Usare un criterio Controllo di applicazioni di Windows Defender per verificare specifici plug-in, componenti aggiuntivi e moduli

Nota

Alcune funzionalità di controllo delle applicazioni Windows Defender sono disponibili solo in versioni specifiche di Windows. Altre informazioni sulla disponibilità delle funzionalità Windows Defender Controllo applicazioni.

È possibile usare Windows Defender criteri WDAC (Application Control) per controllare le applicazioni e anche per controllare se plug-in, componenti aggiuntivi e moduli specifici possono essere eseguiti da app specifiche, ad esempio un'applicazione line-of-business o un browser:

Approccio Linee guida
Puoi utilizzare un elenco di plug-in, componenti aggiuntivi o moduli che vuoi vengano eseguiti solo da una specifica applicazione. Le altre applicazioni non potranno eseguirli. Usa New-CIPolicyRule con l'opzione -AppID.
Inoltre, è possibile lavorare da un elenco di plug-in, componenti aggiuntivi o moduli che si desidera bloccare in un'applicazione specifica. Le altre applicazioni potranno eseguirli. Usa New-CIPolicyRule con le opzioni -AppID e -Deny.

Ad esempio, per aggiungere regole a un criterio WDAC denominato "Lamna_FullyManagedClients_Audit.xml" che consentono l'esecuzione di addin1.dll e addin2.dll da ERP1.exe, l'applicazione ERP (Enterprise Resource Planning) di Lamna, eseguire i comandi seguenti. Nel secondo comando += viene usato per aggiungere una seconda regola alla variabile $rule :

$rule = New-CIPolicyRule -DriverFilePath '.\temp\addin1.dll' -Level FileName -AppID '.\ERP1.exe'
$rule += New-CIPolicyRule -DriverFilePath '.\temp\addin2.dll' -Level FileName -AppID '.\ERP1.exe'

Per creare un Windows Defender criterio di controllo delle applicazioni che impedisce l'esecuzione diaddin3.dll in Microsoft Word, eseguire il comando seguente. È necessario includere l'opzione -Deny per bloccare i componenti aggiuntivi specificati nell'applicazione specificata. Dopo aver creato tutte le regole desiderate, è possibile unirle in un criterio WDAC esistente usando il cmdlet Merge-CIPolicy, come illustrato di seguito:

$rule += New-CIPolicyRule -DriverFilePath '.\temp\addin3.dll' -Level FileName -Deny -AppID '.\winword.exe'
Merge-CIPolicy -OutputFilePath .\Lamna_FullyManagedClients_Audit.xml -PolicyPaths .\Lamna_FullyManagedClients_Audit.xml -Rules $rule