La regola di esperti ENS fornita è una regola generica che copre una semplice separazione delle autorizzazioni dei gruppi:

• I gruppi autorizzati a eseguire processi a livello di autorizzazione amministratore (sistema e autorizzazioni elevate).
• I gruppi che non sono autorizzati a eseguire processi a livello di autorizzazione amministratore (autorizzazioni medie e basse).

Questo modello semplice potrebbe non essere sufficiente per coprire un set di autorizzazioni più complesso nell'ambiente.

Se si rileva che alcuni utenti sono bloccati dalla creazione di giunzioni o altri tipi di collegamenti simbolici, è possibile personalizzare la regola di esperti per adattarsi meglio all'ambiente di lavoro. Per personalizzare, è necessario prima determinare i gruppi di sicurezza in cui si trova l'utente bloccato. Quindi, consentire a uno o più di questi gruppi di essere esclusi dalla regola Expert. Quando si determinano i gruppi che devono disporre delle autorizzazioni per creare collegamenti simbolici, tenere presente che la regola copre collegamenti simbolici regolari, collegamenti e giunzioni.

L'utente bloccato deve eseguire il comando seguente in un prompt dei comandi di Windows per ottenere l'elenco di gruppi con SID:

Esaminare l'output di questo comando. Determinare il gruppo o i gruppi appropriati per disporre delle autorizzazioni per creare collegamenti simbolici, in conformità con le policy di sicurezza aziendali. Quando si dispone dei SID di gruppo che si desidera consentire di creare collegamenti simbolici, aggiungerli uno alla volta alla regola Expert. Ad esempio, se si desidera aggiungere il SID "S-1-5-21-12345", l'aspetto sarà simile a questo (aggiunta mostrata in grassetto sotto):

Rule {
Process {
Include OBJECT_NAME { -v cmd.exe }
Include OBJECT_NAME { -v powershell.exe }
Include OBJECT_NAME { -v powershell_ise.exe }

# exclude admin groups
Exclude AggregateMatch {
Include GROUP_SID { -v "S-1-16-12288" }
Include GROUP_SID { -v "S-1-16-16384" }
Include GROUP_SID { -v "S-1-5-21-12345" }
}
}
Target {
Match FILE {
Include -access SET_REPARSE
}
}
}

Nota: La firma 6165 (comportamento dannoso: tentativo di giunzione di directory rilevato) è stata introdotta nel contenuto di prevenzione exploit. La regola di esperti in questo articolo è una firma più generica e blocca la creazione del collegamento simbolico. Signature 6165 monitora le attività cmd specifiche per il rilevamento e non solo symlink per la creazione.