Impostazioni di Windows che è possibile gestire tramite un profilo di protezione degli endpoint di Intune

Nota

Intune potrebbe supportare più impostazioni rispetto a quelle elencate in questo articolo. Non tutte le impostazioni sono documentate e non verranno documentate. Per visualizzare le impostazioni che è possibile configurare, creare un criterio di configurazione del dispositivo e selezionare Catalogo impostazioni. Per altre informazioni, vai al catalogo delle impostazioni.

Microsoft Intune include molte impostazioni per proteggere i dispositivi. In questo articolo vengono descritte le impostazioni nel modello di protezione degli endpoint di configurazione del dispositivo. Per gestire la sicurezza dei dispositivi, è anche possibile usare i criteri di sicurezza degli endpoint, che si concentrano direttamente sui sottoinsiemi della sicurezza dei dispositivi. Per configurare Antivirus di Microsoft Defender, vedi Restrizioni dei dispositivi di Windows o usare i criteri Antivirus di Endpoint Security.

Prima di iniziare

Creare un profilo di configurazione del dispositivo Endpoint Protection.

Per altre informazioni sui provider di servizi di configurazione (CSP), vedere Riferimento del provider di servizi di configurazione.

Microsoft Defender Application Guard

Per Microsoft Edge, Microsoft Defender Application Guard protegge l'ambiente da siti non considerati attendibili dall'organizzazione. Con Application Guard, i siti che non si trovano nel limite della rete isolata si aprono in una sessione di esplorazione virtuale Hyper-V. I siti attendibili sono definiti da un limite di rete, che viene configurato in Configurazione dispositivo. Per altre informazioni, vedi Creare un limite di rete nei dispositivi Windows.

Application Guard è disponibile solo per i dispositivi Windows a 64 bit. L'uso di questo profilo installa un componente Win32 per attivare Application Guard.

  • Application Guard
    Impostazione predefinita: non configurata
    CSP Application Guard: Settings/AllowWindowsDefenderApplicationGuard

    • Abilitato per Edge - Attiva questa funzionalità, che apre i siti non attendibili in un contenitore di esplorazione virtualizzato Hyper-V.
    • Non configurato : qualsiasi sito (attendibile e non attendibile) può essere aperto nel dispositivo.

  • Comportamento degli Appunti
    Impostazione predefinita: non configurata
    CSP Application Guard: Settings/ClipboardSettings

    Scegliere le azioni di copia e incolla consentite tra il PC locale e il browser virtuale di Application Guard.

    • Non configurata
    • Consenti copia e incolla solo da PC a browser
    • Consenti copia e incolla solo dal browser al PC
    • Consenti copia e incolla tra PC e browser
    • Blocca copia e incolla tra PC e browser

  • Contenuto degli Appunti
    Questa impostazione è disponibile solo quando il comportamento degli Appunti è impostato su una delle impostazioni consentite . Impostazione predefinita: non configurata
    CSP Application Guard: Settings/ClipboardFileType

    Selezionare il contenuto consentito degli Appunti.

    • Non configurata
    • Testo
    • Immagini
    • Testo e immagini

  • Contenuto esterno nei siti dell'organizzazione
    Impostazione predefinita: non configurata
    CSP Application Guard: Settings/BlockNonEnterpriseContent

    • Blocca - Blocca il caricamento dei contenuti di siti Web non approvati.
    • Non configurato : i siti non aziendali possono essere aperti nel dispositivo.

  • Stampare dal browser virtuale
    Impostazione predefinita: non configurata
    CSP Application Guard: Settings/PrintingSettings

    • Consenti - Consente la stampa del contenuto selezionato dal browser virtuale.
    • Non configurato Disabilitare tutte le funzionalità di stampa.

    Quando si consente la stampa, è possibile configurare l'impostazione seguente:

    • Tipo di stampa
      Seleziona una o più delle seguenti opzioni:
      • PDF
      • XPS
      • Stampanti locali
      • Stampanti di rete

  • Raccolta dei log
    Impostazione predefinita: non configurata
    CSP Application Guard: Audit/AuditApplicationGuard

    • Consenti : raccoglie i log per gli eventi che si verificano all'interno di una sessione di esplorazione di Application Guard.
    • Non configurato : non raccogliere alcun log all'interno della sessione di esplorazione.

