Compartilhar via

Controle de Aplicativo para Windows

Observação

Algumas capacidades do Controlo de Aplicações do Windows Defender só estão disponíveis em versões específicas do Windows. Saiba mais sobre a disponibilidade da funcionalidade Controlo de Aplicações do Windows Defender.

Com milhares de novos ficheiros maliciosos criados todos os dias, a utilização de métodos tradicionais como a deteção baseada em assinaturas de soluções antivírus para combater o software maligno fornece uma defesa inadequada contra novos ataques.

Na maioria das organizações, as informações são o recurso mais valioso e garantir que apenas os utilizadores aprovados têm acesso a essas informações é imperativo. No entanto, quando um usuário executa um processo, esse processo tem o mesmo nível de acesso aos dados que o usuário tem. Dessa forma, as informações confidenciais podem ser facilmente excluídas ou transmitidas para fora da organização caso um usuário execute um software mal-intencionado consciente ou inconscientemente.

O controlo de aplicações pode ajudar a mitigar estes tipos de ameaças de segurança ao restringir as aplicações que os utilizadores têm permissão para executar e o código que é executado no System Core (kernel). As políticas de controlo de aplicações também podem bloquear scripts e MSIs não assinados e restringir a execução do Windows PowerShell no Modo de Idioma Restrito.

O controlo de aplicações é uma linha crucial de defesa para proteger as empresas, tendo em conta o cenário de ameaças atual, e tem uma vantagem inerente sobre as soluções antivírus tradicionais. Especificamente, o controlo de aplicações afasta-se de um modelo de confiança da aplicação em que todas as aplicações são assumidas como fidedignas para uma em que as aplicações têm de ganhar confiança para serem executadas. Muitas organizações, como a Direcção australiana de Sinais, compreendem a importância do controlo de aplicações e citam frequentemente o controlo de aplicações como um dos meios mais eficazes para lidar com a ameaça de software maligno executável baseado em ficheiros (.exe, .dll, etc.).

Observação

Embora o controlo de aplicações possa proteger significativamente os seus computadores contra código malicioso, recomendamos que continue a manter uma solução antivírus empresarial para um portefólio de segurança empresarial bem arredondado.

O Windows 10 e o Windows 11 incluem duas tecnologias que podem ser utilizadas para o controlo de aplicações, consoante os cenários e requisitos específicos da sua organização:

  • Controlo de Aplicações do Windows Defender (WDAC); e
  • AppLocker

WDAC e Controlo de Aplicações Inteligentes

A partir do Windows 11, versão 22H2, o Controlo de Aplicações Inteligentes fornece controlo de aplicações aos consumidores. O Controlo de Aplicações Inteligentes baseia-se no WDAC, permitindo que os clientes empresariais criem uma política que ofereça a mesma segurança e compatibilidade com a capacidade de personalizá-la para executar aplicações de linha de negócio (LOB). Para facilitar a implementação desta política, é fornecida uma política de exemplo . A política de exemplo inclui a opção Ativado:Política de Bloqueio Condicional do Windows que não é suportada para políticas empresariais WDAC. Esta regra tem de ser removida antes de utilizar a política de exemplo. Para utilizar esta política de exemplo como ponto de partida para criar a sua própria política, veja Criar uma política de base personalizada com uma política de base WDAC de exemplo.

O Controlo de Aplicações Inteligentes só está disponível na instalação limpa do Windows 11, versão 22H2 ou posterior, e começa no modo de avaliação. O Controlo de Aplicações Inteligentes é automaticamente desativado para dispositivos geridos pela empresa, a menos que o utilizador o tenha ativado primeiro. Para desativar o Controlo de Aplicações Inteligentes nos pontos finais da sua organização, pode definir o valor HKLM\SYSTEM\CurrentControlSet\Control\CI\Policy de registo VerifiedAndReputablePolicyState (DWORD), conforme mostrado na tabela seguinte. Depois de alterar o valor do registo, tem de reiniciar o dispositivo ou utilizar CiTool.exe -r para que a alteração entre em vigor.

Valor Descrição
0 Desativado
1 Impor
2 Avaliação

Importante

Depois de desativar o Controlo de Aplicações Inteligentes, este não pode ser ativado sem repor ou reinstalar o Windows.

Blocos Impostos do Controlo de Aplicações Inteligentes

O Controlo de Aplicações Inteligentes impõe as regras do Bloco de ControladorEs Recomendados da Microsoft e as Regras de Bloqueio Recomendadas da Microsoft, com algumas exceções para considerações de compatibilidade. As seguintes opções não são bloqueadas pelo Controlo de Aplicações Inteligentes:

  • Infdefaultinstall.exe
  • Microsoft.Build.dll
  • Microsoft.Build.Framework.dll
  • Wslhost.dll

Edição do Windows e requisitos de licenciamento

A tabela seguinte lista as edições do Windows que suportam o Controlo de Aplicações do Windows Defender (WDAC):

Windows Pro Windows Enterprise Windows Pro Education/SE Windows Education
Sim Sim Sim Sim

Os direitos de licença do Controlo de Aplicações do Windows Defender (WDAC) são concedidos pelas seguintes licenças:

Windows Pro/Pro Education/SE Windows Enterprise E3 Windows Enterprise E5 Windows Education A3 Windows Education A5
Sim Sim Sim Sim Sim

Para obter mais informações sobre o licenciamento do Windows, consulte Visão geral do licenciamento do Windows.