Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Questo articolo illustra come usare Gestione delle impostazioni di sicurezza di Microsoft Defender per endpoint (criteri di sicurezza degli endpoint) per configurare, attivare e testare le funzionalità di protezione principali in Microsoft Defender Antivirus (MDAV) e Microsoft Defender Exploit Guard (Microsoft Defender EG). Le funzionalità descritte includono la protezione in tempo reale, la protezione fornita dal cloud, la protezione della rete, le regole di riduzione della superficie di attacco (ASR) e la protezione dalle manomissioni.
Queste procedure richiedono Windows 10 o versioni successive oppure Windows Server 2016 o versioni successive e i dispositivi devono essere registrati in Microsoft Defender per endpoint.
Se hai domande su un rilevamento effettuato da MDAV o scopri un mancato rilevamento, puoi inviarci un file tramite il nostro sito della guida per l'invio di campioni.
Usare i criteri di sicurezza degli endpoint per valutare le funzionalità di Microsoft Defender Antivirus
Le indicazioni seguenti descrivono le impostazioni di gestione delle impostazioni di sicurezza Microsoft Defender per endpoint (criteri di sicurezza degli endpoint) che configurano le funzionalità di protezione antivirus Microsoft Defender da usare durante la valutazione.
MDAV indica un rilevamento tramite notifiche windows standard. È anche possibile esaminare i rilevamenti nell'app MDAV. Per rivedere i risultati dell'analisi nell'app MDAV, vedi Esaminare i risultati dell'analisi antivirus di Microsoft Defender.
Il registro eventi di Windows registra anche il rilevamento e gli eventi del motore. Per un elenco degli ID evento e delle relative azioni corrispondenti, vedere Esaminare i registri eventi e i codici di errore per risolvere i problemi relativi a Microsoft Defender Antivirus.
Per configurare le opzioni che è necessario usare per testare le funzionalità di protezione, seguire questa procedura:
Nel portale di Microsoft Defender, in https://security.microsoft.com, passare a Endpoint>Gestione della configurazione>Criteri di sicurezza degli endpoint. In alternativa, per passare direttamente alla pagina Criteri di sicurezza degli endpoint , usare https://security.microsoft.com/policy-inventory i criteri di Windows.
Nella pagina Criteri di sicurezza degli endpoint verificare che la scheda Criteri di Windows sia selezionata e quindi selezionare Crea nuovo criterio
Nel riquadro a comparsa Crea un nuovo criterio, configurare le impostazioni seguenti:
- Selezionare una piattaforma: selezionare Windows.
- Selezionare modello: selezionare Microsoft Defender Antivirus.
Selezionare Create policy (Crea criterio).
Viene visualizzata la procedura guidata per creare un nuovo criterio. Nella pagina Informazioni di base è possibile configurare le impostazioni seguenti:
- Nome: Immettere un nome univoco per il criterio.
- Descrizione: immettere una descrizione facoltativa.
Selezionare Avanti.
Nella pagina Impostazioni di configurazione configurare le impostazioni nella sezione Defender come descritto nelle tabelle seguenti:
Protezione in tempo reale:
Impostazione Valore Consenti monitoraggio in tempo reale Consentito. Attiva ed esegue il servizio di monitoraggio in tempo reale. (Predefinito) Direzione della scansione in tempo reale Monitora tutti i file (in entrambe le direzioni). (Predefinito) Consenti monitoraggio del comportamento Consentito. Attiva il monitoraggio del comportamento in tempo reale (impostazione predefinita). Consenti la protezione dall'accesso Consentito. (Predefinito) Protezione da PUA Protezione PUA attivata. Gli elementi rilevati sono bloccati. Verranno mostrati nella storia insieme ad altre minacce. Funzionalità di protezione del cloud:
Impostazione Valore Attiva protezione cloud Consentito. Attiva la protezione cloud. (Predefinito) Livello di blocco cloud Alto Timeout esteso del cloud Configurato, 50 Inviare consenso per i campioni Inviare tutti gli esempi automaticamente Gli aggiornamenti standard delle informazioni di sicurezza possono richiedere ore per essere preparati e distribuiti. Il servizio di protezione fornito dal cloud può offrire una protezione aggiornata dalle minacce emergenti in pochi secondi. Per altre informazioni, vedere Usare tecnologie di nuova generazione in Microsoft Defender Antivirus tramite la protezione fornita dal cloud.
