MDE_Enum

MDE_Enum

MDE_Enum — это комплексный инструмент .NET, предназначенный для извлечения и отображения подробной информации об исключениях Защитника Windows и правилах уменьшения поверхности атаки (ASR). Он способен эффективно опрашивать как локальные, так и удаленные системы, даже из контекста с низким уровнем пользователя, что делает его универсальным инструментом для системных администраторов и специалистов по безопасности.

Функции

• Поддержка локальных и удаленных запросов . Беспрепятственный запрос настроек Защитника Windows как на локальных, так и на удаленных компьютерах.
• Пользовательский контекст : эффективно работает в контексте низкого уровня пользователя, устраняя необходимость в административных разрешениях.
• Исключения Защитника Windows . Получите и перечислите все пути исключений, настроенные в Защитнике Windows.
• Правила уменьшения поверхности атаки (ASR) . Перечислите правила ASR, отображая как идентификаторы, так и соответствующие им имена для облегчения идентификации.
• Запускаемые события ASR . Извлеките и перечислите все инициированные события ASR для мониторинга действий по обеспечению безопасности системы.
• Подробный вывод : представляет информацию в четком табличном формате для удобного чтения и анализа.

Использование

Пути исключения Защитника Windows

Эта функция извлекает значения из журналов событий Windows с кодом 5007. Инструмент использует сопоставление шаблонов регулярных выражений для точного извлечения этих значений из текста описания события.

1. Перечислить пути исключения локально

 MDE_Enum /local /paths

MDE_Enum /local /paths /access (check if current user has write access) 

2. Перечисление путей исключения на удаленных компьютерах

 MDE_Enum     /paths 

Триггерные правила ASR

Эта функция извлекает значения из журналов событий Windows с кодом 1121. Инструмент использует сопоставление шаблонов регулярных выражений для точного извлечения этих значений из текста описания события.

1. Перечислить зарегистрированные правила ASR локально

 MDE_Enum /local /asr 

2. Перечислить зарегистрированные правила ASR на удаленных компьютерах

 MDE_Enum     /asr 

Перечислить правила ASR

Эта функция извлекает правила уменьшения поверхности атаки (ASR) из класса WMI MSFT_MpPreference и предоставляет полную информацию о состоянии правил вместе с соответствующими именами.

1. Перечислить правила локально

 MDE_Enum /local /asr /alt 

2. Перечислите правила на удаленных компьютерах.

 MDE_Enum     /asr /alt 

Благодарности

• Спасибо VakninHai (https://x.com/VakninHai/status/1796628601535652289)