Criteri antivirus per la sicurezza degli endpoint in Microsoft Intune

Sicurezza degli endpoint di Intune I criteri antivirus consentono agli amministratori di concentrarsi sulla gestione del gruppo discreto di impostazioni antivirus per i dispositivi gestiti.

I criteri antivirus includono diversi profili. Ogni profilo contiene solo le impostazioni pertinenti per l'antivirus Microsoft Defender per endpoint per dispositivi macOS e Windows o per l'esperienza utente nell'app Sicurezza di Windows nei dispositivi Windows.

Trovare i criteri antivirus in Manage nel nodo di sicurezza degli endpoint dell'interfaccia di amministrazione di Microsoft Intune.

I criteri antivirus includono le stesse impostazioni dei modelli di protezione degli endpoint trovati o di restrizione dei dispositivi per i criteri di configurazione dei dispositivi . Tuttavia, questi tipi di criteri includono altre categorie di impostazioni non correlate all'antivirus. Le impostazioni aggiuntive possono complicare l'attività di configurazione del carico di lavoro Antivirus. Inoltre, le impostazioni presenti nei criteri antivirus per macOS non sono disponibili con gli altri tipi di criteri. Il profilo Antivirus macOS sostituisce la necessità di configurare le impostazioni tramite .plist file.

Si applica a:

• Linux
• macOS
• Windows
• Windows Server (tramite lo scenario di gestione delle impostazioni di sicurezza di Microsoft Defender per endpoint)

Prerequisiti per i criteri antivirus

Supporto per i dispositivi registrati in Intune (MDM):

• macOS

  • Qualsiasi versione supportata di macOS
  • Perché Intune gestisca le impostazioni antivirus in un dispositivo, Defender per endpoint deve essere installato nel dispositivo. Vedere Microsoft Defender per endpoint per macOS (nella documentazione di Defender per endpoint).

• Windows

  • Non sono richiesti prerequisiti aggiuntivi.

Supporto per i client di Microsoft Configuration Manager:

Questo scenario è in anteprima e richiede l'uso di Gestione configurazione Current Branch versione 2006 o successiva.

• Configurare il collegamento di tenant per i dispositivi di Gestione configurazione - Per supportare la distribuzione dei criteri antivirus ai dispositivi gestiti da Gestione configurazione, configurare il collegamento al tenant. La configurazione del collegamento di tenant include la configurazione delle raccolte di dispositivi di Gestione configurazione per supportare i criteri di sicurezza degli endpoint da Intune.

  Per configurare il collegamento del tenant, vedere Configurare il collegamento di tenant per supportare i criteri di Endpoint Protection.

Supporto per Defender per client endpoint:

• Gestione delle impostazioni di sicurezza di Defender per endpoint: per configurare il supporto per la distribuzione dei criteri antivirus ai dispositivi gestiti da Defender per endpoint, ma non registrati con Intune, vedere Gestire Microsoft Defender per endpoint nei dispositivi con Microsoft Intune. Questo articolo include anche le informazioni sulle piattaforme supportate da questa funzionalità e sui criteri e i profili supportati da tali piattaforme.

Controllo degli accessi in base al ruolo (RBAC)

Per informazioni su come assegnare il livello appropriato di autorizzazioni e diritti per gestire i criteri antivirus di Intune, vedere Controllo degli accessi in base ai ruoli per la sicurezza degli endpoint.

Prerequisiti per la protezione antimanomissione

Intune supporta la gestione della protezione antimanomissione nei dispositivi che eseguono uno dei sistemi operativi seguenti:

• macOS (qualsiasi versione supportata)
• Windows 10 e 11 (incluso Multisessione Enterprise)
• Windows Server 2016 e versioni successive
• Windows Server, versione 1803 o successiva
• Windows Server 2012 R2 (con la soluzione moderna e unificata)

Defender per endpoint supporta la protezione antimanomissione su piattaforme aggiuntive oltre a quelle gestibili tramite i criteri di Intune. Per l'elenco completo, vedere Prerequisiti per la protezione antimanomissione.

