Konfigurera enhetskontroll i Microsoft Defender för Endpoint

Enhetskontroll i Microsoft Defender för Endpoint hjälper säkerhetsteam att hantera åtkomst till flyttbart lagringsutrymme, skrivare och andra kringutrustningar på Windows-enheter. Den här artikeln beskriver hur man aktiverar och konfigurerar enhetsstyrning.

Konfigurera enhetskontroll i Microsoft Intune

Microsoft Intune är det rekommenderade verktyget för att konfigurera och distribuera Defender för slutpunktsfunktioner till enheter. Intune är dock en separat produkt som inte ingår i Defender för Endpoint och som inte ingår i alla prenumerationer. Om du vill använda Intune behöver du en prenumeration som innehåller den, eller så kan du köpa den separat som en fristående prenumeration eller ett tillägg. Om du inte har Intune kan du använda någon av de andra metoderna i den här artikeln. Mer information finns i Microsoft Intune licensiering.

Visa enhetskontrollgrupper i Intune

I Intune visas enhetskontrollgrupper som återanvändbara inställningar.

1. På sidan Slutpunktssäkerhet | Översikt i Microsoft Intune administrationscenter på https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview går du till Hantera>Minskning av attackyta.
2. På sidan Endpoint Security | Attackyta för minskning , välj fliken Återanvändbara inställningar .

Konfigurera enhetskontroll i Intune med hjälp av endpoint security policies

För att konfigurera enhetskontroll i Microsoft Intune använder du en slutpunktssäkerhetsprincip för minskning av attackytan. För detaljerade instruktioner, se Skapa endpoint-säkerhetspolicyer eller Modifiera befintliga policys (länkar öppnar nya flikar i Intune-dokumentationen).

När du skapar policyn, använd dessa specifika inställningar:

• Policytyp: Gå till Hantera>minskning av attackyta på Endpoint Security | Översiktssida på https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, och välj sedan Skapa policy.
• Plattform: Välj Windows. För närvarande stöds inte Device Control-profilen för Windows Server-enheter som hanteras via Defender for Endpoints hantering av säkerhetsinställningar, även om Den här principen gäller för visar Windows Server.
• Profil: Välj Enhetskontroll.

När du skapar eller ändrar policyn, använd dessa specifika inställningar under fliken Konfigurationsinställningar :

• Defender-sektionen: Se Tillåt fullständig skanning av flyttbar diskskanning.

• Enhetskontrollsektion : Konfigurera anpassade policys med återanvändbara inställningar. Varje rad i detta avsnitt representerar en enhetskontrollpolicy. Policynamnet förekommer i användarnotiser, avancerad jakt och rapporter.

  Välj Lägg till för att lägga till en policy. Konfigurera följande inställningar:

  • Namn: Ange ett unikt namn.
  • Inkluderat ID: Välj de återanvändbara inställningar som policyn gäller för.
  • Exkluderad ID: Välj de återanvändbara inställningar som policyn exkluderar.
  • Typ, alternativ och åtkomstmask: Konfigurera åtgärd, användarnotifikation och händelsebeteende samt tillåtna behörigheter.

  

  För information om att lägga till återanvändbara grupper av inställningar i en policy, se Lägg till återanvändbara grupper i en Device Control-profil. För information om enhetskontrollregler, se Översikt: Regler.

  Lägg till en tillåt eller neka policy när du lägger till en revisionspolicy för att undvika oväntade resultat.

  Important

  Om du bara konfigurerar revisionspolicys ärvs behörigheter från standardinställningen för tillsyn.

  Intune bevarar inte ordningen på policyer som visas i användargränssnittet för policy-efterlevnad. Använd icke-överlappande Tillåt och Neka-policyer genom att uttryckligen lägga till enheter som ska uteslutas. Du kan inte ändra standardinställningen för tillsyn i Intunes grafiska gränssnitt. Om du ändrar standardtillsynen till Deny att använda en annan metod och skapar en Allow policy för specifika enheter, blockeras alla andra enheter.

