Firewall, Virenschutz, Zertifikate und andere Sicherheitsfunktionen lassen sich mit der PowerShell steuern, um die Sicherheit in Windows zu verbessern. Wir geben in diesem Beitrag Tipps, welche Möglichkeiten es dazu gibt.

Wir haben im Beitrag „PowerShell Security Best Practices“ bereits gezeigt, welche Rolle die PowerShell im Bereich der Security in Windows spielen kann. Im Beitrag „Mit der PowerShell nach offenen Ports suchen“ sind wir auf die Sicherheit von Windows im Netzwerk eingegangen und wie die PowerShell bei der Suche nach offenen Ports helfen kann.

Dieser Beitrag beschäftigt sich mit weiteren Möglichkeiten der PowerShell, mit denen die Sicherheit in Netzwerken zum Teil deutlich verbessert werden kann. Die meisten Cmdlets lassen sich dazu in Windows 10/11 genauso nutzen, wie in Windows Server 2016/2019 und Windows Server 2022.

Teilweise passiert es, dass Anwender vor allem im Home Office Microsoft Defender deinstallieren oder durch einen Virenscanner eines Drittanbieters ersetzen. Wenn die Wiederherstellung von Microsoft Defender wieder notwendig ist, weil der Dritthersteller-Scanner doch nicht so gut funktioniert wie erwartet, kann es bei der Deinstallation des Produktes zu Problemen führen. In diesem Fall hilft das Wiederherstellen von Microsoft Defender über die PowerShell. Dazu kann folgender Befehl genutzt werden:

Danach sollte in den Einstellungen von Windows 11 bei „Datenschutz und Sicherheit“ über „Windows-Sicherheit“ der Virenschutz überprüft und aktualisiert werden. Im Beitrag „Windows 10/11 braucht keinen externen Virenschutz“ zeigen wir die dazu notwendigen und noch weiteren Schritte, auch zum Schutz gegen Ransomware. Ob der Schutz aktiv ist, lässt sich in der PowerShell mit dem Cmdlet „Get-MpComputerStatus“ überprüfen. Wichtig ist an dieser Stelle vor allem, dass der Wert bei „AntivirusEnabled“ auf „True“ steht.

In der PowerShell kann mit dem Cmdlet „Update-MpSignature“ auch gleich eine Aktualisierung der Definitionsdateien erfolgen. Ein Schnellscan lässt sich an dieser Stelle mit „Start-MpScan -ScanType QuickScan“ starten.

Mit dem Cmdlet „Get-MpThreat“ zeigt die PowerShell die letzten Angriffe von Malware auf einen Rechner an und welche Malware versucht hat den Rechner zu attackieren.

Mit dem Cmdlet „Get-Hotfix“ lassen sich alle relevanten Updates für Windows 11 in der PowerShell anzeigen. Hier ist auch zu sehen, wann diese installiert wurden und welcher Benutzer die Installation durchgeführt hat. Das Cmdlet unterstützt den Parameter „-ComputerName“. Dadurch lässt sich die Liste auch von anderen Computern abrufen.

Der Überwachter-Ordnermodus in Windows 10/11 schützt Computer vor Ransomware. Wir haben den Schutz bereits im oben verlinkten Beitrag behandelt. der Überwachte-Ordnermodus lässt sich im Auditmodus betreiben, um zunächst sicherzustellen, dass keine wichtigen Anwendungen auf dem Rechner blockiert werden. Die Einstellungen dazu lassen sich in der PowerShell mit Admin-Rechten über den folgenden Befehl umsetzen:

Um den Blockiermodus zu aktivieren, der für den Schutz gegen Ransomware sorgt, ist folgender Befehl möglich:

Um weitere Verzeichnisse in den Schutz einzubinden, kommt folgender Befehl zum Einsatz:

Microsoft Defender kann mit Reduktion der Angriffsfläche (Attack Surface Reduction, ASR) die Angriffsfläche von Windows deutlich reduzieren. Der Schutz kann vor gefährlichen E-Mails oder Viren in Office-Dateien und PDFs schützen sowie Webbrowser vor gefährlichen Webseiten. Ob der Schutz aktiviert ist und wie dessen Einstellungen sind, lässt sich in der PowerShell mit dem folgenden Befehl überprüfen:

Steuern lassen sich die Regeln wiederum mit dem Cmdlet „Set-MpPreference“. Die Konfiguration lässt sich auch in den Gruppenrichtlinien über den folgenden Pfad steuern: Computerkonfiguration -> Richtlinien -> Administrative Vorlagen -> Windows-Komponenten -> Microsoft Defender Antivirus -> Microsoft Defender Exploit Guard -> Verringerung der Angriffsfläche.

Um die PowerShell zum Beispiel auf einem Linux-Server zu installieren und PowerShell-Remoting für die Verwaltung über das Netzwerk zu nutzen, ist folgende Vorgehensweise zu empfehlen:

Die PowerShell kann danach mit „sudo pwsh“ gestartet werden. Um PowerShell-Remoting zu installieren und zu nutzen, kommen danach folgende Befehle zum Einsatz:

Danach kann auch von Windows aus eine Remote-PowerShell-Sitzung auf einem Linux-Computer geöffnet werden, zum Beispiel mit der Syntax:

Für viele Einsatzzwecke ist es notwendig ein Zertifikat zu nutzen. Allerdings ist es nicht immer erwünscht ein Zertifikat zu kaufen oder von einer internen Zertifizierungsstelle abzurufen. Daher lassen sich in Windows in der PowerShell auch selbstsignierte Zertifikate mit dem Cmdlet „New-SelfSignedCertificate“ erstellen, zum Beispiel mit:

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newslettern nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden.

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://support.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Redaktionelle Newsletter.

Über das PowerShell-Skript „Get-TLS.ps1“ können Admins die TLS-Einstellungen von Windows-Servern prüfen. So kann zum Beispiel überprüft werden, ob TLS 1.3 in Windows Server 2022 aktiv ist, oder noch eine ältere Version zum Einsatz kommt. Das Skript prüft verschiedene Einstellungen in der Registry ab.

Der Trusted Platform Module-Chip (TPM) lässt sich mit dem Cmdlet „Get-Tpm“ überprüfen. Funktoniert der Chip nicht, lässt er sich auch gleich mit „Clear-Tpm“ zurücksetzen. Die Neueinrichtung startet wiederum mit „Initialize-Tpm“.

Microsoft Defender Firewall und Antivirus im professionellen Umfeld

Sicherheit auf Windows-Servern mit Bordmitteln steuern

Video-Tipp #50: Windows Update & Powershell

Cookie-Manager AGB Hilfe Kundencenter Mediadaten Datenschutz Impressum & Kontakt Autoren

Copyright © 2023 Vogel Communications Group

Diese Webseite ist eine Marke von Vogel Communications Group. Eine Übersicht von allen Produkten und Leistungen finden Sie unter www.vogel.de