Configurar o controlo de dispositivos no Microsoft Defender para Endpoint

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business

O controlo de dispositivos no Microsoft Defender para Endpoint ajuda as equipas de segurança a gerir o acesso a armazenamento removível, impressoras e outros dispositivos periféricos em dispositivos Windows. Este artigo descreve como ativar e configurar o controlo de dispositivos.

Configurar controlo de dispositivo no Microsoft Intune

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir funcionalidades do Defender for Endpoint para dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender for Endpoint, e não está incluído em todas as subscrições. Para usar o Intune, precisa de uma subscrição que o inclua, ou pode comprá-lo separadamente como subscrição autónoma ou complemento. Se não tiver o Intune, pode usar qualquer um dos outros métodos mencionados neste artigo. Para obter mais informações, veja licenciamento Microsoft Intune.

Ver grupos de controlo de dispositivos no Intune

No Intune, os grupos de controlo de dispositivos aparecem como definições reutilizáveis.

  1. Na página Segurança de ponto final | Descrição geral no centro de administração do Microsoft Intune em https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, aceda a Gerir>Redução da superfície de ataque.
  2. Na página de Segurança do Endpoint | Redução da superfície de ataque , selecione o separador Definições Reutilizáveis .

Configurar o controlo de dispositivos no Intune através de políticas de segurança de pontos finais

Para configurar o controlo de dispositivos no Microsoft Intune, utilize uma política de segurança de ponto final Redução da superfície de ataque. Para obter instruções detalhadas, consulte Criar políticas de segurança para pontos finais ou Modificar políticas existentes (as hiperligações abrem em novos separadores na documentação do Intune).

Ao criar a política, utilize estas definições específicas:

  • Tipo de política: Aceda a Gerir>Redução da superfície de ataque na página Segurança de endpoint | Descrição geral em https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, e, em seguida, selecione Criar política.
  • Plataforma: selecione Windows. Atualmente, o perfil de Controlo de Dispositivos não é suportado para dispositivos Windows Server geridos através do Defender para gestão de definições de segurança do Endpoint, embora esta política se aplique ao Windows Server.
  • Perfil: selecione Controlo de Dispositivos.

Ao criar ou modificar a política, utilize estas definições específicas no separador de Definições de Configuração :

  • Secção do Defender: veja as definições de Permitir a verificação completa de unidades amovíveis.

  • Secção de Controlo de Dispositivos : Configurar políticas personalizadas com definições reutilizáveis. Cada linha desta secção representa uma política de controlo de dispositivos. O nome da política aparece nas notificações aos utilizadores, no Advanced Hunting e nos relatórios.

    Selecione Adicionar para adicionar uma política. Defina as seguintes configurações:

    • Nome: introduza um nome exclusivo.
    • ID incluído: Selecione as definições reutilizáveis a que a política se aplica.
    • ID excluído: Selecione as definições reutilizáveis que a política exclui.
    • Tipo, Opções e Máscara de Acesso: Configure a ação, a notificação ao utilizador e o comportamento do evento, e as permissões permitidas.

    Captura de ecrã das definições do perfil de Controlo de Dispositivo Intune.

    Para informações sobre como adicionar grupos reutilizáveis de definições a uma política, veja Adicionar grupos reutilizáveis a um perfil de Controlo de Dispositivos. Para informações sobre regras de controlo de dispositivos, consulte Visão geral de controlo de dispositivos: Regras.

    Adicione uma política de Permitir ou Negar quando adicionar uma política de auditoria para evitar resultados inesperados.

    Importante

    Se configurar apenas políticas de auditoria, as permissões são herdadas da definição predefinida de imposição.

    O Intune não preserva a ordem das políticas mostrada na interface de utilizador para a aplicação de políticas. Utilize políticas de Permitir e Recusar que não se intersectam, adicionando explicitamente dispositivos a serem excluídos. Não é possível alterar a definição de imposição predefinida na interface gráfica do Intune. Se alterar a imposição predefinida para Deny através de outro método e criar uma política Allow para dispositivos específicos, todos os outros dispositivos são bloqueados.

