Gecontroleerde maptoegang configureren

  • Van toepassing op: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender Antivirus

Gecontroleerde maptoegang (MICROSOFT) helpt uw waardevolle gegevens te beschermen tegen schadelijke apps en bedreigingen, zoals ransomware, door te voorkomen dat niet-vertrouwde apps bestanden in beveiligde mappen wijzigen. U kunt CFA inschakelen en configureren met een van de methoden in dit artikel.

Gebruik voor optimale resultaten een beheeroplossing voor ondernemingen, zoals Microsoft Intune of Microsoft Configuration Manager, om CFA te beheren.

Prerequisites

CFA is beschikbaar in de volgende besturingssystemen:

CFA configureren in Intune met behulp van eindpuntbeveiligingsbeleid

Microsoft Intune is het aanbevolen hulpprogramma voor het configureren en distribueren van Defender voor eindpuntfuncties naar apparaten. Intune is echter een afzonderlijk product dat geen deel uitmaakt van Defender voor Eindpunt en niet is opgenomen in alle abonnementen. Als u Intune wilt gebruiken, hebt u een abonnement nodig dat het bevat of kunt u het afzonderlijk kopen als een zelfstandig abonnement of invoegtoepassing. Als u geen Intune hebt, kunt u een van de andere methoden in dit artikel gebruiken. Zie Microsoft Intune licenties voor meer informatie.

In Intune is eindpuntbeveiligingsbeleid de aanbevolen methode om CFA te implementeren.

Als u CFA wilt configureren met een Microsoft Intune Endpoint Security-beleid voor aanvalsoppervlakvermindering, raadpleegt u Een eindpuntbeveiligingsbeleid maken (wordt in een nieuw tabblad geopend in de Intune-documentatie). Gebruik deze instellingen bij het maken van het beleid:

  • Beleidstype: Kwetsbaarheid voor aanvallen verminderen
  • Platform: Windows
  • Profiel: Regels voor het verminderen van kwetsbaarheid voor aanvallen
  • Configuratie-instellingen: Nadat u de instellingen voor regels voor aanvalsoppervlaktevermindering (ASR) hebt geconfigureerd, configureert u de volgende CFA-instellingen:

    • Gecontroleerde maptoegang inschakelen: Selecteer een beschikbare moduswaarde. Nadat u het effect van CFA in auditmodus hebt beoordeeld, kunt u dit instellen op Ingeschakeld.

    • Door Gecontroleerde mappentoegang beveiligde mappen: Gebruik een van de volgende methoden om meer mappen toe te voegen die CFA-beveiliging krijgen:

      • Selecteer Toevoegen. Voer in het vak dat wordt weergegeven het pad in dat u wilt opnemen. Voorbeeld:

        • C:\Data\Reports
        • C:\Data\Finance

      • Selecteer Importeren om een CSV-bestand te importeren dat de paden bevat die u wilt opnemen. Het CSV-bestand gebruikt de volgende indeling:

        ControlledFolderAccessProtectedFolders
"C:\folder1"
"C:\folder2"
...

        Tip

        Dubbele aanhalingstekens rond de waarden zijn optioneel en worden genegeerd (worden niet gebruikt in de waarden) als u deze opneemt. Gebruik geen enkele aanhalingstekens rond de waarden.

    • Gecontroleerde toegang tot mappen toegestaan toepassingen: als u apps wilt opgeven die wijzigingen mogen aanbrengen in bestanden in beveiligde mappen, gebruikt u dezelfde methoden voor toevoegen of importeren die worden beschreven voor beveiligde mappen met gecontroleerde maptoegang, waarbij u het pad en de bestandsnaam van elke app opgeeft.

      Het CSV-bestand gebruikt de volgende indeling:

      ControlledFolderAccessAllowedApplications
"C:\Apps\app1.exe"
"%ProgramFiles%\Fabrikam\DriveManager\*\DriveService.exe"
...

