Como criar e implementar políticas antimalware para o Endpoint Protection no Configuration Manager

Aplica-se a: Configuration Manager (branch atual)

Pode implementar políticas antimalware em coleções de computadores cliente do Configuration Manager para especificar como o Endpoint Protection as protege contra software maligno e outras ameaças. Estas políticas incluem informações sobre o agendamento da análise, os tipos de ficheiros e pastas a analisar e as ações a tomar quando é detetado software maligno. Quando ativa o Endpoint Protection, é aplicada uma política antimalware predefinida aos computadores cliente. Também pode utilizar um dos modelos de política fornecidos ou criar uma política personalizada para satisfazer as necessidades específicas do seu ambiente.

O Configuration Manager fornece uma seleção de modelos predefinidos. Estes estão otimizados para vários cenários e podem ser importados para o Configuration Manager. Estes modelos estão disponíveis na pasta <Pasta de Instalação> do ConfigMgr\AdminConsole\XMLStorage\EPTemplates.

Utilize os procedimentos neste tópico para criar ou importar políticas antimalware e atribuí-las a computadores cliente do Configuration Manager na sua hierarquia.

Modificar a política antimalware predefinida

1. Na consola do Configuration Manager, clique em Ativos e Compatibilidade.

2. Na área de trabalho Ativos e Compatibilidade , expanda Endpoint Protection e, em seguida, clique em Políticas antimalware.

3. Selecione a política antimalware Política Antimalware Predefinida do Cliente e, em seguida, no separador Base , no grupo Propriedades , clique em Propriedades.

4. Na caixa de diálogo Política Antimalware Predefinida , configure as definições necessárias para esta política antimalware e, em seguida, clique em OK.

   Observação

   Para obter uma lista das definições que pode configurar, veja Lista de Definições de Política Antimalware neste tópico.

Criar uma nova política antimalware

1. Na consola do Configuration Manager, clique em Ativos e Compatibilidade.

2. Na área de trabalho Ativos e Compatibilidade , expanda Endpoint Protection e, em seguida, clique em Políticas antimalware.

3. No separador Base , no grupo Criar , clique em Criar Política Antimalware.

4. Na secção Geral da caixa de diálogo Criar Política Antimalware , introduza um nome e uma descrição para a política.

5. Na caixa de diálogo Criar Política Antimalware , configure as definições necessárias para esta política antimalware e, em seguida, clique em OK. Para obter uma lista das definições que pode configurar, consulte Lista de Definições de Política antimalware.

6. Verifique se a nova política antimalware é apresentada na lista Políticas Antimalware .

Importar uma política antimalware

1. Na consola do Configuration Manager, clique em Ativos e Compatibilidade.

2. Na área de trabalho Ativos e Compatibilidade , expanda Endpoint Protection e, em seguida, clique em Políticas antimalware.

3. No separador Base , no grupo Criar , clique em Importar.

4. Na caixa de diálogo Abrir , navegue até ao ficheiro de política a importar e, em seguida, clique em Abrir.

5. Na caixa de diálogo Criar Política Antimalware , reveja as definições a utilizar e, em seguida, clique em OK.

6. Verifique se a nova política antimalware é apresentada na lista Políticas Antimalware .

Implementar uma política antimalware em computadores cliente

1. Na consola do Configuration Manager, clique em Ativos e Compatibilidade.

2. Na área de trabalho Ativos e Compatibilidade , expanda Endpoint Protection e, em seguida, clique em Políticas antimalware.

3. Na lista Políticas Antimalware , selecione a política antimalware a implementar. Em seguida, no separador Base , no grupo Implementação , clique em Implementar.

   Observação

   Não é possível utilizar a opção Implementar com a política de software maligno de cliente predefinida.

4. Na caixa de diálogo Selecionar Coleção , selecione a coleção de dispositivos na qual pretende implementar a política antimalware e, em seguida, clique em OK.

Lista de Definições de Política Antimalware

Muitas das definições de antimalware são explicativas. Utilize as secções seguintes para obter mais informações sobre as definições que podem exigir mais informações antes de as configurar.

• Definições de Análises Agendadas
• Definições de Análise
• Predefinições de Ações
• Definições de Proteção em Tempo Real
• Definições de Exclusão
• Definições Avançadas
• Definições de Substituições de Ameaças
• Serviço de Proteção da Cloud
• Definições de Atualizações de Definições

Definições de Análises Agendadas

Tipo de análise – pode especificar um dos dois tipos de análise a executar em computadores cliente:

• Análise rápida – este tipo de análise verifica os processos e pastas dentro da memória onde o software maligno é normalmente encontrado. Requer menos recursos do que uma análise completa.

• Análise Completa – este tipo de análise adiciona uma verificação completa de todos os ficheiros e pastas locais aos itens analisados na análise rápida. Esta análise demora mais do que uma análise rápida e utiliza mais recursos de memória e processamento da CPU em computadores cliente.