  • Restrições de Instalação do Dispositivo: Consulte as definições de Instalação do Dispositivo.

  • Acesso ao Armazenamento Amovível: veja Definições de Acesso ao Armazenamento Amovível .

  • Proteção de Dados: veja Permitir definições de Acesso Direto à Memória .

  • Dma Guard: Veja as definições de Política de Enumeração de Dispositivos.

  • Armazenamento: veja as Definições para Negar o Acesso de Escrita a Disco Amovível.

  • Conectividade: Veja Permitir Ligação USB e Permitir Definições Bluetooth .

  • Bluetooth: Configurar definições relacionadas com ligações e serviços Bluetooth. Veja Política CSP - Bluetooth.

  • Sistema: Veja as definições de Permitir Cartão de Armazenamento.

Sugestão

Não precisa de configurar todas as definições disponíveis de uma só vez. Considera começar pelas definições de Controlo de Dispositivos .

Configurar o controlo de dispositivos no Intune utilizando perfis personalizados com OMA-URIs e CSPs

Embora sejam recomendadas políticas de segurança para endpoints, também pode configurar o controlo de dispositivos no Intune usando perfis personalizados que contenham definições do Open Mobile Alliance Uniform Resource Identifier (OMA-URI) do fornecedor de serviço de configuração (CSP) da Defender.

Para instruções para criar e atribuir um perfil personalizado, veja Usar definições personalizadas de dispositivo no Microsoft Intune. Para obter informações sobre os campos OMA-URI nos perfis personalizados do Windows, consulte Adicionar definições personalizadas para dispositivos Windows no Microsoft Intune.

Importante

Usar as definições de OMA-URI do Intune para configurar o controlo de dispositivos requer que o Intune gere a carga de trabalho de Configuração do Dispositivo se o dispositivo for co-gerido com Gestor de Configuração. Para obter mais informações, veja Como mudar Gestor de Configuração cargas de trabalho para Intune.

Ao criar a política, utilize estas definições específicas:

  • Plataforma: Selecione Windows 10 e posterior.
  • Tipo de perfil: Selecione Templates e depois selecione Personalizado.

Ao criar ou modificar a política, adicione uma linha para cada definição no separador de definições de configuração . Use os seguintes valores de OMA-URI para as definições de controlo do dispositivo:

  • Imposição predefinida do controlo de dispositivos: Define as decisões tomadas durante as verificações de acesso no controlo de dispositivos quando nenhuma regra de política se aplica.
    • OMA-URI: ./Vendor/MSFT/Defender/Configuration/DefaultEnforcement
    • Tipo de dado: Integer
    • Valores:
      • DefaultEnforcementAllow = 1
      • DefaultEnforcementDeny = 2
  • Tipos de dispositivos: Especifica os tipos de dispositivos, identificados pelos seus IDs principais, que têm a proteção de controlo de dispositivos ativada. Separe vários IDs de família de produtos com uma barra vertical, sem espaços.
    • OMA-URI: ./Vendor/MSFT/Defender/Configuration/SecuredDevicesConfiguration
    • Tipo de dados: String
    • Valores:
      • RemovableMediaDevices
      • CdRomDevices
      • WpdDevices
      • PrinterDevices
  • Ativar o controlo do dispositivo: Ativa ou desativa o controlo do dispositivo no dispositivo.
    • OMA-URI: ./Vendor/MSFT/Defender/Configuration/DeviceControlEnabled
    • Tipo de dado: Integer
    • Valores:
      • Desativar = 0
      • Ativar = 1

Crie políticas com OMA-URI

Captura de ecrã das definições do Intune usadas para criar uma política de controlo de dispositivo com OMA-URI.

Quando cria políticas com o OMA-URI no Intune, crie um ficheiro XML para cada política. Como boa prática, utilize o perfil de Controlo de Dispositivos para criar políticas personalizadas.