• Begränsningar för enhetsinstallation: Se Inställningar för enhetsinstallation .

• Åtkomst till flyttbar lagring: Se Inställningar för flyttbar lagringsåtkomst .

• Dataskydd: Se Tillåt inställningar för direkt minnesåtkomst .

• Dma Guard: Se Principinställningar för enhetsuppräkning .

• Lagring: Se inställningarna för neka skrivåtkomst för flyttbara diskar.

• Anslutning: se tillåt USB-anslutning och tillåt Bluetooth-inställningar .

• Bluetooth: Konfigurera inställningar relaterade till Bluetooth-anslutningar och tjänster. Se Princip för CSP – Bluetooth.

• System: Se Tillåt inställningar för minneskort .

Tip

Du behöver inte konfigurera alla tillgängliga inställningar samtidigt. Överväg att börja med inställningen för enhetskontroll .

Konfigurera enhetskontroll i Intune med egna profiler med OMA-URIs och CSP:er

Även om principer för slutpunktssäkerhet rekommenderas, kan du också konfigurera enhetskontroll i Intune med hjälp av anpassade profiler som innehåller Open Mobile Alliance Uniform Resource Identifier-inställningarna (OMA-URI) från Defender-konfigurationstjänstleverantören (CSP).

För instruktioner för att skapa och tilldela en anpassad profil, se Använd anpassade enhetsinställningar i Microsoft Intune. För information om OMA-URI fälten i Windows anpassade profiler, se Lägg till anpassade inställningar för Windows enheter i Microsoft Intune.

Important

Att använda Intune OMA-URI inställningar för att konfigurera enhetskontroll kräver att Intune hanterar enhetskonfigurationsarbetsbelastningen om enheten samhanteras med Configuration Manager. Mer information finns i Så här växlar du Configuration Manager-arbetsbelastningar till Intune.

När du skapar policyn, använd dessa specifika inställningar:

• Plattform: Välj Windows 10 och senare.
• Profiltyp: Välj Mallar och välj sedan Anpassad.

När du skapar eller ändrar policyn, lägg till en rad för varje inställning under fliken Konfigurationsinställningar . Använd följande OMA-URI värden för enhetskontrollinställningar:

• Standardkontroll för enhetskontroll: Fastställer vilka beslut som fattas under kontrollkontroller när inga av policyreglerna stämmer överens.
  • OMA-URI:./Vendor/MSFT/Defender/Configuration/DefaultEnforcement
  • Datatyp: Heltal
  • Värden:
    • DefaultEnforcementAllow = 1
    • DefaultEnforcementDeny = 2
• Enhetstyper: Specificerar enhetstyper, identifierade med deras primära ID:n, som har enhetskontrollskydd aktiverat. Separera flera produktfamilj-ID:n med ett pipe-tecken, utan mellanslag.
  • OMA-URI:./Vendor/MSFT/Defender/Configuration/SecuredDevicesConfiguration
  • Datatyp: Sträng
  • Värden:
    • RemovableMediaDevices
    • CdRomDevices
    • WpdDevices
    • PrinterDevices
• Aktivera enhetskontroll: Aktiverar eller inaktiverar enhetskontroll på enheten.
  • OMA-URI:./Vendor/MSFT/Defender/Configuration/DeviceControlEnabled
  • Datatyp: Heltal
  • Värden:
    • Inaktivera = 0
    • Aktivera = 1

Skapa policyer med OMA-URI

När du skapar principer med OMA-URI i Intune skapar du en XML-fil för varje princip. Som bästa praxis, använd Device Control-profilen för att skapa anpassade policyer.