  • Conserva i dati del browser generati dall'utente
    Impostazione predefinita: non configurata
    CSP Application Guard: Settings/AllowPersistence

    • Consenti Salvare i dati utente (ad esempio password, preferiti e cookie) creati durante una sessione di esplorazione virtuale di Application Guard.
    • Non configurato Eliminare i file e i dati scaricati dall'utente al riavvio del dispositivo o quando un utente si disconnette.

  • Accelerazione graficaImpostazione predefinita: non configurata
    CSP Application Guard: Settings/AllowVirtualGPU

    • Abilita - Carica siti Web e video ad alta intensità grafica più velocemente ottenendo l'accesso a un'unità di elaborazione grafica virtuale.
    • Non configurato Utilizzare la CPU del dispositivo per la grafica; Non usare l'unità di elaborazione grafica virtuale.

  • Scaricare i file nell'host file system
    Impostazione predefinita: non configurata
    CSP Application Guard: Settings/SaveFilesToHost

    • Abilita : gli utenti possono scaricare i file dal browser virtualizzato nel sistema operativo host.
    • Non configurato : mantiene i file in locale nel dispositivo e non scarica i file nel file system host.

Windows Firewall

Impostazioni globali

Queste impostazioni sono applicabili a tutti i tipi di rete.

  • Protocollo di trasferimento file
    Impostazione predefinita: non configurata
    CSP Firewall: MdmStore/Global/DisableStatefulFtp

    • Blocca - Disabilita FTP con stato.
    • Non configurato : il firewall applica filtri FTP stateful per consentire le connessioni secondarie.

  • Tempo di inattività dell'associazione di sicurezza prima dell'eliminazione
    Impostazione predefinita: non configurata
    CSP Firewall: MdmStore/Global/SaIdleTime

    Specifica un tempo di inattività in secondi, dopo il quale le associazioni di sicurezza vengono eliminate.

  • Codifica della chiave già condivisa
    Impostazione predefinita: non configurata
    CSP firewall: MdmStore/Global/PresharedKeyEncoding

    • Abilita - Codifica chiavi tranciate con UTF-8.
    • Non configurato : codifica le chiavi tranciate usando il valore dell'archivio locale.

  • Esenzioni IPsec
    Impostazione predefinita: 0 selezionato
    CSP Firewall: MdmStore/Global/IPsecExempt

    Selezionare uno o più dei seguenti tipi di traffico da escludere da IPsec:

    • Neighbor discover IPv6 ICMP type-codes
    • ICMP
    • Router rileva codici di tipo ICMP IPv6
    • Traffico di rete DHCP sia IPv4 che IPv6

  • Verifica dell'elenco di revoche di certificati
    Impostazione predefinita: non configurata
    CSP Firewall: MdmStore/Global/CRLcheck

    Scegli la modalità di verifica dell'elenco di revoche di certificati da parte del dispositivo. Le opzioni disponibili sono:

    • Disabilitare la verifica CRL
    • Non è riuscita la verifica CRL solo per i certificati revocati
    • Non è riuscita la verifica CRL se si verifica un errore.

  • Corrispondenza opportunistica dell'autenticazione impostata per modulo di keying
    Impostazione predefinita: non configurata
    CSP Firewall: MdmStore/Global/OpportunisticallyMatchAuthSetPerKM

    • Abilita I moduli di impostazione chiavi devono ignorare solo i gruppi di autenticazione che non supportano.
    • Non configurato, i moduli di impostazione chiavi devono ignorare l'intero set di autenticazione se non supportano tutti i pacchetti di autenticazione specificati nel set.

  • Accodamento pacchetti
    Impostazione predefinita: non configurata
    CSP Firewall: MdmStore/Global/EnablePacketQueue

    Specifica la modalità di abilitazione del ridimensionamento software sul lato di ricezione per la ricezione crittografata e l'inoltro di testo non crittografato per lo scenario gateway del tunnel IPsec. Questa impostazione conferma che l'ordine dei pacchetti viene mantenuto. Le opzioni disponibili sono:

    • Non configurata
    • Disabilitare tutti i pacchetti in coda
    • Accodare solo i pacchetti crittografati in entrata
    • Pacchetti in coda dopo l'esecuzione della decrittografia solo per l'inoltro
    • Configura i pacchetti in ingresso e in uscita

Impostazioni di rete

In questo articolo sono elencate le impostazioni seguenti, ma tutte si applicano ai tre tipi di rete specifici:

  • Rete di dominio (azienda)
  • Rete privata (individuabile)
  • Rete pubblica (non individuabile)

Generale

  • Windows Firewall
    Impostazione predefinita: non configurata
    CSP Firewall: EnableFirewall

    • Abilita - Attivare il firewall e la sicurezza avanzata.
    • Non configurato Consente tutto il traffico di rete, indipendentemente da qualsiasi altra impostazione dei criteri.

