Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Importante
Le funzionalità descritte in questo articolo sono attualmente disponibili in anteprima, non sono disponibili in tutte le organizzazioni e sono soggette a modifiche.
La configurazione controllata è un modello di enforcement della configurazione che rende la policy gestita dal cloud l'unica fonte di verità per le impostazioni di Microsoft Defender Antivirus. Quando la configurazione controllata è abilitata, le policy di Intune e Microsoft Defender per endpoint hanno la precedenza. Il dispositivo ignora le impostazioni di Group Policy, script, Microsoft Configuration Manager e modifiche agli amministratori locali.
La configurazione controllata elimina la deriva di configurazione e i conflitti di policy estendendo l'applicazione in stile protezione antimanomissione all'intera superficie di configurazione di Defender Antivirus.
La protezione contro manomissioni e la configurazione controllata sono capacità complementari ma distinte:
| Feature | Protezione da manomissioni | Configurazione controllata |
|---|---|---|
| Scope | Piccolo set fisso di impostazioni di sicurezza (~10-13 impostazioni) | Intera superficie di configurazione di Defender Antivirus |
| Sorgente di configurazione | Solo valori predefiniti definiti da Microsoft | Policy cloud definita dall'organizzazione (Intune/Defender per Endpoint) |
| Personalizzazione | Nessuna personalizzazione | Controllo completo guidato dalle politiche |
| Rinforzo | Previene la disabilitazione delle protezioni critiche | Sovrascrive tutti i canali di configurazione non cloud |
La configurazione controllata è un superset di protezione antimanomissione che fornisce un controllo basato sulle policy sull'intera configurazione di Microsoft Defender Antivirus.
Note
Sebbene la protezione antimanomissione e la configurazione controllata possano tecnicamente essere attivate contemporaneamente, raccomandiamo alla vostra organizzazione di scegliere l'una o l'altra.
Prerequisites
- I dispositivi devono essere integrati su Microsoft Defender per endpoint.
- I dispositivi devono essere gestiti tramite Microsoft Intune o Defender per la gestione delle impostazioni di sicurezza degli endpoint.
- I dispositivi devono eseguire Windows 10, Windows 11 o Windows Server 2019.
- I dispositivi devono eseguire Microsoft Defender per endpoint EDR Sensor versione successiva alla 10.8804 (settembre 2025).
- I dispositivi devono eseguire la piattaforma Microsoft Defender Antivirus versione 4.18.26060.3004 o successiva (giugno 2026).
La configurazione controllata attualmente non supporta:
- Ambienti di co-management (Gestione configurazione + Intune).
- Ambienti GCC High.
Cosa copre la configurazione controllata
Attualmente, la configurazione controllata fornisce protezione e applicazione delle impostazioni di Microsoft Defender Antivirus, tra cui:
- Configurazione antivirus (impostazioni di scansione, esclusioni, aggiornamenti)
- Politiche di riduzione della superficie d'attacco (ASR)
- Defender Configuration Service Provider (CSP) e ambito di Policy CSP (ampio insieme di controlli relativi all’antivirus)
- Comportamento locale nelle fusioni amministrative
Attualmente, la configurazione controllata non copre:
- Microsoft Defender Device Control
- Impostazioni di rilevamento e risposta degli endpoint (EDR)
- Impostazioni del sistema operativo Windows (come Firewall)
Come funziona l'applicazione forzata controllata della configurazione
La configurazione controllata impone la politica gestita dal cloud attraverso tre meccanismi:
Applicazione a fonte singola: Quando la configurazione controllata è abilitata, si applicano le seguenti regole di applicazione:
- Solo le policy di Intune e Defender per gli endpoint vengono rispettate per le impostazioni di Defender Antivirus.
- Vengono ignorati gli oggetti di policy di gruppo (GPO), gli script, il Gestione configurazione e le modifiche amministrative locali.
- Microsoft Defender Antivirus non rispetta le esclusioni locali. Le organizzazioni possono ancora scegliere di consentire esclusioni definite dagli amministratori locali abilitando l'impostazione di fusione degli amministratori locali tramite una policy. Quando è abilitata la fusione degli amministratori locali, le esclusioni definite localmente possono essere unite a quelle gestite centralmente.
Impostazioni predefinite sicure: Se un'impostazione non è esplicitamente configurata in una policy, la configurazione controllata applica le impostazioni predefinite da Microsoft. Questo comportamento garantisce che i dispositivi mantengano una forte postura di sicurezza anche quando gli amministratori non hanno configurato tutte le impostazioni disponibili.
Risoluzione dei conflitti: La configurazione gestita utilizza un modello di precedenza basato sul valore anziché un modello in cui prevale l'ultima scrittura:
- On ha la precedenza su Off. Se un criterio imposta la configurazione controllata su Attivata e un altro su Disattivata, la funzionalità rimane abilitata nel dispositivo.
- Se più policy assegnano valori diversi, viene segnalato un conflitto, ma il valore On viene comunque applicato.
- Se più policy assegnano lo stesso valore, il risultato è positivo e non si verifica alcun conflitto.
Importante
Non configurato non significa Spento. Per disabilitare la funzione, distribuisci esplicitamente una policy che imposti la configurazione controllata su Off.
Abilitare la configurazione controllata
Puoi abilitare la configurazione controllata tramite Microsoft Intune o Microsoft Defender per endpoint Security Settings Management.
La configurazione controllata viene configurata tramite la stessa superficie politica della protezione antimanomissione. Nel profilo protezione di Windows Experience, Intune rinomina l'impostazione di protezione antimanomissione in Configurazione Controllata (Dischietto) quando è disponibile la configurazione controllata. Non puoi abilitare la configurazione controllata tramite il Catalogo delle Impostazioni o il template Device Control v1 (DCv1).
