Panoramica dell'accesso controllato alle cartelle

  • Si applica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

L'accesso controllato alle cartelle in Microsoft Defender Antivirus consente di proteggere i file dalle minacce ransomware. È una delle funzionalità di riduzione della superficie di attacco in Microsoft Defender per endpoint.

Il ransomware crittografa i tuoi file e li tiene in ostaggio. CFA contrasta questa minaccia consentendo solo alle app attendibili di modificare i file nelle cartelle protette. Quando un'app non attendibile tenta di modificare un file in una cartella protetta, CFA blocca il tentativo e invia una notifica.

Il cfa si basa sugli elementi seguenti:

  • Cartelle protette: le cartelle protette da CFA. Le app non attendibili non possono modificare o eliminare file in queste cartelle. CFA protegge un set non modificabile di cartelle predefinite ed è possibile aggiungere altre cartelle.
  • App attendibili: le app autorizzate a modificare i file nelle cartelle protette. Microsoft Defender Antivirus valuta ogni tipo di file eseguibile, inclusi i file .exe, .scr e .dll, e considera automaticamente attendibili la maggior parte delle app in base alla loro prevalenza e reputazione. È possibile consentire ad altre app di cui ti fidi se CFA le blocca.
  • Settori del disco: i settori del disco di basso livello che archiviano il record di avvio nei dispositivi protetti. Le app non attendibili non possono scrivere direttamente in questi settori. Questa protezione consente di bloccare le minacce a livello di avvio, ad esempio bootkit e malware wiper del disco che tentano di sovrascrivere il record di avvio. A differenza delle cartelle protette e delle app attendibili, la protezione del settore dei dischi raramente è in conflitto con le app quotidiane, quindi è possibile applicarla autonomamente. Per altre informazioni, vedere Modalità per CFA.

Quando un'app con una reputazione sconosciuta attiva cfa, si verificano gli eventi seguenti:

CfA funziona meglio con Microsoft Defender per endpoint, che fornisce report dettagliati su eventi e blocchi come parte dei consueti scenari di analisi degli avvisi.

Requisiti per CFA

CFA richiede Microsoft Defender Antivirus come app antivirus principale nei dispositivi Windows:

  • Microsoft Defender Antivirus deve essere abilitato e in modalità attiva. CFA non funziona in altre modalità, tra cui:

    • Passive
    • Modalità passiva con rilevamento e risposta degli endpoint (EDR) in modalità di blocco
    • Scansione periodica limitata (LPS)
    • Disattivato

    Per altre informazioni sulle modalità in Microsoft Defender Antivirus, vedere Come Microsoft Defender Antivirus influisce sulle funzionalità di Defender per endpoint.

  • La protezione in tempo reale in Microsoft Defender Antivirus deve essere attivata.

  • Anche se cfa non richiede Microsoft 365 E5, Microsoft consiglia le funzionalità di sicurezza delle sottoscrizioni E5 o equivalenti per sfruttare le funzionalità di gestione avanzate seguenti:

    • Monitoraggio, analisi e flussi di lavoro in Defender per endpoint.
    • Funzionalità di creazione di report e configurazione nel portale di Microsoft Defender XDR.

    Le funzionalità di gestione avanzata non sono disponibili con altre licenze, ad esempio Windows Professional o Microsoft 365 E3. Tuttavia, è possibile sviluppare strumenti di monitoraggio e creazione di report personalizzati in base agli eventi CFA generati in Windows Visualizzatore eventi in ogni dispositivo (ad esempio, Windows Inoltro eventi).

    Per altre informazioni sulle licenze di Windows, vedere Licenze windows e ottenere la Guida di riferimento per i contratti multilicenza Microsoft.

Sistemi operativi supportati per CFA

CFA è una funzionalità antivirus Microsoft Defender disponibile in qualsiasi edizione di Windows che include antivirus Microsoft Defender (ad esempio, Windows 11 Home). Per i metodi che è possibile usare per attivarlo, vedere Metodi di distribuzione e configurazione per CFA.

La gestione centralizzata, la creazione di report e gli avvisi per CFA in Microsoft Defender per endpoint sono disponibili nelle seguenti edizioni e versioni di Windows:

  • Edizioni Pro ed Enterprise di Windows 10 o versioni successive.
  • Windows Server 2012 R2 o versione successiva.
  • Azure Localee (in precedenza noto come Azure Stack HCI) versione 23H2 o successiva.

