Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Importante
Le funzionalità descritte in questo articolo sono attualmente disponibili in anteprima, non sono disponibili in tutte le organizzazioni e sono soggette a modifiche.
La protezione della configurazione è un modello di applicazione della configurazione che rende il criterio gestito dal cloud l'unica fonte attendibile per le impostazioni di Microsoft Defender Antivirus. Quando la protezione della configurazione è attivata, le policy di Intune e Microsoft Defender per endpoint hanno la precedenza. Il dispositivo ignora le impostazioni di Group Policy, script, Microsoft Configuration Manager e modifiche agli amministratori locali.
La protezione della configurazione elimina la deriva della configurazione e i conflitti tra criteri estendendo all'intera superficie di configurazione di Defender Antivirus il meccanismo di applicazione forzata tipico della protezione antimanomissione.
La protezione antimanomissione e la protezione della configurazione sono capacità complementari ma distinte:
| Feature | Protezione da manomissioni | Protezione della configurazione |
|---|---|---|
| Scope | Piccolo set fisso di impostazioni di sicurezza (~10-13 impostazioni) | Intera superficie di configurazione di Defender Antivirus |
| Sorgente di configurazione | Solo valori predefiniti definiti da Microsoft | Policy cloud definita dall'organizzazione (Intune/Defender per Endpoint) |
| Personalizzazione | Nessuna personalizzazione | Controllo completo guidato dalle politiche |
| Rinforzo | Previene la disabilitazione delle protezioni critiche | Sovrascrive tutti i canali di configurazione non cloud |
La protezione della configurazione è un superset di protezione antimanomissione che fornisce un controllo basato sulle policy sull'intera configurazione di Microsoft Defender Antivirus.
Note
Sebbene la protezione antimanomissione e la protezione della configurazione possano tecnicamente essere attivate contemporaneamente, raccomandiamo alla vostra organizzazione di scegliere l'una o l'altra.
Prerequisites
- I dispositivi devono essere integrati su Microsoft Defender per endpoint.
- I dispositivi devono essere gestiti tramite Microsoft Intune o Defender per la gestione delle impostazioni di sicurezza degli endpoint.
- I dispositivi devono eseguire Windows 10, Windows 11, Windows Server 2019, Windows Server 2022 o Windows Server 2025.
- I dispositivi devono eseguire Microsoft Defender per endpoint EDR Sensor versione successiva alla 10.8804 (settembre 2025).
- I dispositivi devono eseguire la piattaforma Microsoft Defender Antivirus versione 4.18.26060.3004 o successiva (giugno 2026).
La protezione della configurazione attualmente non supporta:
- Ambienti di co-management (Gestione configurazione + Intune).
- Ambienti GCC High.
Cosa copre la protezione della configurazione
Attualmente, la protezione della configurazione fornisce protezione e applicazione delle impostazioni di Microsoft Defender Antivirus, tra cui:
- Configurazione antivirus (impostazioni di scansione, esclusioni, aggiornamenti)
- Politiche di riduzione della superficie d'attacco (ASR)
- Defender Configuration Service Provider (CSP) e ambito di Policy CSP (ampio insieme di controlli relativi all’antivirus)
- Comportamento locale nelle fusioni amministrative
Attualmente, la protezione della configurazione non copre il seguente problema:
- Controllo dispositivi di Microsoft Defender
- Impostazioni di rilevamento e risposta degli endpoint (EDR)
- Impostazioni del sistema operativo Windows (come Firewall)
Come funziona l'applicazione della protezione della configurazione
La protezione della configurazione fa rispettare la politica gestita dal cloud attraverso tre meccanismi:
Applicazione a sorgente singola: Quando la protezione della configurazione è attivata, si applicano le seguenti regole di applicazione:
- Solo le policy di Intune e Defender per gli endpoint vengono rispettate per le impostazioni di Defender Antivirus.
- Vengono ignorati gli oggetti di policy di gruppo (GPO), gli script, il Gestione configurazione e le modifiche amministrative locali.
