Configurare l'accesso controllato alle cartelle (CFA)

  • Si applica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender Antivirus

L'accesso controllato alle cartelle consente di proteggere i dati preziosi da app e minacce dannose, ad esempio ransomware, impedendo alle app non attendibili di modificare i file nelle cartelle protette. È possibile abilitare e configurare CFA usando uno dei metodi descritti in questo articolo.

Per ottenere risultati ottimali, usare una soluzione di gestione a livello aziendale, ad esempio Microsoft Intune o Microsoft Configuration Manager per gestire cfa.

Prerequisiti

CfA è disponibile nei sistemi operativi seguenti:

Configurare cfa in Intune usando i criteri di sicurezza degli endpoint

Microsoft Intune è lo strumento consigliato per la configurazione e la distribuzione di Defender per le funzionalità degli endpoint nei dispositivi. Tuttavia, Intune è un prodotto separato che non fa parte di Defender per endpoint e non è incluso in tutte le sottoscrizioni. Per usare Intune, è necessaria una sottoscrizione che la include oppure è possibile acquistarla separatamente come sottoscrizione autonoma o componente aggiuntivo. Se Intune non è disponibile, è possibile usare qualsiasi altro metodo in questo articolo. Per altre informazioni, vedere Microsoft Intune licenze.

In Intune, i criteri di sicurezza degli endpoint sono il metodo consigliato per distribuire CFA.

Per configurare CFA usando un criterio di riduzione della superficie di attacco di Sicurezza degli endpoint di Microsoft Intune, vedi Creare un criterio di sicurezza degli endpoint (si apre in una nuova scheda nella documentazione di Intune). Quando si creano i criteri, usare queste impostazioni:

  • Tipo di criterio: Riduzione della superficie di attacco
  • Piattaforma: Windows
  • Profilo: Regole di riduzione della superficie di attacco
  • Impostazioni di configurazione: dopo aver configurato le impostazioni delle regole di riduzione della superficie di attacco (ASR), configura le seguenti impostazioni CFA:

    • Abilita accesso controllato alle cartelle: selezionare un valore in modalità disponibile. Dopo aver valutato l'effetto di CFA in modalità di controllo, è possibile impostarlo su Abilitato.

    • Cartelle protette con accesso controllato alle cartelle: per aggiungere altre cartelle che ottengono la protezione CFA, usare uno dei metodi seguenti:

      • Selezionare Aggiungi. Nella casella visualizzata immettere il percorso da includere. Per esempio:

        • C:\Data\Reports
        • C:\Data\Finance

      • Selezionare Importa per importare un file CSV contenente i percorsi da includere. Il file CSV usa il formato seguente:

        ControlledFolderAccessProtectedFolders
"C:\folder1"
"C:\folder2"
...

        Tip

        Le virgolette doppie intorno ai valori sono facoltative e vengono ignorate (non vengono usate nei valori) se vengono incluse. Non usare virgolette singole intorno ai valori.

    • Applicazioni consentite per l'accesso controllato alle cartelle: per specificare le app che possono apportare modifiche ai file nelle cartelle protette, usare gli stessi metodi Add o Import descritti per Le cartelle protette con accesso controllato alle cartelle, specificando il percorso e il nome file di ogni app.

      Il file CSV usa il formato seguente:

      ControlledFolderAccessAllowedApplications
"C:\Apps\app1.exe"
"%ProgramFiles%\Fabrikam\DriveManager\*\DriveService.exe"
...

      Il percorso di ogni app può includere variabili di ambiente e caratteri jolly, come descritto in Consenti alle app di modificare i file nelle cartelle protette.

Per altre informazioni sui profili di riduzione della superficie di attacco in Microsoft Intune, vedere Gestire le impostazioni di riduzione della superficie di attacco con Microsoft Intune.

Configurare CFA nel portale di Microsoft Defender

Se l'organizzazione gestisce i criteri di sicurezza degli endpoint nel portale di Microsoft Defender, è possibile configurare cfa con gli stessi criteri di sicurezza degli endpoint usati da Intune.

Nella scheda Windows della pagina Criteri di sicurezza degli endpoint del portale di Defender in https://security.microsoft.com/policy-inventoryselezionare Crea nuovi criteri e quindi creare un criterio di riduzione della superficie di attacco. Per la procedura completa, vedere Creare un criterio di sicurezza degli endpoint.

Usare lo stesso profilo Regole di riduzione della superficie di attacco e le impostazioni CFA descritte in Configurare CFA in Intune tramite i criteri di sicurezza degli endpoint.