Note

CFA è una funzionalità di Windows. Non è disponibile nei dispositivi Linux o macOS, anche quelli di cui è stato eseguito l'onboarding in Microsoft Defender per endpoint.

Modalità CFA

Il cfa è disattivato per impostazione predefinita. Per usarlo, attivarlo e selezionare una delle modalità seguenti:

Modalità Code Descrizione
Disabilitato (impostazione predefinita) 0 CFA è disattivato. Tutte le app possono modificare o eliminare file in cartelle protette e scrivere in settori disco.
Abilitato o
Blocco		 1 Le app non attendibili non possono modificare o eliminare file in cartelle protette o scrivere in settori disco.
Modalità di controllo 2 Le app non attendibili possono modificare o eliminare file in cartelle protette e scrivere in settori disco, ma questi tentativi vengono registrati.

Usare questa modalità per valutare l'effetto di CFA nell'organizzazione senza bloccare le app.
Blocca solo la modifica del disco 3 Alle app non attendibili viene impedito di scrivere nei settori del disco e questi tentativi vengono registrati. Le app non attendibili possono comunque modificare o eliminare file in cartelle protette.
Controlla solo le modifiche del disco 4 Vengono registrati i tentativi da parte di app non attendibili di scrivere nei settori del disco. I tentativi di modificare o eliminare file nelle cartelle protette non vengono registrati e nessuna app viene bloccata.

Per gli ID evento Windows generati da ogni modalità, vedere Eventi CFA in Windows Visualizzatore eventi.

Microsoft consiglia di eseguire CFA in modalità di controllo per valutarne l'effetto prima di passare alla modalità Abilitato (blocco). Monitorando gli eventi di controllo e consentendo le app necessarie agli utenti, è possibile abilitare CFA senza ridurre la produttività.

Le modalità Blocca solo la modifica del disco e Controlla solo le modalità di modifica del disco agiscono solo sulle scritture nei settori del disco in cui è archiviato il record di avvio. Non influiscono sui file nelle cartelle protette. Si consideri una di queste modalità negli scenari seguenti:

  • Vuoi proteggere il record di avvio da bootkit e malware che cancellano i dischi, ma la protezione completa delle cartelle protette blocca troppe app aziendali o richiede troppe regolazioni. Le scritture nei settori del disco provengono raramente da applicazioni legittime, quindi questa protezione genera pochi falsi positivi.
  • È già possibile proteggere i file utente in un altro modo (ad esempio, OneDrive spostamento di cartelle note con il controllo delle versioni o un backup separato o un controllo anti-ransomware), quindi è necessaria solo la protezione del record di avvio aggiunta da CFA.
  • Si vuole limitare l'effetto delle prestazioni della valutazione delle scritture di file, in particolare per le cartelle di rete condivise.
  • Si vuole implementare la protezione in fasi. Ad esempio, è possibile attivare Blocca la modifica del disco solo nell'ambiente di produzione subito mentre si esegue la protezione delle cartelle protette in modalità di controllo e si compila l'elenco di app consentite.

Usare prima Controlla solo la modifica del disco per verificare che nessun software legittimo (ad esempio, strumenti di creazione di immagini del disco, backup, crittografia o partizionamento) scriva nei settori del disco prima di passare a Blocca solo la modifica del disco.

Non tutti i metodi di configurazione per CFA supportano ogni modalità. La tabella seguente illustra le modalità supportate da ogni metodo di distribuzione e configurazione .

Modalità Intune Gestore delle configurazioni CSP policy Criteri di gruppo PowerShell App Sicurezza di Windows
Disattivato Yes Yes Yes Yes Yes Yes
Attivato (blocco) Yes Yes Yes Yes Yes Yes
Modalità di controllo Yes Yes Yes Yes Yes No
Blocca solo la modifica del disco Yes No Yes Yes Yes No
Controlla solo le modifiche del disco Yes No Yes Yes Yes No

Il portale di Microsoft Defender usa gli stessi criteri di sicurezza degli endpoint di Intune, quindi supporta le stesse modalità illustrate nella colonna Intune.

