Criteri di controllo dei dispositivi in Microsoft Defender per endpoint

Questo articolo descrive criteri, regole, voci, gruppi e condizioni avanzate per il controllo dei dispositivi. Essenzialmente, i criteri di controllo dei dispositivi definiscono l'accesso per un set di dispositivi. I dispositivi inclusi nell'ambito sono determinati da un elenco di gruppi di dispositivi inclusi e da un elenco di gruppi di dispositivi esclusi. Un criterio si applica se il dispositivo si trova in tutti i gruppi di dispositivi inclusi e nessuno dei gruppi di dispositivi esclusi. Se non si applica alcuna policy, viene applicata l'applicazione predefinita.

Per impostazione predefinita, il controllo del dispositivo è disabilitato, pertanto è consentito l'accesso a tutti i tipi di dispositivi. Per altre informazioni sul controllo del dispositivo, vedere Controllo del dispositivo in Microsoft Defender per endpoint.

Controllo del comportamento predefinito

Quando il controllo dispositivo è abilitato, è abilitato per tutti i tipi di dispositivo per impostazione predefinita. L'imposizione predefinita può anche essere modificata da Consenti a Nega. Il team di sicurezza può anche configurare i tipi di dispositivi protetti dal controllo del dispositivo. La tabella seguente illustra in che modo le varie combinazioni di impostazioni modificano la decisione di controllo di accesso.

Quando vengono configurati i tipi di dispositivo, il controllo del dispositivo in Defender per endpoint ignora le richieste ad altre famiglie di dispositivi.

Per altre informazioni, vedere gli articoli seguenti:

• Distribuire e gestire il controllo dei dispositivi con Intune
• Distribuire e gestire il controllo dei dispositivi con Criteri di gruppo

Criteri

Per perfezionare ulteriormente l'accesso ai dispositivi, il controllo dei dispositivi usa i criteri. Un criterio è un set di regole e gruppi. La modalità di definizione di regole e gruppi varia leggermente tra le esperienze di gestione e i sistemi operativi, come descritto nella tabella seguente.

Le regole e i gruppi sono identificati da GUID (Global Unique ID). Se i criteri di controllo del dispositivo vengono distribuiti usando uno strumento di gestione diverso da Intune, è necessario generare i GUID. È possibile generare i GUID usando PowerShell.

Per informazioni dettagliate sullo schema, vedere lo schema JSON per Mac.

Utenti

I criteri di controllo dei dispositivi possono essere applicati a utenti e/o gruppi di utenti. Su Windows, i criteri di controllo dei dispositivi possono avere una condizione rivolta a utenti o gruppi di utenti definiti in Microsoft Entra ID o Windows Server Active Directory. È possibile definire criteri che consentono a utenti specifici di avere più o meno autorizzazioni in base alle esigenze aziendali. Il controllo del dispositivo esamina attivamente le sessioni utente e prende decisioni di imposizione in base ai criteri destinati a utenti o gruppi specifici. Ciò significa che alcune azioni, ad esempio bloccare un dispositivo o disconnettersi dal profilo utente, potrebbero causare la non conformità delle condizioni utente, ovvero il comportamento previsto.

Procedure consigliate per l'uso del controllo dei dispositivi con utenti e gruppi di utenti

• Per creare una regola per un utente specifico in Windows, creare una voce con una condizione Sid per ogni utente in una regola.

• Per creare una regola per un gruppo di utenti in Windows e Intune, creare una voce con una Sid condizione per ogni gruppo di utenti in una [regola] e indirizzare i criteri a un gruppo di computer in Intune oppure creare una regola senza condizioni e assegnare i criteri con Intune al gruppo di utenti.

• In macOS, usa Intune e assegna il criterio a un gruppo di utenti in Microsoft Entra ID.

Regole

Una regola definisce l'elenco dei gruppi inclusi e un elenco di gruppi esclusi. Per applicare la regola, il dispositivo deve trovarsi in tutti i gruppi inclusi e nessuno dei gruppi esclusi. Se il dispositivo soddisfa la regola vengono valutate le voci di tale regola. Una voce definisce le opzioni di azione e notifica applicate, se la richiesta corrisponde alle condizioni. Se non si applicano regole o se nessuna voce corrisponde alla richiesta, viene applicata l'imposizione predefinita.

