Domande frequenti sulla protezione da manomissioni

I dispositivi devono soddisfare tutti i requisiti seguenti:

• I dispositivi devono eseguire determinate versioni di Windows o macOS. Vedere Su quali dispositivi è possibile abilitare la protezione da manomissione?
• È necessario eseguire l'onboarding dei dispositivi in Microsoft Defender per endpoint.
• I dispositivi devono usare la versione 4.18.2010.7 della piattaforma antimalware (o versione successiva) e la versione 1.1.17600.5 del motore antimalware (o versione successiva). Gestire Microsoft Defender aggiornamenti antivirus e applicare linee di base.
• La protezione fornita dal cloud deve essere attivata.

Per gestire la protezione dalle manomissioni nel portale di Microsoft Defender (https://security.microsoft.com), è necessario disporre delle autorizzazioni appropriate assegnate tramite ruoli, ad esempio Amministratore globale o Amministratore della sicurezza. Vedere Microsoft Defender XDR controllo degli accessi in base al ruolo.

• Windows 11
• Windows 11 Enterprise multisessione
• Windows 10 OS 1709, 1803, 1809 o versione successiva insieme a Microsoft Defender per endpoint.
• Windows 10 Enterprise multisessione

Se si usa Configuration Manager versione 2006 con collegamento tenant, la protezione da manomissione può essere estesa a Windows Server 2012 R2, Windows Server 2016, Windows Server 2019 e Windows Server 2022. Vedere Collegamento tenant: Create e distribuire i criteri antivirus per la sicurezza degli endpoint dall'interfaccia di amministrazione (anteprima).

No. Le offerte antivirus non Microsoft continuano a registrarsi con l'applicazione Sicurezza di Windows.

Se il software antivirus/antimalware non Microsoft è installato in un dispositivo, quando il dispositivo viene caricato in Microsoft Defender per endpoint, Microsoft Defender Antivirus viene eseguito in modalità passiva per impostazione predefinita. La protezione dalle manomissioni protegge il servizio e le sue funzionalità.

Se/quando il software antivirus/antimalware non Microsoft viene disinstallato, Microsoft Defender Antivirus passa automaticamente alla modalità attiva. La protezione dalle manomissioni continua a proteggere il servizio e le relative funzionalità.

È consigliabile usare Microsoft Intune per gestire Microsoft Defender impostazioni antivirus per l'organizzazione. Con Intune, è possibile controllare dove la protezione da manomissione è abilitata (o disabilitata) tramite i criteri. È anche possibile proteggere Microsoft Defender esclusioni antivirus. Vedere Protezione da manomissione: Microsoft Defender esclusioni antivirus.

È anche possibile usare il portale di Microsoft Defender o Configuration Manager.

Se si è utenti privati, vedere Gestire la protezione da manomissioni in un singolo dispositivo.

La protezione da manomissione fa parte della protezione predefinita e deve essere abilitata.

È in fase di implementazione una nuova funzionalità per proteggere Microsoft Defender esclusioni antivirus nei dispositivi. Alcune condizioni devono essere soddisfatte. Ad esempio, è necessario usare solo Intune o Configuration Manager solo per gestire i dispositivi ed è necessario che Sense sia abilitato. Vedere Proteggere Microsoft Defender esclusioni antivirus.

Se attualmente si usa Intune per configurare e gestire la protezione da manomissioni, è consigliabile continuare a usare Intune. Quando la protezione da manomissione è attivata e si usa Criteri di gruppo per apportare modifiche alle impostazioni di Microsoft Defender Antivirus, tutte le impostazioni protette dalla protezione da manomissione vengono ignorate.

• Se è necessario apportare modifiche a un dispositivo e tali modifiche sono bloccate dalla protezione da manomissioni, è possibile usare la modalità di risoluzione dei problemi per disabilitare temporaneamente la protezione dalle manomissioni nel dispositivo. Al termine della modalità di risoluzione dei problemi, tutte le modifiche apportate alle impostazioni protette da manomissioni vengono ripristinate allo stato configurato.
• È possibile usare Intune o Configuration Manager per escludere i dispositivi dalla protezione da manomissioni.
• Se si gestisce la protezione dalle manomissioni tramite Intune e vengono soddisfatte alcune altre condizioni, è possibile gestire le esclusioni antivirus protette da manomissioni.