Per altre informazioni sul comportamento della protezione antimanomissione, incluse le impostazioni protette e le opzioni per la risoluzione dei problemi, vedere Che cos'è la protezione antimanomissione nella documentazione di Defender per endpoint.

È possibile usare Intune per gestire la protezione antimanomissione nei dispositivi Windows come parte del profilo Esperienza di sicurezza di Windows (un criterio antivirus). Sono inclusi sia i dispositivi gestiti con Intune sia i dispositivi gestiti con Gestione configurazione tramite lo scenario di collegamento di tenant. La protezione antimanomissione è ora disponibile anche per Desktop virtuale Azure.

Dispositivi gestiti da Intune

Prerequisiti per supportare la protezione antimanomissione per i dispositivi gestiti da Intune:

• L'ambiente deve soddisfare i requisiti per la gestione della protezione antimanomissione in Intune
• I dispositivi vengono caricati in Microsoft Defender per endpoint (P1 o P2)

Profili per i criteri antivirus che supportano la protezione antimanomissione per i dispositivi gestiti da Microsoft Intune:

• Piattaforma: Windows

  • Profilo: Esperienza di Sicurezza di Windows

  Nota

  Il 5 aprile 2022, la piattaforma Windows 10 e versioni successive è stata sostituita dalla piattaforma Windows.

  La piattaforma Windows supporta i dispositivi che comunicano con Intune tramite Microsoft Intune o Microsoft Defender per endpoint. Questi profili aggiungono anche il supporto per la piattaforma Windows Server, che non è supportata tramite Microsoft Intune in modo nativo.

  I profili per questa nuova piattaforma utilizzano il formato delle impostazioni disponibile nel Catalogo delle impostazioni. Ogni nuovo modello di profilo per questa nuova piattaforma include le stesse impostazioni del modello di profilo precedente che sostituisce. Con questa modifica non potrai più creare nuove versioni dei profili precedenti. Le istanze esistenti del profilo precedente rimangono disponibili per l'uso e la modifica.

È anche possibile usare il profilo Endpoint Protection per i criteri di configurazione del dispositivo per configurare la protezione antimanomissione per i dispositivi gestiti da Intune.

Client di Gestione configurazione gestiti tramite lo scenario di collegamento di tenant

Prerequisiti per supportare la gestione della protezione antimanomissione con questi profili:

• L'ambiente deve soddisfare i requisiti per la gestione della protezione antimanomissione in Intune, come descritto nella documentazione di Defender per endpoint.
• È necessario usare Gestione configurazione current branch 2006 o versione successiva.
• È necessario configurare il collegamento di tenant per supportare i criteri di Endpoint Protection. Include la configurazione delle raccolte di dispositivi di Gestione configurazione per la sincronizzazione con Intune.
• I dispositivi vengono caricati in Microsoft Defender per endpoint (P1 o P2)

Profili per i criteri antivirus che supportano la protezione antimanomissione per i dispositivi gestiti da Gestione configurazione:

• Piattaforma: Windows (ConfigMgr)
  • Profilo: Esperienza Sicurezza di Windows (anteprima)

Configurazione controllata per le impostazioni di Microsoft Defender (anteprima)

La configurazione controllata estende la protezione antimanomissione rendendo Microsoft Intune l'unica fonte autorevole per le impostazioni di sicurezza di Microsoft Defender in un dispositivo. Mentre la protezione antimanomissione blocca alcune impostazioni di sicurezza ai valori predefiniti di sicurezza, la configurazione controllata va oltre bloccando tutte le impostazioni applicabili ai valori configurati in Intune. Le impostazioni non configurate tornano ai valori predefiniti della piattaforma sicura.

Le organizzazioni che distribuiscono Microsoft Defender per endpoint possono trovarsi di fronte a stati indeterminati dei dispositivi quando più canali di gestione, inclusi criteri di gruppo, Gestione configurazione, strumenti di terze parti e script di amministratore locali, sostituiscono le impostazioni fornite dal cloud. Questi conflitti rendono le configurazioni di Defender imprevedibili e difficili da risolvere.

