Impostazioni dei criteri di riduzione della superficie di attacco per la sicurezza degli endpoint in Intune

Visualizzare le impostazioni che è possibile configurare nei profili per i criteri di riduzione della superficie di attacco nel nodo di sicurezza degli endpoint di Intune come parte di criteri di sicurezza degli endpoint.

Si applica a:

• Windows

  Importante

  Il 14 ottobre 2025 Windows 10 ha raggiunto la fine del supporto e non riceverà aggiornamenti relativi alla qualità e alle funzionalità. Windows 10 è una versione consentita in Intune. I dispositivi che eseguono questa versione possono comunque registrarsi in Intune e usare funzionalità idonee, ma la funzionalità non sarà garantita e può variare.

Piattaforme e profili supportati:

• Windows - Usare questa piattaforma per i criteri distribuiti ai dispositivi gestiti con Intune.

  • Profilo: isolamento di app e browser
  • Profilo: Controllo delle applicazioni
  • Profilo: Regole per la riduzione della superficie di attacco
  • Profilo: Controllo dispositivo
  • Profilo: Protezione dagli exploit
  • Profilo: Protezione Web (Versione legacy di Microsoft Edge di Microsoft Edge)

• Windows (ConfigMgr): usare questa piattaforma per i criteri distribuiti ai dispositivi gestiti da Gestione configurazione.

  • Profilo: Protezione dagli exploit (ConfigMgr)(anteprima)
  • Profilo: Protezione Web (ConfigMgr)(anteprima)

• Windows: usare questa piattaforma per i criteri distribuiti ai dispositivi gestiti tramite Gestione sicurezza per Microsoft Defender per endpoint.

  • Profilo: Regole per la riduzione della superficie di attacco

Riduzione della superficie di attacco (MDM)

Profilo di isolamento di app e browser

Isolamento di app e browser

• Attivare Application Guard
  CSP: AllowWindowsDefenderApplicationGuard

  • Non configurato (impostazione predefinita): Microsoft Defender Application Guard non è configurato per Microsoft Edge o per ambienti Windows isolati.
  • Abilitato per Edge - Application Guard apre siti non approvati in un contenitore di esplorazione virtualizzato Hyper-V.
  • Abilitato per ambienti Windows isolati : Application Guard è attivato per tutte le applicazioni abilitate per App Guard all'interno di Windows.
  • Abilitato per Edge E ambienti Windows isolati : Application Guard è configurato per entrambi gli scenari.

  Nota

  Se si distribuisce Application Guard per Microsoft Edge tramite Intune, i criteri di isolamento della rete di Windows devono essere configurati come prerequisito. L'isolamento della rete può essere configurato tramite vari profili, tra cui l'isolamento di app e browser nell'impostazione di isolamento della rete di Windows .

  Se impostata su Abilitato per Edge o Abilitato per Edge E ambienti Windows isolati, sono disponibili le seguenti impostazioni, che si applicano a Edge:

  • Comportamento degli Appunti
    CSP: ClipboardSettings

    Scegliere le azioni di copia e incolla consentite dal PC locale e da un browser virtuale di Application Guard.

    • Non configurato (impostazione predefinita)
    • Blocca copia e incolla tra PC e browser
    • Consenti copia e incolla solo dal browser al PC
    • Consenti copia e incolla solo da PC a browser
    • Consenti copia e incolla tra PC e browser

  • Bloccare il contenuto esterno da siti non approvati dall'organizzazione
    CSP: BlockNonEnterpriseContent

    • Non configurato (impostazione predefinita)
    • Sì . Blocca il caricamento del contenuto di siti Web non approvati.

  • Raccogliere i log per gli eventi che si verificano all'interno di una sessione di esplorazione di Application Guard
    CSP: AuditApplicationGuard

    • Non configurato (impostazione predefinita)
    • Sì : raccoglie i log per gli eventi che si verificano all'interno di una sessione di esplorazione virtuale di Application Guard.

  • Consente il salvataggio dei dati del browser generati dall'utente
    CSP: AllowPersistence

    • Non configurato (impostazione predefinita)
    • Sì : consente il salvataggio dei dati utente creati durante una sessione di esplorazione virtuale di Application Guard. Esempi di dati utente includono password, preferiti e cookie.

  • Abilita accelerazione grafica hardware
    CSP: AllowVirtualGPU

    • Non configurato (impostazione predefinita)
    • Sì , all'interno della sessione di esplorazione virtuale di Application Guard, usare un'unità di elaborazione grafica virtuale per caricare più velocemente i siti Web con utilizzo intensivo di grafica.