  Na maioria dos casos, utilize a Análise rápida para minimizar a utilização de recursos do sistema em computadores cliente. Se a remoção de software maligno exigir uma análise completa, o Endpoint Protection gera um alerta que é apresentado na consola do Configuration Manager. O valor predefinido é Análise rápida.

Definições de Análise

Digitalizar e-mails e anexos de e-mail – defina como Sim para ativar a análise de e-mail.

Analisar dispositivos de armazenamento amovíveis, como unidades USB – defina como Sim para analisar as unidades amovíveis durante as análises completas.

Analisar ficheiros de rede – defina como Sim para analisar ficheiros de rede.

Analisar unidades de rede mapeadas ao executar uma análise completa – defina como Sim para analisar quaisquer unidades de rede mapeadas em computadores cliente. Ativar esta definição pode aumentar significativamente o tempo de análise nos computadores cliente.

• A definição Analisar ficheiros de rede tem de estar definida como Sim para que esta definição esteja disponível para configuração.

• Por predefinição, esta definição está definida como Não, o que significa que uma análise completa não acederá a unidades de rede mapeadas.

Analisar ficheiros arquivados – defina como Sim para analisar ficheiros arquivados, como ficheiros .zip ou .rar.

Permitir que os utilizadores configurem a utilização da CPU durante as análises – defina como Sim para permitir que os utilizadores especifiquem a percentagem máxima de utilização da CPU durante uma análise. As análises nem sempre utilizam a carga máxima definida pelos utilizadores, mas não a podem exceder.

Controlo do utilizador das análises agendadas – especifique o nível de controlo do utilizador. Permitir que os utilizadores definam apenas Tempo de análise ou Controlo total das análises antivírus nos respetivos dispositivos.

Predefinições de Ações

Selecione a ação a tomar quando for detetado software maligno em computadores cliente. As seguintes ações podem ser aplicadas, consoante o nível de ameaça de alerta do software maligno detetado.

• Recomendado – utilize a ação recomendada no ficheiro de definição de software maligno.

• Quarentena – coloque o software maligno em quarentena, mas não o remova.

• Remover – remova o software maligno do computador.

• Permitir – não remova nem coloque o software maligno em quarentena.

Definições de Proteção em Tempo Real

Definições de Exclusão

Para obter informações sobre pastas, ficheiros e processos recomendados para exclusão no Configuration Manager 2012 e no Current Branch, veja Exclusões antivírus recomendadas para o Configuration Manager 2012 e servidores de sites de ramo atual, sistemas de sites e clientes.

Ficheiros e pastas excluídos:

Clique em Definir para abrir a caixa de diálogo Configurar Exclusões de Ficheiros e Pastas e especifique os nomes dos ficheiros e pastas a excluir das análises do Endpoint Protection.

Se quiser excluir ficheiros e pastas localizados numa unidade de rede mapeada, especifique o nome de cada pasta na unidade de rede individualmente. Por exemplo, se uma unidade de rede estiver mapeada como F:\MyFolder e contiver subpastas denominadas Pasta1, Pasta2 e Pasta 3, especifique as seguintes exclusões:

• F:\MyFolder\Folder1

• F:\MyFolder\Folder2

• F:\MyFolder\Folder3

A partir da versão 1602, a definição Excluir ficheiros e pastas existente na secção Definições de exclusão de uma política antimalware é melhorada para permitir exclusões de dispositivos. Por exemplo, agora pode especificar o seguinte como uma exclusão: \device\mvfs (para o Sistema de Ficheiros Multiversion). A política não valida o caminho do dispositivo; a política do Endpoint Protection é fornecida ao motor antimalware no cliente, que tem de ser capaz de interpretar a cadeia de dispositivo.

Tipos de ficheiro excluídos:

Clique em Definir para abrir a caixa de diálogo Configurar Exclusões de Tipo de Ficheiro e especifique as extensões de ficheiro a excluir das análises do Endpoint Protection. Pode utilizar carateres universais ao definir itens na lista de exclusão. Para obter mais informações, veja Use wildcards in the file name and folder path or extension exclusion lists (Utilizar carateres universais no nome do ficheiro e no caminho da pasta ou nas listas de exclusão de extensões).

Processos excluídos:

Clique em Definir para abrir a caixa de diálogo Configurar Exclusões de Processos e especifique os processos a excluir das análises do Endpoint Protection. No entanto, pode utilizar carateres universais ao definir itens na lista de exclusão. No entanto, existem algumas limitações. Para obter mais informações, veja Utilizar carateres universais na lista de exclusão de processos

Definições Avançadas

Ativar a análise de pontos de reanálise – defina como Sim se quiser que o Endpoint Protection analise os pontos de reanálise NTFS.