Scansioni:
Impostazione Valore Consenti la scansione delle email Consentito. Attiva l'analisi della posta elettronica. Consenti l'analisi di tutti i file e gli allegati scaricati Consentito. (Predefinito) Consenti la scansione degli script Consentito. (Predefinito) Consenti scansione dell'archivio Consentito. Analizza i file di archivio. (Predefinito) Consenti la scansione dei file di rete Consentito. Analizza i file di rete. (Predefinito) Consentire l'analisi completa delle unità rimovibili Consentito. Analizza le unità rimovibili. Protezione di rete:
Impostazione Valore Abilitare la protezione di rete Abilitato (modalità di blocco) Consentire la protezione della rete di livello inferiore La protezione di rete verrà abilitata a livello inferiore. Consenti elaborazione datagramma in Win Server L'elaborazione dei datagrammi in Windows Server è abilitata. Disabilita l'analisi di DNS over TCP L'analisi DNS su TCP è abilitata (impostazione predefinita) Disabilitare l'analisi HTTP L'analisi HTTP è abilitata (impostazione predefinita) Disabilitare l'analisi SSH L'analisi SSH è abilitata (impostazione predefinita) Disabilitare l'analisi TLS l'analisi è abilitata (impostazione predefinita) Aggiornamenti di Security Intelligence:
Impostazione Valore Intervallo di aggiornamento della firma Configurato, 4 Ordine di fallback dell'aggiornamento della firma - Selezionare Aggiungi per ogni fonte di fallback che si desidera specificare.
- Immettere uno dei valori seguenti in ogni casella nell'ordine desiderato:
-
InternalDefinitionUpdateServer: Il proprio server WSUS con gli aggiornamenti di Microsoft Defender Antivirus consentiti. -
MicrosoftUpdateServer: Microsoft Update. -
MMPC:https://www.microsoft.com/wdsi/definitions
-
Per rimuovere un'origine di fallback (popolata o vuota), selezionare la casella di controllo accanto alla casella e quindi selezionare Rimuovi.AV dell'amministratore locale:
Disabilitare le impostazioni antivirus dell'amministratore locale, ad esempio le esclusioni, e configurare i criteri in Microsoft Defender per endpoint Security Settings Management come descritto nella tabella seguente:
Impostazione Valore Disabilitare l'unione amministratore locale Disabilitare l'unione amministratore locale Azione predefinita per la gravità della minaccia:
Impostazione Valore Azione di correzione per le minacce con gravità elevata Quarantena. Spostare i file in quarantena. Azione di correzione per minacce gravi Quarantena. Spostare i file in quarantena. Azione di correzione per le minacce con gravità bassa Quarantena. Spostare i file in quarantena. Azione di correzione per le minacce di gravità moderata Quarantena. Spostare i file in quarantena. Opzioni di quarantena
Impostazione Valore Giorni per conservare il malware pulito Configurato, 60 Consenti accesso all'interfaccia utente Consentito. Consentire agli utenti di accedere all'interfaccia utente. (Predefinito)
Al termine della pagina Impostazioni di configurazione , selezionare Avanti.
Nella pagina Assegnazioni fare clic nella casella e selezionare i valori seguenti:
- Tutti gli utenti o Tutti i dispositivi.
- Quando si trovano e si selezionano uno o più gruppi disponibili, è possibile usare il valore Tipo di destinazione nella voce del gruppo per Includere o escludere i membri del gruppo.
Al termine della pagina Assegnazioni , selezionare Avanti.
Nella pagina Rivedi e crea esaminare le impostazioni. Selezionare Indietro o selezionare il nome della pagina per apportare modifiche.
Al termine della pagina Rivedi e crea , selezionare Salva.
Al termine della creazione dei criteri, viene visualizzata la pagina dei dettagli del nuovo criterio.
Selezionare Criteri di sicurezza degli endpoint nella parte superiore della pagina per tornare alla pagina Criteri di sicurezza degli endpoint in cui è elencato il nuovo criterio con il valore Tipo di criteriMicrosoft Defender Antivirus.