      Het pad van elke app kan omgevingsvariabelen en jokertekens bevatten, zoals beschreven in Apps toestaan om bestanden in beveiligde mappen te wijzigen.

Zie Instellingen voor aanvalsoppervlaktevermindering beheren met Microsoft Intune voor meer informatie over profielen voor aanvalsoppervlaktevermindering in Microsoft Intune.

CFA configureren in de Microsoft Defender-portal

Als uw organisatie eindpuntbeveiligingsbeleid beheert in de Microsoft Defender-portal, kunt u CFA configureren met hetzelfde eindpuntbeveiligingsbeleid dat Intune gebruikt.

Selecteer op het tabblad Windows van de pagina Beleid voor eindpuntbeveiliging van de Defender-portal op https://security.microsoft.com/policy-inventory de optie Nieuw beleid maken en maak vervolgens een beleid voor aanvalsoppervlakvermindering. Zie Een eindpuntbeveiligingsbeleid maken voor de volledige procedure.

Gebruik hetzelfde profiel voor regels voor het verkleinen van het aanvalsoppervlak en dezelfde CFA-instellingen als beschreven in CFA configureren in Intune met behulp van endpointbeveiligingsbeleid.

Wanneer u het beleid toewijst, moet u er rekening mee houden dat de beperkingen van de toewijzingsgroep van toepassing zijn op apparaten die worden beheerd via het beheer van beveiligingsinstellingen. Zie de stap Toewijzingen voor details.

CFA configureren in elke MDM-oplossing met de beleids-CSP

De CSP (Policy Configuration Service Provider) stelt ondernemingen in staat om CFA op Windows-apparaten te configureren met behulp van elke oplossing voor mobiel apparaatbeheer (MDM), niet alleen Microsoft Intune. Zie Beleids-CSP voor meer informatie.

Gebruik de volgende CSP's in de sectie Beleids-CSP - Defender om CFA te configureren.

CFA inschakelen met behulp van de Policy CSP

Gebruik de EnableControlledFolderAccess CSP om CFA te configureren en de beveiligingsmodus te selecteren.

OMA-URI-pad: ./Device/Vendor/MSFT/Policy/Config/Defender/EnableControlledFolderAccess
Waarde: Voer een van de volgende moduswaarden in:

  • 0: Uitgeschakeld (standaard).
  • 1: Ingeschakeld (geblokkeerd).
  • 2: Controlemodus.
  • 3: Alleen schijfwijziging blokkeren.
  • 4: Alleen schijfwijziging controleren.

Mappen toevoegen aan beveiligde mappen met behulp van de beleids-CSP

CFA beschermt een niet-wijzigbare lijst met veelgebruikte mappen. Als u meer mappen wilt toevoegen die CFA-beveiliging krijgen, gebruikt u de CSP ControlledFolderAccessProtectedFolders:

OMA-URI-pad: ./Device/Vendor/MSFT/Policy/Config/Defender/ControlledFolderAccessProtectedFolders
Waarde: Voer een of meer mappaden in, gescheiden door het pipe-teken (|).

Bijvoorbeeld: C:\Data\Reports|C:\Data\Finance.

Toestaan dat apps bestanden in beveiligde mappen wijzigen met behulp van de beleids-CSP

Gebruik de CSP ControlledFolderAccessAllowedApplications om meer apps toe te staan om wijzigingen aan te brengen in bestanden in beveiligde mappen.

OMA-URI-pad: ./Device/Vendor/MSFT/Policy/Config/Defender/ControlledFolderAccessAllowedApplications
Waarde: Voer een of meer app-paden in, gescheiden door het pipeteken (|). Het pad van elke app kan omgevingsvariabelen en jokertekens bevatten, zoals beschreven in Apps toestaan om bestanden in beveiligde mappen te wijzigen.

Bijvoorbeeld: C:\Apps\app1.exe|%ProgramFiles%\Fabrikam\DriveManager\*\DriveService.exe

CFA configureren in Microsoft Configuration Manager

In Microsoft Configuration Manager configureert u CFA in een Windows Defender Exploit Guard-beleid. Raadpleeg voor instructies de CFA-informatie in Create and deploy an Exploit Guard policy.