Se si usa Intune per configurare e gestire la protezione da manomissioni, non è necessario applicare la protezione da manomissione all'intera organizzazione. Con Intune, è possibile scegliere di applicare la protezione antimanomissione all'intera organizzazione oppure selezionare dispositivi o gruppi di utenti specifici per ricevere la protezione da manomissioni. È anche possibile escludere dispositivi specifici dalla protezione dalle manomissioni.

Quando la protezione da manomissione è attivata, le impostazioni di sicurezza seguenti sono protette da modifiche:

• La protezione da virus e minacce rimane abilitata.
• La protezione in tempo reale rimane attivata.
• Il monitoraggio del comportamento rimane attivato.
• La protezione antivirus, tra cui IOfficeAntivirus (IOAV) rimane abilitata.
• La protezione cloud rimane abilitata.
• Gli aggiornamenti dell'intelligence per la sicurezza continuano a verificarsi.
• Vengono eseguite azioni automatiche sulle minacce rilevate.
• Le notifiche sono visibili nell'app Sicurezza di Windows nei dispositivi Windows.
• I file archiviati vengono analizzati.

Per altre informazioni, vedere Cosa accade quando la protezione da manomissione è attivata?

Quando la protezione dalle manomissioni è attivata nel portale di Microsoft Defender (https://security.microsoft.com), la protezione dalle manomissioni è attivata, a livello di tenant. Tuttavia, i criteri definiti in Intune o Configuration Manager possono sostituire le impostazioni nel portale di Microsoft Defender. Ad esempio, è possibile definire un criterio in Intune o Configuration Manager che esclude determinati dispositivi dalla protezione da manomissioni.

Usare Intune per distribuire DisableLocalAdminMerge.

Seguire le indicazioni riportate in Gestire le esclusioni antivirus protette da manomissioni.

No. Quando la protezione da manomissione per le esclusioni è abilitata, non è necessario disabilitarla per applicare nuove esclusioni.

Sì. Analogamente all'uso di Intune, è possibile applicare la protezione antimanomissione a tutta l'organizzazione o a utenti e dispositivi specifici. Per ulteriori informazioni, vedere le seguenti risorse:

• Gestire la protezione da manomissioni con Intune
• Gestire la protezione da manomissioni usando il collegamento del tenant con Configuration Manager versione 2006
• Blog della community tecnica: Annuncio della protezione da manomissione per i client di collegamento tenant Configuration Manager

In generale, la protezione dalle manomissioni consente di evitare che gli utenti possano modificare le impostazioni di sicurezza direttamente nei dispositivi. La protezione da manomissione fa parte delle funzionalità anti-manomissione che includono regole standard di riduzione della superficie di attacco di protezione. Per impedire ulteriormente l'esecuzione di malware nel kernel, è consigliabile usare le regole del blocco di driver con Il controllo delle applicazioni per Windows.

Se un dispositivo è disattivato da Microsoft Defender per endpoint, viene attivata la protezione dalle manomissioni, ovvero lo stato predefinito per i dispositivi non gestiti.

Gli avvisi devono essere elencati nel portale di Microsoft Defender in Avvisi.

Il team delle operazioni di sicurezza può anche usare query di ricerca, ad esempio l'esempio seguente:

AlertInfo|where Title == "Tamper Protection bypass"

È possibile usare uno dei metodi seguenti per configurare la protezione dalle manomissioni:

• Portale di Microsoft Defender (attivare o disattivare la protezione dalle manomissioni, a livello di tenant)
• Intune (attivare o disattivare la protezione dalle manomissioni e/o configurare la protezione dalle manomissioni per alcuni o tutti gli utenti)
• Configuration Manager (con il collegamento del tenant, è possibile configurare la protezione da manomissioni per alcuni o tutti i dispositivi usando il profilo di esperienza Sicurezza di Windows).
• Sicurezza di Windows'app (per un singolo dispositivo usato a casa o in situazioni in cui un team di sicurezza non gestisce il dispositivo)