No painel Adicionar Linha , especifique as seguintes definições:

  • No campo Nome , escreva Allow Read Activity.
  • No campo OMA-URI , escreva ./Vendor/MSFT/Defender/Configuration/DeviceControl/PolicyRules/%7b[PolicyRule Id]%7d/RuleData. Use o comando New-Guid PowerShell para gerar o GUID que substitui [PolicyRule Id]. Utilize o mesmo GUID para o valor PolicyRule Id no ficheiro XML da política.
  • No campo Tipo de Dados , selecione Cadeia (ficheiro XML) e utilize XML Personalizado.

Pode utilizar parâmetros para definir condições para entradas específicas. Para um exemplo, veja o ficheiro XML da política de Permitir Leitura para armazenamento removível.

Note

Os comentários que utilizam a notação de comentário XML <!-- COMMENT --> podem ser usados nos ficheiros XML de regras e grupos, mas têm de estar dentro da primeira tag XML, e não na linha inicial do ficheiro XML.

Crie grupos com OMA-URI

Captura de ecrã das definições do Intune usadas para criar um grupo de controlo de dispositivos com OMA-URI.

Quando cria grupos com o OMA-URI no Intune, crie um ficheiro XML para cada grupo. Como melhor prática, utilize definições reutilizáveis para definir grupos.

No painel Adicionar Linha , especifique as seguintes definições:

  • No campo Nome , escreva Any Removable Storage Group.
  • No campo OMA-URI , escreva ./Vendor/MSFT/Defender/Configuration/DeviceControl/PolicyGroups/%7b[GroupId]%7d/GroupData. Use o comando New-Guid PowerShell para gerar o GUID que substitui [GroupId]. Use o mesmo GUID para o valor do grupo Id no ficheiro XML do grupo.
  • No campo Tipo de Dados , selecione Cadeia (ficheiro XML) e utilize XML Personalizado.

Note

Os comentários que utilizam a notação de comentário XML <!-- COMMENT --> podem ser usados nos ficheiros XML de Regra e Grupo, mas têm de estar dentro da primeira tag XML, e não na primeira linha do ficheiro XML.

Configurar o controlo de dispositivos no portal Microsoft Defender

Se a sua organização gerir políticas de segurança de endpoints no portal Microsoft Defender, pode configurar o controlo de dispositivos com as mesmas políticas de segurança de endpoint que o Intune utiliza.

Importante

As políticas de controlo de dispositivos criadas no portal Defender aplicam-se apenas a dispositivos inscritos no Intune. Não se aplicam a dispositivos geridos através da gestão das definições de segurança do Defender for Endpoint que não estejam inscritos no Intune.

Para instruções detalhadas, consulte Criar uma política de segurança de endpoint ou Editar uma política de segurança de endpoint (as ligações abrem em novos separadores).

Quando criar a política no separador de políticas do Windows da página de políticas de segurança Endpoint no portal Defender em https://security.microsoft.com/policy-inventory?osPlatform=Windows, use estas definições específicas:

  • Selecione plataforma: selecione Windows.
  • Selecionar modelo: Selecionar controlo de dispositivo.

Quando criar ou modificar a política, utilize as mesmas definições descritas em Configurar o controlo de dispositivos no Intune com políticas de segurança de pontos finais no separador Definições de configuração.

Configurar controlo de dispositivos na Estratégia de Grupo

Warning

Se gerir o controlo de dispositivos com o Intune ou outro serviço de gestão de dispositivos móveis, remova as definições conflitantes de Políticas de Grupo. A definição ControlPolicyConflict não é aplicável ao CSP do Defender.

Para configurar as definições de controlo de dispositivos na Estratégia de Grupo, siga estes passos:

  1. Na Política de Grupo Centralizada, abra a Consola de Gestão de Política de Grupo (GPMC) no computador de gestão da Política de Grupo.

  2. Na árvore da consola GPMC, expanda os Objetos de Política de Grupo na floresta e no domínio que contêm o Objeto de Política de Grupo (GPO) que pretende editar.

  3. Clique com o botão direito do mouse no GPO e selecione Editar.

  4. No Editor de Gestão de Políticas de Grupo, aceda a Configuração do computador>Modelos administrativos>Componentes do Windows>Antivírus Microsoft Defender.

