MS Defender ASR bei Win32-API-Aufrufen aus Office-Makro

[mroth 1]

Hallo,

 

wir haben das Problem, dass wir Makro-Enabled Excel-Dateien von einem Kunden nicht mittels Defender-Management bei der Attack Surface Reduction ausgeschlossen bekommen.

 

Diese liegen auf einem UNC-Pfad:

\\unternehmen.local\dfs_name\QS\Kunde\2022\22304-01\Doc_PP_968774301_mit_Makro_300270257.xls

 

ASR-Regel:

Block Win32 API calls from Office macros                            Yes         (ist aktiviert)

 

Wenn wir nun Pfadausnahmen einpflegen z.B:

\\unternehmen.local\data\QS\Kunde\

\\unternehmen.local\data\QS\Kunde\*\

\\unternehmen.local\data\QS\Kunde\*\*\

 

Hat dies jedoch keine Auswirkung, da die Dateien in einem lokalen Cache ausgeführt werden.

Die Ausführung aus dem lokalen Pfad wird dann wegen der ASR-Regel unterbunden.

z.B.

C:\Users\Benutzer.DOMAIN\AppData\Local\Microsoft\Windows\INetCache\Content.MSO\D22495CB.xls

 

Da die Regel praktisch unwirksam würde, wenn der komplette lokale Cache-Pfad ausgenommen wird, stellt dies keine Option dar.

Wir können leider auch keine Mustererkennung in den Dateinamen vornehmen, da die Cache-Dateinamen generiert werden.

 

Hat jemand eine praktikable Idee, wie wir diverse Office-Dokumente mit Makros nutzen können, ohne die Win32-API-ASR-Regel zu deaktivieren?

Kann man evtl. in MS-Office den Cache für Netzwerkpfade deaktivieren, sodass wieder mit (UNC)-Pfadausnahmen gearbeitet werden kann?