I fönstret Lägg till rad anger du följande inställningar:

• I fältet Namn skriver du Allow Read Activity.
• I fältet OMA-URI skriver du ./Vendor/MSFT/Defender/Configuration/DeviceControl/PolicyRules/%7b[PolicyRule Id]%7d/RuleData. Använd PowerShell-kommandot New-Guid för att generera GUID:n som ersätter [PolicyRule Id]. Använd samma GUID för PolicyRule Id värdet i policy-XML-filen.
• I fältet Datatyp väljer du Sträng (XML-fil) och använder anpassad XML.

Du kan använda parametrar för att ange villkor för specifika poster. För ett exempel, se XML-filen Allow Read policy XML för flyttbar lagring.

Note

Kommentarer som använder XML-kommentarsnotation <!-- COMMENT --> kan användas i XML-filerna Regel och Grupp, men de måste finnas i den första XML-taggen, inte den första raden i XML-filen.

Skapa grupper med OMA-URI

När du skapar grupper med OMA-URI i Intune skapar du en XML-fil för varje grupp. Vi rekommenderar att du använder återanvändbara inställningar för att definiera grupper.

I fönstret Lägg till rad anger du följande inställningar:

• I fältet Namn skriver du Any Removable Storage Group.
• I fältet OMA-URI skriver du ./Vendor/MSFT/Defender/Configuration/DeviceControl/PolicyGroups/%7b[GroupId]%7d/GroupData. Använd PowerShell-kommandot New-Guid för att generera GUID:n som ersätter [GroupId]. Använd samma GUID för gruppvärdet Id i grupp-XML-filen.
• I fältet Datatyp väljer du Sträng (XML-fil) och använder anpassad XML.

Note

Kommentarer som använder XML-kommentarsnotation <!-- COMMENT --> kan användas i XML-filerna Regel och Grupp, men de måste finnas i den första XML-taggen, inte den första raden i XML-filen.

Konfigurera enhetskontroll i Microsoft Defender-portalen

Om din organisation hanterar endpoint-säkerhetspolicys i Microsoft Defender-portalen kan du konfigurera enhetskontroll med samma endpoint-säkerhetspolicys som Intune använder.

Important

Enhetskontrollpolicyer skapade i Defender-portalen gäller endast för enheter som är registrerade i Intune. De gäller inte enheter som hanteras via Defender for Endpoint säkerhetsinställningar och som inte är registrerade i Intune.

För detaljerade instruktioner, se Skapa en endpoint-säkerhetspolicy eller Redigera en endpoint-säkerhetspolicy (länkar öppnar nya flikar).

När du skapar policyn under fliken Windows policys på sidan Endpoint Security Policies i Defender-portalen på https://security.microsoft.com/policy-inventory?osPlatform=Windows, använd dessa specifika inställningar:

• Välj plattform: Välj Windows.
• Välj mall: Välj enhetskontroll.

När du skapar eller ändrar policyn, använd samma inställningar som beskrivs i Konfigurera enhetskontroll i Intune med hjälp av endpoint security policies på fliken Konfigurationsinställningar .

Konfigurera enhetskontroll i Grupppolicy

Varning

Om du hanterar enhetskontroll med Intune eller någon annan tjänst för hantering av mobila enheter, ta bort motstridiga grupppolicyinställningar. Inställningen ControlPolicyConflict är inte tillämplig på Defender CSP.

För att konfigurera enhetskontrollinställningar i Grupppolicy, följ dessa steg:

1. I centraliserad grupprinciphantering öppnar du Group Policy Management Console (GPMC) på din dator för grupprinciphantering.

2. I GPMC:s konsolträd expanderar du Group Policy Objects i den skog och den domän som innehåller det grupprincipobjekt (GPO) som du vill redigera.

3. Högerklicka på GPO:t, och välj sedan Redigera.

4. I Redigeraren för grupprinciphantering går du till Datorkonfiguration>Administrativa mallar>Windows-komponenter>Microsoft Defender Antivirus.

