Raccomandazioni sulla sicurezza per Desktop virtuale Azure

Desktop virtuale Azure è un servizio desktop virtuale gestito che include molte funzionalità di sicurezza per proteggere l'organizzazione. L'architettura di Desktop virtuale Azure comprende molti componenti che costituiscono il servizio e connette gli utenti ai desktop e alle app.

Desktop virtuale Azure include molte funzionalità di sicurezza avanzate integrate, ad esempio la connessione inversa in cui non è necessario che le porte di rete in ingresso siano aperte, riducendo il rischio associato all'accesso dei desktop remoti da qualsiasi luogo. Il servizio trae vantaggio anche da molte altre funzionalità di sicurezza di Azure, ad esempio l'autenticazione a più fattori e l'accesso condizionale. Questo articolo descrive i passaggi che gli amministratori possono eseguire per proteggere le distribuzioni di Desktop virtuale Azure, indipendentemente dal fatto che si forniscano desktop e app agli utenti dell'organizzazione o agli utenti esterni.

Responsabilità di sicurezza condivise

Prima di Desktop virtuale Azure, le soluzioni di virtualizzazione locali come Servizi Desktop remoto richiedono la concessione agli utenti dell'accesso a ruoli come gateway, broker, accesso Web e così via. Questi ruoli dovevano essere completamente ridondanti e in grado di gestire i picchi di capacità. Gli amministratori installavano questi ruoli come parte del sistema operativo di Windows Server e dovevano essere collegati a un dominio con porte specifiche accessibili alle connessioni pubbliche. Per proteggere le distribuzioni, gli amministratori dovevano assicurarsi costantemente che tutto nell'infrastruttura fosse mantenuto e aggiornato.

Nella maggior parte dei servizi cloud, tuttavia, esiste un set condiviso di responsabilità di sicurezza tra Microsoft e il cliente o il partner. Per Desktop virtuale Azure, la maggior parte dei componenti è gestita da Microsoft, mentre gli host di sessione e alcuni servizi e componenti di supporto sono gestiti dal cliente o dai partner. Per altre informazioni sui componenti gestiti da Microsoft di Desktop virtuale Azure, vedere Architettura e resilienza del servizio Desktop virtuale Azure.

Anche se alcuni componenti sono già protetti per l'ambiente, sarà necessario configurare manualmente le altre aree per soddisfare le esigenze di sicurezza dell'organizzazione o dei clienti. Ecco i componenti di cui si è responsabili per la sicurezza nella distribuzione di Desktop virtuale Azure:

Limiti di sicurezza

I limiti di sicurezza separano il codice e i dati dei domini di sicurezza con diversi livelli di attendibilità. Ad esempio, in genere esiste un limite di sicurezza tra la modalità kernel e la modalità utente. La maggior parte dei software e dei servizi Microsoft dipende da più limiti di sicurezza per isolare i dispositivi su reti, macchine virtuali (VM) e applicazioni su dispositivi. Nella tabella seguente sono elencati i limiti di sicurezza per Windows e le relative operazioni per la sicurezza complessiva.

Limiti di sicurezza consigliati per gli scenari di Desktop virtuale Azure

Sarà anche necessario fare determinate scelte sui limiti di sicurezza caso per caso. Ad esempio, se un utente dell'organizzazione deve disporre di privilegi di amministratore locale per installare le app, è necessario assegnargli un desktop personale anziché un host condiviso. Non è consigliabile concedere agli utenti privilegi di amministratore locale in scenari di pool multisessione perché questi utenti possono attraversare i limiti di sicurezza per le sessioni o le autorizzazioni dei dati NTFS, arrestare macchine virtuali multisessione o eseguire altre operazioni che potrebbero interrompere il servizio o causare perdite di dati.