Poiché la configurazione controllata e la protezione antimanomissione utilizzano la stessa impostazione politica, impostare Controlled Configuration (On) sostituisce il valore di protezione antimanomissione su quel dispositivo. Non si implementano misure separate di protezione antimanomissione e policy di configurazione controllate per la stessa impostazione. Per migrare le politiche esistenti di protezione contro manomissioni (DCv1) verso una configurazione controllata, crea una policy protezione di Windows Experience con Controlled Configuration (On), poi rimuovi l'impostazione di protezione anti-manomissione dalle tue policy DCv1 per evitare conflitti.
- Nella pagina Endpoint Security nel centro amministrativi Microsoft Intune a https://intune.microsoft.com, crea un nuovo profilo protezione di Windows Experience o modifica uno esistente.
- Individua l'impostazione Configurazione controllata (Dispositivo) (in precedenza Protezione dalle manomissioni).
- Imposta il valore su Configurazione Controllata (Attivata) per abilitare la configurazione controllata.
- Assegna la policy ai gruppi di dispositivi appropriati.
Versione minima del client e roll back
Prima di assegnare la Configurazione Controllata (Attivata), aggiorna i dispositivi alla piattaforma antivirus Microsoft Defender versione 4.18.26060.3004 o successiva, e valida la distribuzione con un gruppo pilota.
Sui dispositivi con versioni precedenti della piattaforma, Intune può inviare Configurazione Controllata (On) e Protezione contro le Manomissioni (Off), ma il dispositivo può applicare solo l'impostazione di protezione antimanomissione. Questo comportamento disattiva sia la configurazione controllata che la protezione antimanomissione.
Per tornare indietro, cambia la policy protezione di Windows Experience da Controlled Configuration (On) a Tamper Protection (On), ridistribuisci la policy, sincronizza i dispositivi interessati e verifica che la protezione anti-manomissione sia abilitata. Si applica la normale latenza di consegna delle policy.
Monitoraggio e creazione di report
Lo stato di configurazione controllato è visibile sia nel centro amministrativo Intune che nel portale Microsoft Defender, a seconda di come vengono gestiti i dispositivi.
Intune: Per i dispositivi registrati direttamente tramite Intune utilizzando Mobile Gestione dispositivi (MDM), puoi visualizzare:
- Stato della politica (Successo, Conflitto o Errore)
- Stato della configurazione controllata a livello di dispositivo
Portale Microsoft Defender: Per i dispositivi gestiti tramite Defender per la gestione delle impostazioni di sicurezza degli endpoint, consulta il portale Microsoft Defender per uno stato di configurazione efficace.
Note
Questi dispositivi non sono visibili nei report di Intune. Usa il portale Microsoft Defender per verificare lo stato effettivo di configurazione controllato.
Verifica la configurazione controllata su un dispositivo
Per confermare lo stato di configurazione controllato direttamente su un dispositivo, esegui il seguente cmdlet PowerShell:
Get-MpComputerStatus
Rivedi le seguenti proprietà nell'output:
- ControlledConfigurationState: Lo stato corrente dell'applicazione della configurazione controllata sul dispositivo.
- IsTamperProtected: Indica se la protezione antimanomissione (la base della configurazione controllata) è attiva.
- TamperProtectionSource: L'origine che impone lo stato corrente.
Puoi anche verificare Get-MpComputerStatus che la versione della piattaforma antivirus Microsoft Defender soddisfi i prerequisiti e validare lo stato di configurazione dopo una modifica di policy o un reset controllato.
Comportamenti del ciclo di vita
Il comportamento della configurazione controllata varia a seconda dei cambiamenti nel ciclo di vita del dispositivo:
- Disassegnazione delle policy: La configurazione controllata viene rimossa dal dispositivo a meno che un'altra policy di configurazione controllata non sia ancora applicabile.
- Annullamento della registrazione di Defender for Endpoint: La configurazione controllata rimane Attivata (non viene pulita automaticamente).
- Rimozione del dispositivo: La configurazione controllata viene rimossa e reimpostata su Off.
Reimpostare la configurazione gestita su un dispositivo
Per cancellare lo stato di configurazione controllato su un dispositivo, esegui i seguenti comandi in un Prompt dei Comando elevato (una finestra del Prompt che hai aperto selezionando Esegui come amministratore):
Tip
Il dispositivo deve avere la protezione antimanomissione attivata ed essere in modalità di risoluzione dei problemi.
Il primo comando modifica la directory alla versione più recente della <piattaforma> antimalware in %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Se tale percorso non esiste, passa a %ProgramFiles%\Windows Defender.
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -Config -ResetControlledConfiguration
Per altre informazioni, vedere Introduzione alla modalità di risoluzione dei problemi in Microsoft Defender per endpoint.
Limitazioni note
Attualmente, le seguenti limitazioni si applicano alla configurazione controllata:
- Potresti vedere falsi conflitti in Intune quando sia la protezione anti-manomissione che le policy di configurazione controllate prendono di mira lo stesso dispositivo.
- Potresti notare incoerenze nelle segnalazioni tra il centro di amministrazione Intune e il portale Microsoft Defender.
- La copertura è limitata alle impostazioni di Microsoft Defender Antivirus (controllo dispositivo, EDR e firewall non sono ancora coperti).
- Quando attivi la configurazione controllata tramite Microsoft Defender per endpoint Security Settings Management o Intune, la protezione antimanomissione viene disattivata, a meno che un'altra policy di protezione contro manomissioni non imposti esplicitamente la protezione attiva. Quando la configurazione controllata è attiva e la protezione antimanomissione è disattivata, il punteggio di sicurezza della protezione antimanomissione è più basso. Stiamo lavorando per colmare questo divario.