5. Enhetskontrollinställningarna finns tillgängliga på följande platser:

   • Funktioner:
     • Enhetskontroll
   • Enhetskontroll:
     • Välj enhetskontrollens standardpolicy för tillsyn
     • Slå på enhetskontroll för specifika enhetstyper
     • Definiera grupper för enhetskontrollpolicyer
     • Definiera principregler för enhetskontroll

   Om du vill öppna och konfigurera en inställning använder du någon av följande metoder:

   • Dubbelklicka på inställningen.
   • Högerklicka på inställningen och välj sedan Redigera.
   • Välj inställningen och välj sedan Åtgärdsredigering>.

Tip

Du kan också konfigurera grupprincip lokalt på enskilda enheter med hjälp av Redigeraren för lokala grupprincip (gpedit.msc). Gå till samma grundväg: Datorkonfiguration>Administrativa mallarWindows-komponenter>>Microsoft Defender Antivirus, och välj sedan Funktioner eller Enhetskontroll, beroende på inställningen.

Note

Om du inte ser enhetskontrollens grupppolicyinställningar, lägg till grupppolicyn Administrativa mallar (ADMX). Du kan ladda ner WindowsDefender.adml och WindowsDefender.admx från Microsoft Defender för Endpoint enhetskontrollexempel på GitHub.

Aktivera enhetskontroll i Grupppolicy

För att möjliggöra åtkomstkontroll för flyttbar lagring, följ dessa steg:

1. I Microsoft Defender Antivirus-policyträdet, välj Funktioner.

2. I detaljpanelen för funktioner, öppna inställningen Device Control .

3. I fönstret Enhetskontroll väljer du Aktiverad.

Konfigurera standardtillsyn i grupppolicy

Du kan ställa in standardåtkomst till Deny eller Allow för alla enhetskontrollfunktioner, inklusive RemovableMediaDevices, CdRomDevices, , WpdDevicesoch PrinterDevices.

Till exempel kan du ha en Deny- eller RemovableMediaDevices-policy för CdRomDevices, men inte för WpdDevices eller Allow. Om du ställer in standardtillämpningen på Deny, blockeras läs-, skriv- och köråtkomst till CdRomDevices och WpdDevices. Om du vill hantera endast lagring, skapa en Allow policy för skrivare. Annars nekar standardövervakning också tillgång till skrivare.

För att ställa in standardtillämpningen på neka följer du dessa steg:

1. I Microsoft Defender Antivirus-policyträdet, välj Device Control.

2. I detaljpanelen i Device Control, öppna inställningen Select Device Control Default Enforcement Policy .

3. I fönstret Välj standardprincip för tillämpning av enhetskontroll konfigurerar du följande alternativ:

   1. Välj Aktiverad.
   2. Under Alternativ, välj Default Deny.

Konfigurera enhetstyper i grupppolicy

För att konfigurera de enhetstyper som en enhetskontrollpolicy gäller för, följ dessa steg:

1. I Microsoft Defender Antivirus-policyträdet, välj Device Control.

2. I detaljpanelen i Enhetskontroll, öppna inställningen Slå på enhetskontroll för specifika enhetstyper .

3. I fönstret Slå på enhetskontroll för specifika enhetstyper , konfigurera följande alternativ:

   1. Välj Aktiverad.
   2. Under Alternativ, i rutan Slå på enhetskontroll för specifika enhetstyper, anger du produktfamilje-ID:n, åtskilda med ett lodrätt streck (|). Ange värdet som en enda sträng utan mellanslag. Annars kan enhetskontrollmotorn tolka värdet felaktigt. Produktfamilje-ID:n inkluderar RemovableMediaDevices, CdRomDevices, WpdDevices, och PrinterDevices.

