Konfigurasikan akses folder yang dikontrol (CFA)

Akses folder terkontrol (CFA) membantu melindungi data berharga Anda dari aplikasi dan ancaman berbahaya, seperti ransomware, dengan mencegah aplikasi yang tidak tepercaya mengubah file di folder yang dilindungi. Anda dapat mengaktifkan dan mengonfigurasi CFA dengan menggunakan salah satu metode dalam artikel ini.

Untuk hasil terbaik, gunakan solusi manajemen tingkat perusahaan seperti Microsoft Intune atau Microsoft Configuration Manager untuk mengelola CFA.

Prasyarat

CFA tersedia dalam sistem operasi berikut:

• Windows 10 atau yang lebih baru.
• Server Windows 2019 atau yang lebih baru.
• Server Windows 2016 dan Windows Server 2012 R2 sebagai bagian dari solusi Microsoft Defender untuk Titik Akhir terpadu modern.

Konfigurasikan CFA di Intune menggunakan kebijakan keamanan titik akhir

Microsoft Intune adalah alat yang direkomendasikan untuk mengonfigurasi dan mendistribusikan Defender untuk fitur Titik Akhir ke perangkat. Namun, Intune adalah produk terpisah yang bukan bagian dari Defender untuk Titik Akhir, dan tidak termasuk dalam semua langganan. Untuk menggunakan Intune, Anda memerlukan langganan yang menyertakannya, atau Anda dapat membelinya secara terpisah sebagai langganan atau add-on mandiri. Jika Anda tidak memiliki Intune, Anda dapat menggunakan salah satu metode lain dalam artikel ini. Untuk informasi selengkapnya, lihat lisensi Microsoft Intune.

Di Intune, kebijakan keamanan titik akhir adalah metode yang direkomendasikan untuk menerapkan CFA.

Untuk mengonfigurasi CFA menggunakan kebijakan Keamanan Titik Akhir Microsoft Intune Pengurangan permukaan serangan, lihat Membuat kebijakan keamanan titik akhir (dibuka di tab baru di dokumentasi Intune). Saat membuat kebijakan, gunakan pengaturan ini:

• Jenis kebijakan: Pengurangan permukaan serangan
• Platform: Windows
• Profil: Aturan Pengurangan Permukaan Serangan
• Pengaturan konfigurasi: Setelah Anda mengonfigurasi pengaturan aturan pengurangan permukaan serangan (ASR), konfigurasikan pengaturan CFA berikut:

  • Aktifkan akses folder terkontrol: Pilih nilai mode yang tersedia. Setelah menilai efek CFA dalam Mode Audit, Anda dapat mengaturnya ke Diaktifkan.

  • Folder terkontrol mengakses folder yang dilindungi: Untuk menambahkan lebih banyak folder yang mendapatkan perlindungan CFA, gunakan salah satu metode berikut:

    • Pilih Tambahkan. Dalam kotak yang muncul, masukkan jalur yang akan disertakan. Contohnya:

      • C:\Data\Reports
      • C:\Data\Finance

    • Pilih Impor untuk mengimpor file CSV yang berisi jalur yang akan disertakan. File CSV menggunakan format berikut:

      ControlledFolderAccessProtectedFolders
      "C:\folder1"
      "C:\folder2"
      ...
      

      Tip

      Tanda kutip ganda di sekitar nilai bersifat opsional, dan diabaikan (tidak digunakan dalam nilai) jika Anda menyertakannya. Jangan gunakan tanda kutip tunggal di sekitar nilai.

  • Aplikasi yang diizinkan akses folder terkontrol: Untuk menentukan aplikasi yang diizinkan untuk membuat perubahan pada file di folder yang dilindungi, gunakan metode Tambahkan atau Impor yang sama yang dijelaskan untuk folder terlindungi akses folder terkontrol, menentukan jalur dan nama file setiap aplikasi.

    File CSV menggunakan format berikut:

    ControlledFolderAccessAllowedApplications
    "C:\Apps\app1.exe"
    "%ProgramFiles%\Fabrikam\DriveManager\*\DriveService.exe"
    ...
    