La configurazione controllata stabilisce una chiara precedenza di autorità. Quando la configurazione controllata è abilitata in un dispositivo, le impostazioni fornite da Intune o dalla gestione delle impostazioni di sicurezza di Microsoft Defender per endpoint hanno la precedenza esclusiva. Le impostazioni di tutti gli altri canali, inclusi Criteri di gruppo, Gestione configurazione e modifiche locali, vengono sostituite. Gli altri canali possono comunque fornire le impostazioni, ma i valori configurati per Intune hanno sempre la priorità.

Questa funzionalità è utile in due scenari comuni:

• Distribuzioni di modelli di prova: le organizzazioni possono distribuire e convalidare rapidamente la configurazione di Defender senza dover prima identificare e correggere conflitti tra oggetti Criteri di gruppo o strumenti di terze parti.
• Gestione dello stato stazionario : gli amministratori possono mantenere configurazioni di Defender deterministiche e controllabili senza dover monitorare o sorvegliare ogni altro canale di gestione.

Abilitare la configurazione controllata

La configurazione controllata è disponibile come impostazione dedicata nel profilo dell'esperienza di Sicurezza di Windows per i criteri antivirus. Nella sezione Defender , l'impostazione Configurazione controllata (dispositivo) supporta i valori seguenti:

Per abilitare la configurazione controllata, creare o modificare un criterio antivirus che usa il profilo esperienza Sicurezza di Windows. Impostare Configurazione controllata (dispositivo) su Configurazione controllata (attivato) e quindi distribuire il criterio nei dispositivi da proteggere.

• CSP: configurazione CSP > Defender/TamperProtection

Ambito e limitazioni

Durante l'anteprima, la configurazione controllata applica le impostazioni configurate tramite i modelli di criteri di sicurezza degli endpoint seguenti:

• Antivirus
• Riduzione superficie di attacco

Quando un dispositivo è nello stato di configurazione controllata, le impostazioni di Defender fornite tramite questi modelli sono autorevoli. Le impostazioni per gli stessi componenti Defender recapitati tramite altri canali vengono sovrascritte.

Le impostazioni che non sono configurate in modo esplicito nella configurazione controllata ripristinano i valori predefiniti. Gli utenti locali possono comunque modificare queste impostazioni perché la configurazione controllata blocca solo le impostazioni definite dal criterio.

La configurazione controllata non si applica a:

• Rilevamento e risposta degli endpoint (EDR)
• Impostazioni del firewall
• Criteri creati esternamente all'esperienza di sicurezza degli endpoint, ad esempio i criteri del Catalogo impostazioni
• Tipi di criteri di sicurezza degli endpoint non usati dai componenti di Defender, ad esempio Protezione account

Creazione di report con configurazione controllata

Quando un dispositivo si trova nello stato di configurazione controllata, il comportamento di segnalazione per tale dispositivo cambia:

• Per i criteri configurati tramite un modello che supporta la configurazione controllata (Antivirus, ASR), i report di stato per impostazione riflettono la configurazione applicata come previsto.
• Per i criteri di configurazione non controllati, ad esempio i criteri del Catalogo impostazioni, che contengono impostazioni sovrapposte a criteri di configurazione controllata, le impostazioni sovrapposte segnalano come Non applicabile in tale dispositivo. I criteri di configurazione controllata hanno la precedenza per tali impostazioni, indipendentemente dal valore configurato nell'altro criterio.
• Nei report Endpoint non integri (Endpoint di sicurezza>, Antivirus>,Endpoint non integri) e Stato agente antivirus (Report> Stato agenteantivirus>), la colonna Protezione antimanomissione viene rinominata in Configurazione controllata. I valori indicano se la configurazione controllata è abilitata o disabilitata per i dispositivi registrati in MDM. I dispositivi registrati da Defender non sono inclusi in questi report.
• Quando un dispositivo riceve criteri di Intune in conflitto, uno che abilita la configurazione controllata e un altro che disabilita o abilita la protezione antimanomissione, il criterio di configurazione controllata ha la precedenza.