  • Consente agli utenti di scaricare i file nell'host
    CSP: SaveFilesToHost

    • Non configurato (impostazione predefinita)
    • Sì - Consente agli utenti di scaricare i file dal browser virtualizzato nel sistema operativo host.

  • Application Guard: consente l'accesso alla fotocamera e al microfono
    CSP: AllowCameraMicrophoneRedirection

    • Non configurato (impostazione predefinita): le applicazioni all'interno di Microsoft Defender Application Guard non possono accedere alla fotocamera e al microfono nel dispositivo dell'utente.
    • Sì, le applicazioni all'interno di Microsoft Defender Application Guard possono accedere alla fotocamera e al microfono nel dispositivo dell'utente.
    • No - Le applicazioni all'interno di Microsoft Defender Application Guard non possono accedere alla fotocamera e al microfono nel dispositivo dell'utente. Si tratta dello stesso comportamento di Non configurato.

• Application Guard consente la stampa su stampanti locali

  • Non configurato (impostazione predefinita)
  • Sì - Consente la stampa su stampanti locali.

• Application Guard consente la stampa su stampanti di rete

  • Non configurato (impostazione predefinita)
  • Sì - Consente la stampa su stampanti di rete.

• Application Guard consente la stampa in formato PDF

  • Non configurato (impostazione predefinita)
  • Sì- Consenti la stampa in formato PDF.

• Application Guard consente la stampa su XPS

  • Non configurato (impostazione predefinita)
  • Sì - - Consenti la stampa in XPS.

• Application Guard consente l'uso delle autorità di certificazione radice dal dispositivo dell'utente
  CSP: CertificateThumbprints

  Configurare le identificazioni personali dei certificati per trasferire automaticamente il certificato radice corrispondente al contenitore di Microsoft Defender Application Guard.

  Per aggiungere le impronte digitali una alla volta, selezionare Aggiungi. È possibile usare la funzione Importa per specificare un file di .CSV che contiene più voci di identificazione personale che vengono aggiunte contemporaneamente al profilo. Quando si usa un file .CSV, ogni identificazione personale deve essere separata da una virgola. Ad esempio: b4e72779a8a362c860c36a6461f31e3aa7e58c14,1b1d49f06d2a697a544a1059bd59a7b058cda924

  Tutte le voci elencate nel profilo sono attive. Non è necessario selezionare una casella di controllo per una voce di identificazione personale per attivarla. Usare invece le caselle di controllo per gestire le voci aggiunte al profilo. Ad esempio, è possibile selezionare la casella di controllo di una o più voci di identificazione personale del certificato e quindi eliminare tali voci dal profilo con una singola azione.

• Criteri per l'isolamento della rete Windows

  • Non configurato (impostazione predefinita)
  • Sì - Configura i criteri di isolamento della rete Windows.

  Se impostato su Sì, è possibile configurare le impostazioni seguenti:

  • Intervalli IP Espandere l'elenco a discesa, selezionare Aggiungi e quindi specificare un indirizzo inferiore e quindi un indirizzo superiore.

  • Risorse del cloud Espandere l'elenco a discesa, selezionare Aggiungi e quindi specificare un indirizzo IP o un nome di dominio completo e un proxy.

  • Domini di rete Espandi l'elenco a discesa, seleziona Aggiungi e quindi specifica Domini di rete.

  • Server proxy Espandi l'elenco a discesa, seleziona Aggiungi e quindi specifica i server proxy.

  • Server proxy interni Espandere l'elenco a discesa, selezionare Aggiungi e quindi specificare i server proxy interni.

  • Risorse neutre Espandere l'elenco a discesa, selezionare Aggiungi e quindi specificare Risorse neutre.

  • Disabilita il rilevamento automatico di altri server proxy aziendali

    • Non configurato (impostazione predefinita)
    • Sì - Disabilita il rilevamento automatico di altri server proxy aziendali.

  • Disabilita il rilevamento automatico di altri intervalli IP aziendali

    • Non configurato (impostazione predefinita)
    • Sì - Disabilita il rilevamento automatico di altri intervalli IP aziendali.

  Nota

  Dopo aver creato il profilo, per tutti i dispositivi a cui devono essere applicati i criteri verrà abilitato Microsoft Defender Application Guard. Gli utenti potrebbero dover riavviare i dispositivi per garantire la protezione.

