Microsoft Sysmon теперь может блокировать загрузку exe-файлов

Новая версия службы Microsoft System Monitoring Service. они будут Теперь можно предотвратить создание исполняемых файлов. Событие FileBlockExecutable может предотвратить загрузку или копирование программой файлов .exe или .dll на жесткий диск.

Блогер Олаф Хартунг Показать работу С этим файлом конфигурации:

Исполняемые файлы не могут быть скопированы в папку «Загрузки». скачать exe файл. Использование Edge приведет к немедленному появлению ошибки. Также больше невозможно создать копию исполняемого файла в той же папке (например, с помощью команды «копировать» в командной строке).

Для каждого блока в средстве просмотра событий Windows появляется уведомление (eventvwr.msc) с указанием местоположения файла (не созданного) и процесса, который пытался создать файл.

Эта функция может быть полезна системным администраторам, чтобы запретить пользователям загружать файлы .exe. Вредоносное ПО также может отталкиваться от этого, хотя вы должны сначала знать папку (или идентификатор процесса), в которую вы вводите, а затем уже может быть нанесен ущерб.

Источники:
МайкрософтИ Средний