Metodi di distribuzione e configurazione per CFA

Microsoft Defender per endpoint supporta cfa, ma non include un metodo predefinito per distribuire le impostazioni nei dispositivi. Si usa invece uno strumento di gestione o distribuzione separato per creare e distribuire le impostazioni cfa.

La tabella seguente riepiloga i metodi disponibili. Per istruzioni dettagliate sulla configurazione, vedere Configurare cfa.

metodo Descrizione
Microsoft Intune Metodo consigliato. Configurare e distribuire CFA ai dispositivi tramite i criteri di sicurezza degli endpoint. Richiede Microsoft Intune.
Portale di Microsoft Defender Configurare CFA con i criteri di sicurezza degli endpoint nel portale Microsoft Defender, usando gli stessi criteri di Intune. Utile quando si gestiscono i criteri di sicurezza degli endpoint dal portale di Defender.
Qualsiasi soluzione MDM che utilizza Policy CSP Usare il provider di servizi di configurazione dei criteri di Windows (CSP) con qualsiasi soluzione di gestione dei dispositivi mobili (MDM).
Microsoft Configuration Manager Configurare CFA in un criterio di Exploit Guard di Windows Defender.
Criteri di gruppo Usare Criteri di gruppo centralizzati per configurare e distribuire CFA nei dispositivi aggiunti a un dominio o configurare Criteri di gruppo localmente nei singoli dispositivi.
PowerShell Configurare cfa localmente nei singoli dispositivi.
App di sicurezza di Windows Configurare CFA localmente su un singolo dispositivo.

Cartelle predefinite protette da CFA

Per impostazione predefinita, CFA protegge le posizioni seguenti nei dispositivi Windows:

  • Settori di avvio del disco rigido
  • Le cartelle seguenti per gli account utente e gli account di sistema (ad esempio, LocalService, NetworkServicee systemprofile):
    • C:\Users\<username>\Documents
    • C:\Users\<username>\Favorites
    • C:\Users\<username>\Music
    • C:\Users\<username>\Pictures
    • C:\Users\<username>\Videos
    • C:\Users\Public\Documents
    • C:\Users\Public\Music
    • C:\Users\Public\Pictures
    • C:\Users\Public\Videos

Note

I percorsi precedenti sono i percorsi predefiniti. Se una cartella viene reindirizzata, CFA protegge la cartella nel percorso reindirizzato. Ad esempio, quando Spostamento delle cartelle note di OneDrive esegue il backup della cartella Documenti, Immagini o Desktop in C:\Users\<username>\OneDrive - <organization>\, CFA protegge la cartella in OneDrive.

Non è possibile modificare l'elenco delle cartelle protette predefinite.

È possibile usare uno dei metodi seguenti per visualizzare l'elenco effettivo delle cartelle protette predefinite in un dispositivo Windows:

  • Aprire l'app protezione di Windows come descritto in Configurare CFA nell'app protezione di Windows. Quando CFA è attivato, le cartelle predefinite vengono visualizzate nella parte inferiore dell'elenco.

  • In una sessione di PowerShell con privilegi elevati (una finestra di PowerShell aperta selezionando Esegui come amministratore), eseguire il comando seguente.

    (Get-MpPreference).ControlledFolderAccessDefaultProtectedFolders

    Il comando restituisce l'elenco delle cartelle protette predefinite solo quando cfa è attivato.

Aggiungere altre cartelle a CFA

Anche se non è possibile modificare o rimuovere le cartelle predefinite dalla protezione, è possibile aggiungere altre cartelle da proteggere. Quando si aggiunge una cartella, vengono protette anche le relative sottocartelle.

Aggiungere cartelle quando si archiviano dati importanti in percorsi che non sono già coperti dalle cartelle protette predefinite.

Quando si specificano più cartelle protette, tenere presenti questi punti:

  • Sono supportate le condivisioni di rete e le unità mappate.
  • Le variabili di ambiente sono supportate, ma i caratteri wildcard non sono supportati.
  • Non aggiungere percorsi di condivisione locali (loopback) come cartelle protette. Usare invece il percorso locale. Ad esempio, se hai condiviso C:\demo come \\mycomputer\demo, usa C:\demo, non \\mycomputer\demo.

