高校及企业开发设备Attack Surface Reduction Rules配置问题咨询

你遇到的阻断规则为ASR规则集中的「可信度不足的可执行文件阻止规则」，规则GUID为9e6c4e17-f786-42a9-9aa8-6a34577b102b，不需要关闭该安全规则，通过针对性配置即可解决学生编译程序被拦截的问题，以下是企业/高校批量环境下验证过的配置方案：

全局批量配置方案（面向学校IT部门） #

• 路径通配符排除：在ASR规则的排除列表中添加教学场景下的编译输出路径，支持通配符匹配，推荐添加的路径包括：
  • 学生作业统一存储目录，例如D:\StudentHome\*\*\Build\、*\Desktop\C++作业\*\Debug\
  • 教学用IDE的默认编译输出路径，例如Visual Studio的*\Project\*\Debug\、*\Project\*\Release\，Dev-C++/MinGW的*\mingw64\bin\build\*
  • 编译/调试工具生成的临时可执行文件路径，例如*\AppData\Local\Temp\*.exe
• 进程信任配置：允许指定编译/调试工具生成的可执行文件绕过该ASR规则，直接放行MSVC编译器cl.exe、MinGW编译器g++.exe、调试器gdb.exe、vsjitdebugger.exe、构建工具cmake.exe、ninja.exe创建的所有子可执行文件，该配置优先级高于可信度校验，不会阻断学生新编译的程序。
• 规则模式过渡：先将该规则从强制阻断调整为审计模式运行3-7天，采集所有实验室环境下被审计命中的合法可执行文件路径、哈希值，批量添加到ASR允许列表后再切回强制阻断模式，兼顾安全和可用性。
• 组策略批量下发：所有配置可以通过Windows组策略统一部署，路径为计算机配置 > 管理模板 > Windows组件 > Microsoft Defender防病毒 > Microsoft Defender Exploit Guard > 攻击面减少 > 配置攻击面减少规则，不需要逐台修改设备配置。

临时应急方案（面向教师/学生临时调试） #

• 单次编译的程序被拦截后，右键点击可执行文件，选择「属性」，勾选底部的解除锁定选项后保存，即可消除Windows自带的不可信区域标记，正常运行程序。
• 提前向IT部门申请固定的信任编译输出目录，例如C:\TeachingBuilds\，学生将IDE的项目输出路径修改到该目录下，编译生成的程序不会被ASR规则拦截。

内容的提问来源于stack exchange，提问作者Stephen Gilbert