11Module · Sécurité
Attack Surface Reduction (ASR) : 16 règles clés
ASR bloque des comportements malveillants génériques : enfants Office, scripts obfusqués, USB exécutables. Vether active 16 règles équilibrées.
6 min de lecture·Mise à jour 2026-05-18
Attack Surface Reduction est un module Defender qui bloque des patterns plutôt que des signatures. Chaque règle a un GUID et trois modes : Disabled (0), Block (1), Audit (2).
| Règle | Mode Vether | Bloque |
|---|---|---|
| Block executable content from email/webmail | Block | EML/MSG → .exe extraction |
| Block Office apps from creating child processes | Block | Word → cmd.exe macro |
| Block Office from creating executable content | Block | Word → .exe dropped |
| Block Office from injecting code | Block | VBA injection processus |
| Block JS/VBS from launching downloaded content | Block | Téléchargement → exec |
| Block obfuscated JS/PowerShell | Block | Encoded -enc commands |
| Block Win32 API calls from Office macros | Block | VBA → kernel32 |
| Use advanced protection against ransomware | Block | Heuristique ransom |
| Block credential stealing from LSASS | Block | Mimikatz-style |
| Block process creation from PSExec/WMI | Audit | Trop strict en local |
| Block untrusted/unsigned USB executables | Block | Conficker pattern |
| Block Office communication apps creating child | Block | Outlook → cmd |
| Block Adobe Reader creating child processes | Block | PDF → exec |
| Block persistence through WMI | Block | WMI subscription |
| Block abuse of vulnerable signed drivers | Block | BYOVD attacks |
| Block file rebooting / sideloading | Audit | Trop strict pour devs |
⚠
ASR peut bloquer des comportements légitimes (un installeur signé qui dépose des binaires, par exemple). Vether expose un onglet « Événements ASR récents » pour identifier rapidement un faux positif et créer une exclusion ciblée.
Inspection des événements
Voir les bloquages ASRpowershell
Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |
Where-Object { $_.Id -in @(1121,1122,5007) } |
Select-Object TimeCreated, Id, Message -First 20