Profilo di controllo delle applicazioni

Controllo delle applicazioni di Microsoft Defender

• Controllo applicazione blocco app
  CSP: AppLocker

  • Non configurato (impostazione predefinita)
  • Applicare componenti e app dello Store
  • Controlla Componenti e app dello Store
  • Applicare componenti, app dello Store e SmartLocker
  • Controllare componenti, app dello Store e SmartLocker

• Impedire agli utenti di ignorare gli avvisi di SmartScreen
  CSP: SmartScreen/PreventOverrideForFilesInShell

  • Non configurato (impostazione predefinita): gli utenti possono ignorare gli avvisi di SmartScreen per file e app dannose.
  • Sì , SmartScreen è abilitato e gli utenti non possono ignorare gli avvisi per file o app dannose.

• Abilita Windows SmartScreen
  CSP: SmartScreen/EnableSmartScreenInShell

  • Non configurato (impostazione predefinita): ripristina l'impostazione predefinita di Windows, ovvero abilita SmartScreen, tuttavia gli utenti possono modificare questa impostazione. Per disabilitare SmartScreen, usare un URI personalizzato.
  • Sì : impone l'uso di SmartScreen per tutti gli utenti.

Profilo delle regole per la riduzione della superficie di attacco

Regole per la riduzione della superficie di attacco

Per altre informazioni sulle regole di riduzione della superficie di attacco, vedere Informazioni di riferimento sulle regole di riduzione della superficie di attacco nella documentazione di Microsoft 365.

• Persistenza dei blocchi tramite la sottoscrizione di eventi WMI
  Ridurre le superfici di attacco con le regole di riduzione della superficie di attacco

  Questa regola di riduzione della superficie di attacco (ASR) viene controllata tramite il GUID seguente: e6db77e5-3df2-4cf1-b95a-636979351e5b

  Questa regola impedisce al malware di abusare di WMI per ottenere la persistenza in un dispositivo. Le minacce fileless impiegano varie tattiche per rimanere nascoste, per evitare di essere viste nel file system e per ottenere un controllo periodico dell'esecuzione. Alcune minacce possono abusare del repository WMI e del modello di eventi per rimanere nascoste.

  • Non configurato (impostazione predefinita): l'impostazione torna all'impostazione predefinita di Windows, che è disattivata e la persistenza non viene bloccata.
  • Blocco : la persistenza tramite WMI è bloccata.
  • Controllo : valutare in che modo questa regola influisce sull'organizzazione se è abilitata (impostata su Blocca).
  • Disabilita - Disattiva questa regola. La persistenza non è bloccata.

  Per altre informazioni su questa impostazione, vedi Blocca la persistenza tramite la sottoscrizione di eventi WMI.

• Bloccare il furto di credenziali dal sottosistema dell'autorità di sicurezza locale di Windows (lsass.exe)
  Proteggere i dispositivi dagli exploit

  Questa regola di riduzione della superficie di attacco (ASR) viene controllata tramite il GUID seguente: 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Definito dall'utente
  • Abilita : i tentativi di rubare le credenziali tramite lsass.exe sono bloccati.
  • Modalità di controllo : agli utenti non vengono impedito domini pericolosi e vengono generati eventi di Windows.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.

• Impedire ad Adobe Reader di creare processi figlio
  Ridurre le superfici di attacco con le regole di riduzione della superficie di attacco

  Questa regola ASR viene controllata tramite il GUID seguente: 7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c

  • Non configurato (impostazione predefinita): viene ripristinata l'impostazione predefinita di Windows, non blocca la creazione di processi figlio.
  • Definito dall'utente
  • Abilita : Adobe Reader non può creare processi secondari.
  • Modalità di controllo : gli eventi di Windows vengono generati anziché bloccare i processi figlio.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.

• Impedire alle applicazioni di Office di inserire codice in altri processi
  Proteggere i dispositivi dagli exploit

  Questa regola ASR viene controllata tramite il GUID seguente: 75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Blocco - Le applicazioni di Office non possono inserire codice in altri processi.
  • Modalità di controllo : gli eventi di Windows vengono generati invece di bloccarsi.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.
  • Disabilita - Questa impostazione è disattivata.

• Impedire alle applicazioni di Office di creare contenuto eseguibile
  Proteggere i dispositivi dagli exploit

  Questa regola ASR viene controllata tramite il GUID seguente: 3B576869-A4EC-4529-8536-B80A7769E899

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Blocca - Le applicazioni di Office non possono creare contenuto eseguibile.
  • Modalità di controllo : gli eventi di Windows vengono generati invece di bloccarsi.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.
  • Disabilita - Questa impostazione è disattivata.