    Jalur setiap aplikasi dapat menyertakan variabel lingkungan dan karakter wildcard, sebagaimana dijelaskan dalam Izinkan aplikasi memodifikasi file di folder yang dilindungi.

Untuk informasi selengkapnya tentang profil pengurangan permukaan serangan di Microsoft Intune, lihat Mengelola pengaturan pengurangan permukaan serangan dengan Microsoft Intune.

Konfigurasikan CFA di portal Microsoft Defender

Jika organisasi Anda mengelola kebijakan keamanan titik akhir di portal Microsoft Defender, Anda dapat mengonfigurasi CFA dengan kebijakan keamanan titik akhir yang sama dengan yang digunakan Intune.

Pada tab Windows halaman Kebijakan keamanan titik akhir portal Defender di https://security.microsoft.com/policy-inventory, pilih Buat kebijakan baru lalu buat kebijakan pengurangan permukaan Serangan. Untuk prosedur lengkapnya, lihat Membuat kebijakan keamanan titik akhir.

Gunakan profil Aturan Pengurangan Permukaan Serangan dan pengaturan CFA yang sama seperti yang dijelaskan dalam Mengonfigurasi CFA di Intune menggunakan kebijakan keamanan titik akhir.

Saat Anda menetapkan kebijakan, perhatikan bahwa batasan grup penugasan berlaku untuk perangkat yang dikelola melalui manajemen pengaturan keamanan. Untuk detailnya, lihat langkah Penugasan.

Mengonfigurasi CFA dalam solusi MDM apa pun menggunakan Policy CSP

Penyedia layanan konfigurasi Kebijakan (CSP) memungkinkan organisasi perusahaan untuk mengonfigurasi CFA pada perangkat Windows menggunakan solusi manajemen perangkat seluler (MDM), bukan hanya Microsoft Intune. Untuk informasi selengkapnya, lihat Kebijakan CSP.

Gunakan CSP berikut dari area Policy CSP - Defender untuk mengonfigurasi CFA.

Mengaktifkan CFA menggunakan Policy CSP

Gunakan EnableControlledFolderAccess CSP untuk mengonfigurasi CFA dan pilih mode perlindungan.

jalurOMA-URI: ./Device/Vendor/MSFT/Policy/Config/Defender/EnableControlledFolderAccess
Nilai: Masukkan salah satu nilai mode berikut:

• 0: Dinonaktifkan (default).
• 1: Diaktifkan (blok).
• 2: Mode Audit.
• 3: Blokir modifikasi disk saja.
• 4: Modifikasi disk audit saja.

Menambahkan folder ke folder yang dilindungi menggunakan Policy CSP

CFA melindungi daftar folder umum yang tidak dapat dimodifikasi. Untuk menambahkan lebih banyak folder yang mendapatkan perlindungan CFA, gunakan CSP ControlledFolderAccessProtectedFolders :

jalurOMA-URI: ./Device/Vendor/MSFT/Policy/Config/Defender/ControlledFolderAccessProtectedFolders
Nilai: Masukkan satu atau beberapa jalur folder yang dipisahkan oleh karakter pipa (|).

Contohnya, C:\Data\Reports|C:\Data\Finance.

Mengizinkan aplikasi untuk mengubah file di folder yang dilindungi menggunakan Policy CSP

Gunakan CSP ControlledFolderAccessAllowedApplications untuk memungkinkan lebih banyak aplikasi membuat perubahan pada file di folder yang dilindungi.

jalurOMA-URI: ./Device/Vendor/MSFT/Policy/Config/Defender/ControlledFolderAccessAllowedApplications
Nilai: Masukkan satu atau beberapa jalur aplikasi yang dipisahkan oleh karakter pipa (|). Jalur setiap aplikasi dapat menyertakan variabel lingkungan dan karakter wildcard, sebagaimana dijelaskan dalam Izinkan aplikasi memodifikasi file di folder yang dilindungi.