- Microsoft Defender Antivirus non rispetta di default le esclusioni locali. Le organizzazioni possono consentire esclusioni antivirus definite dagli amministratori locali abilitando la fusione degli amministratori locali tramite Defender o la policy di Intune. Quando è abilitato il merge amministratore locale, le esclusioni antivirus definite localmente possono essere unite a quelle gestite centralmente. Le esclusioni di riduzione della superficie d'attacco (ASR) definite localmente non sono attualmente rispettate, anche quando è abilitata la fusione degli amministratori locali.
Impostazioni predefinite sicure: Se un'impostazione non è esplicitamente configurata in una policy, la protezione della configurazione applica le impostazioni predefinite da Microsoft. Questo comportamento garantisce che i dispositivi mantengano una forte postura di sicurezza anche quando gli amministratori non hanno configurato tutte le impostazioni disponibili.
Risoluzione dei conflitti: La protezione della configurazione utilizza un modello di precedenza basato sul valore anziché un modello in cui prevale l’ultima scrittura:
- On ha la precedenza su Off. Se un criterio imposta la protezione della configurazione su Attivata e un altro la imposta su Disattivata, la funzionalità rimane abilitata nel dispositivo.
- Se più policy assegnano valori diversi, viene segnalato un conflitto, ma il valore On viene comunque applicato.
- Se più policy assegnano lo stesso valore, il risultato è positivo e non si verifica alcun conflitto.
Importante
Non configurato non significa Spento. Per disabilitare la funzione, implementa esplicitamente una policy che imposta la protezione della configurazione su Off.
Abilita la protezione della configurazione
Puoi abilitare la protezione della configurazione tramite Microsoft Intune o Microsoft Defender per endpoint Security Settings Management.
Microsoft Intune è lo strumento consigliato per la configurazione e la distribuzione di Defender per le funzionalità degli endpoint nei dispositivi. Tuttavia, Intune è un prodotto separato che non fa parte di Defender per endpoint e non è incluso in tutte le sottoscrizioni. Per usare Intune, è necessaria una sottoscrizione che la include oppure è possibile acquistarla separatamente come sottoscrizione autonoma o componente aggiuntivo. Se Intune non è disponibile, è possibile usare qualsiasi altro metodo in questo articolo. Per altre informazioni, vedere Microsoft Intune licenze.
La protezione della configurazione si configura tramite la stessa interfaccia dei criteri della protezione antimanomissione. Nel profilo protezione di Windows Experience, Intune rinomina l'impostazione di protezione anti-manomissione in Protezione di configurazione (Disvolo) quando è disponibile la protezione della configurazione. Non puoi abilitare la protezione della configurazione tramite il Catalogo delle impostazioni o il template Device Control v1 (DCv1).
Poiché la protezione di configurazione e la protezione antimanomissione utilizzano la stessa impostazione di policy, impostare la protezione di configurazione (On) sostituisce il valore di protezione antimanomissione su quel dispositivo. Non si implementano politiche separate di protezione antimanomissione e di protezione della configurazione per la stessa impostazione. Per migrare le politiche esistenti di protezione antimanomissione (DCv1) verso la protezione della configurazione, crea una policy protezione di Windows Experience con Protezione di Configurazione (Attivata), poi rimuovi l'impostazione di protezione antimanomissione dalle tue policy DCv1 per evitare conflitti.
- Nella pagina Endpoint Security nel centro amministrativi Microsoft Intune a https://intune.microsoft.com, crea un nuovo profilo protezione di Windows Experience o modifica uno esistente.
- Localizza l'impostazione di protezione di configurazione (Dispositivi) (precedentemente Protezione antimanomissione).
- Imposta il valore su Protezione di configurazione (Attivata) per abilitare la protezione della configurazione.
- Assegna la policy ai gruppi di dispositivi appropriati.
Versione minima del client e ripristino
Prima di assegnare la protezione di configurazione (Attivata), aggiorna i dispositivi alla piattaforma Microsoft Defender Antivirus versione 4.18.26060.3004 o successiva, e convalida la distribuzione con un gruppo pilota.
Sui dispositivi con versioni precedenti della piattaforma, Intune può inviare Protezione di Configurazione (On) e Tamper Protection (Off), ma il dispositivo può applicare solo l'impostazione di protezione antimanomissione. Questo comportamento lascia disattivate sia la protezione della configurazione che quella contro la manomissione.