• Impedire a tutte le applicazioni di Office di creare processi figlio
  Proteggere i dispositivi dagli exploit

  Questa regola ASR viene controllata tramite il GUID seguente: D4F940AB-401B-4EFC-AADC-AD5F3C50688A

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Blocca : alle applicazioni di Office viene impedito di creare processi figlio.
  • Modalità di controllo : gli eventi di Windows vengono generati invece di bloccarsi.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.
  • Disabilita - Questa impostazione è disattivata.

• Blocca le chiamate API Win32 dalla macro di Office
  Proteggere i dispositivi dagli exploit

  Questa regola ASR viene controllata tramite il GUID seguente: 92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Blocco - Le macro di Office non possono usare le chiamate API Win32.
  • Modalità di controllo : gli eventi di Windows vengono generati invece di bloccarsi.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.
  • Disabilita - Questa impostazione è disattivata.

• Impedire alle app di comunicazione di Office di creare processi figlio
  Proteggere i dispositivi dagli exploit

  Questa regola ASR viene controllata tramite il GUID seguente: 26190899-1602-49e8-8b27-eb1d0a1ce869.

  • Non configurato (impostazione predefinita): viene ripristinata l'impostazione predefinita di Windows, ovvero non blocca la creazione di processi figlio.
  • Definito dall'utente
  • Abilita : alle applicazioni di comunicazione di Office viene impedito di creare processi figlio.
  • Modalità di controllo : gli eventi di Windows vengono generati anziché bloccare i processi figlio.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.

• Blocca l'esecuzione di script potenzialmente offuscati (js/vbs/ps)
  Proteggere i dispositivi dagli exploit

  Questa regola ASR viene controllata tramite il GUID seguente: 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Blocca : Defender blocca l'esecuzione di script offuscati.
  • Modalità di controllo : gli eventi di Windows vengono generati invece di bloccarsi.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.
  • Disabilita - Questa impostazione è disattivata.

• Impedisce a JavaScript o VBScript di avviare il contenuto eseguibile scaricato
  Proteggere i dispositivi dagli exploit

  Questa regola ASR viene controllata tramite il GUID seguente: D3E037E1-3EB8-44C8-A917-57927947596D

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Blocca - Defender blocca l'esecuzione dei file JavaScript o VBScript scaricati da Internet.
  • Modalità di controllo : gli eventi di Windows vengono generati invece di bloccarsi.
  • Disabilita - Questa impostazione è disattivata.

• Blocca le creazioni di processi originate dai comandi PSExec e WMI
  Proteggere i dispositivi dagli exploit

  Questa regola ASR viene controllata tramite il GUID seguente: d1e49aac-8f56-4280-b9ba-993a6d77406c

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Blocco : la creazione di processi tramite comandi PSExec o WMI è bloccata.
  • Modalità di controllo : gli eventi di Windows vengono generati invece di bloccarsi.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.
  • Disabilita - Questa impostazione è disattivata.

• Blocca i processi non attendibili e non firmati eseguiti da USB
  Proteggere i dispositivi dagli exploit

  Questa regola ASR viene controllata tramite il GUID seguente: b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Blocca - I processi non attendibili e non firmati eseguiti da un'unità USB sono bloccati.
  • Modalità di controllo : gli eventi di Windows vengono generati invece di bloccarsi.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.
  • Disabilita - Questa impostazione è disattivata.

• Blocca l'esecuzione dei file eseguibili a meno che non soddisfino i criteri di prevalenza, età o elenco attendibile
  Proteggere i dispositivi dagli exploit

  Questa regola ASR viene controllata tramite il GUID seguente: 01443614-cd74-433a-b99e-2ecdc07bfc25e

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Blocca
  • Modalità di controllo : gli eventi di Windows vengono generati invece di bloccarsi.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.
  • Disabilita - Questa impostazione è disattivata.

• Blocca il download di contenuto eseguibile dai client di posta elettronica e webmail
  Proteggere i dispositivi dagli exploit

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Blocca - Il contenuto eseguibile scaricato dai client di posta elettronica e webmail è bloccato.
  • Modalità di controllo : gli eventi di Windows vengono generati invece di bloccarsi.
  • Avviso - Per Windows 10 versione 1809 o successiva e Windows 11, l'utente del dispositivo riceve un messaggio che indica che può ignorare il blocco dell'impostazione. Nei dispositivi che eseguono versioni precedenti di Windows 10, la regola applica il comportamento Abilita.
  • Disabilita - Questa impostazione è disattivata.

