Implementando Proteção de Memória com DEP e ASLR

Quando Usar

Use esta habilidade ao reforçar endpoints contra exploits baseados em memória, configurando DEP, ASLR, CFG e Proteção contra Exploit do Windows em todo o sistema e mitigações por aplicativo.

Pré-requisitos

• Windows 10/11 ou Windows Server 2016+ com privilégios administrativos
• Acesso ao Gerenciamento de Política de Grupo para implantação em toda a empresa
• Compreensão de técnicas de ataque de corrupção de memória (buffer overflow, cadeias ROP)
• Ambiente de teste para validar a compatibilidade de aplicativos com mitigações de exploit

Fluxo de Trabalho

Etapa 1: Configurar Mitigações em Nível de Sistema

# Enable system-wide DEP (Data Execution Prevention)
# Boot configuration: OptIn (default), OptOut (recommended), AlwaysOn
bcdedit /set nx AlwaysOn

# Verify ASLR status (enabled by default on modern Windows)
Get-ProcessMitigation -System
# MandatoryASLR, BottomUpASLR, HighEntropyASLR should be ON

# Enable all system-level mitigations
Set-ProcessMitigation -System -Enable DEP,SEHOP,ForceRelocateImages,BottomUp,HighEntropy

Etapa 2: Configurar Mitigações por Aplicativo

# Harden high-risk applications (browsers, Office, PDF readers)
Set-ProcessMitigation -Name "WINWORD.EXE" -Enable DEP,SEHOP,ForceRelocateImages,CFG,StrictHandle
Set-ProcessMitigation -Name "EXCEL.EXE" -Enable DEP,SEHOP,ForceRelocateImages,CFG,StrictHandle
Set-ProcessMitigation -Name "AcroRd32.exe" -Enable DEP,SEHOP,ForceRelocateImages,CFG
Set-ProcessMitigation -Name "chrome.exe" -Enable DEP,CFG,ForceRelocateImages
Set-ProcessMitigation -Name "msedge.exe" -Enable DEP,CFG,ForceRelocateImages

# Export configuration for deployment
Get-ProcessMitigation -RegistryConfigFilePath "C:\exploit_protection.xml"
# Deploy via Intune or GPO

Etapa 3: Implantar via Intune/GPO

Intune: Endpoint Security → Attack Surface Reduction → Exploit Protection
  Import exploit_protection.xml template

GPO: Computer Configuration → Admin Templates → Windows Components
  → Windows Defender Exploit Guard → Exploit Protection
  → "Use a common set of exploit protection settings" → Enabled
  → Point to XML file on network share

Conceitos Chave

Ferramentas e Sistemas

• Proteção contra Exploit do Windows: Gerenciamento de mitigação por processo integrado
• EMET (legado): Enhanced Mitigation Experience Toolkit (predecessor, agora descontinuado)
• ProcessMitigations PowerShell: Cmdlets Get/Set-ProcessMitigation

Armadilhas Comuns

• Compatibilidade DEP: Aplicativos legados de 32 bits podem travar com DEP Sempre Ativado. Use OptOut com exceções.
• ASLR Obrigatório quebra aplicativos: Alguns aplicativos não são compatíveis com ASLR. Teste antes de impor ForceRelocateImages.
• CFG limitado a suporte compilado: CFG só funciona para aplicativos compilados com /guard:cf. Não pode ser aplicado retroativamente.