Note

Raadpleeg voor aandachtspunten bij het toevoegen van beveiligde mappen of het toestaan van apps (zoals ondersteuning voor jokertekens en de vereiste dat toegestane apps opnieuw moeten worden gestart) Andere mappen toevoegen aan CFA en Apps toestaan bestanden in beveiligde mappen te wijzigen.

CFA configureren in Groepsbeleid

  1. Open in Gecentraliseerde groepsbeleid de groepsbeleid Beheerconsole (GPMC) op uw groepsbeleid beheercomputer.

  2. Vouw in de GPMC-consolestructuur Groepsbeleidsobjecten uit in het forest en domein dat het GPO bevat dat u wilt bewerken.

  3. Klik met de rechtermuisknop op het groepsbeleidsobject en selecteer Bewerken.

  4. Ga in de Editor groepsbeleidsbeheer naar Computerconfiguratie>beheersjablonen>Windows onderdelen>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Controlled Folder Access.

  5. In het detailvenster van Gecontroleerde maptoegang zijn de beschikbare instellingen:

    Gebruik een van de volgende methoden om een CFA-instelling te openen en te configureren:

    • Dubbelklik op de instelling.
    • Klik met de rechtermuisknop op de instelling en selecteer Bewerken.
    • Selecteer de instelling en selecteer vervolgens Actie>bewerken.

Tip

U kunt groepsbeleid ook lokaal configureren op afzonderlijke apparaten met behulp van de Lokale groepsbeleid-editor (gpedit.msc). Navigeer naar hetzelfde pad: Computerconfiguratie>Administratieve sjablonen>Windows-onderdelen>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Gecontroleerde maptoegang.

De beschikbare instellingen worden beschreven in de volgende subsecties.

Belangrijk

Aanhalingstekens, spaties aan het begin, spaties aan het einde en extra tekens worden voor geen van de CFA-waarden in Groepsbeleid ondersteund.

CFA inschakelen in het groepsbeleid

  1. Open in het detailvenster van Gecontroleerde maptoegang de instelling Beheerde maptoegang configureren .

  2. Configureer de volgende opties in het instellingsvenster dat wordt geopend:

    1. Selecteer Ingeschakeld.
    2. Configureer de functie Mijn mappen bewaken: Selecteer een van de volgende moduswaarden:
      • Uitschakelen (standaard)
      • Blokkeren
      • Auditmodus
      • Alleen schijfwijziging blokkeren
      • Alleen schijfwijziging controleren

    Schermopname met de optie groepsbeleid ingeschakeld en Controlemodus geselecteerd.

Belangrijk

Als u CFA volledig wilt inschakelen, moet u de optie in Groepsbeleid instellen op Ingeschakeld en Blokkeren selecteren in het vervolgkeuzemenu Opties.

Mappen toevoegen aan beveiligde mappen in Groepsbeleid

  1. Open in het detailvenster van Gecontroleerde maptoegang de instelling Beveiligde mappen configureren .

    1. Selecteer Ingeschakeld.
    2. Voer de mappen in die moeten worden beveiligd: Selecteer Weergeven....
    3. Configureer de volgende opties in het instellingsvenster dat wordt geopend:
      • Naam van de waarde: Voer het pad in dat u wilt opnemen in de CFA-beveiliging.
      • Waarde: Voer de waarde 0in.

    Herhaal deze stap zo vaak als nodig is. Wanneer u klaar bent, selecteert u OK.

    Zie Andere mappen toevoegen aan CFA voor aandachtspunten bij het toevoegen van mappen (zoals ondersteuning voor netwerkshares, toegewezen stations en omgevingsvariabelen).