Per ulteriori informazioni sulla protezione antimanomissione e su come la configurazione controllata la estende, vedere Proteggere le impostazioni di sicurezza con la protezione antimanomissione.

Profili antivirus

Trovare indicazioni per la creazione di profili di sicurezza degli endpoint in Creare criteri di sicurezza degli endpoint.

Dispositivi gestiti da Microsoft Intune

I profili seguenti sono supportati per i dispositivi gestiti con Intune:

Linux

• Piattaforma: Linux

  • Profilo: Microsoft Defender Antivirus - Gestione impostazioni Antivirus su dispositivi Linux.
  • Profilo: Esclusioni di Antivirus Microsoft Defender - Gestire le impostazioni per Antivirus Microsoft Defender che definiscono esclusioni antivirus per percorsi, estensioni e processi.

  Le esclusioni antivirus sono gestite anche dai criteri di Antivirus di Microsoft Defender, che includono impostazioni identiche per le esclusioni, e da altri criteri come il profilo di rilevamento e risposta degli endpoint di Intune per le esclusioni globali di Microsoft Defender (AV+EDR) per Linux, che include esclusioni sia EDR che antivirus. Le impostazioni provenienti da più origini sono soggette all'unione dei criteri e creano un super set di esclusioni per i dispositivi e gli utenti applicabili.

  Importante

  Il profilo Microsoft Defender Global Exclusions (AV+EDR) è supportato solo per i dispositivi Linux gestiti da Defender tramite lo scenario di gestione delle impostazioni di sicurezza di Microsoft Defender per endpoint.

  Per altre informazioni sulle esclusioni di Linux, vedere Configurare e convalidare le esclusioni per Microsoft Defender per endpoint su Linux nella documentazione di Microsoft Defender.

macOS

• Piattaforma: macOS

  • Profilo: Antivirus - Consente di gestire le impostazioni dei criteri antivirus per macOS.

    Quando si usa Microsoft Defender per endpoint per Mac, è possibile configurare e distribuire le impostazioni antivirus nei dispositivi macOS gestiti tramite Intune invece di configurare tali impostazioni usando .plist i file.

Windows

• Piattaforma: Windows
  I profili per questa piattaforma possono essere usati con dispositivi registrati con Intune e dispositivi gestiti tramite Gestione sicurezza per Microsoft Defender per endpoint.

  Nota

  Il 5 aprile 2022, la piattaforma Windows 10 e versioni successive è stata sostituita dalla piattaforma Windows.

  La piattaforma Windows supporta i dispositivi che comunicano con Intune tramite Microsoft Intune o Microsoft Defender per endpoint. Questi profili aggiungono anche il supporto per la piattaforma Windows Server, che non è supportata tramite Microsoft Intune in modo nativo.

  I profili per questa nuova piattaforma utilizzano il formato delle impostazioni disponibile nel Catalogo delle impostazioni. Ogni nuovo modello di profilo per questa nuova piattaforma include le stesse impostazioni del modello di profilo precedente che sostituisce. Con questa modifica non potrai più creare nuove versioni dei profili precedenti. Le istanze esistenti del profilo precedente rimangono disponibili per l'uso e la modifica.

  • Profilo: Microsoft Defender Antivirus - Gestire le impostazioni dei criteri antivirus per i dispositivi Windows.

    Antivirus Defender è il componente di protezione di ultima generazione di Microsoft Defender per endpoint. La protezione di nuova generazione riunisce tecnologie come l'apprendimento automatico e l'infrastruttura cloud per proteggere i dispositivi nell'organizzazione aziendale.

    Il profilo Antivirus Microsoft Defender è un'istanza separata delle impostazioni antivirus disponibili nel profilo Restrizione del dispositivo per i criteri di configurazione del dispositivo.