Gli utenti della stessa organizzazione, ad esempio i knowledge worker con app che non richiedono privilegi di amministratore, sono ottimi candidati per host di sessioni multisessione come Windows 11 Enterprise multisessione. Questi host di sessione riducono i costi per l'organizzazione perché più utenti possono condividere una singola macchina virtuale, con solo i costi generali di una macchina virtuale per utente. Con i prodotti di gestione dei profili utente come FSLogix, agli utenti è possibile assegnare qualsiasi macchina virtuale in un pool host senza notare alcuna interruzione del servizio. Questa funzionalità consente anche di ottimizzare i costi eseguendo operazioni come l'arresto delle macchine virtuali durante le ore non di punta.

Se la situazione richiede che utenti di organizzazioni diverse si connettano alla distribuzione, è consigliabile avere un tenant separato per i servizi di identità come Active Directory e Microsoft Entra ID. È anche consigliabile avere un abbonamento separato per gli utenti per l'hosting di risorse di Azure come Desktop virtuale Azure e macchine virtuali.

In molti casi, l'utilizzo di più sessioni è un modo accettabile per ridurre i costi, ma la sua raccomandazione dipende dal livello di affidabilità tra gli utenti con accesso simultaneo a un'istanza multisessione condivisa. In genere, gli utenti che appartengono alla stessa organizzazione hanno una relazione di fiducia sufficiente e concordata. Ad esempio, un reparto o un gruppo di lavoro in cui le persone collaborano e possono accedere alle informazioni personali delle altre è un'organizzazione con un livello di attendibilità elevato.

Windows usa limiti e controlli di sicurezza per garantire che i processi utente e i dati siano isolati tra le sessioni. Tuttavia, Windows fornisce ancora l'accesso all'istanza su cui l'utente sta lavorando.

Le distribuzioni multisessione trarrebbero vantaggio da una strategia di sicurezza approfondita che aggiunge più confini di sicurezza che impediscono agli utenti all'interno e all'esterno dell'organizzazione di ottenere l'accesso non autorizzato alle informazioni personali di altri utenti. L'accesso non autorizzato ai dati si verifica a causa di un errore nel processo di configurazione da parte dell'amministratore di sistema, ad esempio una vulnerabilità di sicurezza non divulgata o una vulnerabilità nota che non è stata ancora risolta.

Non è consigliabile concedere agli utenti che lavorano per aziende diverse o concorrenti l'accesso allo stesso ambiente multisessione. Questi scenari hanno diversi limiti di sicurezza che possono essere attaccati o usati in modo improprio, ad esempio rete, kernel, processo, utente o sessioni. Una singola vulnerabilità della sicurezza potrebbe causare il furto di dati e credenziali non autorizzati, perdite di informazioni personali, furto di identità e altri problemi. I fornitori di ambienti virtualizzati sono responsabili dell'offerta di sistemi ben progettati con più solidi confini di sicurezza e funzionalità di sicurezza aggiuntive abilitate ove possibile.

La riduzione di queste potenziali minacce richiede una configurazione a prova di errore, un processo di progettazione della gestione delle patch e programmi di distribuzione delle patch regolari. È meglio seguire i principi di difesa in modo approfondito e mantenere gli ambienti separati.

La tabella seguente riepiloga i suggerimenti per ogni scenario.

Procedure consigliate per la sicurezza di Azure

Desktop virtuale Azure è un servizio incluso in Azure. Per ottimizzare la sicurezza della distribuzione di Desktop virtuale Azure, è necessario proteggere anche l'infrastruttura e il piano di gestione di Azure circostanti. Per proteggere l'infrastruttura, valutare il modo in cui Desktop virtuale Azure si inserisce nel più ampio ecosistema di Azure. Per altre informazioni sull'ecosistema di Azure, vedere Procedure consigliate e modelli di sicurezza di Azure.

L'odierno panorama delle minacce richiede progettazioni tenendo presenti approcci alla sicurezza. Idealmente, ti consigliamo di creare una serie di meccanismi e controlli di sicurezza a livello superiore in tutta la rete del computer per proteggere i dati e la rete da compromissioni o attacchi. Questo tipo di progettazione della sicurezza è ciò che la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti chiama difesa in profondità.

Le sezioni seguenti contengono suggerimenti per la protezione di una distribuzione di Desktop virtuale Azure.