Toestaan dat apps bestanden wijzigen in beveiligde mappen in Groepsbeleid

  1. Open in het detailvenster van Gecontroleerde maptoegang de instelling Toegestane toepassingen configureren .

    1. Selecteer Ingeschakeld.
    2. Geef de toepassingen op die als vertrouwd moeten worden beschouwd: Selecteer Tonen....
    3. Configureer de volgende opties in het instellingsvenster dat wordt geopend:
      • Waardenaam: Voer het pad en de bestandsnaam in van de toepassing die wijzigingen mag aanbrengen in bestanden in beveiligde mappen.
      • Waarde: Voer de waarde 0in.

    Herhaal deze stap zo vaak als nodig is. Wanneer u klaar bent, selecteert u OK.

    Zie Apps toestaan om bestanden in beveiligde mappen te wijzigen voor overwegingen wanneer u apps toestaat (zoals ondersteuning voor jokertekens en de vereiste voor het opnieuw opstarten van toegestane apps).

CFA inschakelen en configureren in PowerShell

Voer op het doelapparaat de opdrachten in deze sectie uit vanuit een PowerShell-sessie met verhoogde bevoegdheid (een PowerShell-venster dat u hebt geopend door Uitvoeren als administrator te selecteren).

Gebruik de volgende opdracht om CFA in te schakelen en de beveiligingsmodus te selecteren:

Set-MpPreference -EnableControlledFolderAccess <Mode>

Geldige waarden voor de parameter EnableControlledFolderAccess zijn:

  • 0 of Disabled (standaard)
  • 1 of Enabled
  • 2 of AuditMode
  • 3 of BlockDiskModificationOnly
  • 4 of AuditDiskModificationOnly

Voer de volgende opdracht uit om de bestaande CFA-modus op het apparaat te bekijken:

Get-MpPreference | Format-Table EnableControlledFolderAccess

Note

  • In de volgende subsecties overschrijftSet-MpPreference alle bestaande beveiligde mappen of toegestane apps met de waarden die u opgeeft. Als u de lijst met bestaande waarden wilt bekijken, voert u de volgende opdrachten uit in een PowerShell-sessie met verhoogde bevoegdheid:

    $cfa = Get-MpPreference; "ProtectedFolders:"; "-"*25; $cfa.ControlledFolderAccessProtectedFolders | Sort-Object; "`n`n"; "AllowedApplications:"; "-"*25; $cfa.ControlledFolderAccessAllowedApplications | Sort-Object

    Gebruik de cmdlet Add-MpPreference om andere mappen of toegestane apps aan CFA toe te voegen zonder bestaande waarden te wijzigen. Gebruik de cmdlet Remove-MpPreference om de opgegeven mappen of toegestane apps uit CFA te verwijderen zonder andere bestaande waarden te beïnvloeden. De syntaxis van de opdracht is identiek voor de drie cmdlets.

  • De beveiligde mappen en toegestane apps worden alleen van kracht wanneer ENABLECONTROLledFolderAccess is ingeschakeld (de waarde EnableControlledFolderAccess is niet 0 of Disabled).

Mappen toevoegen aan beveiligde mappen in PowerShell

Als u meer mappen wilt toevoegen die door CFA moeten worden beveiligd, gebruikt u de volgende syntaxis in een PowerShell-sessie met verhoogde bevoegdheden:

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -ControlledFolderAccessProtectedFolders "<Path1>","<Path2>",..."<PathN>"

In het volgende voorbeeld worden de opgegeven mappen toegevoegd aan de bestaande lijst met beveiligde mappen:

Add-MpPreference -ControlledFolderAccessProtectedFolders "C:\Folder1","C:\Folder2"

Toestaan dat apps bestanden wijzigen in beveiligde mappen in PowerShell

Als u toegestane apps wilt toevoegen die wijzigingen kunnen aanbrengen in bestanden in beveiligde mappen, gebruikt u de volgende syntaxis in een PowerShell-sessie met verhoogde bevoegdheid:

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -ControlledFolderAccessAllowedApplications "<PathAndFilename1>","<PathAndFilename2>",..."<PathAndFilenameN>"

