /local /paths /access (check if current user has write access)

2. Menghitung jalur pengecualian pada komputer jarak jauh

MDE_Enum <remoteComputer> <username> <password> <domain> /paths

Aturan ASR yang Dipicu

Fitur ini mengekstrak nilai dari log Windows Event ID 1121. Alat ini menggunakan pencocokan pola regex untuk secara akurat mengekstrak nilai-nilai ini dari teks deskripsi peristiwa.

1. Hitung aturan ASR yang dicatat secara lokal

MDE_Enum /local /asr

2. Menghitung aturan ASR yang dicatat pada komputer jarak jauh

MDE_Enum <remoteComputer> <username> <password> <domain> /asr

Hitung Aturan ASR

Fitur ini mengekstrak aturan Attack Surface Reduction (ASR) dari kelas WMI MSFT_MpPreference dan memberikan status komprehensif aturan beserta nama terkaitnya.

1. Sebutkan peraturan secara lokal

MDE_Enum /local /asr /alt

2. Sebutkan aturan pada komputer jarak jauh.

MDE_Enum <remoteComputer> <domain> <username> <password> /asr /alt

Ucapan Terima Kasih

• Terima kasih kepada VakninHai (https://x.com/VakninHai/status/1796628601535652289)