Ad esempio, per consentire l'accesso in scrittura per alcuni dispositivi USB e l'accesso in lettura per tutti gli altri dispositivi USB, usare i criteri, i gruppi e le voci seguenti con l'imposizione predefinita impostata su deny.

Il nome della regola viene visualizzato nel portale per i report e nella notifica popup per gli utenti, quindi assicurarsi di assegnare alle regole nomi descrittivi.

È possibile configurare le regole modificando i criteri in Intune, usando un file XML in Windows o un file JSON in Mac. Selezionare ogni scheda per altri dettagli.

<PolicyRule Id="{75a4e33a-5268-4552-bef2-e34dd0c39cb1}">
  <Name>Read Only Access for USBs</Name>
  <IncludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171694}</GroupId>
  </IncludedIdList>
  <ExcludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171695}</GroupId>
  </ExcludedIdList>
  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
   ...
  </Entry>
  <Entry Id="{34413b98-8198-4e16-accf-c95c3c775ba3}">
    ...
  </Entry>
</PolicyRule> 

{
      "id": "75a4e33a-5268-4552-bef2-e34dd0c39cb1",
      "name": "Read Only Access for USBs",
      "includeGroups": [
        "3f5253e4-0e73-4587-bb9e-bb29a2171694"
      ],
      "includedGroups":[
         "3f5253e4-0e73-4587-bb9e-bb29a2171695"
      ]
      "entries": [
        ...
      ]
    } 

Voci

I criteri di controllo dei dispositivi definiscono l'accesso (detto voce) per un insieme di dispositivi. Le voci definiscono le opzioni di azione e notifica per i dispositivi che corrispondono ai criteri e alle condizioni definite nella voce.

Valutazione della voce

Esistono due tipi di voci: voci di applicazione (Allow/Deny) e voci di verifica (AuditAllow/AuditDeny).

Le voci di applicazione di una regola vengono valutate in ordine finché non corrispondono a tutte le autorizzazioni richieste. Se nessuna voce corrisponde a una regola, viene valutata la regola successiva. Se nessuna regola corrisponde, viene applicato il valore predefinito.

Voci di verifica

Gli eventi di controllo controllano il comportamento quando il controllo del dispositivo applica una regola (consenti/nega). Il controllo dispositivo può visualizzare una notifica all'utente finale. L'utente ottiene una notifica che contiene il nome dei criteri di controllo del dispositivo e il nome del dispositivo. La notifica viene visualizzata una volta ogni ora dopo che l'accesso iniziale è stato negato.

Il controllo del dispositivo può anche creare un evento disponibile in Ricerca avanzata.

Condizioni

Una voce può prevedere le seguenti condizioni facoltative:

• Condizione utente/gruppo di utenti: applica l'azione solo al gruppo utente/utente identificato dal SID

• Condizione macchina: applica l'azione solo al dispositivo/gruppo identificato dal SID
• Condizione parametri: applica l'azione solo se i parametri corrispondono (vedere Condizioni avanzate)

Le voci possono essere ulteriormente limitate a utenti e dispositivi specifici. Ad esempio, consenti l'accesso in lettura a questi dispositivi USB per questo utente solo su questo dispositivo.

Tutte le condizioni nella voce devono essere true per l'applicazione dell'azione.

È possibile configurare le voci usando Intune, un file XML in Windows o un file JSON in Mac. Selezionare ogni scheda per altri dettagli.

  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
    <Type>Allow</Type>
    <Options>0</Options>
    <AccessMask>1</AccessMask>
  </Entry> 

{
          "$type": "generic",
          "id": "e3837e60-5e56-43ce-8095-043ccd793eac",
          "enforcement": {
            "$type": "allow"
          },
          "access": [
            "generic_read"
          ]
} 

Gruppi

I gruppi definiscono i criteri per filtrare gli oggetti in base alle relative proprietà. L'oggetto viene assegnato al gruppo se le relative proprietà corrispondono alle proprietà definite per il gruppo.