In het volgende voorbeeld worden alle bestaande toegestane apps vervangen door de opgegeven apps. Het pad kan omgevingsvariabelen en jokertekens bevatten, zoals beschreven in Apps toestaan om bestanden in beveiligde mappen te wijzigen:

Set-MpPreference -ControlledFolderAccessAllowedApplications "C:\Apps\app1.exe","%ProgramFiles%\Fabrikam\DriveManager\*\DriveService.exe"

CFA configureren in de Windows-beveiliging-app

U kunt de Windows-beveiliging-app op afzonderlijke apparaten gebruiken om CFA te configureren. Deze methode is handig voor het testen of voor het configureren van één apparaat. Als u CFA op veel apparaten wilt configureren, gebruikt u een van de methoden voor bedrijfsbeheer die eerder in dit artikel zijn beschreven.

Note

De Windows-beveiliging-app ondersteunt alleen Aan (gelijk aan de modus Ingeschakeld) en Uit (de modus Uitgeschakeld). Als u de controlemodus of de modi voor schijfwijziging wilt gebruiken, gebruikt u een van de andere methoden die in dit artikel worden beschreven.

  1. Ga in de Windows beveiligings-app op het apparaat naar Virus & Threat Protection.

  2. Selecteer in het deelvenster Virus & bedreigingsbeveiliging in de sectie Instellingen voor virus- en bedreigingsbeveiligingInstellingen beheren.

  3. Selecteer in het deelvenster Virus & bedreigingsbeveiliging , in de sectie Gecontroleerde maptoegang , beheerde maptoegang beheren.

  4. In het deelvenster Ransomware-beveiliging zijn de volgende instellingen beschikbaar in de sectie Gecontroleerde maptoegang :

    * Deze instelling is alleen beschikbaar wanneer CFA is ingeschakeld.

De beschikbare instellingen worden beschreven in de volgende subsecties.

CFA inschakelen in de app Windows-beveiliging

  1. Schuif in de sectie Gecontroleerde maptoegang in het deelvenster Ransomware-beveiliging de wisselknop naar Aan.

  2. Selecteer Ja in de prompt Gebruikersaccountbeheer .

    Als u eerder beveiligde mappen en toegestane apps hebt opgegeven voordat u CFA hebt uitgeschakeld, wordt u gevraagd te bevestigen of u deze instellingen wilt behouden.

Mappen toevoegen aan beveiligde mappen in de Windows-beveiliging-app

  1. Selecteer Beveiligde mappen in de sectie Gecontroleerde maptoegang in het deelvenster Ransomware-beveiliging.
  2. Selecteer Ja in de prompt Gebruikersaccountbeheer .
  3. Selecteer + Een beveiligde map toevoegen in het deelvenster dat wordt geopend en zoek en selecteer de map. Herhaal deze stap zo vaak als nodig is.

Toestaan dat apps bestanden wijzigen in beveiligde mappen in de Windows-beveiliging-app

  1. Selecteer in de sectie Gecontroleerde maptoegang in het deelvenster Ransomware-beveiligingde optie Een app toestaan via gecontroleerde maptoegang.

  2. Selecteer Ja in de prompt Gebruikersaccountbeheer .

  3. Selecteer in het deelvenster Toestaan van een app via het deelvenster Gecontroleerde maptoegangde optie + Een toegestane app toevoegen en selecteer vervolgens een van de volgende waarden:

    • Onlangs geblokkeerde apps: Selecteer in het dialoogvenster Onlangs geblokkeerde apps dat wordt geopend een app in de lijst met onlangs geblokkeerde apps.

      Als er geen onlangs geblokkeerde apps worden weergegeven, selecteert u Bladeren in alle apps die u wilt zoeken en selecteert u het .exe- of .com-bestand dat u wilt toevoegen.

    • Door alle apps bladeren: zoek en selecteer het .exe- of .com-bestand dat u wilt toevoegen.

    Herhaal deze stap zo vaak als nodig is.

Verwante onderwerpen

  • Last updated on