Per tornare indietro, cambia la policy di protezione di Windows Experience da Protezione di configurazione (On) a Tamper Protection (On), ridistribuisci la policy, sincronizza i dispositivi interessati e verifica che la protezione anti-manomissione sia attivata. Si applica la normale latenza di consegna delle policy.
Monitoraggio e creazione di report
Lo stato della protezione della configurazione è visibile sia nel centro di amministrazione Intune che nel portale Microsoft Defender, a seconda di come vengono gestiti i dispositivi.
Intune: Per i dispositivi registrati direttamente tramite Intune utilizzando Mobile Gestione dispositivi (MDM), puoi visualizzare:
- Stato della politica (Successo, Conflitto o Errore)
- Stato di protezione della configurazione a livello di dispositivo
Portale Microsoft Defender: Per i dispositivi gestiti tramite Defender per la gestione delle impostazioni di sicurezza degli endpoint, consulta il portale Microsoft Defender per uno stato di configurazione efficace.
Note
Questi dispositivi non sono visibili nei report di Intune. Usa il portale Microsoft Defender per verificare lo stato effettivo di protezione della configurazione.
Verifica la protezione della configurazione su un dispositivo
Per confermare lo stato di protezione della configurazione direttamente su un dispositivo, esegui il seguente cmdlet PowerShell:
Get-MpComputerStatus
Rivedi le seguenti proprietà nell'output:
- ControlledConfigurationState: Lo stato attuale di applicazione della protezione della configurazione sul dispositivo.
- IsTamperProtected: Indica se la protezione antimanomissione (la base della protezione della configurazione) è attiva.
- TamperProtectionSource: L'origine che impone lo stato corrente.
Puoi anche verificare Get-MpComputerStatus che la versione della piattaforma antivirus Microsoft Defender soddisfi i prerequisiti e validare lo stato di configurazione dopo un cambiamento di policy o un reset della protezione della configurazione.
Comportamenti del ciclo di vita
Il comportamento della protezione della configurazione varia a seconda dei cambiamenti nel ciclo di vita del dispositivo:
- Disassegnazione delle policy: La protezione della configurazione viene rimossa dal dispositivo a meno che non sia ancora applicabile un'altra policy di protezione della configurazione.
- Annullamento della registrazione di Defender for Endpoint: La protezione della configurazione rimane Attivata (non viene rimossa automaticamente).
- Rimozione del dispositivo: la protezione della configurazione viene rimossa e reimpostata su Off.
Reimpostare la protezione della configurazione di un dispositivo
Per cancellare lo stato di protezione della configurazione su un dispositivo, esegui i seguenti comandi in un Prompt dei Comando elevato (una finestra del Prompt dei Comando che hai aperto selezionando Esegui come amministratore):
Tip
Il dispositivo deve avere la protezione antimanomissione attivata ed essere in modalità di risoluzione dei problemi.
Il primo comando passa alla directory corrispondente alla versione più recente della <piattaforma antimalware> in %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Se tale percorso non esiste, passa a %ProgramFiles%\Windows Defender.
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -Config -ResetControlledConfiguration
Per maggiori informazioni, consulta Abilita e usa la modalità di risoluzione dei problemi in Microsoft Defender per endpoint.
Limitazioni note
Attualmente, le seguenti limitazioni si applicano alla protezione della configurazione:
- Potresti vedere conflitti falsi in Intune quando sia le politiche di protezione anti-manomissione che quelle di protezione della configurazione prendono di mira lo stesso dispositivo.
- Potresti notare incoerenze nelle segnalazioni tra il centro di amministrazione Intune e il portale Microsoft Defender.
- La copertura è limitata alle impostazioni di Microsoft Defender Antivirus (controllo dispositivo, EDR e firewall non sono ancora coperti).
- Quando attivi la protezione della configurazione tramite Microsoft Defender per endpoint Security Settings Management o Intune, la protezione antimanomissione viene disattivata, a meno che un'altra policy di protezione contro manomissioni non imposti esplicitamente la protezione attiva. Quando la protezione di configurazione è attiva e la protezione antimanomissione è disattivata, il punteggio di sicurezza della protezione antimanomissione è più basso. Stiamo lavorando per colmare questo divario.