Ad esempio:

• Gli USB consentiti sono tutti i dispositivi che corrispondono a uno di questi produttori
• Gli USB persi sono tutti i dispositivi che corrispondono a uno di questi numeri di serie
• Le stampanti consentite sono tutti i dispositivi che corrispondono a uno di questi VID/PID

Le proprietà possono essere confrontate in quattro modi: MatchAll, MatchAny, MatchExcludeAlle MatchExcludeAny

• MatchAll: le proprietà sono una relazione "And"; Ad esempio, se l'amministratore inserisce DeviceID e InstancePathID, per ogni USB connessa, il sistema verifica se l'USB soddisfa entrambi i valori.
• MatchAny: le proprietà sono in relazione "Or"; ad esempio, se l'amministratore specifica DeviceID e InstancePathID, per ogni dispositivo USB collegato il sistema applica il criterio purché l'USB abbia un valore DeviceID o InstanceID corrispondente.
• MatchExcludeAll: le proprietà sono in relazione "And"; tutti gli elementi che NON le soddisfano sono inclusi. Ad esempio, se l'amministratore immette DeviceID e InstancePathID e usa MatchExcludeAll, per ogni dispositivo USB connesso il sistema applica il criterio finché l'USB non presenta valori identici per DeviceID e InstanceID.
• MatchExcludeAny: le proprietà sono in relazione "Or"; tutti gli elementi che NON le soddisfano sono inclusi. Ad esempio, se l'amministratore immette DeviceID e InstancePathID e usa MatchExcludeAny, per ogni dispositivo USB connesso il sistema applica il criterio finché l'USB non presenta valori identici per DeviceID oppure InstanceID.

I gruppi vengono usati in due modi: selezionare i dispositivi per l'inclusione/esclusione nelle regole e filtrare l'accesso per le condizioni avanzate. Questa tabella riepiloga i tipi di gruppo e il modo in cui vengono usati.

I dispositivi interessati dal criterio sono determinati da un elenco di gruppi inclusi e da un elenco di gruppi esclusi. Una regola si applica se il dispositivo si trova in tutti i gruppi inclusi e nessuno dei gruppi esclusi. I gruppi possono essere composti dalle proprietà dei dispositivi. È possibile utilizzare le proprietà seguenti:

Uso di Gestione dispositivi di Windows per determinare le proprietà del dispositivo

Per i dispositivi Windows, è possibile usare Gestione dispositivi per comprendere le proprietà dei dispositivi.

1. Aprire Gestione dispositivi, individuare il dispositivo, fare clic con il pulsante destro del mouse su Proprietà e quindi selezionare la scheda Dettagli.

2. Nell'elenco Proprietà selezionare Percorso istanza dispositivo.

   Il valore visualizzato per il percorso dell'istanza del dispositivo è InstancePathId, ma contiene anche altre proprietà:

   • USB\VID_090C&PID_1000\FBH1111183300721
   • {BusId}\{DeviceId}\{SerialNumberId}

   Le proprietà in Gestione dispositivi vengono mappate al controllo dispositivo, come illustrato nella tabella seguente:

   Gestione dispositivi	Controllo del dispositivo
   ID hardware	HardwareId
   Nome descrittivo	FriendlyNameId
   Padre	VID_PID
   DeviceInstancePath	InstancePathId

Uso di report e ricerca avanzata per determinare le proprietà dei dispositivi

Le proprietà del dispositivo hanno denominazioni leggermente diverse nella ricerca avanzata. La tabella seguente associa le etichette nel portale a propertyId in un criterio di controllo del dispositivo.

Configurare i gruppi in Intune, XML in Windows o JSON in Mac

È possibile configurare gruppi in Intune, usando un file XML per Windows o un file JSON in Mac. Selezionare ogni scheda per altri dettagli.