Definiera enhetskontrollgrupper i Grupppolicy

Skapa och distribuera en XML-fil för varje flyttbar lagringsgrupp:

1. Använd egenskaperna i din flyttbara lagringsgrupp för att skapa en XML-fil. Se till att rotnoden är PolicyGroups. Ett exempel:

    <PolicyGroups>
        <Group Id="{d8819053-24f4-444a-a0fb-9ce5a9e97862}" Type="Device">
   
        </Group>
    </PolicyGroups>
   

2. Spara XML-filen på nätverksresursen.

3. I Microsoft Defender Antivirus-policyträdet, välj Device Control.

4. I detaljpanelen i Device Control, öppna inställningen Definiera enhetskontrollpolicygrupper .

5. I fönstret Definiera enhetskontrollpolicygrupper , konfigurera följande alternativ:

   1. Välj Aktiverad.
   2. Under Alternativ, i rutan Definiera policygrupper här , ange nätverksdelningsfilsökvägen som innehåller XML-gruppernas data.

För ett exempel som definierar alla utbytbara lagringar, CD-ROM, Windows-portabla enheter och godkända USB-grupper, se XML-filen för flyttbar lagringsgrupp.

Note

Du kan använda XML-kommentarer i formatet <!--COMMENT--> i regel- och grupp-XML-filer. Placera kommentarer inuti den första XML-taggen, inte på första raden i XML-filen.

Definiera enhetskontrollpolicyer i Grupppolicy

Skapa och distribuera en XML-fil för varje policy för åtkomst till flyttbar lagring:

1. Använd egenskaperna i policyregeln för åtkomst till flyttbar lagring för att skapa en XML-fil. Se till att rotnoden är PolicyRules. Ett exempel:

   <PolicyRules>
     <PolicyRule Id="{d8819053-24f4-444a-a0fb-9ce5a9e97862}">
         ...
      </PolicyRule>
   </PolicyRules>
   

2. Spara XML-filen på en nätverksdelning.

3. I Microsoft Defender Antivirus-policyträdet, välj Device Control.

4. I detaljpanelen i Device Control, öppna inställningen Definiera enhetskontrollpolicy.

5. I fönstret Definiera enhetskontrollpolicyregler , konfigurera följande alternativ:

   1. Välj Aktiverad.
   2. Under Alternativ, i rutan Definiera policyregler här , ange nätverksdelningsfilens sökväg som innehåller XML-regeldata.

Validera enhetskontroll-XML-filer med MpCmdRun

Kommandoradsverktyget MpCmdRun kan validera XML-filer som används för grupppolicy-distributioner. Validering upptäcker syntaxfel som enhetskontrollmotorn kan stöta på när den tolkar inställningarna.

För att validera XML-filerna, följ dessa steg:

1. Kör följande kommandon i en upphöjd kommandotolk (ett kommandotolksfönster som du öppnade genom att välja Kör som administratör). Ersätt sökvägarna till XML-exempelfilerna med sökvägarna till XML-filerna för dina regler och grupper.

   Tip

   Det första kommandot ändrar katalogen till den senaste versionen av <plattformen> för program mot skadlig kod i %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Om den sökvägen inte finns går den till %ProgramFiles%\Windows Defender.

   (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
   
   MpCmdRun.exe -DeviceControl -TestPolicyXml "C:\Policies\PolicyRules.xml" -Rules
   
   MpCmdRun.exe -DeviceControl -TestPolicyXml "C:\Policies\Groups.xml" -Groups
   

Om det inte finns några fel visas följande utdata:

DC policy rules parsing succeeded
Verifying absolute rules data against the original data
Rules verified with success
DC policy groups parsing succeeded
Verifying absolute groups data against the original data
Groups verified with success
Has Group Dependency Loop: no

Note

För att fånga bevis på filer som kopieras eller skrivs ut, använd Endpoint DLP.

Du kan använda XML-kommentarer i formatet <!-- COMMENT --> i regel- och grupp-XML-filer. Placera kommentarer inuti den första XML-taggen, inte på första raden i XML-filen.

Relaterat innehåll

• Enhetskontroll i Defender för Endpoint
• Principer och inställningar för enhetskontroll
• Enhetskontroll för macOS