Configura la protezione cloud in Microsoft Defender Antivirus

  • Si applica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender Antivirus

La protezione cloud in Microsoft Defender Antivirus offre una protezione accurata, in tempo reale e intelligente. Usa questo articolo per attivare la protezione cloud e configurare con che modo aggressivo Microsoft Defender Antivirus blocca i file sospetti. La protezione cloud è abilitata di default e consigliamo di tenerla attiva.

Note

La protezione anti-manomissione aiuta a prevenire modifiche non autorizzate alla protezione del cloud e ad altre impostazioni di sicurezza. Quando la protezione antimanomissione è attivata, le modifiche alle impostazioni protette contro manomissioni vengono ignorate. Se la protezione antimanomissione blocca una modifica necessaria su un dispositivo, usa la modalità troubleshooting per disattivare temporaneamente la protezione antimanomissione. Dopo la fine della modalità troubleshooting, le modifiche alle impostazioni protette da manomissioni tornano allo stato configurato.

Prerequisites

Sistemi operativi supportati

I sistemi operativi seguenti supportano la protezione cloud:

  • Windows

Per informazioni sui requisiti di connettività di rete per il servizio di protezione cloud, vedi Configura e valida connessioni di rete.

Perché la protezione cloud deve essere attivata

Microsoft Defender Antivirus cloud protection aiuta a proteggere dai malware sui tuoi endpoint e in tutta la rete. Consigliamo di mantenere attivata la protezione cloud perché alcune funzionalità e funzionalità di sicurezza in Microsoft Defender per endpoint funzionano solo quando la protezione cloud è attivata.

Diagramma delle funzionalità di Defender per endpoint che dipendono dalla protezione cloud, ad esempio la protezione antimanomissione, il blocco al primo avvistamento e le regole ASR.

La tabella seguente riassume le caratteristiche e le capacità che dipendono dalla protezione cloud:

Caratteristica o funzionalità Requisito dell'abbonamento
Verifica dei metadati nel cloud. Il servizio cloud antivirus Microsoft Defender usa i modelli di Machine Learning come ulteriore livello di difesa. Questi modelli di Machine Learning includono metadati, quindi quando viene rilevato un file sospetto o dannoso, i relativi metadati vengono controllati.

Per altre informazioni, vedi Blog: Scopri le tecnologie avanzate alla base della protezione di nuova generazione di Microsoft Defender per endpoint		 Microsoft Defender per endpoint Piano 1 o Piano 2 (autonomo o incluso in un piano come Microsoft 365 E3 o E5)
Protezione cloud e invio di esempi. File ed eseguibili possono essere inviati al servizio cloud di Microsoft Defender Antivirus per la detonazione e l'analisi. L'invio automatico di esempi si basa sulla protezione cloud, anche se può essere configurato anche come impostazione autonoma.

Per altre informazioni, vedere Protezione cloud e invio di esempi in Microsoft Defender Antivirus.		 Microsoft Defender per endpoint Piano 1 o Piano 2 (autonomo o incluso in un piano come Microsoft 365 E3 o E5)
Protezione antimanomissione. La protezione dalle manomissioni consente di proteggere da modifiche indesiderate alle impostazioni di sicurezza dell'organizzazione.

Per saperne di più, consulta Panoramica della protezione dalle manomissioni.		 Microsoft Defender per endpoint Plan 2 (versione autonoma o incluso in un piano come Microsoft 365 E5)
Blocco al primo avvistamento
Il blocco al primo rilevamento rileva il nuovo malware e lo blocca in pochi secondi. Quando viene rilevato un file sospetto o dannoso, le funzionalità di blocco al primo rilevamento esezionano query sul back-end di protezione cloud e applicano l'euristica, l'apprendimento automatico e l'analisi automatizzata del file per determinare se si tratta di una minaccia.

Per altre informazioni, vedere Che cos'è "blocco al primo rilevamento"?		 Microsoft Defender per endpoint Piano 1 o Piano 2 (autonomo o incluso in un piano come Microsoft 365 E3 o E5)
Aggiornamenti delle firme di emergenza. Quando viene rilevato contenuto dannoso, vengono distribuiti aggiornamenti e correzioni delle firme di emergenza. Invece di attendere il successivo aggiornamento regolare, è possibile ricevere queste correzioni e aggiornamenti in pochi minuti.