  • Modalità invisibile
    Impostazione predefinita: non configurata
    CSP Firewall: DisableStealthMode

    • Non configurata
    • Blocca - Il firewall non può funzionare in modalità invisibile. Il blocco della modalità stealth consente di bloccare anche l'esenzione dei pacchetti protetti da IPsec.
    • Consenti - Il firewall funziona in modalità invisibile, che consente di evitare risposte alle richieste di sondaggio.

  • Esenzione pacchetti protetti da IPsec con modalità Stealth
    Impostazione predefinita: non configurata
    CSP Firewall: DisableStealthModeIpsecSecuredPacketExemption

    Questa opzione viene ignorata se la modalità Stealth è impostata su Blocca.

    • Non configurata
    • Blocco - I pacchetti protetti IPSec non ricevono esenzioni.
    • Consenti - Abilita le esenzioni. La modalità stealth del firewall NON DEVE impedire al computer host di rispondere al traffico di rete non richiesto protetto da IPsec.

  • Schermato
    Impostazione predefinita: non configurata
    CSP Firewall: Schermato

    • Non configurata
    • Blocca - Quando Windows Firewall è attivo e questa impostazione è impostata su Blocca, tutto il traffico in entrata viene bloccato, indipendentemente dalle altre impostazioni dei criteri.
    • Consenti - Se impostata su Consenti, questa impostazione è disattivata e il traffico in entrata è consentito in base ad altre impostazioni dei criteri.

  • Risposte unicast alle trasmissioni multicast
    Impostazione predefinita: non configurata
    CSP Firewall: DisableUnicastResponsesToMulticastBroadcast

    In genere, non si desidera ricevere risposte unicast ai messaggi multicast o broadcast. Queste risposte possono indicare un attacco Denial of Service (DOS) o un utente malintenzionato che tenta di testare un computer live noto.

    • Non configurata
    • Blocca - Disabilita le risposte unicast alle trasmissioni multicast.
    • Consenti - Consente le risposte unicast alle trasmissioni multicast.

  • Notifiche in entrata
    Impostazione predefinita: non configurata
    CSP Firewall: DisableInboundNotifications

    • Non configurata
    • Blocca - Nasconde le notifiche agli usi quando un'app è bloccata dall'ascolto su una porta.
    • Consenti - Abilita questa impostazione e può mostrare una notifica agli utenti quando un'app è bloccata dall'ascolto su una porta.

  • Azione predefinita per le connessioni in uscita
    Impostazione predefinita: non configurata
    CSP Firewall: DefaultOutboundAction

    Configura l'azione predefinita che il firewall esegue sulle connessioni in uscita. Questa impostazione verrà applicata a Windows versione 1809 e successive.

    • Non configurata
    • Blocco - L'azione firewall predefinita non viene eseguita sul traffico in uscita a meno che non sia esplicitamente specificato di non bloccare.
    • Consenti : le azioni firewall predefinite vengono eseguite sulle connessioni in uscita.

  • Azione predefinita per le connessioni in entrata
    Impostazione predefinita: non configurata
    CSP Firewall: DefaultInboundAction

    • Non configurata
    • Blocco - L'azione firewall predefinita non viene eseguita sulle connessioni in ingresso.
    • Consenti : le azioni firewall predefinite vengono eseguite sulle connessioni in ingresso.

Unione di regole

  • Applicazione autorizzata Regole di Windows Firewall dall'archivio locale
    Impostazione predefinita: non configurata
    CSP Firewall: AuthAppsAllowUserPrefMerge

    • Non configurata
    • Blocca - Le regole del firewall dell'applicazione autorizzate nell'archivio locale vengono ignorate e non applicate.
    • Consenti - Scegli Abilita Applica le regole del firewall nell'archivio locale in modo che vengano riconosciute e applicate.