Para obter mais informações sobre pontos de reanálise, consulte Reanálise de Pontos no Windows Dev Center.

Aleatorizar as horas de início da análise agendada (dentro de 30 minutos) – defina como Sim para ajudar a evitar inundar a rede, o que pode ocorrer se todos os computadores enviarem os resultados das análises antimalware para a base de dados do Configuration Manager ao mesmo tempo. Para o Antivírus do Windows Defender, esta ação aleatoriza a hora de início da análise para qualquer intervalo entre 0 e 4 horas ou para FEP e SCEP, para qualquer intervalo mais ou menos 30 minutos. Isto pode ser útil em implementações de VM ou VDI. Esta definição também é útil quando executa várias máquinas virtuais num único anfitrião. Selecione esta opção para reduzir a quantidade de acesso simultâneo ao disco para análise antimalware.

A partir da versão 1602 do Configuration Manager, o motor antimalware pode pedir que os exemplos de ficheiro sejam enviados para a Microsoft para análise adicional. Por predefinição, será sempre solicitado antes de enviar esses exemplos. Os administradores podem agora gerir as seguintes definições para configurar este comportamento:

Ative a submissão automática de ficheiros de exemplo para ajudar a Microsoft a determinar se determinados itens detetados são Maliciosos – Defina como Sim para ativar a submissão automática de ficheiros de exemplo. Por predefinição, esta definição é Não , o que significa que a submissão automática de ficheiros de exemplo está desativada e os utilizadores são solicitados antes de enviarem amostras.

Permitir que os utilizadores modifiquem as definições de submissão automática de ficheiros de exemplo – isto determina se um utilizador com direitos de administrador local num dispositivo pode alterar a definição de submissão automática de ficheiros de exemplo na interface de cliente. Por predefinição, esta definição é "Não", o que significa que só pode ser alterada a partir da consola do Configuration Manager e os administradores locais num dispositivo não podem alterar esta configuração.
Por exemplo, o seguinte mostra esta definição definida pelo administrador como ativada e desativada para impedir alterações por parte do utilizador.

Definições de Substituições de Ameaças

Nome da ameaça e ação de substituição – clique em Definir para personalizar a ação de remediação a executar para cada ID de ameaça quando for detetada durante uma análise.

Serviço de Proteção da Cloud

O Serviço de Proteção da Cloud permite a recolha de informações sobre software maligno detetado em sistemas geridos e as ações tomadas. Estas informações são enviadas à Microsoft.

Associação ao Serviço de Proteção cloud

• Não aderir ao Serviço de Proteção da Cloud – Não são enviadas informações
• Básico - Recolher e enviar listas de software maligno detetado
• Avançadas – informações básicas, bem como informações mais abrangentes que podem conter informações pessoais. Por exemplo, caminhos de ficheiros e capturas de memória parciais.

Permitir que os utilizadores modifiquem as definições do Serviço de Proteção da Cloud – ativa o controlo do utilizador das definições do Serviço de Proteção da Cloud.

Nível para bloquear ficheiros suspeitos – especifique o nível no qual o Serviço de Proteção cloud do Endpoint Protection bloqueará ficheiros suspeitos.

• Normal – o nível de bloqueio predefinido do Windows Defender
• Alto – bloqueia agressivamente ficheiros desconhecidos ao otimizar o desempenho (maior probabilidade de bloquear ficheiros não prejudiciais)
• Elevada com proteção adicional – bloqueia agressivamente ficheiros desconhecidos e aplica medidas de proteção adicionais (podem afetar o desempenho do dispositivo cliente)
• Bloquear programas desconhecidos – bloqueia todos os programas desconhecidos

Permitir que a verificação de nuvem expandida bloqueie e analise até (segundos) – especifica o número de segundos em que o Serviço de Proteção da Cloud pode bloquear um ficheiro enquanto o serviço verifica se o ficheiro não é conhecido como malicioso.

Detalhes dos relatórios do Serviço de Proteção da Cloud

A Microsoft recolhe apenas os nomes dos ficheiros afetados e não os conteúdos dos próprios ficheiros. Estas informações ajudam a determinar que sistemas são especialmente vulneráveis a ameaças específicas.

Definições de Atualizações de Definições

Definir origens e ordem para atualizações do cliente do Endpoint Protection – clique em Definir Origem para especificar as origens para atualizações do motor de definição e análise. Também pode especificar a ordem pela qual estas origens são utilizadas. Se o Configuration Manager for especificado como uma das origens, as outras origens são utilizadas apenas se as atualizações de software não conseguirem transferir as atualizações do cliente.

Se utilizar qualquer um dos seguintes métodos para atualizar as definições em computadores cliente, os computadores cliente têm de conseguir aceder à Internet.

• Atualizações distribuídas a partir do Microsoft Update

• Atualizações distribuídas a partir do Centro de Proteção Contra Software Maligno da Microsoft