Misalnya: C:\Apps\app1.exe|%ProgramFiles%\Fabrikam\DriveManager\*\DriveService.exe

Konfigurasikan CFA di Microsoft Configuration Manager

Di Microsoft Configuration Manager, Anda mengonfigurasi CFA dalam kebijakan Windows Defender Exploit Guard. Untuk petunjuknya, lihat informasi CFA di Membuat dan menyebarkan kebijakan Exploit Guard.

Note

Untuk pertimbangan saat Anda menambahkan folder yang dilindungi atau mengizinkan aplikasi (seperti dukungan kartubebas dan persyaratan untuk memulai ulang aplikasi yang diizinkan), lihat Menambahkan folder lain ke CFA dan Mengizinkan aplikasi untuk memodifikasi file di folder yang dilindungi.

Mengonfigurasi CFA dalam Kebijakan Grup

1. Di Kebijakan Grup Terpusat, buka Konsol Manajemen Kebijakan Grup (GPMC) di komputer manajemen Kebijakan Grup Anda.

2. Di pohon konsol GPMC, perluas Objek Kebijakan Grup di dalam hutan dan domain yang berisi GPO yang ingin Anda edit.

3. Klik kanan GPO, lalu pilih Edit.

4. Di Editor Manajemen Kebijakan Grup, buka Konfigurasi Komputer>Templat Administratif>Komponen Windows>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Akses Folder Terkontrol.

5. Di panel detail Akses Folder Terkontrol, pengaturan yang tersedia adalah:

   • Mengonfigurasi aplikasi yang diizinkan
   • Mengonfigurasi akses folder terkontrol
   • Mengonfigurasi folder yang dilindungi

   Untuk membuka dan mengonfigurasi pengaturan CFA, gunakan salah satu metode berikut:

   • Klik dua kali pengaturan.
   • Klik kanan pengaturan, lalu pilih Edit.
   • Pilih pengaturan, lalu pilih Tindakan>Edit.

Tip

Anda juga dapat mengonfigurasi Kebijakan Grup secara lokal di masing-masing perangkat dengan menggunakan Editor Kebijakan Grup Lokal (gpedit.msc). Buka jalur yang sama: Konfigurasi Komputer>Templat Administratif>Komponen Windows>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Akses Folder Terkontrol.

Pengaturan yang tersedia dijelaskan dalam sub bagian berikut.

Penting

Tanda kutip, spasi di awal, spasi di akhir, dan karakter tambahan tidak didukung pada nilai CFA mana pun dalam Kebijakan Grup.

Mengaktifkan CFA dalam Kebijakan Grup

1. Di panel detail Akses Folder Terkontrol, buka pengaturan Konfigurasikan akses folder terkontrol .

2. Di jendela pengaturan yang terbuka, konfigurasikan opsi berikut:

   1. Pilih Diaktifkan.
   2. Mengonfigurasi fitur jaga folder saya: Pilih salah satu nilai mode berikut:
      • Nonaktifkan (Default)
      • Blok
      • Audit Mode
      • Hanya modifikasi blok disk
      • Modifikasi disk audit saja

   

Penting

Untuk mengaktifkan CFA sepenuhnya, Anda harus mengatur opsi Kebijakan Grup ke Diaktifkan dan pilih Blokir di menu drop-down opsi.

Menambahkan folder ke folder yang dilindungi dalam Kebijakan Grup

1. Di panel detail Akses Folder Terkontrol, buka pengaturan Konfigurasikan folder yang diproteksi .

   1. Pilih Diaktifkan.
   2. Masukkan folder yang harus dijaga: Pilih Perlihatkan....
   3. Di jendela pengaturan yang terbuka, konfigurasikan opsi berikut:
      • Nama nilai: Masukkan jalur untuk disertakan dalam perlindungan CFA.
      • Nilai: Masukkan nilai 0.

   Ulangi langkah ini sebanyak yang diperlukan. Setelah selesai, pilih OK.

   Untuk pertimbangan saat Anda menambahkan folder (seperti dukungan untuk berbagi jaringan, drive yang dipetakan, dan variabel lingkungan), lihat Menambahkan folder lain ke CFA.