• Usare la protezione avanzata contro ransomwareProteggere i dispositivi da exploit

  Questa regola ASR viene controllata tramite il GUID seguente: c1db55ab-c21a-4637-bb3f-a12568109d35

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disattivato.
  • Definito dall'utente
  • Attivazione
  • Modalità di controllo : gli eventi di Windows vengono generati anziché bloccati.

• Abilitare la protezione delle cartelle
  CSP: EnableControlledFolderAccess

  • Non configurato (impostazione predefinita): questa impostazione torna all'impostazione predefinita, ovvero nessuna lettura o scrittura bloccata.
  • Abilita : per le app non attendibili, Defender blocca i tentativi di modificare o eliminare file in cartelle protette o di scrivere in settori del disco. Defender determina automaticamente quali applicazioni possono essere considerate attendibili. In alternativa, è possibile definire un proprio elenco di applicazioni attendibili.
  • Modalità di controllo : gli eventi di Windows vengono generati quando applicazioni non attendibili accedono a cartelle controllate, ma non vengono applicati blocchi.
  • Blocca le modifiche al disco : vengono bloccati solo i tentativi di scrittura nei settori del disco.
  • Controlla modifica disco : gli eventi di Windows vengono generati anziché bloccare i tentativi di scrittura nei settori del disco.

• Elenco di cartelle aggiuntive da proteggere
  CSP: ControlledFolderAccessProtectedFolders

  Definisce un elenco di posizioni del disco che verranno protette da applicazioni non attendibili.

• Elenco delle app che hanno accesso alle cartelle protette
  CSP: ControlledFolderAccessAllowedApplications

  Definisce un elenco di app che hanno accesso alla lettura/scrittura in posizioni controllate.

• Escludere file e percorsi dalle regole di riduzione della superficie di attacco
  CSP: AttackSurfaceReductionOnlyExclusions

  Espandi l'elenco a discesa e quindi seleziona Aggiungi per definire un percorso a un file o una cartella da escludere dalle regole di riduzione della superficie di attacco.

Profilo di controllo dispositivo

Controllo del dispositivo

• Consente l'installazione di dispositivi hardware in base agli identificatori di dispositivo

  • Non configurato(impostazione predefinita)
  • Sì, Windows può installare o aggiornare qualsiasi dispositivo il cui ID hardware Plug and Play o compatibile compare nell'elenco creato, a meno che un'altra impostazione dei criteri non impedisca specificamente tale installazione. Se si abilita questa impostazione di criteri in un server desktop remoto, l'impostazione di criteri influisce sul reindirizzamento dei dispositivi specificati da un client desktop remoto al server desktop remoto.
  • No

  Se impostato su Sì, è possibile configurare le opzioni seguenti:

  • Elenco consentiti : usare Aggiungi, Importa ed Esporta per gestire un elenco di identificatori di dispositivo.

• Installazione di dispositivi hardware di blocco in base agli identificatori del dispositivo
  CSP: AllowInstallationOfMatchingDeviceIDs

  • Non configurato(impostazione predefinita)
  • Sì: specifica un elenco di ID hardware Plug and Play e ID compatibili per i dispositivi che Windows non può installare. Questo criterio ha la precedenza rispetto a qualsiasi altra impostazione di criterio che consente a Windows di installare un dispositivo. Se si abilita questa impostazione di criteri in un server desktop remoto, l'impostazione di criteri influisce sul reindirizzamento dei dispositivi specificati da un client desktop remoto al server desktop remoto.
  • No

  Se impostato su Sì, è possibile configurare le opzioni seguenti:

  • Rimuovere i dispositivi hardware corrispondenti

    • Sì
    • Non configurato(impostazione predefinita)

  • Elenco blocchi : usare Aggiungi, Importa ed Esporta per gestire un elenco di identificatori di dispositivo.

• Consenti l'installazione di dispositivi hardware in base alla classe di installazione

  • Non configurato(impostazione predefinita)
  • Sì , Windows può installare o aggiornare i driver di dispositivo i cui GUID della classe di installazione del dispositivo vengono visualizzati nell'elenco creato, a meno che un'altra impostazione dei criteri non impedisca specificamente tale installazione. Se si abilita questa impostazione di criteri in un server desktop remoto, l'impostazione di criteri influisce sul reindirizzamento dei dispositivi specificati da un client desktop remoto al server desktop remoto.
  • No

  Se impostato su Sì, è possibile configurare le opzioni seguenti:

  • Elenco consentiti : usare Aggiungi, Importa ed Esporta per gestire un elenco di identificatori di dispositivo.

