MDE_Enum — это комплексный инструмент .NET, предназначенный для извлечения и отображения подробной информации об исключениях Защитника Windows и правилах уменьшения поверхности атаки (ASR). Он способен эффективно опрашивать как локальные, так и удаленные системы, даже из контекста с низким уровнем пользователя, что делает его универсальным инструментом для системных администраторов и специалистов по безопасности.
Поддержка локальных и удаленных запросов . Беспрепятственный запрос настроек Защитника Windows как на локальных, так и на удаленных компьютерах.
Пользовательский контекст : эффективно работает в контексте низкого уровня пользователя, устраняя необходимость в административных разрешениях.
Исключения Защитника Windows . Получите и перечислите все пути исключений, настроенные в Защитнике Windows.
Правила уменьшения поверхности атаки (ASR) . Перечислите правила ASR, отображая как идентификаторы, так и соответствующие им имена для облегчения идентификации.
Запускаемые события ASR : извлекайте и перечисляйте все инициированные события ASR для мониторинга действий по обеспечению безопасности системы.
Подробный результат : представляет информацию в четком табличном формате для удобного чтения и анализа.
Эта функция извлекает значения из журналов событий Windows с кодом 5007. Инструмент использует сопоставление шаблонов регулярных выражений для точного извлечения этих значений из текста описания события.
Перечислить пути исключения локально
MDE_Enum /local /paths MDE_Enum /local /paths /access (check if current user has write access)
Перечисление путей исключения на удаленных компьютерах
MDE_Enum <remoteComputer> <username> <password> <domain> /paths
Эта функция извлекает значения из журналов событий Windows с кодом 1121. Инструмент использует сопоставление шаблонов регулярных выражений для точного извлечения этих значений из текста описания события.
Перечислить зарегистрированные правила ASR локально
MDE_Enum /local /asr
Перечислить зарегистрированные правила ASR на удаленных компьютерах
MDE_Enum <remoteComputer> <username> <password> <domain> /asr
Эта функция извлекает правила уменьшения поверхности атаки (ASR) из класса WMI MSFT_MpPreference и предоставляет полную информацию о состоянии правил вместе с соответствующими именами.
Перечислить правила локально
MDE_Enum /local /asr /alt
Перечислите правила на удаленных компьютерах.
MDE_Enum <remoteComputer> <domain> <username> <password> /asr /alt
Спасибо VakninHai (https://x.com/VakninHai/status/1796628601535652289)