Izinkan aplikasi mengubah file di folder yang dilindungi dalam Kebijakan Grup

1. Di panel detail Akses Folder Terkontrol, buka pengaturan Konfigurasikan aplikasi yang diizinkan .

   1. Pilih Diaktifkan.
   2. Masukkan aplikasi yang harus dipercaya: Pilih Tampilkan....
   3. Di jendela pengaturan yang terbuka, konfigurasikan opsi berikut:
      • Nama nilai: Masukkan jalur dan nama file aplikasi yang diizinkan untuk membuat perubahan pada file di folder yang dilindungi.
      • Nilai: Masukkan nilai 0.

   Ulangi langkah ini sebanyak yang diperlukan. Setelah selesai, pilih OK.

   Untuk pertimbangan saat Anda mengizinkan aplikasi (seperti dukungan wildcard dan persyaratan untuk memulai ulang aplikasi yang diizinkan), lihat Mengizinkan aplikasi mengubah file di folder yang dilindungi.

Mengaktifkan dan mengonfigurasi CFA di PowerShell

Pada perangkat target, jalankan perintah di bagian ini dari sesi PowerShell yang ditinggikan (jendela PowerShell yang Anda buka dengan memilih Jalankan sebagai administrator).

Untuk mengaktifkan CFA dan memilih mode perlindungan, gunakan perintah berikut:

Set-MpPreference -EnableControlledFolderAccess <Mode>

Nilai yang valid untuk parameter EnableControlledFolderAccess adalah:

• 0 atau Disabled (default)
• 1 atau Enabled
• 2 atau AuditMode
• 3 atau BlockDiskModificationOnly
• 4 atau AuditDiskModificationOnly

Untuk melihat mode CFA yang ada di perangkat, jalankan perintah berikut:

Get-MpPreference | Format-Table EnableControlledFolderAccess

Note

• Dalam subbagian berikut, Set-MpPreferencemenimpa folder yang dilindungi yang ada atau aplikasi yang diizinkan dengan nilai yang Anda tentukan. Untuk melihat daftar nilai yang ada, jalankan perintah berikut dalam sesi PowerShell yang ditingkatkan:

  $cfa = Get-MpPreference; "ProtectedFolders:"; "-"*25; $cfa.ControlledFolderAccessProtectedFolders | Sort-Object; "`n`n"; "AllowedApplications:"; "-"*25; $cfa.ControlledFolderAccessAllowedApplications | Sort-Object
  

  Untuk menambahkan folder lain atau aplikasi yang diizinkan ke CFA tanpa memengaruhi nilai yang ada, gunakan cmdlet Add-MpPreference . Untuk menghapus folder yang ditentukan atau aplikasi yang diizinkan dari CFA tanpa memengaruhi nilai lain yang ada, gunakan cmdlet Remove-MpPreference . Sintaks perintah identik untuk tiga cmdlet.

• Folder yang dilindungi dan aplikasi yang diizinkan hanya berlaku saat CFA diaktifkan (nilai EnableControlledFolderAccess bukan 0 atau Disabled).

Menambahkan folder ke folder yang diproteksi di PowerShell

Untuk menambahkan lebih banyak folder untuk dilindungi CFA, gunakan sintaks berikut dalam sesi PowerShell yang ditinggikan:

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -ControlledFolderAccessProtectedFolders "<Path1>","<Path2>",..."<PathN>"

Contoh berikut menambahkan folder yang ditentukan ke daftar folder yang dilindungi yang ada:

Add-MpPreference -ControlledFolderAccessProtectedFolders "C:\Folder1","C:\Folder2"

Mengizinkan aplikasi untuk mengubah file di folder yang dilindungi di PowerShell

Untuk menambahkan aplikasi yang diizinkan yang dapat membuat perubahan pada file di folder yang dilindungi, gunakan sintaks berikut dalam sesi PowerShell yang ditingkatkan:

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -ControlledFolderAccessAllowedApplications "<PathAndFilename1>","<PathAndFilename2>",..."<PathAndFilenameN>"