• Installazione di dispositivi hardware a blocchi in base alle classi di installazione
  CSP: AllowInstallationOfMatchingDeviceSetupClasses

  • Non configurato(impostazione predefinita)
  • Sì - Specifica un elenco di identificatori univoci globali (GUID) della classe di installazione del dispositivo per i driver di dispositivo che Windows non può installare. Questa impostazione di criteri ha la precedenza rispetto a qualsiasi altra impostazione di criteri che consente a Windows di installare un dispositivo. Se si abilita questa impostazione di criteri in un server desktop remoto, l'impostazione di criteri influisce sul reindirizzamento dei dispositivi specificati da un client desktop remoto al server desktop remoto.
  • No

  Se impostato su Sì, è possibile configurare le opzioni seguenti:

  • Rimuovere i dispositivi hardware corrispondenti

    • Sì
    • Non configurato(impostazione predefinita)

  • Elenco blocchi : usare Aggiungi, Importa ed Esporta per gestire un elenco di identificatori di dispositivo.

• Consente l'installazione di dispositivi hardware in base agli identificatori di istanza del dispositivo

  • Non configurato(impostazione predefinita)
  • Sì, Windows è autorizzato a installare o aggiornare qualsiasi dispositivo il cui ID istanza dispositivo Plug and Play sia visualizzato nell'elenco creato, a meno che un'altra impostazione dei criteri non impedisca specificamente tale installazione. Se si abilita questa impostazione di criteri in un server desktop remoto, l'impostazione di criteri influisce sul reindirizzamento dei dispositivi specificati da un client desktop remoto al server desktop remoto.
  • No

  Se impostato su Sì, è possibile configurare le opzioni seguenti:

  • Elenco consentiti : usare Aggiungi, Importa ed Esporta per gestire un elenco di identificatori di dispositivo.

• Installazione di dispositivi hardware di blocco in base agli identificatori di istanza del dispositivo
  Se si abilita questa impostazione di criteri in un server desktop remoto, l'impostazione di criteri influisce sul reindirizzamento dei dispositivi specificati da un client desktop remoto al server desktop remoto.

  • Non configurato(impostazione predefinita)
  • Sì: specifica un elenco di ID hardware Plug and Play e ID compatibili per i dispositivi che Windows non può installare. Questo criterio ha la precedenza rispetto a qualsiasi altra impostazione di criterio che consente a Windows di installare un dispositivo. Se si abilita questa impostazione di criteri in un server desktop remoto, l'impostazione di criteri influisce sul reindirizzamento dei dispositivi specificati da un client desktop remoto al server desktop remoto.
  • No

  Se impostato su Sì, è possibile configurare le opzioni seguenti:

  • Rimuovere i dispositivi hardware corrispondenti

    • Sì
    • Non configurato(impostazione predefinita)

  • Elenco blocchi : usare Aggiungi, Importa ed Esporta per gestire un elenco di identificatori di dispositivo.

• Blocca l'accesso in scrittura agli archivi rimovibili
  CSP: RemovableDiskDenyWriteAccess

  • Non configurato(impostazione predefinita)
  • Sì : l'accesso in scrittura è negato agli archivi rimovibili.
  • No - L'accesso in scrittura è consentito.

• Analizza le unità rimovibili durante l'analisi completa
  CSP: Defender/AllowFullScanRemovableDriveScanning

  • Non configurato (impostazione predefinita): l'impostazione torna ai valori predefiniti del client, che analizza le unità rimovibili, ma l'utente può disabilitare questa analisi.
  • Sì : durante un'analisi completa vengono analizzate le unità rimovibili, ad esempio le unità flash USB.

• Blocca l'accesso diretto alla memoria
  CSP: DataProtection/AllowDirectMemoryAccess

  Questa impostazione dei criteri viene applicata solo quando è abilitata la crittografia dispositivo o BitLocker.

  • Non configurato (impostazione predefinita)
  • Sì : blocca l'accesso diretto alla memoria (DMA) per tutte le porte downstream PCI collegabili a caldo finché un utente non accede a Windows. Dopo che un utente esegue l'accesso, Windows enumera i dispositivi PCI connessi alle porte PCI del plug host. Ogni volta che l'utente blocca la macchina, DMA viene bloccato sulle porte PCI hot plug senza dispositivi figlio fino a quando l'utente non accede nuovamente. I dispositivi già enumerati quando il computer è stato sbloccato continueranno a funzionare finché non verranno scollegati.