Abilitare Microsoft Defender per il cloud

È consigliabile abilitare le funzionalità di sicurezza avanzate di Microsoft Defender per il cloud per:

• Gestire le vulnerabilità.
• Valutare la conformità ai framework comuni come quello del PCI Security Standards Council.
• Rafforzare la sicurezza complessiva dell'ambiente.

Per altre informazioni, vedere Abilitare le funzionalità di sicurezza avanzate.

Migliorare il punteggio di sicurezza

Secure Score fornisce consigli e consigli sulle migliori pratiche per migliorare la sicurezza complessiva. Questi consigli hanno la priorità per aiutarti a scegliere i più importanti e le opzioni di Correzione rapida ti aiutano a risolvere rapidamente le potenziali vulnerabilità. Questi consigli vengono aggiornati anche nel tempo, mantenendoti aggiornato sui modi migliori per mantenere la sicurezza del tuo ambiente. Per altre informazioni, vedere Migliorare il punteggio di sicurezza in Microsoft Defender per il cloud.

Richiedere l'autenticazione a più fattori

La richiesta dell'autenticazione a più fattori per tutti gli utenti e gli amministratori in Desktop virtuale Azure migliora la sicurezza dell'intera distribuzione. Per altre informazioni, vedere Abilitare l'autenticazione a più fattori di Microsoft Entra per Desktop virtuale Azure.

Abilitare l'accesso condizionale

L'abilitazione dell'accesso condizionale consente di gestire i rischi prima di concedere agli utenti l'accesso all'ambiente Desktop virtuale Azure. Quando si decide a quali utenti concedere l'accesso, è consigliabile considerare anche chi è l'utente, la modalità di accesso e il dispositivo che usa.

Raccogliere i log di controllo

L'abilitazione della raccolta di log di controllo consente di visualizzare le attività degli utenti e degli amministratori relative a Desktop virtuale Azure. Alcuni esempi di log di controllo chiave sono:

• Log attività di Azure
• Registro attività di Microsoft Entra
• Microsoft Entra ID
• Host sessione
• Log di Key Vault

Monitorare l'utilizzo con Monitoraggio di Azure

Monitorare l'utilizzo e la disponibilità del servizio Desktop virtuale Azure con Monitoraggio di Azure. È consigliabile creare avvisi di integrità del servizio per il servizio Desktop virtuale Azure per ricevere notifiche ogni volta che si verifica un evento che influisce sul servizio.

Crittografa gli host di sessione

Crittografa gli host di sessione con opzioni di crittografia del disco gestito per proteggere i dati archiviati da accessi non autorizzati.

Procedure consigliate per la sicurezza dell'host di sessione

Gli host di sessione sono macchine virtuali eseguite all'interno di una sottoscrizione di Azure e di una rete virtuale. La sicurezza complessiva della distribuzione di Desktop virtuale Azure dipende dai controlli di sicurezza applicati agli host di sessione. In questa sezione vengono descritte le procedure consigliate per proteggere gli host di sessione.

Abilitare la protezione degli endpoint

Per proteggere la distribuzione da software dannosi noti, è consigliabile abilitare la protezione degli endpoint in tutti gli host sessione. Puoi usare Windows Defender Antivirus Defender o un programma di terze parti. Per altre informazioni, vedere Guida alla distribuzione di Windows Defender Antivirus Defender in ambiente VDI.

Per le soluzioni di profilo come FSLogix o altre soluzioni che montano i file del disco rigido virtuale, è consigliabile escludere tali estensioni di file. Per altre informazioni sulle esclusioni FSLogix, vedere Configurare le esclusioni di file e cartelle antivirus.

Installare un prodotto di rilevamento e reazione degli endpoint

È consigliabile installare un prodotto di rilevamento e risposta degli endpoint (EDR) per fornire funzionalità avanzate di rilevamento e risposta. Per i sistemi operativi server con Microsoft Defender per il cloud abilitato, l'installazione di un prodotto EDR distribuirà Microsoft Defender per endpoint. Per i sistemi operativi client, è possibile distribuire Microsoft Defender per endpoint o un prodotto di terze parti a tali endpoint.