Contoh berikut menggantikan aplikasi yang diizinkan yang ada dengan aplikasi yang ditentukan. Jalur dapat mencakup variabel lingkungan dan karakter wildcard, seperti yang dijelaskan di Izinkan aplikasi mengubah file di folder yang dilindungi:

Set-MpPreference -ControlledFolderAccessAllowedApplications "C:\Apps\app1.exe","%ProgramFiles%\Fabrikam\DriveManager\*\DriveService.exe"

Mengonfigurasi CFA di aplikasi Keamanan Windows

Anda dapat menggunakan aplikasi Keamanan Windows di masing-masing perangkat untuk mengonfigurasi CFA. Metode ini berguna untuk menguji atau untuk mengonfigurasi satu perangkat. Untuk mengonfigurasi CFA di banyak perangkat, gunakan salah satu metode manajemen perusahaan yang dijelaskan sebelumnya dalam artikel ini.

Note

Aplikasi Keamanan Windows hanya mendukung Aktif (setara dengan modeDiaktifkan) dan Nonaktif (mode Dinonaktifkan). Untuk menggunakan Mode Audit atau mode modifikasi disk, gunakan salah satu metode lain yang dijelaskan dalam artikel ini.

1. Di aplikasi keamanan Windows pada perangkat, buka Virus & perlindungan ancaman.

2. Di panel Virus & perlindungan ancaman , di bagian Pengaturan perlindungan virus & ancaman , pilih Kelola pengaturan.

3. Di panel Virus & perlindungan ancaman , di bagian Akses folder terkontrol , pilih Kelola akses folder terkontrol.

4. Di panel perlindungan Ransomware , pengaturan berikut ini tersedia di bagian Akses folder terkontrol :

   • Mengaktifkan atau menonaktifkan akses folder terkontrol
   • Folder terproteksi^*
   • Mengizinkan aplikasi melalui akses folder Terkontrol^*

   ^* Pengaturan ini hanya tersedia ketika CFA diaktifkan.

Pengaturan yang tersedia dijelaskan dalam sub bagian berikut.

Mengaktifkan CFA di aplikasi Keamanan Windows

1. Di bagian Akses folder terkontrol pada panel perlindungan Ransomware, geser tombol ke Aktif.

2. Pilih Ya di perintah Kontrol Akun Pengguna .

   Jika sebelumnya Anda menentukan folder yang dilindungi dan aplikasi yang diizinkan sebelum menonaktifkan CFA, Anda diminta untuk mengonfirmasi apakah Anda ingin menyimpan nilai tersebut.

Menambahkan folder ke folder yang dilindungi di aplikasi Keamanan Windows

1. Di bagian Akses folder terkontrol pada panel perlindungan Ransomware , pilih Folder terproteksi.
2. Pilih Ya pada perintah Kontrol Akun Pengguna .
3. Di panel yang terbuka, pilih + Tambahkan folder yang diproteksi, lalu temukan dan pilih folder. Ulangi langkah ini sebanyak yang diperlukan.

Mengizinkan aplikasi mengubah file di folder yang dilindungi di aplikasi Keamanan Windows

1. Di bagian Akses folder terkontrol pada panel perlindungan Ransomware , pilih Izinkan aplikasi melalui Akses folder terkontrol.

2. Pilih Ya pada perintah Kontrol Akun Pengguna .

3. Di panel Izinkan aplikasi melalui akses folder Terkontrol , pilih + Tambahkan aplikasi yang diizinkan, lalu pilih salah satu nilai berikut ini:

   • Aplikasi yang baru diblokir: Dalam dialog Aplikasi yang baru diblokir yang terbuka, pilih aplikasi dari daftar aplikasi yang baru diblokir.

     Jika tidak ada aplikasi yang baru diblokir yang ditampilkan, pilih Telusuri semua aplikasi untuk menemukan dan pilih file .exe atau .com untuk ditambahkan.

   • Telusuri semua aplikasi: Temukan dan pilih file .exe atau .com untuk ditambahkan.

   Ulangi langkah ini sebanyak yang diperlukan.

Konten terkait

• Gambaran umum akses folder terkontrol (CFA)
• Evaluasi Microsoft Defender untuk Titik Akhir