    Diversamente dalle impostazioni antivirus in un profilo di restrizione del dispositivo, puoi utilizzare queste impostazioni con dispositivi co-gestiti. Per usare queste impostazioni, il dispositivo di scorrimento del carico di lavoro di co-gestione per Endpoint Protection deve essere impostato su Intune.

  • Profilo: Esclusioni di Microsoft Defender Antivirus Gestire leimpostazioni dei criteri solo per l'esclusione - antivirus.

    Con questo criterio è possibile gestire le impostazioni per i provider di servizi di configurazione di Microsoft Defender Antivirus (CSP) seguenti che definiscono esclusioni antivirus:

    • Defender/ExcludedPaths
    • Defender/ExcludedExtensions
    • Defender/ExcludedProcesses

    Questi CSP per l'esclusione antivirus sono gestiti anche dai criteri di Antivirus di Microsoft Defender, che includono impostazioni identiche per le esclusioni. Le impostazioni di entrambi i tipi di criteri (Antivirus ed esclusioni Antivirus) sono soggette all'unione dei criteri e creano un super set di esclusioni per i dispositivi e gli utenti applicabili.

    Avviso

    La definizione delle esclusioni riduce la protezione offerta da Antivirus Microsoft Defender. Valutare sempre i rischi associati all'implementazione delle esclusioni. Escludere solo i file che si ritiene non essere dannosi.

    Per altre informazioni, vedere Panoramica delle esclusioni nella documentazione di Microsoft Defender.

  • Profilo: Esperienza di Sicurezza di Windows - Gestire le impostazioni dell'app Sicurezza di Windows che gli utenti finali possono visualizzare nel centro sicurezza di Microsoft Defender e le notifiche che ricevono.

    L'app sicurezza di Windows è usata da molte funzionalità di sicurezza di Windows per fornire notifiche sull'integrità e la sicurezza del computer. Le notifiche delle app di sicurezza includono firewall, prodotti antivirus, Windows Defender SmartScreen e altri.

  • Profilo: Defender Controlli di aggiornamento - Gestire le impostazioni di aggiornamento per Microsoft Defender, incluse le impostazioni seguenti acquisite direttamente dal CSP Defender:

    • Canale Aggiornamenti motore
    • Canale Aggiornamenti piattaforma
    • Canale Aggiornamenti dell'intelligence di sicurezza

Dispositivi gestiti da Gestione configurazione

Antivirus

Gestire le impostazioni antivirus per i dispositivi di Gestione configurazione, quando si usa il collegamento tenant.

Percorso criteri:

• Antivirus sicurezza > endpoint Windows > (ConfigMgr)

Profili:

• Antivirus Microsoft Defender (anteprima)
• Esperienza Sicurezza di Windows (anteprima)

Versione richiesta di Gestione configurazione:

• Gestione configurazione current branch versione 2006 o successiva

Piattaforme dei dispositivi di Gestione configurazione supportate:

• Windows 8.1 (x86, x64), a partire da Gestione configurazione versione 2010
• Windows
• Windows Server 2012 R2 (x64), a partire da Gestione configurazione versione 2010
• Windows Server 2016 e versioni successive (x64)

Unione di criteri per le impostazioni

Alcune impostazioni dei criteri antivirus supportano l'unione dei criteri. L'unione dei criteri consente di evitare conflitti quando più criteri si applicano agli stessi dispositivi e configurano la stessa impostazione. Intune valuta le impostazioni supportate dall'unione dei criteri, per ogni utente o dispositivo, come ricavate da tutti i criteri applicabili. Queste impostazioni vengono quindi unite in un unico superset di criteri.

Ad esempio, è necessario creare tre criteri antivirus distinti che definiscono esclusioni di percorsi di file antivirus diversi. Alla fine, tutti e tre i criteri vengono assegnati allo stesso utente. Poiché il CSP di esclusione del percorso del file di Microsoft Defender supporta l'unione dei criteri, Intune valuta e combina le esclusioni di file da tutti i criteri applicabili per l'utente. Le esclusioni vengono aggiunte a un superset e il singolo elenco di esclusioni viene recapitato al dispositivo dell'utente.