Abilitare le valutazioni di gestione di minacce e vulnerabilità

L'identificazione delle vulnerabilità software presenti nei sistemi operativi e nelle applicazioni è fondamentale per proteggere l'ambiente. Microsoft Defender per il cloud consente di identificare i punti problematici tramite la soluzione di gestione di minacce e vulnerabilità di Microsoft Defender per endpoint. Se lo desideri, puoi anche usare prodotti di terze parti, anche se ti consigliamo di usare Microsoft Defender per il cloud e Microsoft Defender per endpoint.

Applicare patch alle vulnerabilità del software nell'ambiente

Una volta identificata una vulnerabilità, è necessario applicare una patch. Questo vale anche per gli ambienti virtuali, che includono i sistemi operativi in esecuzione, le applicazioni distribuite al loro interno e le immagini da cui crei nuovi computer. Segui le comunicazioni di notifica delle patch del tuo fornitore e applica le patch in modo tempestivo. È consigliabile applicare mensilmente patch alle immagini di base per garantire che i computer appena distribuiti siano il più sicuri possibile.

Stabilire il tempo di inattività massimo e i criteri di disconnessione

La disconnessione degli utenti quando sono inattivi preserva le risorse e impedisce l'accesso da parte di utenti non autorizzati. È consigliabile che i timeout bilancino la produttività utente e l'utilizzo delle risorse. Per gli utenti che interagiscono con applicazioni senza stato, prendere in considerazione criteri più aggressivi che disattivano i computer e preservano le risorse. La disconnessione delle applicazioni a esecuzione prolungata che continuano a essere eseguite se un utente è inattivo, come una simulazione o un rendering CAD, può interrompere il lavoro dell'utente e può anche richiedere il riavvio del computer.

Configurare i blocchi dello schermo per le sessioni inattive

È possibile impedire l'accesso indesiderato al sistema configurando Desktop virtuale Azure in modo che blocchi lo schermo di un computer durante il tempo di inattività e richieda l'autenticazione per sbloccarlo.

Stabilire l'accesso amministratore a più livelli

È consigliabile non concedere agli utenti l'accesso come amministratore ai desktop virtuali. Se sono necessari pacchetti software, è consigliabile renderli disponibili tramite utilità di gestione della configurazione come Microsoft Intune. In un ambiente con più sessioni, ti consigliamo di non consentire agli utenti di installare direttamente il software.

Valutare quali utenti dovrebbero accedere a quali risorse

Considerare gli host di sessione come un'estensione della distribuzione desktop esistente. È consigliabile controllare l'accesso alle risorse di rete nello stesso modo in cui si farebbe per altri desktop nell'ambiente, ad esempio usando la segmentazione e il filtro della rete. Per impostazione predefinita, gli host di sessione possono connettersi a qualsiasi risorsa su Internet. È possibile limitare il traffico in diversi modi, tra cui l'uso di Firewall di Azure, appliance virtuali di rete o proxy. Se è necessario limitare il traffico, assicurarsi di aggiungere le regole appropriate in modo che Desktop virtuale Azure possa funzionare correttamente.

Gestire la sicurezza delle app di Microsoft 365

Oltre a proteggere gli host di sessione, è importante proteggere anche le applicazioni in esecuzione al loro interno. Le applicazioni di Microsoft 365 sono tra le applicazioni più comuni distribuite negli host di sessione. Per migliorare la sicurezza della distribuzione di Microsoft 365, è consigliabile usare Security Policy Advisor for Microsoft 365 Apps for enterprise. Questo strumento identifica i criteri che è possibile applicare alla distribuzione per una maggiore sicurezza. Security Policy Advisor consiglia inoltre i criteri in base al loro impatto sulla sicurezza e sulla produttività.

Sicurezza del profilo utente

I profili utente possono contenere informazioni sensibili. È consigliabile limitare chi può accedere ai profili utente e i metodi di accesso, in particolare se si usa il contenitore di profili FSLogix per archiviare i profili utente in un file del disco rigido virtuale in una condivisione SMB. È consigliabile seguire le raccomandazioni di sicurezza per il provider della condivisione SMB. Ad esempio, se si usa File di Azure per archiviare questi file del disco rigido virtuale, è possibile usare endpoint privati per renderli accessibili solo all'interno di una rete virtuale di Azure.

