Creare la regola di esperti riportata di seguito e applicare la regola ai sistemi interessati. Questa regola blocca la creazione di un dump del processo LSASS tramite l'attività Manager il Windows Server 2016.

Nota: Solo Windows Server 2016 non blocca un dump LSASS da parte di altre versioni del taskmgr.exe; sistema operativo Windows funzionano come previsto.

Rule {
	Process {
		Include OBJECT_NAME { -v "taskmgr.exe" }
		Include AggregateMatch -xtype "int" {
			Include GROUP_SID { -v "S-1-16-12288" }
			Include GROUP_SID { -v "S-1-16-16384" }
		}
	}
	Target {
		Match FILE {
			Include OBJECT_NAME { -v "**\lsass*.dmp"  }
			Include -access "CREATE"
		}
	}
}

Nota: La regola è stata convalidata su Windows 10 20H2 64 bit, Windows 11 e Windows Server 2016.

Per informazioni sulla creazione della regola di esperti mediante l'orchestratore di policy (ePO), consultare la "creare regole esperte per proteggere i processi utilizzando ePO" sezione del 10.7.x Guida del prodotto Endpoint Security.