  5. As definições de controlo do dispositivo estão disponíveis nas seguintes localizações:

    Para abrir e configurar uma configuração, utilize qualquer um dos seguintes métodos:

    • Clique duas vezes na definição.
    • Clique com o botão direito na definição e depois selecione Editar.
    • Selecione a definição e, em seguida, selecione Editar Ação>.

Sugestão

Também pode configurar Política de Grupo localmente em dispositivos individuais com o Editor de Política de Grupo Local (gpedit.msc). Vá para o mesmo caminho base: Configuração do computador>Modelos administrativos>Componentes do Windows>Microsoft Defender Antivírus, e depois selecione Funcionalidades ou Controlo de Dispositivos, consoante a definição.

Note

Se não vires as definições da Estratégia de Grupo de controlo de dispositivos, adiciona os Modelos Administrativos de Políticas de Grupo (ADMX). Pode descarregar WindowsDefender.adml e WindowsDefender.admx nos exemplos de controlo de dispositivos do Microsoft Defender para Endpoint no GitHub.

Ativar controlo de dispositivos na Política de Grupo

Para permitir o controlo de acesso ao armazenamento removível, siga estes passos:

  1. Na árvore de políticas do Microsoft Defender Antivírus, selecione Funcionalidades.

  2. No painel de detalhes de Funcionalidades, abra a definição de Controlo de Dispositivo .

  3. Na janela Controlo de Dispositivos , selecione Ativado.

Captura de ecrã da definição de Estratégia de Grupo usada para ativar ou desativar o controlo de acesso ao armazenamento removível.

Configurar a imposição predefinida na Política de Grupo

Pode definir o acesso padrão para Deny ou Allow para todas as funcionalidades de controlo do dispositivo, incluindo RemovableMediaDevices, CdRomDevices, WpdDevices, e PrinterDevices.

Captura de ecrã da definição de Política de Grupo usada para selecionar a aplicação predefinida do controlo de dispositivos.

Por exemplo, pode ter uma política Deny ou Allow para RemovableMediaDevices, mas não para CdRomDevices ou WpdDevices. Se definires a imposição predefinida como Deny, o acesso de leitura, escrita e execução a CdRomDevices e WpdDevices é bloqueado. Se quiser gerir apenas o armazenamento, crie uma Allow política para impressoras. Caso contrário, a aplicação predefinida também nega o acesso às impressoras.

Para definir a aplicação padrão para negar, siga estes passos:

  1. Na árvore de políticas do Microsoft Defender Antivírus, selecione Controlo de Dispositivos.

  2. No painel de detalhes de Controlo de Dispositivos, abra a definição Selecionar a Política de Aplicação Predefinida do Controlo de Dispositivos.

  3. Na janela Select Device Control Default Enforcement Policy, configure as opções seguintes:

    1. Selecione Ativado.
    2. Em Opções, selecione Negar por Padrão.

Configurar tipos de dispositivos na Estratégia de Grupo

Para configurar os tipos de dispositivos a que uma política de controlo de dispositivos se aplica, siga estes passos:

  1. Na árvore de políticas do Microsoft Defender Antivírus, selecione Controlo de Dispositivos.

  2. No painel de detalhes de Controlo de Dispositivo, abra a definição Ativar o controlo de dispositivo para tipos de dispositivo específicos.

  3. Na janela Ativar controlo de dispositivos para tipos específicos de dispositivos, configure as seguintes opções:

    1. Selecione Ativado.
    2. Em Opções, na caixa Ativar o controlo de dispositivos para tipos de dispositivos específicos, especifique os IDs das famílias de produtos, separados por uma barra vertical (|). Introduza o valor como uma única cadeia sem espaços. Caso contrário, o motor de controlo do dispositivo pode analisar o valor incorretamente. Os IDs de famílias de produtos incluem RemovableMediaDevices, CdRomDevices, WpdDevices, e PrinterDevices.

Captura de ecrã da definição de Políticas de Grupo usada para configurar os tipos de dispositivos protegidos.