Protezione del token

Richiedere la protezione del token nell'endpoint che esegue l'app di app di Windows che si connette al desktop virtuale di Azure. La protezione tramite token non si applica all'host di sessione. Altre informazioni sul supporto delle app di app di Windows per la protezione tramite token in base alla piattaforma.

Accesso sicuro globale

Configurare l'accesso sicuro globale (GSA) negli host sessione di Desktop virtuale Azure per proteggere l'accesso alle app e alle risorse. È possibile estendere gli stessi controlli di accesso alle applicazioni private, alle applicazioni Internet e alle applicazioni M365 alle identità esterne (anteprima). Altre informazioni su GSA e su come configurare GSA per l'accesso guest B2B.

Altri suggerimenti per la sicurezza per gli host di sessione

Limitando le funzionalità del sistema operativo, è possibile rafforzare la sicurezza degli host di sessione. Ecco alcune cose che puoi fare:

• Limitare il reindirizzamento dei dispositivi. Le unità, gli Appunti, la stampante e i dispositivi USB sono disabilitati per impostazione predefinita nel dispositivo locale di un utente in una sessione Desktop remoto. È consigliabile valutare i requisiti di sicurezza e verificare se questi reindirizzamenti devono essere disabilitati o meno.

  • Unità: è consigliabile usare OneDrive for Business per sostituire il reindirizzamento delle unità per i trasferimenti di file.

  • Appunti: considera la direzione di trasferimento degli appunti per sostituire i trasferimenti bidirezionali degli appunti. Limitando il tipo di contenuto, gli appunti possono essere abilitati senza il rischio che i file vengano trasferiti.

  • Stampante: considera la stampa universale per sostituire la necessità di reindirizzamento della stampante.

  • USB: non è necessario abilitarlo per molte periferiche comuni come mouse, tastiera e webcam. Per altre informazioni, vedi Reindirizzamento di periferiche e risorse tramite Desktop remoto Protocol su quando il reindirizzamento USB deve essere abilitato per il reindirizzamento opaco di basso livello.

• Limitare l'accesso a Esplora risorse nascondendo i mapping delle unità locali e remote. In questo modo si impedisce agli utenti di scoprire informazioni indesiderate sulla configurazione del sistema e sugli utenti.

• Evita l'accesso diretto RDP agli host di sessione nel tuo ambiente. Se è necessario l'accesso diretto a RDP per l'amministrazione o la risoluzione dei problemi, abilitare l'accesso just-in-time per limitare la potenziale superficie di attacco in un host di sessione.

• Concedere agli utenti autorizzazioni limitate quando accedono a file system locali e remoti. È possibile limitare le autorizzazioni assicurandosi che i file system locali e remoti utilizzino elenchi di controllo di accesso con privilegi minimi. In questo modo, gli utenti possono accedere solo agli elementi di cui hanno bisogno e non possono modificare o eliminare le risorse critiche.

• Impedisci l'esecuzione di software indesiderato negli host di sessione. RemoteApp non è una funzionalità di sicurezza e il suo uso non impedisce l'avvio di applicazioni oltre a quelle pubblicate in un gruppo di applicazioni. Per assicurarsi che solo le applicazioni consentite possano essere eseguite in un host di sessione, è possibile usare le funzionalità di Controllo applicazioni per Windows come Controllo app o AppLocker.

Avvio attendibile

L'avvio attendibile sono macchine virtuali di Azure con funzionalità di sicurezza avanzate volte a proteggere da tecniche di attacco persistenti, ad esempio minacce bottom-of-the-stack tramite vettori di attacco come rootkit, kit di avvio e malware a livello di kernel. Consente la distribuzione sicura di macchine virtuali con caricatori di avvio, kernel del sistema operativo e driver verificati e protegge anche chiavi, certificati e segreti nelle macchine virtuali. Per altre informazioni sul lancio attendibile, vedere Lancio attendibile per le macchine virtuali di Azure.