  • Porta globale: regole di Windows Firewall dall'archivio locale
    Impostazione predefinita: non configurata
    CSP Firewall: GlobalPortsAllowUserPrefMerge

    • Non configurata
    • Blocco : le regole del firewall della porta globale nell'archivio locale vengono ignorate e non applicate.
    • Consenti - Applica le regole del firewall della porta globale nell'archivio locale per essere riconosciute e applicate.

  • Regole di Windows Firewall dall'archivio locale
    Impostazione predefinita: non configurata
    CSP Firewall: AllowLocalPolicyMerge

    • Non configurata
    • Blocca - Le regole del firewall dell'archivio locale vengono ignorate e non applicate.
    • Consenti - Applica le regole del firewall nell'archivio locale per essere riconosciuto e applicato.

  • Regole IPsec dell'archivio locale
    Impostazione predefinita: non configurata
    CSP Firewall: AllowLocalIpsecPolicyMerge

    • Non configurata
    • Blocco : le regole di sicurezza della connessione dell'archivio locale vengono ignorate e non applicate, indipendentemente dalla versione dello schema e dalla versione della regola di sicurezza della connessione.
    • Consenti : applica le regole di sicurezza della connessione dall'archivio locale, indipendentemente dallo schema o dalle versioni delle regole di sicurezza della connessione.

Regole del firewall

È possibile aggiungere una o più regole del firewall personalizzate. Per altre informazioni, vedere Aggiungere regole di firewall personalizzate per i dispositivi Windows.

Le regole firewall personalizzate supportano le opzioni seguenti:

Impostazioni generali

  • Nome
    Impostazione predefinita: nessun nome

    Specificare un nome descrittivo per la regola. Questo nome verrà visualizzato nell'elenco delle regole che consentono di identificarlo.

  • Descrizione
    Impostazione predefinita: nessuna descrizione

    Fornire una descrizione della regola.

  • Direzione
    Impostazione predefinita: non configurata
    CSP Firewall: FirewallRules/FirewallRuleName/Direction

    Specificare se la regola si applica al traffico in ingresso o in uscita . Se impostata su Non configurato, la regola si applica automaticamente al traffico in uscita.

  • Azione
    Impostazione predefinita: non configurata
    CSP Firewall: FirewallRules/FirewallRuleName/Action e FirewallRules/FirewallRuleName/Action/Type

    Selezionare tra Consenti o Blocca. Se impostata su Non configurato, la regola predefinita consente il traffico.

  • Tipo di rete
    Impostazione predefinita: 0 selezionato
    CSP Firewall: FirewallRules/FirewallRuleName/Profiles

    Selezionare fino a tre tipi di tipi di rete a cui appartiene questa regola. Le opzioni includono Dominio, Privato e Pubblico. Se non è selezionato alcun tipo di rete, la regola si applica a tutti e tre i tipi di rete.

Impostazioni dell'applicazione

  • Applicazione(i)
    Impostazione predefinita: tutte

    Controllare le connessioni per un'app o un programma. Le app e i programmi possono essere specificati in base al percorso del file, al nome della famiglia di pacchetti o al nome del servizio:

    • Nome famiglia di pacchetti : consente di specificare il nome di una famiglia di pacchetti. Per trovare il nome della famiglia di pacchetti, usa il comando Get-AppxPackage di PowerShell.
      CSP Firewall: FirewallRules/FirewallRuleName/App/PackageFamilyName

    • Percorso file : è necessario specificare un percorso di file per un'app nel dispositivo client, che può essere un percorso assoluto o un percorso relativo. Ad esempio: C:\Windows\System\Notepad.exe o %WINDIR%\Notepad.exe.
      CSP Firewall: FirewallRules/FirewallRuleName/App/FilePath

    • Servizio Windows : specificare il nome breve del servizio Windows se si tratta di un servizio e non di un'applicazione che invia o riceve traffico. Per trovare il nome breve del servizio, usare il comando Get-Service di PowerShell.
      CSP Firewall: FirewallRules/FirewallRuleName/App/ServiceName

    • Tutte - Non è richiesta alcuna configurazione

Impostazioni dell'indirizzo IP

Specificare gli indirizzi locali e remoti a cui si applica questa regola.

  • Indirizzi locali
    Impostazione predefinita: qualsiasi indirizzo
    CSP Firewall: FirewallRules/FirewallRuleName/LocalPortRanges

    Selezionare un indirizzo oun indirizzo specificato.