• Enumerazione di dispositivi esterni incompatibili con la protezione DMA kernel
  CSP: DmaGuard/DeviceEnumerationPolicy

  Questo criterio può fornire sicurezza aggiuntiva nei dispositivi esterni che supportano DMA. Consente un maggiore controllo sull'enumerazione dei dispositivi esterni compatibili con DMA incompatibili con DMA Remapping/isolamento della memoria del dispositivo e sandboxing.

  Questo criterio ha effetto solo quando la protezione DMA del kernel è supportata e abilitata dal firmware di sistema. Protezione DMA kernel è una funzionalità della piattaforma che deve essere supportata dal sistema al momento della produzione. Per verificare se il sistema supporta la protezione Kernel DMA, controllare il campo Protezione Kernel DMA nella pagina Riepilogo di MSINFO32.exe.

  • Non configurato - (impostazione predefinita)
  • Blocca tutto
  • Consenti tutti

• Blocca le connessioni Bluetooth
  CSP: Bluetooth/AllowDiscoverableMode

  • Non configurato (impostazione predefinita)
  • Sì : blocca le connessioni Bluetooth da e verso il dispositivo.

• Blocca l'individuabilità Bluetooth
  CSP: Bluetooth/AllowDiscoverableMode

  • Non configurato (impostazione predefinita)
  • Sì : impedisce al dispositivo di essere individuabile da altri dispositivi abilitati per Bluetooth.

• Blocca la preassociazione Bluetooth
  CSP: Bluetooth/AllowPrepairing

  • Non configurato (impostazione predefinita)
  • Sì : impedisce l'associazione automatica di dispositivi Bluetooth specifici al dispositivo host.

• Blocca la pubblicità Bluetooth
  CSP: Bluetooth/AllowAdvertising

  • Non configurato (impostazione predefinita)
  • Sì : impedisce al dispositivo di inviare annunci Bluetooth.

• Blocca le connessioni di prossimità Bluetooth
  CSP: Bluetooth/AllowPromptedProximalConnections Impedire agli utenti di usare l'associazione rapida e altri scenari basati sulla prossimità

  • Non configurato (impostazione predefinita)
  • Sì : impedisce a un utente del dispositivo di usare l'associazione rapida e altri scenari basati sulla prossimità.

  Bluetooth/AllowPromptedProximalConnections CSP

• Servizi Bluetooth consentiti
  CSP: Bluetooth/ServicesAllowedList. Per altre informazioni sull'elenco dei servizi, vedere Guida all'uso di ServicesAllowedList

  • Aggiungi : specifica i servizi e i profili Bluetooth consentiti come stringhe esadecimali, ad esempio {782AFCFC-7CAA-436C-8BF0-78CD0FFBD4AF}.
  • Importare - Importare un file di .csv che contiene un elenco di servizi e profili Bluetooth, come stringhe esadecimali, ad esempio {782AFCFC-7CAA-436C-8BF0-78CD0FFBD4AF}

• Archivi rimovibili
  CSP: Storage/RemovableDiskDenyWriteAccess

  • Blocco (impostazione predefinita): impedisce agli utenti di usare dispositivi di archiviazione esterni, ad esempio le schede SD.
  • Non configurata

• Connessioni USB (solo HoloLens)
  CSP: Connectivity/AllowUSBConnection

  • Blocco - Impedisce l'uso di una connessione USB tra il dispositivo e un computer per sincronizzare i file o per usare gli strumenti di sviluppo per distribuire o eseguire il debug di applicazioni. La ricarica USB non è interessata.
  • Non configurato (impostazione predefinita)

Profilo di protezione da exploit

Protezione dagli exploit

• Carica XML
  CSP: ExploitProtectionSettings

  Consente all'amministratore IT di eseguire il push di una configurazione che rappresenta le opzioni di mitigazione del sistema e delle applicazioni desiderate in tutti i dispositivi dell'organizzazione. La configurazione è rappresentata da un file XML. La protezione dagli exploit consente di proteggere i dispositivi da malware che sfruttano gli exploit per diffondersi e infettare. Si utilizza l’app Sicurezza di Windows o PowerShell per creare un set di mitigazioni (noto come configurazione). È quindi possibile esportare questa configurazione come file XML e condividerla con più computer nella rete in modo che tutti abbiano lo stesso set di impostazioni di mitigazione. È inoltre possibile convertire e importare un file XML di configurazione EMET esistente in un file XML di configurazione della protezione dagli exploit.