Quando si assegnano i criteri, si noti che le limitazioni dei gruppi di assegnazione si applicano ai dispositivi gestiti tramite la gestione delle impostazioni di sicurezza. Per informazioni dettagliate, vedere il passaggio Assegnazioni.

Configurare CFA in qualsiasi soluzione MDM tramite Policy CSP

Il provider di servizi di configurazione dei criteri (CSP) consente alle organizzazioni aziendali di configurare cfa nei dispositivi Windows usando qualsiasi soluzione di gestione dei dispositivi mobili (MDM), non solo Microsoft Intune. Per ulteriori informazioni, vedere Policy CSP.

Usa i seguenti CSP dell'area Policy CSP - Defender per configurare CFA.

Abilita CFA tramite Policy CSP

Usa il CSP EnableControlledFolderAccess per configurare CFA e selezionare la modalità di protezione.

Percorso OMA-URI: ./Device/Vendor/MSFT/Policy/Config/Defender/EnableControlledFolderAccess
Valore: immettere uno dei valori della modalità seguenti:

  • 0: disabilitato (impostazione predefinita).
  • 1: Attivato (bloccato).
  • 2: modalità di controllo.
  • 3: blocca solo la modifica del disco.
  • 4: controlla solo le modifiche al disco.

Aggiungere cartelle all'elenco delle cartelle protette tramite il CSP dei criteri

CFA protegge un elenco non modificabile di cartelle comuni. Per aggiungere altre cartelle che ottengono la protezione CFA, usare il CSP ControlledFolderAccessProtectedFolders :

Percorso OMA-URI: ./Device/Vendor/MSFT/Policy/Config/Defender/ControlledFolderAccessProtectedFolders
Valore: immettere uno o più percorsi di cartella separati dal carattere pipe (|).

Ad esempio: C:\Data\Reports|C:\Data\Finance.

Consenti alle app di modificare i file nelle cartelle protette usando il CSP Policy

Usare il CSP ControlledFolderAccessAllowedApplications per consentire a più app di apportare modifiche ai file nelle cartelle protette.

Percorso OMA-URI: ./Device/Vendor/MSFT/Policy/Config/Defender/ControlledFolderAccessAllowedApplications
Valore: immettere uno o più percorsi dell'app separati dal carattere pipe (|). Il percorso di ogni app può includere variabili di ambiente e caratteri jolly, come descritto in Consenti alle app di modificare i file nelle cartelle protette.

Ad esempio, C:\Apps\app1.exe|%ProgramFiles%\Fabrikam\DriveManager\*\DriveService.exe

Configurare CFA in Microsoft Configuration Manager

In Microsoft Configuration Manager si configura CFA in un criterio di Windows Defender Exploit Guard. Per istruzioni, vedere le informazioni su CFA in Creare e distribuire un criterio di Exploit Guard.

Note

Per informazioni sull'aggiunta di cartelle protette o sull'autorizzazione delle app (ad esempio il supporto dei caratteri jolly e la necessità di riavviare le app consentite), vedere Aggiungere altre cartelle a CFA e Consentire alle app di modificare i file nelle cartelle protette.

Configurare CFA nei Criteri di gruppo

  1. Nei Criteri di gruppo centralizzati, aprire la Console Gestione Criteri di gruppo (GPMC) nel computer di gestione dei Criteri di gruppo.

  2. Nell'albero della console GPMC, espandere Oggetti Criteri di gruppo nella foresta e nel dominio che contengono il GPO che si desidera modificare.

  3. Fare clic con il pulsante destro del mouse sul GPO, quindi selezionare Modifica.

  4. Nell'Editor Gestione criteri di gruppo, passare a Configurazione computer>Modelli amministrativi>Componenti di Windows>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Accesso alle cartelle controllato.

  5. Nel riquadro dei dettagli di Accesso controllato alle cartelle, le impostazioni disponibili sono:

    Per aprire e configurare un'impostazione cfa, usare uno dei metodi seguenti:

    • Fare doppio clic sull'impostazione.
    • Fare clic con il pulsante destro del mouse sull'impostazione e quindi scegliere Modifica.
    • Selezionare l'impostazione e quindi Selezionare Modifica azione>.

Tip

È anche possibile configurare Criteri di gruppo in locale nei singoli dispositivi usando l'Editor Criteri di gruppo locale (gpedit.msc). Passare allo stesso percorso: Configurazione computer>Modelli amministrativi>Componenti di Windows>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Accesso alle cartelle controllato.

Le impostazioni disponibili sono descritte nelle sottosezioni seguenti.