Per altre informazioni sugli aggiornamenti, vedere Microsoft Defender Informazioni di sicurezza antivirus e aggiornamenti del prodotto.		 Microsoft Defender per endpoint Plan 2 (versione autonoma o incluso in un piano come Microsoft 365 E5)
Rilevamento e risposta degli endpoint (EDR) in modalità di blocco. EDR in modalità blocco offre protezione aggiuntiva quando Microsoft Defender Antivirus non è il prodotto antivirus principale in un dispositivo. EDR in modalità blocco corregge gli elementi rilevati durante le analisi generate dall'EDR che la soluzione antivirus primaria non Microsoft potrebbe non aver rilevato. Se abilitata per i dispositivi con Microsoft Defender Antivirus come soluzione antivirus primaria, EDR in modalità blocco offre il vantaggio aggiuntivo della correzione automatica degli artefatti identificati durante le analisi generate da EDR.

Per altre informazioni, vedere EDR in modalità blocco.		 Microsoft Defender per endpoint Plan 2 (versione autonoma o incluso in un piano come Microsoft 365 E5)
Regole di riduzione della superficie di attacco (ASR). Le regole asr bloccano il comportamento rischioso delle app. Alcune regole ASR richiedono la protezione nel cloud. Per altre informazioni, vedere Requisiti per le regole asr. Microsoft Defender per endpoint Piano 1 o Piano 2 (autonomo o incluso in un piano come Microsoft 365 E3 o E5)
Indicatori di compromissione (IoC). In Defender per endpoint è possibile configurare gli ioc per definire il rilevamento, la prevenzione e l'esclusione delle entità. Ad esempio, gli indicatori "Consenti" possono definire eccezioni alle scansioni antivirus e alle azioni di bonifica. Gli indicatori "Allerta e blocca" possono impedire l'esecuzione di file o processi.

Per altre informazioni, vedere Creare indicatori.		 Microsoft Defender per endpoint Plan 2 (versione autonoma o incluso in un piano come Microsoft 365 E5)

Note

In Windows 10 e Windows 11, non esiste alcuna differenza tra le opzioni di creazione di report di base e avanzate descritte in questo articolo. La distinzione tra le opzioni di report di base e avanzate è legacy e la scelta di una delle due impostazioni comporta lo stesso livello di protezione cloud. Non esiste alcuna differenza nel tipo o nella quantità di informazioni condivise. Per altre informazioni su ciò che raccogliamo, vedere l'Informativa sulla privacy di Microsoft.

Specificare il livello di protezione cloud

Attivando la protezione cloud, Microsoft Defender Antivirus può utilizzare il servizio di protezione cloud. Il livello di protezione cloud controlla quanto aggressivamente Microsoft Defender Antivirus blocca e scansiona i file sospetti. Attiva la protezione cloud prima di configurare il livello di protezione cloud.

Usare Microsoft Intune per attivare la protezione cloud

Microsoft Intune è lo strumento consigliato per la configurazione e la distribuzione di Defender per le funzionalità degli endpoint nei dispositivi. Tuttavia, Intune è un prodotto separato che non fa parte di Defender per endpoint e non è incluso in tutte le sottoscrizioni. Per usare Intune, è necessaria una sottoscrizione che la include oppure è possibile acquistarla separatamente come sottoscrizione autonoma o componente aggiuntivo. Se Intune non è disponibile, è possibile usare qualsiasi altro metodo in questo articolo. Per altre informazioni, vedere Microsoft Intune licenze.

Per configurare la protezione cloud in Microsoft Intune, utilizza una policy antivirus per la sicurezza degli endpoint. Per istruzioni dettagliate, vedi Crea policy di sicurezza endpoint o Modifica policy esistenti (i link aprono nuove schede nella documentazione di Intune).

Quando crei la politica, usa queste impostazioni specifiche:

Quando crei o modifichi la policy, configura le seguenti impostazioni nella scheda Impostazioni di configurazione:

  • Consenti protezione cloud: selezionare Consentito. Attiva Protezione cloud (impostazione predefinita).
  • Inviare il consenso agli esempi: selezionare uno dei valori seguenti:
    • Inviare automaticamente campioni sicuri. (impostazione predefinita).
    • Inviare tutti gli esempi automaticamente
  • Livello blocco cloud: Seleziona uno dei seguenti valori:
    • Non configurato: Usa il livello di blocco predefinito.
    • Alto: blocca aggressivamente file sconosciuti ottimizzando le prestazioni del client. Questa opzione aumenta la probabilità di falsi positivi.
    • Alto vantaggio: blocca aggressivamente file sconosciuti e applica maggiori misure di protezione. Questa opzione potrebbe influire sulle prestazioni del cliente.
    • Tolleranza zero: blocca tutti i file eseguibili sconosciuti.