Quando si aggiungono host di sessione usando il portale di Azure, il tipo di sicurezza predefinito è Macchine virtuali attendibili. In questo modo si garantisce che la macchina virtuale soddisfi i requisiti obbligatori per Windows 11. Per ulteriori informazioni su questi requisiti, vedere Supporto per macchine virtuali.

Macchine virtuali di Azure confidential computing

Supporto di Desktop virtuale Azure per le macchine virtuali di Azure Confidential Computing assicura che il desktop virtuale di un utente sia crittografato in memoria, protetto in uso e supportato da una radice hardware di attendibilità.

La distribuzione di macchine virtuali riservate con Desktop virtuale Azure consente agli utenti di accedere a Microsoft 365 e ad altre applicazioni su host sessione che usano l'isolamento basato su hardware, che migliora l'isolamento da altre macchine virtuali, dall'hypervisor e dal sistema operativo host. Le chiavi di crittografia della memoria vengono generate e protette da un processore sicuro dedicato all'interno della CPU, che non può essere letto dal software. Per altre informazioni, incluse le dimensioni delle macchine virtuali disponibili, vedere la panoramica del confidential computing di Azure.

I sistemi operativi seguenti sono supportati per l'uso come host di sessione con macchine virtuali riservate in Desktop virtuale Azure, per le versioni che sono in supporto attivo. Per le date del supporto, vedere Criteri del ciclo di vita Microsoft.

• Windows 11 Enterprise
• Windows 11 Enterprise multisessione
• Windows 10 Enterprise
• Windows 10 Enterprise multisessione
• Windows Server 2022
• Windows Server 2019

È possibile creare host di sessione usando macchine virtuali riservate quando si distribuisce Desktop virtuale Azure o si aggiungono host di sessione a un pool di host.

Crittografia del disco del sistema operativo

La crittografia del disco del sistema operativo è un livello di crittografia aggiuntivo che associa le chiavi di crittografia del disco al Trusted Platform Module (TPM) della macchina virtuale di confidential computing. Questa crittografia rende accessibile il contenuto del disco solo alla macchina virtuale. Il monitoraggio dell'integrità consente l'attestazione crittografica e la verifica dell'integrità dell'avvio della macchina virtuale e gli avvisi di monitoraggio se la macchina virtuale non è stata avviata perché l'attestazione non è riuscita con la linea di base definita. Per altre informazioni sul monitoraggio dell'integrità, vedere Microsoft Defender per l'integrazione cloud. È possibile abilitare la crittografia di calcolo riservata quando si creano host di sessione usando macchine virtuali riservate quando si crea un pool di host o si aggiungono host di sessione a un pool di host.

Avvio protetto

L'avvio protetto è una modalità supportata dal firmware della piattaforma che protegge il firmware da rootkit e kit di avvio basati su malware. Questa modalità consente l'avvio solo dei sistemi operativi e dei driver firmati.

Monitorare l'integrità dell'avvio con l'attestazione remota

L'attestazione remota è un ottimo modo per controllare l'integrità delle macchine virtuali. L'attestazione remota verifica che i record di avvio misurato siano presenti, autentici e provengano da vTPM (Virtual Trusted Platform Module). Come controllo dello stato di salute, fornisce la certezza crittografica che una piattaforma sia stata avviata correttamente.

vTPM

Un vTPM è una versione virtualizzata di un TPM (Trusted Platform Module) hardware, con un'istanza virtuale di un TPM per ogni macchina virtuale. vTPM consente l'attestazione remota eseguendo la misurazione dell'integrità dell'intera catena di avvio della macchina virtuale (UEFI, sistema operativo, sistema e driver).

