Das Enhanced Mitigation Experience Toolkit (EMET) ist ein freies, wenn auch offiziell nicht unterstütztes Microsoft-Werkzeug, das seit dem 2. September 2010 in Version 2 vorliegt. Es erlaubt den Start von Anwendungen mit aktivierten Schutzmechanismen wie etwa DEP, SEHOP oder ASLR, ohne die Programme dazu neu compilieren zu müssen. Das Programm kann bei Microsoft heruntergeladen werden, nach der Installation findet man eine 22-seitige detaillierte Anleitung im Startmenü verlinkt. Wer vorher erfahren will, was er mit diesem Tool genau bewirken kann und wie es funktioniert, findet die Anleitung auch hier (PDF-Download) unter dem entsprechenden TechNet-Blog-Eintrag.

Für 32- und 64-Bit-Anwendungen geeignet

Das Setup-Programm ist für 32- und 64-Bit-Systemen das gleiche, auf letzteren Systemen erfolgt die in das Verzeichnis %ProgramFiles(x86)%. Dies ist allerdings nur ein Seiteneffekt des unifizierten Installers; EMET 2.0 kann auch für 64-Bit-Anwendungen verwendet werden. Die Wirkung unterscheidet sich allerdings von der auf 32-Bit-Anwendungen im Detail, so ist etwa DEP für 64-Bit-Prozesse sowieso verbindlich, SEHOP hingegen gibt es nicht.

Eine genaue tabellarische Auflistung, welche Funktion unter welchem Betriebssystem und mit jeweils welcher Bitbreite zur Verfügung steht, findet sich auf den Seiten 10 und 11 des Benutzerhandbuchs.

Während die EMET-2.0-GUI von selbst Administrator­rechte anfordert, muss das Kommandozeilentool EMET_Conf.exe innerhalb einer Eingabeaufforderung mit bereits erhöhten Rechten ausgeführt werden. Im Unterschied zur GUI kann man per Kommandozeile nicht festlegen, welche konkreten Schutzmechanismen man für eine Anwendung aktivieren möchte, man schaltet immer alle ein oder aus. Das Tool eignet sich aber gut für einen schnellen Überblick, welche Anwendungen auf einem konkreten System überhaupt mit aktivierten Schutzmechanismen laufen und kann etwa dafür verwendet werden, alle auf einen Schlag zu löschen.

Auch System-Schutzmechanismen konfigurierbar

Die EMET-GUI bietet auch einen bequemen Weg, um die systemweiten Schutzmechanismen für zu konfigurieren. In der Voreinstellung und empfohlenen Konfiguration sind sie so eingestellt, dass die jeweilige Anwendung für DEP, SEHOP und ASLR compiliert sein muss, den jeweiligen Mechanismus also „freiwillig“ verwendet (Opt-In). Maximale Schutzmechanismen hingegen bestehen in nicht abschaltbarem DEP, und Anwendungen müssen speziell compiliert sein, um ohne SEHOP starten zu können (Opt-Out).