Per maggiori informazioni sulle impostazioni disponibili, consulta le impostazioni della policy antivirus Windows per Microsoft Defender Antivirus.

Usa il portale Microsoft Defender per attivare la protezione cloud

Se la tua organizzazione gestisce le policy di sicurezza degli endpoint nel portale Microsoft Defender, utilizza una policy Microsoft Defender Antivirus per configurare la protezione cloud.

Per istruzioni dettagliate, vedi Crea una policy di sicurezza per gli endpoint o Modifica una policy di sicurezza per gli endpoint (i link si aprono nuove schede).

Quando crei la policy nella scheda policy di Windows della pagina delle policy di sicurezza Endpoint nel portale Defender a https://security.microsoft.com/policy-inventory?osPlatform=Windows, usa queste impostazioni specifiche:

  • Selezionare piattaforma: selezionare Windows.
  • Selezionare modello: selezionare Microsoft Defender Antivirus.

Quando crei o modifichi la policy, configura le seguenti impostazioni nella scheda Impostazioni di configurazione:

  • Consenti protezione cloud: selezionare Consentito. Attiva Protezione cloud (impostazione predefinita).
  • Inviare il consenso agli esempi: selezionare uno dei valori seguenti:
    • Inviare automaticamente campioni sicuri. (impostazione predefinita).
    • Inviare tutti gli esempi automaticamente
  • Livello blocco cloud: Seleziona uno dei seguenti valori:
    • Non configurato: Usa il livello di blocco predefinito.
    • Alto: blocca aggressivamente file sconosciuti ottimizzando le prestazioni del client. Questa opzione aumenta la probabilità di falsi positivi.
    • Alto vantaggio: blocca aggressivamente file sconosciuti e applica maggiori misure di protezione. Questa opzione potrebbe influire sulle prestazioni del cliente.
    • Tolleranza zero: blocca tutti i file eseguibili sconosciuti.

Usa Microsoft Configuration Manager per attivare la protezione cloud

Usa una policy antimalware del Gestione configurazione per configurare la protezione cloud. Per le istruzioni per creare e distribuire una policy antimalware, consulta le politiche antimalware Endpoint Protection in Gestione configurazione.

Per attivare la protezione cloud, configura le seguenti impostazioni nella policy antimalware:

  • Impostazioni avanzate:
    • Abilita l'invio automatico di file campione per aiutare Microsoft a determinare se determinati elementi rilevati sono dannosi: Seleziona Sì.
  • Servizio di Protezione del Cloud:
    • Abbonamento al Servizio di Protezione del Nuvolo: seleziona Avanzato.
    • Livello per bloccare file sospetti: Seleziona uno dei seguenti valori:
      • Normale: Usa il livello di blocco predefinito dell'antivirus Microsoft Defender.
      • Alto: blocca aggressivamente file sconosciuti ottimizzando le prestazioni del client. Questa opzione aumenta la probabilità di falsi positivi.
      • Alto con protezione extra: blocca aggressivamente file sconosciuti e applica ulteriori misure di protezione. Questa opzione potrebbe influire sulle prestazioni del dispositivo.
      • Blocca programmi sconosciuti: Blocca tutti i programmi sconosciuti.

Usare Criteri di gruppo per attivare la protezione cloud

Note

Le impostazioni MAPS configurano la protezione fornita dal cloud.

Per attivare la protezione cloud utilizzando la Politica di Gruppo:

  1. Apri la Group Policy Management Console (GPMC) sul tuo dispositivo di gestione delle Policy di Gruppo.

  2. Nell'albero della console GPMC, espandere Oggetti Criteri di gruppo nella foresta e nel dominio che contengono il GPO che si desidera modificare.

  3. Fare clic con il pulsante destro del mouse sul GPO, quindi selezionare Modifica.

  4. Nell'Editor Gestione criteri di gruppo, passare a Configurazione computer>Modelli amministrativi>Componenti di Windows>Antivirus Microsoft Defender>MAPS.