Importante

Le virgolette, gli spazi iniziali, gli spazi finali e i caratteri aggiuntivi non sono supportati in nessuno dei valori CFA in Criteri di gruppo.

Abilitare CFA in Criteri di gruppo

  1. Nel riquadro dei dettagli di Accesso controllato alle cartelle aprire l'impostazione Configura accesso controllato alle cartelle .

  2. Nella finestra di impostazione visualizzata configurare le opzioni seguenti:

    1. Selezionare Abilitato.
    2. Configurare la funzionalità protezione delle cartelle: selezionare uno dei valori della modalità seguenti:
      • Disabilita (impostazione predefinita)
      • Blocco
      • Modalità di controllo
      • Blocca solo la modifica del disco
      • Controlla solo le modifiche del disco

    Screenshot che mostra l'opzione criteri di gruppo abilitata e la modalità di controllo selezionata.

Importante

Per abilitare completamente CFA, è necessario impostare l'opzione Criteri di gruppo su Abilitato e selezionare Blocca nel menu a discesa delle opzioni.

Aggiungere cartelle alle cartelle protette in Criteri di gruppo

  1. Nel riquadro dei dettagli di Accesso controllato alle cartelle aprire l'impostazione Configura cartelle protette .

    1. Selezionare Abilitato.
    2. Immettere le cartelle che devono essere protette: selezionare Mostra....
    3. Nella finestra delle impostazioni visualizzata configurare le opzioni seguenti:
      • Nome del valore: Immettere il percorso da includere nella protezione CFA.
      • Valore: immettere il valore 0.

    Ripetere questo passaggio tutte le volte necessarie. Al termine, selezionare OK.

    Per considerazioni sull'aggiunta di cartelle, ad esempio il supporto per condivisioni di rete, unità mappate e variabili di ambiente, vedere Aggiungere altre cartelle al cfa.

Consenti alle app di modificare i file nelle cartelle protette in Criteri di gruppo

  1. Nel riquadro dei dettagli di Accesso controllato alle cartelle aprire l'impostazione Configura applicazioni consentite .

    1. Selezionare Abilitato.
    2. Immettere le applicazioni che devono essere attendibili: selezionare Mostra....
    3. Nella finestra delle impostazioni visualizzata configurare le opzioni seguenti:
      • Nome valore: immettere il percorso e il nome file dell'applicazione a cui è consentito apportare modifiche ai file nelle cartelle protette.
      • Valore: immettere il valore 0.

    Ripetere questo passaggio tutte le volte necessarie. Al termine, selezionare OK.

    Per informazioni su cosa considerare quando si consentono app, ad esempio il supporto dei caratteri jolly e la necessità di riavviare le app consentite, vedere Consentire alle app di modificare i file nelle cartelle protette.

Abilitare e configurare CFA in PowerShell

Nel dispositivo di destinazione eseguire i comandi in questa sezione da una sessione di PowerShell con privilegi elevati (una finestra di PowerShell aperta selezionando Esegui come amministratore).

Per attivare CFA e selezionare la modalità di protezione, usare il comando seguente:

Set-MpPreference -EnableControlledFolderAccess <Mode>

I valori validi per il parametro EnableControlFolderAccess sono:

  • 0 o Disabled (impostazione predefinita)
  • 1 oppure Enabled
  • 2 oppure AuditMode
  • 3 oppure BlockDiskModificationOnly
  • 4 oppure AuditDiskModificationOnly

Per visualizzare la modalità CFA esistente nel dispositivo, eseguire il comando seguente:

Get-MpPreference | Format-Table EnableControlledFolderAccess

Note

  • Nelle sottosezioni seguenti Set-MpPreferencesovrascrive le cartelle protette esistenti o le app consentite con i valori specificati. Per visualizzare l'elenco dei valori esistenti, eseguire i comandi seguenti in una sessione di PowerShell con privilegi elevati:

    $cfa = Get-MpPreference; "ProtectedFolders:"; "-"*25; $cfa.ControlledFolderAccessProtectedFolders | Sort-Object; "`n`n"; "AllowedApplications:"; "-"*25; $cfa.ControlledFolderAccessAllowedApplications | Sort-Object

    Per aggiungere altre cartelle o app consentite a CFA senza influire sui valori esistenti, usare il cmdlet Add-MpPreference . Per rimuovere le cartelle specificate o le app consentite da CFA senza influire su altri valori esistenti, usare il cmdlet Remove-MpPreference . La sintassi del comando è identica per i tre cmdlet.

