Configurare Microsoft Defender Antivirus in un ambiente di infrastruttura desktop remoto o desktop virtuale

Questo articolo è progettato per i clienti che usano solo le funzionalità di antivirus Microsoft Defender. Se si dispone di Microsoft Defender per endpoint (che include antivirus Microsoft Defender insieme ad altre funzionalità di protezione dei dispositivi), vedere Eseguire l'onboarding di dispositivi VDI (Virtual Desktop Infrastructure) non persistenti in Microsoft Defender.

È possibile usare Microsoft Defender Antivirus in un ambiente Desktop remoto (RDS) o in un ambiente VDI (Virtual Desktop Infrastructure) non persistente. Usando i passaggi di configurazione descritti in questa guida per Microsoft Defender Antivirus in ambienti RDS o VDI, è possibile configurare gli aggiornamenti per il download direttamente negli ambienti RDS o VDI ogni volta che un utente accede.

Questa guida descrive come configurare Microsoft Defender Antivirus nelle macchine virtuali per una protezione e prestazioni ottimali, inclusa la procedura:

• Configurare una condivisione file VDI dedicata per gli aggiornamenti di Security Intelligence
• Scaricare e decomprimere gli aggiornamenti più recenti
• Configurare Microsoft Defender impostazioni antivirus
• Eseguire l'attività pianificata Manutenzione cache di Windows Defender

Prerequisiti

Prima di configurare Microsoft Defender Antivirus per l'ambiente RdS o VDI, verificare che i dispositivi soddisfino i requisiti seguenti.

Sistemi operativi supportati

La configurazione VDI di Microsoft Defender Antivirus è supportata nei seguenti sistemi operativi:

• Windows

Configurare una condivisione file VDI dedicata per l'intelligence sulla sicurezza

In Windows 10 versione 1903, Microsoft ha introdotto la funzionalità di intelligence per la sicurezza condivisa, che scarica il disimballaggio degli aggiornamenti dell'intelligence di sicurezza scaricati in un computer host. Demandare lo spacchettamento a una macchina host riduce l'uso delle risorse di CPU, disco e memoria sulle singole macchine. L'intelligence di sicurezza condivisa ora funziona su Windows 10 versione 1703 e successive. È possibile configurare la funzionalità di intelligence sulla sicurezza condivisa usando Criteri di gruppo o PowerShell.

Configurare la condivisione file VDI usando Criteri di gruppo

Usa i passaggi seguenti per configurare il percorso condiviso per l'intelligence di sicurezza tramite Criteri di gruppo:

1. Nel computer di gestione dei Criteri di gruppo, aprire la Console Gestione Criteri di gruppo, fare clic con il pulsante destro del mouse sull'Oggetto Criteri di gruppo che si desidera configurare e quindi scegliere Modifica.

2. Nell'Editor gestione Criteri di gruppo, passare a Configurazione computer.

3. Selezionare Modelli amministrativi. Espandi l'albero fino a Componenti di Windows>Microsoft Defender Antivirus>Aggiornamenti dell'intelligence di sicurezza.

4. Fare doppio clic su Definisci posizione di intelligence di sicurezza per i client VDI e quindi impostare l'opzione su Abilitato. Viene visualizzato automaticamente un campo.

5. Nel campo digitare \\<File Server shared location\>\wdav-update. Per informazioni su questo valore, vedere Scaricare e annullare il pacchetto degli aggiornamenti più recenti.

6. Selezionare OK e quindi distribuire l'oggetto Criteri di gruppo nelle macchine virtuali da testare.

Configurare la condivisione file VDI tramite PowerShell

Usare PowerShell per configurare il percorso di intelligence per la sicurezza condivisa in ogni dispositivo:

1. In ogni dispositivo RDS o VDI usare il cmdlet seguente per abilitare la funzionalità:

   Set-MpPreference -SharedSignaturesPath \\<File Server shared location>\wdav-update

2. Eseguire il push dell'aggiornamento come si esegue normalmente il push dei criteri di configurazione basati su PowerShell nelle macchine virtuali. (Vedere Scaricare e decomprimere gli aggiornamenti più recenti, in particolare il percorso di esempio della \FileServer.fqdn\mdatp$\wdav-updatecondivisione di file.)