    Note

    I percorsi dei Criteri di gruppo precedenti a Windows 10, versione 2004 (maggio 2020), potrebbero usare Windows Defender Antivirus anziché Microsoft Defender Antivirus. Entrambi i nomi fanno riferimento allo stesso percorso dei criteri.

  5. Nel pannello dettaglio di MAPS, le impostazioni disponibili sono:

    Per aprire e configurare un'impostazione di protezione cloud, utilizza uno qualsiasi dei seguenti metodi:

    • Fare doppio clic sull'impostazione.
    • Fare clic con il pulsante destro del mouse sull'impostazione e quindi scegliere Modifica.
    • Selezionare l'impostazione e quindi Selezionare Modifica azione>.

Tip

È anche possibile configurare Criteri di gruppo in locale nei singoli dispositivi usando l'Editor Criteri di gruppo locale (gpedit.msc). Passare allo stesso percorso: Configurazione computer>Modelli amministrativi>Componenti di Windows>Microsoft Defender Antivirus>MAPS.

Abilita e configura Join Microsoft MAPS

  1. Nel pannello dettagli di MAPS, apri l'impostazione Join Microsoft MAPS.

  2. Nella finestra di impostazione visualizzata configurare le opzioni seguenti:

    1. Selezionare Abilitato.
    2. Unisciti a Microsoft MAPS nella sezione Opzioni: Seleziona uno dei seguenti valori:
      • MAPS di base: L'iscrizione di base invia a Microsoft informazioni di base su malware e software potenzialmente indesiderati rilevati sul tuo dispositivo. Le informazioni includono da dove proviene il software (ad esempio URL e percorsi parziali), le azioni intraprese per risolvere la minaccia e se le azioni hanno avuto esito positivo.
      • Advanced MAPS: Oltre alle informazioni di base, l'iscrizione avanzata invia informazioni dettagliate su malware e potenzialmente software indesiderati, incluso il percorso completo verso il software e informazioni dettagliate su come il software ha influenzato il tuo dispositivo.

    Al termine, seleziona OK.

Abilita e configura Invia campioni di file quando è necessaria un'ulteriore analisi

  1. Nel riquadro dei dettagli di MAPS aprire l'impostazione Invia esempi di file quando è necessaria un'ulteriore analisi .

  2. Nella finestra di impostazione visualizzata configurare le opzioni seguenti:

    1. Selezionare Abilitato.
    2. Invia campioni di file quando è richiesta un'analisi ulteriore nella sezione Opzioni : Seleziona uno dei seguenti valori:
      • Invia campioni sicuri: La maggior parte dei campioni viene inviata automaticamente. I file che probabilmente contengono informazioni personali invitano l'utente a confermare ulteriormente.
      • Invia tutti i campioni

    Al termine, seleziona OK.

Note

  • Always Prompt abbassa lo stato di protezione del dispositivo.
  • Never send abbassa lo stato di protezione del dispositivo e disabilita il blocco a prima vista.

Specifica il livello di protezione cloud con la Group Policy

  1. Nell'Editor Gestione Criteri di gruppo, vai a Configurazione computer>Modelli amministrativi>Componenti di Windows>Microsoft Defender Antivirus>MpEngine.

  2. Nel pannello dettaglio di MpEngine, apri l'impostazione Seleziona livello di protezione cloud . Per aprire l'impostazione, utilizzare uno dei metodi seguenti:

    • Fare doppio clic sull'impostazione.
    • Fare clic con il pulsante destro del mouse sull'impostazione e quindi scegliere Modifica.
    • Selezionare l'impostazione e quindi Selezionare Modifica azione>.

  3. Nella finestra di impostazione visualizzata configurare le opzioni seguenti:

    1. Selezionare Abilitato.
    2. Sotto Seleziona livello di blocco delle nuvole, seleziona uno dei seguenti livelli di protezione:

      • Livello di blocco predefinito: Fornisce un rilevamento forte senza aumentare il rischio di rilevare file legittimi.

        Attenzione

        Se utilizzi Resultant Set of Policy with Group Policy (RSOP), la selezione di livello di blocco predefinito può dare risultati fuorvianti perché RSOP interpreta come disattivata un'impostazione con valore 0. Invece, conferma che la chiave del registro sia presente in Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\MpEngine, oppure usa GPresult.