Defina grupos de controlo de dispositivos na Estratégia de Grupo

Crie e implemente um ficheiro XML para cada grupo de armazenamento removível:

  1. Use as propriedades no seu grupo de armazenamento removível para criar um ficheiro XML. Certifique-se de que o nó raiz é PolicyGroups. Por exemplo:

     <PolicyGroups>
     <Group Id="{d8819053-24f4-444a-a0fb-9ce5a9e97862}" Type="Device">

     </Group>
 </PolicyGroups>

  2. Guarde o ficheiro XML na partilha de rede.

  3. Na árvore de políticas do Microsoft Defender Antivírus, selecione Controlo de Dispositivos.

  4. No painel de detalhes do Controlo de Dispositivos, abra a definição Definir grupos de políticas de controlo de dispositivos .

  5. Na janela Definir grupos de políticas de controlo de dispositivos , configure as seguintes opções:

    1. Selecione Ativado.
    2. Em Opções, na caixa Definir os grupos de políticas aqui, especifique o caminho do ficheiro de partilha de rede que contém os dados dos grupos XML.

Para um exemplo que defina qualquer armazenamento removível, CD-ROM, dispositivos portáteis Windows e grupos de USBs aprovados, veja o ficheiro XML do grupo de armazenamento removível.

Note

Pode usar comentários XML no formato <!--COMMENT--> em ficheiros XML de regras e grupos. Coloque comentários dentro da primeira etiqueta XML, não na primeira linha do ficheiro XML.

Defina políticas de controlo de dispositivos na Estratégia de Grupo

Crie e implemente um ficheiro XML para cada regra de política de acesso ao armazenamento removível:

  1. Use as propriedades da regra da política de acesso ao armazenamento removível para criar um ficheiro XML. Certifique-se de que o nó raiz é PolicyRules. Por exemplo:

    <PolicyRules>
  <PolicyRule Id="{d8819053-24f4-444a-a0fb-9ce5a9e97862}">
      ...
   </PolicyRule>
</PolicyRules>

  2. Guarde o ficheiro XML numa partilha de rede.

  3. Na árvore de políticas do Microsoft Defender Antivírus, selecione Controlo de Dispositivos.

  4. No painel de detalhes de Controlo de Dispositivos, abra a definição Definir regras de política de controlo de dispositivos.

  5. Na janela Definir regras de política de controlo de dispositivos , configure as seguintes opções:

    1. Selecione Ativado.
    2. Em Opções, na caixa Definir as regras de política aqui, especifique o caminho do ficheiro de partilha de rede que contém os dados das regras XML.

Validar ficheiros XML de controlo de dispositivos com MpCmdRun

A utilidade de linha de comandos MpCmdRun pode validar ficheiros XML usados para implementações de Políticas de Grupo. A validação deteta erros de sintaxe que o motor de controlo do dispositivo pode encontrar ao analisar as definições.

Para validar os ficheiros XML, siga estes passos:

  1. Numa Linha de Comandos elevada (uma janela da Linha de Comandos que abriu ao selecionar Executar como administrador), execute os seguintes comandos. Substitua os caminhos dos ficheiros XML de exemplo pelos caminhos dos seus ficheiros XML de regras e grupos.

    Sugestão

    O primeiro comando altera o diretório para a versão mais recente da versão< da >plataforma antimalware no %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Se esse caminho não existir, vai para %ProgramFiles%\Windows Defender.

    (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -DeviceControl -TestPolicyXml "C:\Policies\PolicyRules.xml" -Rules

MpCmdRun.exe -DeviceControl -TestPolicyXml "C:\Policies\Groups.xml" -Groups

Se não existirem erros, é apresentado o seguinte resultado:

DC policy rules parsing succeeded
Verifying absolute rules data against the original data
Rules verified with success
DC policy groups parsing succeeded
Verifying absolute groups data against the original data
Groups verified with success
Has Group Dependency Loop: no

Note

Para capturar evidências de ficheiros que são copiados ou impressos, utilize o Endpoint DLP.

Pode usar comentários XML no formato <!-- COMMENT --> em ficheiros XML de regras e grupos. Coloque comentários dentro da primeira etiqueta XML, não na primeira linha do ficheiro XML.

Conteúdo relacionado

  • Última atualização a