  Scegliere Seleziona file XML, specificare il caricamento del filet XML, quindi fare clic su Seleziona.

  • Non configurato (impostazione predefinita)
  • Sì

• Impedire agli utenti di modificare l'interfaccia di protezione di Exploit Guard
  CSP: DisallowExploitProtectionOverride

  • Non configurato (impostazione predefinita): gli utenti locali possono apportare modifiche nell'area delle impostazioni di protezione dagli exploit.
  • Sì - Impedisce agli utenti di apportare modifiche all'area delle impostazioni di Protezione dagli exploit in Microsoft Defender Security Center.

Profilo di Protezione Web (Versione legacy di Microsoft Edge)

Protezione Web (Versione legacy di Microsoft Edge)

• Abilitare la protezione di rete
  CSP: EnableNetworkProtection

  • Non configurato (impostazione predefinita): l'impostazione torna al valore predefinito di Windows, che è disabilitato.
  • Definito dall'utente
  • Abilita : la protezione di rete è abilitata per tutti gli utenti del sistema.
  • Modalità di controllo : agli utenti non vengono impedito domini pericolosi e vengono generati eventi di Windows.

• Richiede SmartScreen per Microsoft Edge
  CSP: Browser/AllowSmartScreen

  • Sì - Usa SmartScreen per proteggere gli utenti da potenziali tentativi di phishing e software dannoso.
  • Non configurato (impostazione predefinita)

• Blocca l'accesso dannoso ai siti
  CSP: Browser/PreventSmartScreenPromptOverride

  • Sì: impedisce agli utenti di ignorare gli avvisi del filtro SmartScreen di Microsoft Defender e impedisce loro di accedere al sito.
  • Non configurato (impostazione predefinita)

• Blocca il download di file non verificato
  CSP: Browser/PreventSmartScreenPromptOverrideForFiles

  • Sì: impedisce agli utenti di ignorare gli avvisi del filtro SmartScreen di Microsoft Defender e impedisce loro di scaricare file non verificati.
  • Non configurato (impostazione predefinita)

Riduzione della superficie di attacco (ConfigMgr)

Profilo Protezione dagli exploit (ConfigMgr)(Anteprima)

Protezione dagli exploit

• Carica XML
  CSP: ExploitProtectionSettings

  Consente all'amministratore IT di eseguire il push di una configurazione che rappresenta le opzioni di mitigazione del sistema e delle applicazioni desiderate in tutti i dispositivi dell'organizzazione. La configurazione è rappresentata da un file XML. La protezione dagli exploit consente di proteggere i dispositivi da malware che sfruttano gli exploit per diffondersi e infettare. Si utilizza l’app Sicurezza di Windows o PowerShell per creare un set di mitigazioni (noto come configurazione). È quindi possibile esportare questa configurazione come file XML e condividerla con più computer nella rete in modo che tutti abbiano lo stesso set di impostazioni di mitigazione. È inoltre possibile convertire e importare un file XML di configurazione EMET esistente in un file XML di configurazione della protezione dagli exploit.

  Scegliere Seleziona file XML, specificare il caricamento del filet XML, quindi fare clic su Seleziona.

• Non consentire l'override della protezione dagli exploit
  CSP: DisallowExploitProtectionOverride

  • Non configurato (impostazione predefinita)
  • (Disabilita) Gli utenti locali possono apportare modifiche nell'area delle impostazioni di protezione dagli exploit.
  • (Abilita) Gli utenti locali non possono apportare modifiche all'area delle impostazioni di protezione dagli exploit

Profilo Protezione Web (ConfigMgr)(Anteprima)

Protezione Web

• Abilitare la protezione di rete (dispositivo)
  CSP: EnableNetworkProtection

  • Non configurato (impostazione predefinita)
  • Disabled
  • Abilitata (modalità blocco)
  • Abilitata (modalità di controllo)

• Consenti Smart Screen (dispositivo)
  CSP: Browser/AllowSmartScreen

  • Non configurato (impostazione predefinita)
  • Blocca
  • Consenti

• Impedisci l'override della richiesta Smart Screen per i Files (dispositivo)
  CSP: Browser/PreventSmartScreenPromptOverride

  • Non configurato (impostazione predefinita)
  • Disabled
  • Enabled

• Impedisci l'override della richiesta Smart Screen (dispositivo)
  CSP: Browser/PreventSmartScreenPromptOverrideForFiles

  • Non configurato (impostazione predefinita)
  • Disabled
  • Enabled

Passaggi successivi

Criteri di sicurezza degli endpoint per ASR