Regole di riduzione della superficie di attacco
Per abilitare le regole di riduzione della superficie di attacco usando i criteri di sicurezza degli endpoint, seguire questa procedura:
Nel portale di Microsoft Defender, in https://security.microsoft.com, passare a Endpoint>Gestione della configurazione>Criteri di sicurezza degli endpoint. In alternativa, per passare direttamente alla pagina Criteri di sicurezza degli endpoint , usare https://security.microsoft.com/policy-inventory i criteri di Windows.
Nella pagina Criteri di sicurezza degli endpoint verificare che la scheda Criteri di Windows sia selezionata e quindi selezionare Crea nuovo criterio
Nel riquadro a comparsa Crea un nuovo criterio, configurare le impostazioni seguenti:
- Selezionare una piattaforma: selezionare Windows.
- Selezionare modello: selezionare Regole di riduzione della superficie di attacco.
Selezionare Create policy (Crea criterio).
Viene visualizzata la procedura guidata per creare un nuovo criterio. Nella pagina Informazioni di base è possibile configurare le impostazioni seguenti:
- Nome: Immettere un nome univoco per il criterio.
- Descrizione: immettere una descrizione facoltativa.
Selezionare Avanti.
Nella pagina Impostazioni di configurazione configurare le impostazioni in base alle raccomandazioni seguenti:
Impostazione Valore Bloccare il contenuto eseguibile dal client di posta elettronica e dalla webmail Blocca Impedire ad Adobe Reader di creare processi figlio Blocca Blocca l'esecuzione di script potenzialmente offuscati Blocca Bloccare l'abuso di driver firmati vulnerabili sfruttati (Dispositivo) Blocca Bloccare le chiamate API Win32 dalle macro di Office Blocca Blocca l'esecuzione dei file eseguibili a meno che non soddisfino un criterio di prevalenza, età o elenco attendibile Blocca Impedire all'applicazione di comunicazione di Office di creare processi figlio Blocca Impedire a tutte le applicazioni di Office di creare processi figlio Blocca Blocca l'uso di strumenti di sistema copiati o rappresentati Blocca Impedire a JavaScript o VBScript di avviare il contenuto eseguibile scaricato Blocca Bloccare il furto di credenziali dal sottosistema dell'autorità di sicurezza locale di Windows Blocca Bloccare la creazione di WebShell per i server Blocca Impedire alle applicazioni di Office di creare contenuto eseguibile Blocca Bloccare i processi non attendibili e non firmati eseguiti da USB Blocca Impedire alle applicazioni di Office di inserire codice in altri processi Blocca Bloccare la persistenza tramite la sottoscrizione di eventi WMI Blocca Usare la protezione avanzata contro il ransomware Blocca Bloccare le creazioni di processi provenienti dai comandi PSExec e WMI Blocca (se si dispone di Gestione configurazione (in precedenza SCCM) o di altri strumenti di gestione che usano WMI, potrebbe essere necessario impostarlo su Audit anziché su Block Blocca il riavvio del computer in modalità provvisoria Blocca Abilitare l'accesso controllato alle cartelle Abilitato
Consiglio
Se una regola blocca un comportamento consentito nella tua organizzazione, aggiungi le esclusioni per singola regola denominate "Solo esclusioni per la riduzione della superficie di attacco". Inoltre, modifica la regola da Abilitato a Controllo per evitare blocchi indesiderati.
Nella pagina Assegnazioni fare clic nella casella e selezionare i valori seguenti:
- Tutti gli utenti o Tutti i dispositivi.
- Quando si trovano e si selezionano uno o più gruppi disponibili, è possibile usare il valore Tipo di destinazione nella voce del gruppo per Includere o escludere i membri del gruppo.
Al termine della pagina Assegnazioni , selezionare Avanti.
Nella pagina Rivedi e crea esaminare le impostazioni. Selezionare Indietro o selezionare il nome della pagina per apportare modifiche.
Al termine della pagina Rivedi e crea , selezionare Salva.
Al termine della creazione dei criteri, viene visualizzata la pagina dei dettagli del nuovo criterio.
Selezionare Criteri di sicurezza degli endpoint nella parte superiore della pagina per tornare alla pagina Criteri di sicurezza degli endpoint in cui i nuovi criteri sono elencati con il valore Tipo di criteri Regole di riduzione della superficie di attacco.
Abilitare la protezione antimanomissione
Per abilitare la protezione antimanomissione usando i criteri di sicurezza degli endpoint, completare la procedura seguente:
Accedere a Microsoft Defender XDR.