<Group Id="{3f5253e4-0e73-4587-bb9e-bb29a2171694}">
  <MatchType>MatchAny</MatchType>
  <DescriptorIdList>
   ...
  </DescriptorIdList>
</Group> 

    {
      "$type": "device",
      "id": "3f5253e4-0e73-4587-bb9e-bb29a2171694",
      "query": {
        "$type": "or",
        "clauses": [
    ...
        ]
      }
    } 

"query": {
        "$type": "or",
        "clauses": [
          {
            "$type": "serialNumber",
            "value": "FBH1111183300731"
          }
        ]
      } 

"query": {
    "$type":"not",
        "query": {
                    "$type": "or",
                    "clauses": [
                          {
                            "$type": "serialNumber",
                            "value": "FBH1111183300731"
                          }
                    ]
              }

} 

Condizioni avanzate

Le voci possono essere ulteriormente limitate in base ai parametri. I parametri applicano condizioni avanzate che vanno oltre il dispositivo. Le condizioni avanzate consentono un controllo granulare sulla base della rete, della connessione VPN, del file o del processo di stampa oggetto di valutazione.

Condizioni di rete

Nella tabella seguente vengono descritte le proprietà del gruppo di rete:

Queste proprietà vengono aggiunte al DescriptorIdList di un gruppo di tipo Network. Ecco un frammento di codice di esempio:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30a}" Type="Network" MatchType="MatchAll">
    <DescriptorIdList>
        <NetworkCategoryId>Public</PathId>
        <NetworkDomainId>NonDomain</PathId>
    </DescriptorIdList>
</Group>

Viene quindi fatto riferimento al gruppo come parametri nella voce, come illustrato nel frammento di codice seguente:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <Network MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30a }</GroupId>
            </Network>
      </Parameters>
   </Entry>

Condizioni di connessione VPN

La tabella seguente descrive le condizioni di connessione VPN:

Queste proprietà vengono aggiunte a DescriptorIdList di un gruppo di tipo VPNConnection, come illustrato nel frammento di codice seguente:

    <Group Id="{d633d17d-d1d1-4c73-aa27-c545c343b6d7}" Type="VPNConnection">
        <Name>Corporate VPN</Name>
        <MatchType>MatchAll</MatchType>
        <DescriptorIdList>
            <NameId>ContosoVPN</NameId>
            <VPNServerAddressId>contosovpn.*.contoso.com</VPNServerAddressId>
            <VPNDnsSuffixId>corp.contoso.com</VPNDnsSuffixId>
            <VPNConnectionStatusId>Connected</VPNConnectionStatusId>
        </DescriptorIdList>
    </Group>

Viene quindi fatto riferimento al gruppo come parametri in una voce, come illustrato nel frammento di codice seguente:

       <Entry Id="{27c79875-25d2-4765-aec2-cb2d1000613f}">
          <Type>Allow</Type>
          <Options>0</Options>
          <AccessMask>64</AccessMask>
          <Parameters MatchType="MatchAny">
            <VPNConnection>
                    <GroupId>{d633d17d-d1d1-4c73-aa27-c545c343b6d7}</GroupId>
            </VPNConnection>
        </Parameters>
       </Entry>

Al gruppo viene quindi fatto riferimento come parametri in una voce, come illustrato nel frammento di codice seguente:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <File MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30f }</GroupId>
            </File>
      </Parameters>
   </Entry>

Condizioni del processo di stampa

Nella tabella seguente vengono descritte le proprietà del PrintJob gruppo:

Queste proprietà vengono aggiunte a DescriptorIdList di un gruppo di tipo PrintJob, come illustrato nel frammento di codice seguente:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30b}" Type="PrintJob" MatchType="MatchAny">
    <DescriptorIdList>
        <PrintOutputFileNameId>C:\Documents\*.pdf</PrintOutputFileNameId >
        <PrintDocumentNameId>*.xlsx</PrintDocumentNameId>
<PrintDocumentNameId>*.docx</PrintDocumentNameId>
    </DescriptorIdList>
</Group>

Al gruppo viene quindi fatto riferimento come parametri in una voce, come illustrato nel frammento di codice seguente:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <PrintJob MatchType="MatchAny">
                   <GroupId>{e5f619a7-5c58-4927-90cd-75da2348a30b}</GroupId>
            </PrintJob>
      </Parameters>
   </Entry>

Passaggi successivi

• Visualizzare gli eventi di controllo del dispositivo e le informazioni in Microsoft Defender per endpoint
• Distribuire e gestire il controllo dei dispositivi in Microsoft Defender per endpoint con Microsoft Intune
• Distribuire e gestire il controllo dei dispositivi in Microsoft Defender per endpoint usando Criteri di gruppo
• Controllo dispositivo per macOS