Scaricare e decomprimere gli aggiornamenti più recenti

Usare lo script di PowerShell di esempio seguente per scaricare e decomprimere gli aggiornamenti di intelligence per la sicurezza per le macchine virtuali. Lo script di esempio è il modo più semplice per scaricare nuovi aggiornamenti e prepararli per le macchine virtuali. È quindi opportuno pianificare lo script per il download dell'intelligence per la sicurezza in modo che venga eseguito a un'ora specifica sul computer di gestione, utilizzando un'attività pianificata. In alternativa, se si ha familiarità con l'uso di script di PowerShell in Azure, Intune o Gestione configurazione, è possibile distribuire lo script di esempio tramite tali strumenti.

$vdmpathbase = "$env:systemdrive\wdav-update\{00000000-0000-0000-0000-"
$vdmpathtime = Get-Date -format "yMMddHHmmss"
$vdmpath = $vdmpathbase + $vdmpathtime + '}'
$vdmpackage = $vdmpath + '\mpam-fe.exe'

New-Item -ItemType Directory -Force -Path $vdmpath | Out-Null

Invoke-WebRequest -Uri 'https://go.microsoft.com/fwlink/?LinkID=121721&arch=x64' -OutFile $vdmpackage

Start-Process -FilePath $vdmpackage -WorkingDirectory $vdmpath -ArgumentList "/x"

È possibile impostare un'attività pianificata per l'esecuzione una volta al giorno in modo che ogni volta che il pacchetto viene scaricato e decompresso le macchine virtuali ricevano il nuovo aggiornamento. È consigliabile iniziare con una volta al giorno, ma è consigliabile sperimentare l'aumento o la riduzione della frequenza per comprendere l'impatto.

I pacchetti di intelligence per la sicurezza vengono in genere pubblicati una volta ogni tre o quattro ore. L'impostazione di una frequenza inferiore a quattro ore non è consigliabile perché aumenta il sovraccarico di rete nel computer di gestione senza alcun vantaggio.

È anche possibile configurare il server singolo o il computer per recuperare gli aggiornamenti per conto delle macchine virtuali a un intervallo e inserirli nella condivisione file per l'utilizzo. La distribuzione degli aggiornamenti basata su condivisione file è possibile quando i dispositivi dispongono di accesso in lettura e condivisione (autorizzazioni NTFS) alla condivisione in modo che possano acquisire gli aggiornamenti. Per configurare questa configurazione, seguire questa procedura:

1. Creare una condivisione file SMB/CIFS.

2. Usare l'esempio seguente per creare una condivisione file con le autorizzazioni di condivisione seguenti.

   
   PS c:\> Get-SmbShareAccess -Name mdatp$
   
   Name   ScopeName AccountName AccessControlType AccessRight
   ----   --------- ----------- ----------------- -----------
   mdatp$ *         Everyone    Allow             Read
   
   

   Nota

   Viene aggiunta un'autorizzazione NTFS per Authenticated Users:Read:.

   Nella configurazione di esempio precedente la condivisione file è \\FileServer.fqdn\mdatp$\wdav-update.

Impostare un'attività pianificata per l'esecuzione dello script di PowerShell

Eseguire i passaggi seguenti per creare un'attività pianificata per eseguire lo script di aggiornamento dell'intelligence per la sicurezza sul computer di gestione:

1. Nel computer di gestione aprire il menu Start e digitare Task Scheduler. Nei risultati, seleziona Utilità di pianificazione e quindi seleziona Crea attività... nel riquadro laterale.

2. Specificare il nome come Security intelligence unpacker.

3. Nella scheda Trigger selezionare Nuovo...>Ogni giorno e selezionare OK.

4. Nella scheda Azioni selezionare Nuovo.....

5. Specificare PowerShell nel campo Programma/Script .

6. Nel campo Aggiungi argomenti digitare -ExecutionPolicy Bypass c:\wdav-update\vdmdlunpack.ps1e quindi selezionare OK.

7. Configurare eventuali altre impostazioni in base alle esigenze.

8. Selezionare OK per salvare l'attività pianificata.

Per avviare manualmente l'aggiornamento, fare clic con il pulsante destro del mouse sull'attività e quindi scegliere Esegui.