Quando l'unione dei criteri non è supportata per un'impostazione, può verificarsi un conflitto. I conflitti possono comportare la mancata ricezione da parte dell'utente o del dispositivo di alcun criterio per l'impostazione. Ad esempio, l'unione dei criteri non supporta il CSP per impedire l'installazione di ID dispositivo corrispondenti (PreventInstallationOfMatchingDeviceIDs). Le configurazioni per questo CSP non vengono unite e vengono elaborate separatamente.

Se elaborati separatamente, i conflitti tra criteri vengono risolti nel modo seguente:

1. Si applicano i criteri più sicuri.
2. Se due criteri sono ugualmente sicuri, si applica l'ultimo criterio modificato.
3. Se l'ultimo criterio modificato non è in grado di risolvere il conflitto, nessun criterio viene recapitato al dispositivo.

Impostazioni e CSP che supportano l'unione dei criteri

Le impostazioni seguenti supportano l'unione dei criteri:

• Processi esclusi - CSP: Defender/ExcludedProcesses
• Estensioni escluse - CSP: Defender/ExcludedExtensions
• Percorsi esclusi - CSP: Defender/ExcludedPaths

Report dei criteri antivirus

I report sui criteri antivirus visualizzano i dettagli sullo stato degli endpoint, sulla sicurezza degli endpoint, sui criteri antivirus e sullo stato dei dispositivi. Questi report sono disponibili nel nodo Endpoint security dell'interfaccia di amministrazione di Microsoft Intune.

Per visualizzare i report, nell'interfaccia di amministrazione di Microsoft Intune, vai su Sicurezza degli endpoint e seleziona Antivirus. Selezionando Antivirus si apre la pagina Riepilogo. Ulteriori visualizzazioni di report e stato sono disponibili come pagine aggiuntive.

Oltre ai report descritti in dettaglio nelle sezioni seguenti, report aggiuntivi per Microsoft Defender Antivirus sono disponibili nel nodo Report dell'interfaccia di amministrazione di Microsoft Intune, come documentato nell'articolo Report di Intune:

• Report sullo stato dell'agente antivirus (organizzazione)
• Report malware rilevato (organizzazione)

Riepilogo

Nella pagina Riepilogo è possibile creare nuovi criteri e visualizzare un elenco dei criteri creati in precedenza. L'elenco include dettagli generali sul profilo incluso dal criterio (tipo di criterio) e sull'eventuale assegnazione del criterio.

Quando si seleziona un criterio dall'elenco, si apre la pagina Panoramica per tale istanza del criterio e vengono visualizzate altre informazioni. Dopo aver selezionato un riquadro da questa visualizzazione, Intune visualizza altri dettagli per tale profilo, se disponibili.

Endpoint non integri

Nella pagina Endpoint non integri è possibile visualizzare informazioni sullo stato antivirus dei dispositivi Windows gestiti da MDM. Queste informazioni vengono restituite da Windows Defender Antivirus Defender in esecuzione nel dispositivo, come stato dell'agente di minaccia. In questa pagina selezionare Colonne per visualizzare l'elenco completo dei dettagli disponibili nel report.

In questa visualizzazione vengono visualizzati solo i dispositivi con problemi rilevati. Questa visualizzazione non mostra i dettagli per i dispositivi identificati come puliti.

Le informazioni per questo report si basano sui dettagli disponibili nei CSP seguenti, documentati nella documentazione di gestione dei client Windows:

• Defender CSP
• CSP WindowsAdvancedThreatProtection.

Passaggi successivi

Configurare i criteri di sicurezza degli endpoint

Visualizza i dettagli per le impostazioni di Windows nei profili deprecati per la piattaforma deprecata di Windows 10 e versioni successive:

• Impostazioni dei criteri antivirus
• Esclusioni antivirus
• Impostazioni dell'app Sicurezza di Windows