  • Le cartelle protette e le app consentite hanno effetto solo quando CFA è attivato (il valore EnableControlledFolderAccess non è 0 o Disabled).

Aggiungere cartelle alle cartelle protette in PowerShell

Per aggiungere altre cartelle per cfa da proteggere, usare la sintassi seguente in una sessione di PowerShell con privilegi elevati:

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -ControlledFolderAccessProtectedFolders "<Path1>","<Path2>",..."<PathN>"

Nell'esempio seguente vengono aggiunte le cartelle specificate all'elenco esistente di cartelle protette:

Add-MpPreference -ControlledFolderAccessProtectedFolders "C:\Folder1","C:\Folder2"

Consenti alle app di modificare i file nelle cartelle protette in PowerShell

Per aggiungere app consentite che possono apportare modifiche ai file nelle cartelle protette, usare la sintassi seguente in una sessione di PowerShell con privilegi elevati:

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -ControlledFolderAccessAllowedApplications "<PathAndFilename1>","<PathAndFilename2>",..."<PathAndFilenameN>"

L'esempio seguente sostituisce le app consentite esistenti con le app specificate. Il percorso può includere variabili di ambiente e caratteri jolly, come descritto in Consenti alle app di modificare i file nelle cartelle protette:

Set-MpPreference -ControlledFolderAccessAllowedApplications "C:\Apps\app1.exe","%ProgramFiles%\Fabrikam\DriveManager\*\DriveService.exe"

Configurare cfa nell'app protezione di Windows

È possibile usare l'app protezione di Windows nei singoli dispositivi per configurare cfa. Questo metodo è utile per il test o per la configurazione di un singolo dispositivo. Per configurare cfa in molti dispositivi, usare uno dei metodi di gestione aziendali descritti in precedenza in questo articolo.

Note

L'app protezione di Windows supporta solo On (equivalente alla modalitàabilitata) e Off (modalità Disabilitata). Per usare la modalità di controllo o le modalità di modifica del disco, usare uno degli altri metodi descritti in questo articolo.

  1. Nell'app di sicurezza Windows sul dispositivo passare a Protezione da virus e minacce.

  2. Nel riquadro Protezione da virus e minacce , nella sezione Impostazioni di protezione da virus e minacce selezionare Gestisci impostazioni.

  3. Nel riquadro Protezione da virus e minacce , nella sezione Accesso controllato alle cartelle selezionare Gestisci accesso controllato alle cartelle.

  4. Nel riquadro Protezione ransomware , le impostazioni seguenti sono disponibili nella sezione Accesso controllato alle cartelle :

    * Questa impostazione è disponibile solo quando il cfa è attivato.

Le impostazioni disponibili sono descritte nelle sottosezioni seguenti.

Abilitare CFA nell'app protezione di Windows

  1. Nella sezione Accesso controllato alle cartelle nel riquadro Protezione ransomware scorrere l'interruttore su Sì.

  2. Selezionare Sì nella finestra di dialogo Controllo dell'account utente.

    Se in precedenza sono state specificate cartelle protette e app consentite prima di disabilitare cfa, viene chiesto di confermare se si desidera mantenere tali valori.

Aggiungere cartelle alle cartelle protette nell'app protezione di Windows

  1. Nella sezione Accesso controllato alle cartelle nel riquadro Protezione ransomware selezionare Cartelle protette.
  2. Selezionare Sì alla richiesta Controllo dell'account utente.
  3. Nel riquadro visualizzato selezionare + Aggiungi una cartella protetta e quindi trovare e selezionare la cartella. Ripetere questo passaggio tutte le volte necessarie.

Consenti alle app di modificare i file nelle cartelle protette nell'app protezione di Windows

  1. Nella sezione Accesso controllato alle cartelle nel riquadro Protezione ransomware selezionare Consenti a un'app tramite Accesso controllato alle cartelle.

  2. Selezionare Sì alla richiesta Controllo dell'account utente.

  3. Nel riquadro Consenti un'app tramite il riquadro Accesso controllato alle cartelle selezionare + Aggiungi un'app consentita e quindi selezionare uno dei valori seguenti:

    • App bloccate di recente: nella finestra di dialogo App bloccate di recente visualizzata selezionare un'app dall'elenco delle app bloccate di recente.

      Se non vengono visualizzate app bloccate di recente, selezionare Sfoglia tutte le app da trovare e selezionare il file .exe o .com da aggiungere.

    • Esplora tutte le app: trova e seleziona il file .exe o .com da aggiungere.

    Ripetere questo passaggio tutte le volte necessarie.

Contenuti correlati

  • Last updated on