Scarica e decomprimi manualmente il pacchetto

Se si preferisce eseguire tutte le operazioni manualmente, ecco cosa fare per replicare il comportamento dello script:

1. Creare una nuova cartella nella radice di sistema chiamata wdav_update per archiviare gli aggiornamenti di intelligence. Ad esempio, creare la cartella c:\wdav_update.

2. Creare una sottocartella in wdav_update con un nome GUID, ad esempio {00000000-0000-0000-0000-000000000000}

   Ecco un esempio: c:\wdav_update\{00000000-0000-0000-0000-000000000000}

   Nota

   Lo script viene impostato in modo che le ultime 12 cifre del GUID siano l'anno, il mese, il giorno e l'ora in cui il file è stato scaricato in modo che ogni volta venga creata una nuova cartella. È possibile modificare il comportamento di denominazione delle cartelle basato su GUID in modo che il file venga scaricato nella stessa cartella ogni volta.

3. Scaricare un pacchetto di intelligence per la sicurezza da aggiornamenti dell'intelligence per la sicurezza di Microsoft Defender nella cartella GUID. Il file deve essere denominato mpam-fe.exe.

4. Aprire una finestra del prompt dei comandi e passare alla cartella GUID creata. Usare il /X comando di estrazione per estrarre i file. Ad esempio, mpam-fe.exe /X.

   Nota

   Le macchine virtuali prelevano il pacchetto aggiornato ogni volta che viene creata una nuova cartella GUID con un pacchetto di aggiornamento estratto o ogni volta che una cartella esistente viene aggiornata con un nuovo pacchetto estratto.

impostazioni di configurazione dell'antivirus Microsoft Defender

Usare le impostazioni di configurazione consigliate Microsoft Defender antivirus per ottimizzare la protezione e le prestazioni per gli ambienti VDI.

Configurare le impostazioni di Microsoft Defender Antivirus a livello radice

Configurare le seguenti impostazioni dei criteri di primo livello:

• Configurare il rilevamento per le applicazioni potenzialmente indesiderate: Enabled - Block

• Configurare il comportamento di unione dell'amministratore locale per gli elenchi: - Disabled Impostare questo criterio su Disabilitato per impedire l'unione di esclusioni e elenchi definiti localmente con criteri gestiti centralmente. Se disabilitato, vengono applicati solo i criteri gestiti centralmente , ad esempio Criteri di gruppo.

• Controllare se le esclusioni sono visibili agli amministratori locali: Enabled

• Disattiva il ripristino automatico: Disabled

• Randomizzare le scansioni pianificate: Enabled

Configurare le impostazioni dell'interfaccia client

Usare le impostazioni dell'interfaccia client seguenti:

• Attivare la modalità UI headless: Enabled

  Nota

  Il criterio "Abilita la modalità headless dell'interfaccia utente" nasconde l'intera interfaccia utente di Microsoft Defender Antivirus agli utenti finali dell'organizzazione.

• Elimina tutte le notifiche: Enabled

  Nota

  In alcuni casi, le notifiche antivirus di Microsoft Defender vengono inviate o persistono tra più sessioni. Per evitare confusione dell'utente, è possibile bloccare l'interfaccia utente Microsoft Defender Antivirus.

  L'eliminazione delle notifiche impedisce che le notifiche Microsoft Defender Antivirus vengano visualizzate al termine delle analisi o vengano eseguite azioni di correzione. Tuttavia, il team delle operazioni di sicurezza visualizza i risultati di un'analisi se viene rilevato e arrestato un attacco. Gli avvisi, ad esempio un avviso di accesso iniziale, vengono generati e visualizzati nel portale di Microsoft Defender.

Configurare le impostazioni di Microsoft Active Protection Service (MAPS)

Configurare Microsoft MAPS con le impostazioni seguenti:

• Partecipare a Microsoft MAPS (Attivare la protezione fornita dal cloud): Enabled - Advanced MAPS

• Inviare esempi di file quando è necessaria un'ulteriore analisi: Send all samples (more secure) o Send safe sample (less secure)

Configurare le impostazioni di MPEngine

Usare le impostazioni del motore antimalware seguenti:

• Configurare il controllo cloud esteso: 20

• Selezionare il livello di protezione cloud: Enabled - High

• Abilitare la funzionalità di calcolo dell'hash dei file: Enabled

Configurare le impostazioni di protezione in tempo reale

Configurare la protezione in tempo reale con le impostazioni seguenti:

• Configurare il monitoraggio per l'attività di file e programmi in ingresso e in uscita: Enabled – bi-directional (full on-access)

• Monitorare l'attività di file e programmi nel computer: Enabled

• Analizzare tutti i file e gli allegati scaricati: Enabled

• Attivare il monitoraggio del comportamento: Enabled

• Attivare l'analisi dei processi ogni volta che è abilitata la protezione in tempo reale: Enabled

• Attivare le notifiche di scrittura del volume non elaborato: Enabled

Configurare le impostazioni di analisi

Usare le impostazioni di analisi seguenti:

• Prima di eseguire un'analisi pianificata, verificare la disponibilità di informazioni di sicurezza di virus e spyware più recenti: Enabled

• Analizzare i file di archivio: Enabled

• Analizzare i file di rete: Not configured

• Analizzare i file eseguibili compressi: Enabled

• Analizzare le unità rimovibili: Enabled

• Attiva la scansione completa di recupero (Disattiva la scansione completa di recupero): Not configured

• Attivare l'analisi rapida di recupero (disabilitare l'analisi rapida di recupero): Not configured

  Nota

  Per eseguire una scansione rapida dopo che una macchina virtuale ha mancato due scansioni programmate consecutive, configura l'impostazione per il tuo metodo di gestione:

  • Politica di gruppo: Imposta Attiva la scansione rapida di recupero su Enabled.
  • Intune: Imposta Disabilita la scansione rapida di recupero su Disabled.

  Le scansioni di recupero consumano più CPU quando vengono eseguite.

• Attivare l'analisi della posta elettronica: Enabled

• Attiva le euristiche: Enabled

• Attivare l'analisi dei reparse point: Enabled

Impostazioni generali dell'analisi pianificata

Configurare il comportamento generale dell'analisi pianificata con le impostazioni seguenti:

• Configurare una priorità bassa della CPU per le analisi pianificate (usare la priorità bassa della CPU per le analisi pianificate): Not configured

• Specificare la percentuale massima di utilizzo della CPU durante un'analisi (limite di utilizzo della CPU per analisi): 50

• Avviare l'analisi pianificata solo quando il computer è acceso ma non in uso (ScanOnlyIfIdle): Not configured

• Usare il cmdlet seguente per arrestare un'analisi rapida o pianificata ogni volta che il dispositivo diventa inattivo se è in modalità passiva.

  
  Set-MpPreference -ScanOnlyIfIdleEnabled $false
  
  

Analisi rapida giornaliera

Usare le impostazioni di analisi rapida giornaliere seguenti:

• Specificare l'intervallo per eseguire analisi rapide al giorno: Not configured

• Specificare l'ora per un'analisi rapida giornaliera (Eseguire l'analisi rapida giornaliera all'indirizzo): 12 PM

Eseguire un'analisi pianificata settimanale (veloce o completa)

Configurare le analisi pianificate settimanali con le impostazioni seguenti:

• Specificare il tipo di analisi da usare per un'analisi pianificata (tipo di analisi): Not configured

• Specificare l'ora del giorno per eseguire un'analisi pianificata (giorno della settimana per eseguire l'analisi pianificata): Not configured

• Specificare il giorno della settimana per eseguire un'analisi pianificata (ora del giorno per eseguire un'analisi pianificata): Not configured

Configurare le impostazioni di aggiornamento dell'intelligence per la sicurezza

Usa le seguenti impostazioni di aggiornamento dell'intelligence di sicurezza:

• Attiva la scansione dopo l'aggiornamento dell'intelligence sulla sicurezza (Disattiva le scansioni dopo un aggiornamento): Disabled

  Nota

  La disabilitazione di un'analisi dopo un aggiornamento dell'intelligence per la sicurezza impedisce che si verifichi un'analisi dopo aver ricevuto un aggiornamento. È possibile applicare questa impostazione durante la creazione dell'immagine di base se è stata eseguita anche un'analisi rapida. Disabilitando le analisi dopo un aggiornamento dell'intelligence sulla sicurezza, è possibile impedire alla macchina virtuale appena aggiornata di eseguire di nuovo un'analisi(come è già stata analizzata al momento della creazione dell'immagine di base).