È consigliabile abilitare vTPM per l'uso dell'attestazione remota nelle macchine virtuali. Con vTPM abilitato, è anche possibile abilitare la funzionalità BitLocker con Crittografia dischi di Azure, che fornisce la crittografia di interi volumi per proteggere i dati inattivi. Qualsiasi funzionalità che usa vTPM genererà segreti associati alla macchina virtuale specifica. Quando gli utenti si connettono al servizio Desktop virtuale Azure in uno scenario in pool, gli utenti possono essere reindirizzati a qualsiasi macchina virtuale nel pool di host. A seconda del modo in cui la funzionalità è progettata, questo potrebbe avere un impatto.

Sicurezza basata sulla virtualizzazione

La sicurezza basata su virtualizzazione (VBS, Virtualization-based security) usa l'hypervisor per creare e isolare un'area di memoria sicura inaccessibile al sistema operativo. Hypervisor-Protected Integrità del codice (HVCI) e Windows Defender Credential Guard usano entrambi VBS per fornire una maggiore protezione dalle vulnerabilità.

Integrità del codice Hypervisor-Protected

HVCI è una potente soluzione di prevenzione del sistema che usa VBS per proteggere i processi in modalità kernel di Windows dall'inserimento e dall'esecuzione di codice dannoso o non verificato.

Windows Defender Credential Guard

Abilitare Windows Defender Credential Guard. Windows Defender Credential Guard usa VBS per isolare e proteggere i segreti in modo che solo il software di sistema con privilegi possa accedervi. In questo modo si impedisce l'accesso non autorizzato a questi segreti e gli attacchi di furto delle credenziali, ad esempio gli attacchi Pass-the-Hash. Per altre informazioni, vedi Panoramica di Credential Guard.

Controllo di applicazioni di Windows Defender

Abilita Controllo di applicazioni di Windows Defender. Controllo applicazioni di Windows Defender è progettato per proteggere i dispositivi da malware e altro software non attendibile. Impedisce l'esecuzione di codice dannoso assicurando che possa essere eseguito solo il codice approvato. Per altre informazioni, vedere Controllo delle applicazioni per Windows.

La protezione amministratore non è supportata

Non abilitare la protezione amministratore negli host sessione di Desktop virtuale Azure che eseguono Windows 11, incluse le immagini personalizzate usate per creare host di sessione. Questa impostazione non è disponibile in Windows Server.

Se è abilitata, gli utenti potrebbero visualizzare una richiesta di autenticazione imprevista al momento dell'accesso, richieste di approvazione aggiuntive per le attività che richiedono l'elevazione dei privilegi e errori di elevazione dei privilegi. La richiesta di accesso ha effetto su tutti gli utenti. Le richieste di elevazione dei privilegi e gli errori interessano gli utenti che dispongono dei diritti di amministratore locale.

Per disattivare la protezione amministratore, imposta Controllo dell'account utente: Configura il tipo di Modalità Approvazione Amministrazione su Modalità Approvazione Amministrazione legacy, quindi riavvia l'host della sessione.

Windows Update

Mantieni aggiornati gli host delle sessioni con gli aggiornamenti di Windows Update. Windows Update offre un modo sicuro per mantenere aggiornati i dispositivi. La sua protezione end-to-end impedisce la manipolazione degli scambi di protocollo e garantisce che gli aggiornamenti includano solo contenuti approvati. Potrebbe essere necessario aggiornare le regole del firewall e del proxy per alcuni degli ambienti protetti per ottenere l'accesso appropriato agli Aggiornamenti di Windows. Per altre informazioni, vedi Sicurezza di Windows Update.

Client di app di Windows e aggiornamenti in altre piattaforme del sistema operativo

Gli aggiornamenti software per i client delle app di Windows che è possibile utilizzare per accedere ai servizi di Desktop virtuale Azure in altre piattaforme del sistema operativo sono protetti in base ai criteri di sicurezza delle rispettive piattaforme. Tutti gli aggiornamenti dei client vengono forniti direttamente dalle rispettive piattaforme. Per altre informazioni, vedi le rispettive pagine dello Store per ogni app:

• macOS
• iOS
• Android

Passaggi successivi

• Informazioni su come configurare l'autenticazione a più fattori.
• Applicare i principi Zero Trust per una distribuzione di Desktop virtuale Azure.