Distribuire e gestire il controllo dei dispositivi in Microsoft Defender per endpoint usando Criteri di gruppo
Si applica a:
- Microsoft Defender per endpoint Piano 1
- Microsoft Defender per endpoint Piano 2
- Microsoft Defender for Business
Se si usa Criteri di gruppo per gestire le impostazioni di Defender per endpoint, è possibile usarlo per distribuire e gestire il controllo dei dispositivi.
Abilitare o disabilitare il controllo di accesso all'archiviazione rimovibile
In un dispositivo che esegue Windows passare a Configurazione> computerModelli> amministrativiComponenti> di Windows Microsoft DefenderFunzionalità>antivirus>Controllo del dispositivo.
Nella finestra Controllo dispositivo selezionare Abilitato.
Nota
Se questi oggetti Criteri di gruppo non vengono visualizzati, è necessario aggiungere il Criteri di gruppo Administrative Templates (ADMX). È possibile scaricare un modello amministrativo (WindowsDefender.adml e WindowsDefender.admx) da esempi mdatp-devicecontrol/Windows in GitHub.
Impostare l'imposizione predefinita
È possibile impostare l'accesso predefinito, ad esempio o Deny
Allow
per tutte le funzionalità di controllo del dispositivo, ad RemovableMediaDevices
esempio , CdRomDevices
, WpdDevices
e PrinterDevices
.
Ad esempio, è possibile avere un Deny
criterio o per Allow
RemovableMediaDevices
, ma non per CdRomDevices
o WpdDevices
. Se si imposta Default Deny
questo criterio, l'accesso in lettura/scrittura/esecuzione a CdRomDevices
o WpdDevices
viene bloccato. Se si vuole gestire solo l'archiviazione, assicurarsi di creare Allow
criteri per le stampanti. In caso contrario, l'imposizione predefinita (Deny) viene applicata anche alle stampanti.
In un dispositivo che esegue Windows passare a Configurazione> computerModelli> amministrativiComponenti> di Windows Microsoft DefenderFunzionalità>antivirus> Controllo >del dispositivoSelezionare Controllo dispositivo Criteri di imposizione predefiniti.
Nella finestra Seleziona criteri di imposizione predefiniti controllo dispositivo selezionare Nega predefinito.
Configurare i tipi di dispositivo
Per configurare i tipi di dispositivo applicati a un criterio di controllo del dispositivo, seguire questa procedura:
In un computer che esegue Windows passare a Configurazione> computerModelli> amministrativiComponenti> di Windows Microsoft DefenderControllo>dispositivo antivirus>Attivare il controllo del dispositivo per tipi di dispositivo specifici.
Nella finestra Attiva controllo dispositivo per tipi specifici specificare gli ID della famiglia di prodotti, separati da una pipe (
|
). Gli ID della famiglia di prodotti includonoRemovableMediaDevices
,CdRomDevices
,WpdDevices
oPrinterDevices
.
Definire i gruppi
Create un file XML per ogni gruppo di archiviazione rimovibile.
Usare le proprietà nel gruppo di archiviazione rimovibile per creare un file XML per ogni gruppo di archiviazione rimovibile.
Salvare ogni file XML nella condivisione di rete.
Definire le impostazioni come segue:
In un dispositivo che esegue Windows passare a Configurazione> computerModelli> amministrativiComponenti> di Windows Microsoft DefenderControllo>dispositivo antivirus>Definire i gruppi di criteri di controllo dei dispositivi.
Nella finestra Definisci gruppi di criteri di controllo del dispositivo specificare il percorso del file di condivisione di rete contenente i dati dei gruppi XML.
È possibile creare tipi di gruppo diversi. Ecco un file XML di esempio di gruppo per qualsiasi archivio rimovibile e CD-ROM, dispositivi portatili Windows e gruppo USB approvato: file XML
Nota
I commenti che usano la notazione di <!--COMMENT-->
commento XML possono essere usati nei file XML della regola e del gruppo, ma devono trovarsi all'interno del primo tag XML, non nella prima riga del file XML.
Definire i criteri
Create un file XML per la regola dei criteri di accesso.
Usare le proprietà nelle regole dei criteri di accesso all'archiviazione rimovibili per creare un codice XML per la regola dei criteri di accesso all'archiviazione rimovibile di ogni gruppo.
Salvare il file XML nella condivisione di rete.
Definire le impostazioni come segue:
In un dispositivo che esegue Windows passare a Configurazione> computerModelli> amministrativiComponenti> di Windows Microsoft DefenderControllo>dispositivo antivirus>Definire le regole dei criteri di controllo del dispositivo.
Nella finestra Definisci regole dei criteri di controllo del dispositivo selezionare Abilitato e quindi specificare il percorso del file di condivisione di rete contenente i dati delle regole XML.
Nota
I commenti che usano la notazione di <!-- COMMENT -->
commento XML possono essere usati nei file XML della regola e del gruppo, ma devono trovarsi all'interno del primo tag XML, non nella prima riga del file XML.
Impostare il percorso per una copia del file (evidenza)
Se si vuole avere una copia del file (evidenza) con accesso in scrittura, impostare le opzioni corrette nella regola dei criteri di accesso all'archiviazione rimovibile nel file XML e quindi specificare il percorso in cui il sistema può salvare la copia.
In un dispositivo che esegue Windows passare a Configurazione> computerModelli> amministrativiComponenti> di Windows Microsoft DefenderControllo>dispositivo antivirus>Definire la posizione remota dei dati di prova di Controllo del dispositivo.
Nella finestra Definisci posizione remota dei dati di evidenza di Controllo dispositivo selezionare Abilitato e quindi specificare il percorso della cartella della condivisione locale o di rete.
Periodo di conservazione per la cache delle evidenze locale
Se si vuole modificare il valore predefinito di 60 giorni per rendere persistente la cache locale per l'evidenza dei file, seguire questa procedura:
Passare a Configurazione> computerModelli> amministrativiComponenti> di Windows Microsoft DefenderControllo>dispositivo antivirus>Impostare il periodo di conservazione per i file nella cache di controllo del dispositivo locale.
Nella finestra Imposta il periodo di conservazione per i file nella cache di controllo del dispositivo locale selezionare Abilitato e quindi immettere il numero di giorni per conservare la cache locale (impostazione predefinita 60).