      • Livello di blocco moderato: Fornisce protezione moderata solo per rilevamenti ad alta fiducia.

      • Alto livello di blocco: blocca aggressivamente file sconosciuti ottimizzando le prestazioni del client. Questa opzione aumenta la probabilità di falsi positivi.

      • Alto + livello di blocco: applica più misure di protezione. Questa opzione potrebbe influire sulle prestazioni del cliente e aumentare la probabilità di falsi positivi.

      • Livello di blocco di tolleranza zero: blocca tutti i file eseguibili sconosciuti.

    Al termine, seleziona OK.

Tip

Usi oggetti Criteri di gruppo in locale? Guarda come vengono tradotti nel cloud. Analizza gli oggetti dei Criteri di gruppo locali tramite Group Policy analytics in Microsoft Intune.

Usa PowerShell per attivare la protezione cloud

Esegui i comandi in una sessione PowerShell elevata (una finestra PowerShell che hai aperto selezionando Esegui come amministratore).

Attiva la protezione cloud con PowerShell

Il seguente comando attiva la protezione delle nuvole:

Set-MpPreference -MAPSReporting Advanced

Configura l'invio automatico di campioni con PowerShell

Il seguente comando configura l'invio automatico di campioni sicuro:

Set-MpPreference -SubmitSamplesConsent SendSafeSamples

Per inviare tutti i campioni automaticamente invece che solo quelli sicuri, si utilizza SendAllSamples il valore SubmitSamplesConsent .

Specifica il livello di protezione cloud con PowerShell

Il seguente comando imposta il livello di protezione cloud su Alto:

Set-MpPreference -CloudBlockLevel High

CloudBlockLevel supporta i seguenti valori:

  • Default
  • High
  • HighPlus
  • ZeroTolerance

Verificare la configurazione

Il seguente comando mostra le attuali impostazioni di protezione cloud, invio di campioni e livello di blocco cloud:

Get-MpPreference | Select-Object MAPSReporting, SubmitSamplesConsent, CloudBlockLevel

Per verificare che la protezione cloud sia attivata, conferma che MAPSReporting sia 2 (Avanzato). Se hai configurato l'invio automatico dei campioni, SubmitSamplesConsent è 1 (Invia automaticamente campioni sicuri) oppure 3 (Invia tutti i campioni automaticamente). CloudBlockLevel mostra il livello di protezione cloud configurato.

Disattiva la protezione cloud con PowerShell

Il seguente comando disattiva la protezione dalle nuvole:

Set-MpPreference -MAPSReporting Disabled

Per informazioni dettagliate sulla sintassi e sui parametri, vedi Set-MpPreference e Get-MpPreference.

Usa l'app protezione di Windows per attivare la protezione cloud

Su un dispositivo non gestito, puoi attivare la protezione cloud nell'app protezione di Windows.

Note

Se Group Policy gestisce queste impostazioni, appaiono soffuse nell'app protezione di Windows e non possono essere modificate localmente.

Le modifiche della Group Policy devono raggiungere il dispositivo prima che le impostazioni vengano aggiornate nell'app protezione di Windows.

  1. Nell'app protezione di Windows sul dispositivo, vai su Protezione contro virus e minacce.

  2. Nel riquadro Protezione da virus e minacce , nella sezione Impostazioni di protezione da virus e minacce selezionare Gestisci impostazioni.

    Screenshot delle impostazioni di protezione contro virus e minacce nell'app protezione di Windows.

  3. Attiva la protezione fornita dal cloud e l'invio automatico dei campioni.

L'app protezione di Windows non fornisce un'impostazione per configurare il livello di protezione cloud.

Usare Strumentazione gestione Windows (WMI) per attivare la protezione cloud

Usa il metodo Set della classe MSFT_MpPreference per configurare le proprietà per la protezione cloud-delivery (report MAPS), il comportamento di invio dei campioni e il livello di blocco del cloud:

MAPSReporting
SubmitSamplesConsent
CloudBlockLevel

Per maggiori informazioni sull'API, vedi Windows Defender WMIv2 API.

Contenuti correlati

Tip

Per informazioni su Microsoft Defender Antivirus per altre piattaforme, vedi:

  • Last updated on