  Importante

  L'esecuzione di analisi dopo un aggiornamento consente di garantire che le macchine virtuali siano protette con gli aggiornamenti di security intelligence più recenti. La disabilitazione di questa opzione riduce il livello di protezione delle macchine virtuali e deve essere usata solo durante la prima creazione o distribuzione dell'immagine di base.

• Specificare l'intervallo per verificare la disponibilità di aggiornamenti dell'intelligence per la sicurezza (immettere la frequenza con cui verificare la disponibilità di aggiornamenti delle funzionalità di intelligence per la sicurezza): Enabled - 8

• Lasciare le altre impostazioni nello stato predefinito

Configurare le azioni predefinite per le minacce

Configurare le azioni predefinite per le minacce con le impostazioni seguenti:

• Specificare i livelli di avviso delle minacce a cui non è consigliabile eseguire un'azione predefinita quando viene rilevata: Enabled

• Impostare Severe (5), High (4), Medium (2)e Low (1) tutti su Quarantine (2), come illustrato nella tabella seguente:

  Nome del valore	Valore
  1 (Basso)	2
  2 (Medio)	2
  4 (Alto)	2
  5 (Grave)	2

Configurare le regole per la riduzione della superficie di attacco

Le regole ASR sono destinate al comportamento software rischioso nei dispositivi Windows che gli utenti malintenzionati sfruttano comunemente tramite malware (ad esempio, l'avvio di script che scaricano file, l'esecuzione di script offuscati e l'inserimento di codice in altri processi). Per altre informazioni, vedere Panoramica delle regole di riduzione della superficie di attacco (ASR).

In genere, è possibile abilitare le regole di protezione standard in modalità Blocco o Avviso senza test. È consigliabile testare altre regole asr in modalità di controllo prima di passare alla modalità Blocca o Avvisa . Per ulteriori informazioni, vedere la guida alla distribuzione delle regole ASR.

Abilitare la protezione di rete

Impedire a utenti e app di accedere a siti Web pericolosi (Abilita protezione di rete): Enabled - Audit mode.

SmartScreen in Microsoft Edge

Usare le seguenti impostazioni di SmartScreen per Microsoft Edge:

• Richiedi l'uso di SmartScreen per Microsoft Edge: Yes

• Bloccare l'accesso a siti dannosi: Yes

• Blocca il download di file non verificato: Yes

Esegui l'attività pianificata Cache Maintenance di Windows Defender

Ottimizzare l'attività pianificata "Windows Defender Cache Maintenance" per ambienti VDI non persistenti e/o persistenti. Eseguire questa attività sull'immagine principale prima della sigillatura.

1. Aprire Utilità di pianificazione mmc (taskschd.msc).

2. Espandi Libreria Utilità di pianificazione>Microsoft>Windows>Windows Defender, quindi fai clic con il pulsante destro del mouse su Manutenzione della cache di Windows Defender.

   Avviso

   Se si ignora questo passaggio, ogni macchina virtuale può riscontrare un utilizzo più elevato della CPU durante l'esecuzione dell'attività di manutenzione della cache.

3. Selezionare Esegui e consentire il completamento dell'attività pianificata.

Abilitare la protezione da manomissione

Abilitare la protezione da manomissioni per impedire che Microsoft Defender Antivirus venga disabilitato nel portale di Microsoft Defender.

Configurare le esclusioni antivirus per gli ambienti VDI

Se si ritiene necessario aggiungere esclusioni, vedere Gestire le esclusioni per Microsoft Defender per endpoint e Microsoft Defender Antivirus.

Passaggi successivi

Se si sta distribuendo anche rilevamento e reazione degli endpoint (EDR) nelle VM VDI basate su Windows, vedere Effettuare l'onboarding di dispositivi VDI (Virtual Desktop Infrastructure) non persistenti in Microsoft Defender.

Vedere anche

• Blog della community tecnica: Configurazione di Microsoft Defender Antivirus per computer VDI non persistenti
• Script PowerShell SignatureDownloadCustomTask

Se si cercano informazioni su Defender per endpoint su piattaforme non Windows, vedere le risorse seguenti:

• Microsoft Defender per endpoint su Mac
• Microsoft Defender per Endpoint su Linux
• Funzionalità di configurazione di Microsoft Defender per endpoint su Android
• Funzionalità di configurazione di Microsoft Defender per endpoint su iOS