Passare a Endpoints > Gestione della configurazione > Criteri di sicurezza degli endpoint > Criteri di Windows > Crea nuovo criterio.
Selezionare Windows 10, Windows 11 e Windows Server dall'elenco a discesa Seleziona piattaforma.
Selezionare Esperienza di sicurezza dall'elenco a discesa Seleziona modello .
Selezionare Create policy (Crea criterio). Verrà visualizzata la pagina Crea un nuovo criterio .
Nella pagina Informazioni di base immettere rispettivamente un nome e una descrizione per il profilo nei campi Nome e Descrizione .
Seleziona Avanti.
Nella pagina Impostazioni di configurazione espandere i gruppi di impostazioni e quindi selezionare le impostazioni da gestire con questo profilo.
Impostare i criteri per i gruppi di impostazioni scelti configurandoli come descritto nella tabella seguente:
Descrizione Impostazione Protezione da manomissione (Dispositivo) Attivato
Controllare la connettività di rete di Cloud Protection
La protezione cloud (nota anche come Microsoft Active Protection Service o MAPS) è una funzionalità di Microsoft Defender Antivirus che usa l'apprendimento automatico e l'analisi basati sul cloud per offrire un rilevamento più rapido delle minacce. Per il corretto funzionamento di questa funzionalità, il dispositivo deve essere in grado di raggiungere il servizio di protezione cloud in rete.
Verificare che la connettività di rete di Cloud Protection funzioni durante i test di penetrazione.
Prerequisito: Aprire il prompt dei comandi come amministratore (selezionare Esegui come amministratore) prima di eseguire i comandi seguenti.
Consiglio
Il primo comando passa alla directory corrispondente alla versione più recente della <piattaforma antimalware> in %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Se tale percorso non esiste, passa a %ProgramFiles%\Windows Defender.
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -ValidateMapsConnection
Per altre informazioni, vedere Configurare e gestire Microsoft Defender Antivirus con lo strumento da riga di comando MpCmdRun.
Controllare la versione dell'aggiornamento della piattaforma
La versione più recente del canale di produzione (GA) "Platform Update" è disponibile in Microsoft Update Catalog.
Per verificare la versione "Aggiornamento piattaforma" installata, eseguire il comando seguente in PowerShell usando i privilegi di un amministratore:
Get-MPComputerStatus | Format-Table AMProductVersion
Controllare la versione dell'aggiornamento di Security Intelligence
La versione più recente di "Security Intelligence Update" è disponibile negli aggiornamenti più recenti di Security Intelligence per Microsoft Defender Antivirus e altri antimalware Microsoft - Intelligence di sicurezza Microsoft.
Per verificare la versione "Security Intelligence Update" installata, eseguire il comando seguente in PowerShell usando i privilegi di un amministratore:
Get-MPComputerStatus | Format-Table AntivirusSignatureVersion
Controllare la versione dell'aggiornamento del motore
La versione più recente di "aggiornamento del motore" del motore di analisi è disponibile in: Ultimi aggiornamenti dell'intelligence per la sicurezza per Microsoft Defender Antivirus e altri software antimalware Microsoft: Microsoft Security Intelligence.
Per verificare la versione "Aggiornamento motore" installata, eseguire il comando seguente in PowerShell usando i privilegi di un amministratore:
Get-MPComputerStatus | Format-Table AMEngineVersion
Se si scopre che le impostazioni non hanno effetto, è possibile che si verifichi un conflitto. Per informazioni su come risolvere i conflitti, vedere Risolvere i problemi relativi alle impostazioni di antivirus Microsoft Defender.
Per le segnalazioni di falsi negativi (FN)
Un falso negativo (FN) si verifica quando Microsoft Defender Antivirus non rileva un file o un'attività effettivamente dannosa. Se si verifica un rilevamento non riuscito durante la valutazione, inviare il file non rilevato a Microsoft per l'analisi in modo che la protezione possa essere aggiornata.
Per informazioni su come effettuare invii FN, vedi:
- Inviare file in Microsoft Defender per endpoint se sono presenti Microsoft Defender, Microsoft Defender per endpoint P2/P1 o Microsoft Defender for Business.
- Inviare i file per l'analisi se si dispone di Microsoft Defender Antivirus.