Preparar para instalar o Microsoft Defender Application Guard

• Aplica-se a:

  ✅ Windows 11, ✅ Windows 10

Observação

• O Microsoft Defender Application Guard, incluindo as APIs do Iniciador de Aplicações Isoladas do Windows, será preterido para o Microsoft Edge para Empresas e deixará de ser atualizado. Transfira o Documento Técnico de Segurança do Microsoft Edge para Empresas para saber mais sobre as capacidades de segurança do Edge para Empresas.
• Uma vez que o Application Guard foi preterido, não haverá uma migração para o Manifesto do Edge V3. As extensões de browser correspondentes e a aplicação associada da Loja Windows já não estão disponíveis. Se quiser bloquear browsers desprotegidos até estar pronto para extinguir a utilização do MDAG na sua empresa, recomendamos que utilize as políticas do AppLocker ou o serviço de gestão do Microsoft Edge. Para obter mais informações, consulte Microsoft Edge e Microsoft Defender Application Guard.

Antes de continuar, reveja Requisitos de sistema do Microsoft Defender Application Guard para rever os requisitos de instalação de hardware e software do Microsoft Defender Application Guard.

Observação

O Microsoft Defender Application Guard não é suportado em VMs e ambiente VDI. Para testes e automação em máquinas de não produção, você pode habilitar o WDAG em uma VM, permitindo a virtualização aninhada do Hyper-V no host.

Preparar para o Microsoft Defender Application Guard

Antes de instalar e usar o Microsoft Defender Application Guard, você deve determinar de que maneira pretende usá-lo em sua empresa. Você pode usar o Application Guard no modo Autônomo ou Gerenciado pela empresa.

Modo autônomo

Os funcionários podem usar sessões de navegação isoladas por hardware sem nenhuma configuração de política de administrador ou gerenciamento. Neste modo, você deve instalar o Application Guard e, em seguida, o funcionário deve iniciar manualmente o Microsoft Edge no Application Guard durante a navegação de sites não confiáveis. Para obter um exemplo de como isso funciona, consulte o cenário de testes do Application Guard em modo autônomo.

O modo autónomo é aplicável a:

• Edição Windows 10 Enterprise, versão 1709 e posterior
• Edição Windows 10 Pro, versão 1803 e posterior
• Edição Windows 10 Education, versão 1809 e posterior
• Edições Windows 11 Enterprise, Education ou Pro

Modo gerenciado pela empresa

Você e seu departamento de segurança podem definir limites corporativos, adicionando explicitamente os domínios confiáveis e personalizando a experiência do Application Guard para atender e impor suas necessidades nos dispositivos dos funcionários. O modo gerido pela empresa também redireciona automaticamente todos os pedidos do browser para adicionar domínios nonenterprise no contentor.

O modo gerido pela empresa é aplicável a:

• Edição Windows 10 Enterprise, versão 1709 e posterior
• Edição Windows 10 Education, versão 1809 e posterior
• Edições Windows 11 Enterprise ou Education

O diagrama a seguir mostra o fluxo entre o computador host e o contêiner isolado.

Instalar o Application Guard

A funcionalidade do Application Guard aparece desativada por padrão. No entanto, você pode instalá-lo rapidamente nos dispositivos de seus funcionários por meio do Painel de Controle, PowerShell ou sua solução de gerenciamento de dispositivos móveis (MDM).

Instalar a partir do Painel de Controlo

1. Abra o Painel de Controlo, selecione Programas e, em seguida, selecione Ativar ou desativar funcionalidades do Windows.

   

2. Selecione a caixa de verificação junto a Microsoft Defender Application Guard e, em seguida, selecione OK para instalar o Application Guard e as respetivas dependências subjacentes.

Instalar a partir do PowerShell

Observação

Certifique-se de que seus dispositivos tenham atendido a todos os requisitos do sistema antes desta etapa. O PowerShell instalará o recurso sem verificar os requisitos do sistema. Se seus dispositivos não atenderem aos requisitos do sistema, o Application Guard pode não funcionar. Esta etapa é recomendada somente para cenários gerenciados por empresas.

1. Selecione o ícone Procurar na barra de tarefas do Windows e escreva PowerShell.

2. Clique com o botão direito do rato em Windows PowerShell e, em seguida, selecione Executar como administrador para abrir o Windows PowerShell com credenciais de administrador.

3. Digite o seguinte comando:

   Enable-WindowsOptionalFeature -Online -FeatureName Windows-Defender-ApplicationGuard
   

4. Reinicie o dispositivo para instalar o Application Guard e as respetivas dependências subjacentes.

Instalar a partir do Intune

Importante

Verifique se os dispositivos da sua organização atendem aos requisitos e estão registrados no Intune.

1. Inicie sessão no centro de administração do Microsoft Intune.

2. Selecione Segurança >de ponto finalRedução da superfície de ataque>Criar Política e faça o seguinte:

   • Na lista Plataforma, selecione Windows 10 e posterior.
   • No Tipo de perfil , selecione Isolamento de aplicações e browsers.
   • Selecione Criar.

3. No separador Informações básicas, especifique o Nome e a Descrição da política. Selecione Avançar.

4. No separador Definições de configuração , configure as definições do Application Guard , conforme pretendido. Selecione Avançar.

5. No separador Etiquetas de âmbito , se a sua organização estiver a utilizar etiquetas de âmbito, selecione + Selecionar etiquetas de âmbito e, em seguida, selecione as etiquetas que pretende utilizar. Selecione Avançar.

   Para saber mais sobre etiquetas de âmbito, veja Utilizar o controlo de acesso baseado em funções (RBAC) e etiquetas de âmbito para TI distribuída.

6. Na página Atribuições , selecione os utilizadores ou grupos que recebem a política. Selecione Avançar.

   Para saber mais sobre a atribuição de políticas, veja Atribuir políticas no Microsoft Intune.

7. Reveja as suas definições e, em seguida, selecione Criar.

Após a criação da política, todos os dispositivos aos quais a política deve ser aplicada terão o Microsoft Defender Application Guard ativado. Os usuários podem ter que reiniciar seus dispositivos para que a proteção esteja em vigor.