Note

Se il flusso di lavoro prevede cartelle di rete condivise, l'abilitazione di CFA può comportare una riduzione significativa delle prestazioni di rete quando un processo non attendibile accede alle cartelle di rete condivise, in particolare a causa di molte query nel server di condivisione file. Assicurarsi che i file server siano ottimizzati per aumentare il traffico di rete, soprattutto se si usano cartelle di rete condivise per i file offline.

Per istruzioni, vedere Configurare CFA.

Consenti alle app di modificare i file nelle cartelle protette

È possibile consentire a app specifiche attendibili di apportare modifiche ai file nelle cartelle protette. Consentire l'uso di un'app è utile quando CFA blocca un'app nota e attendibile. Per istruzioni, vedere Configurare CFA.

Per impostazione predefinita, Microsoft Defender Antivirus considera automaticamente attendibili le app in base alla prevalenza e alla reputazione e le aggiunge all'elenco consentito. L'elenco di app automaticamente attendibili non viene visualizzato nell'app protezione di Windows o dai cmdlet di PowerShell associati. Non è necessario aggiungere la maggior parte delle app. Aggiungere un'app solo se è bloccata ed è possibile verificare che sia attendibile.

Quando si aggiunge un'app, si specifica la posizione dell'app. Solo l'app in tale posizione è autorizzata ad accedere alle cartelle protette. Se un'app con lo stesso nome si trova in una posizione diversa, non viene aggiunta all'elenco consentito e potrebbe essere bloccata.

A differenza delle cartelle protette, le app autorizzate supportano sia le variabili di ambiente sia i caratteri jolly (*) nel percorso. Usare i caratteri jolly solo nella parte del percorso relativa alla cartella, non nel nome del file dell'app. I caratteri jolly sono utili quando l'eseguibile si trova in una cartella il cui nome cambia da una versione o installazione all'altra. Gli esempi seguenti mostrano modelli comuni:

Pattern Example Cosa permette
Variabile di ambiente %ProgramFiles%\Contoso\PhotoVault\PhotoVault.exe Una posizione di installazione fissa, indipendentemente dalla lettera dell'unità di sistema.
Carattere jolly per una cartella delle versioni %ProgramFiles%\Fabrikam\DriveManager\*\DriveService.exe Eseguibile in qualsiasi sottocartella della versione, ad esempio 1.2.0 o 1.3.0.
Variabile di ambiente e carattere jolly %LOCALAPPDATA%\Contoso\app-*\resources\helper.exe Cartelle di installazione per singolo aggiornamento, come app-2.1.7, nel profilo dell'utente.
Caratteri wildcard multipli %ProgramFiles(x86)%\Adatum\*\Plugins\*\update.exe Un eseguibile annidato in più di una cartella con nome variabile.
Carattere jolly per cartelle con nome casuale C:\Windows\Temp\*\Setup\installer.exe Programma di installazione che estrae in una cartella temporanea denominata in modo casuale.

Note

A differenza delle esclusioni di Microsoft Defender Antivirus e delle regole di riduzione della superficie di attacco (ASR), che supportano solo le variabili di ambiente di sistema, le app consentite di CFA supportano anche le variabili di ambiente utente, ad esempio %LOCALAPPDATA% e %USERPROFILE%. CfA risolve il percorso nel contesto dell'utente che esegue l'app.

Un'app consentita diventa effettiva solo all'avvio dell'app o del servizio. Ad esempio, se si consente un servizio di aggiornamento già in esecuzione, il servizio di aggiornamento continua ad attivare gli eventi cfa finché non si riavvia il servizio.

È anche possibile usare gli indicatori di compromissione (IoC) di Microsoft Defender per endpoint per consentire ai file eseguibili firmati di accedere alle cartelle protette. Per altre informazioni, vedere Creare indicatori basati sui certificati.

Note

I motori di script come PowerShell non sono considerati attendibili da CFA, anche se si crea un indicatore "consenti" usando indicatori di compromissione (IoC). L'unico modo per consentire ai motori di script di modificare le cartelle protette consiste nell'aggiungerle come app consentita per CFA. Per istruzioni, vedere Configurare CFA.

Monitorare l'attività CFA

Per informazioni complete, vedere Monitorare l'attività delle regole di riduzione della superficie di attacco.For complete information, see Monitor attack surface reduction (ASR) rule activity.

Contenuti correlati

  • Last updated on