    Quando si utilizza l'indirizzo specificato, si aggiungono uno o più indirizzi come elenco separato da virgole di indirizzi locali coperti dalla regola. I token validi includono:

    • Utilizzare un asterisco * per qualsiasi indirizzo locale. Se si utilizza un asterisco, deve essere l'unico token utilizzato.
    • Specificare una subnet tramite la subnet mask o la notazione del prefisso di rete. Se non viene specificata una subnet mask o un prefisso di rete, il valore predefinito della subnet mask è 255.255.255.255.
    • Indirizzo IPv6 valido.
    • Intervallo di indirizzi IPv4 nel formato "indirizzo iniziale - indirizzo finale" senza spazi inclusi.
    • Intervallo di indirizzi IPv6 nel formato "indirizzo iniziale - indirizzo finale", senza spazi inclusi.

  • Indirizzi remoti
    Impostazione predefinita: qualsiasi indirizzo
    CSP Firewall: FirewallRules/FirewallRuleName/RemoteAddressRanges

    Selezionare un indirizzo oun indirizzo specificato.

    Quando si utilizza l'indirizzo specificato, si aggiungono uno o più indirizzi come elenco separato da virgole di indirizzi remoti coperti dalla regola. I token non fanno distinzione tra maiuscole e minuscole. I token validi includono:

    • Utilizzare un asterisco "*" per qualsiasi indirizzo remoto. Se si utilizza un asterisco, deve essere l'unico token utilizzato.
    • Defaultgateway
    • DHCP
    • DNS
    • WINS
    • Intranet (supportato in Windows, versioni 1809 e successive)
    • RmtIntranet (supportato in Windows, versioni 1809 e successive)
    • Internet (supportato in Windows, versioni 1809 e successive)
    • Ply2Renders (supportato in Windows, versioni 1809 e successive)
    • LocalSubnet Indica qualsiasi indirizzo locale nella subnet locale.
    • Specificare una subnet tramite la subnet mask o la notazione del prefisso di rete. Se non viene specificata una subnet mask o un prefisso di rete, il valore predefinito della subnet mask è 255.255.255.255.
    • Indirizzo IPv6 valido.
    • Intervallo di indirizzi IPv4 nel formato "indirizzo iniziale - indirizzo finale" senza spazi inclusi.
    • Intervallo di indirizzi IPv6 nel formato "indirizzo iniziale - indirizzo finale", senza spazi inclusi.

Impostazioni di porte e protocolli

Specificare le porte locali e remote a cui si applica questa regola.

Configurazione avanzata

  • Tipi di interfaccia
    Impostazione predefinita: 0 selezionato
    CSP Firewall: FirewallRules/FirewallRuleName/InterfaceTypes

    Selezionare una delle opzioni seguenti:

    • Accesso remoto
    • Senza fili
    • Rete locale

  • Consenti connessioni solo da questi utenti
    Impostazione predefinita: tutti gli utenti (l'impostazione predefinita è tutti gli usi quando non viene specificato alcun elenco)
    CSP Firewall: FirewallRules/FirewallRuleName/LocalUserAuthorizationList

    Specificare un elenco di utenti locali autorizzati per questa regola. Se questa regola si applica a un servizio Windows, non è possibile specificare un elenco di utenti autorizzati.

Impostazioni di Microsoft Defender SmartScreen

Microsoft Edge deve essere installato nel dispositivo.

  • SmartScreen per app e file
    Impostazione predefinita: non configurata
    CSP SmartScreen: SmartScreen/EnableSmartScreenInShell

    • Non configurato : disabilita l'uso di SmartScreen.
    • Abilita - Abilita Windows SmartScreen per l'esecuzione di file e le app. SmartScreen è un componente anti-phishing e anti-malware basato sul cloud.

  • Esecuzione di file non verificati
    Impostazione predefinita: non configurata
    CSP SmartScreen: SmartScreen/PreventOverrideForFilesInShell

    • Non configurato : disabilita questa funzionalità e consente agli utenti finali di eseguire file che non sono stati verificati.
    • Blocca - Impedisce agli utenti finali di eseguire file che non sono stati verificati da Windows SmartScreen.

Crittografia di Windows

Impostazioni di Windows

  • Crittografare dispositivi
    Impostazione predefinita: non configurata
    CSP BitLocker: RequireDeviceEncryption

    • Richiedi - Chiedi agli utenti di abilitare la crittografia del dispositivo. A seconda dell'edizione di Windows e della configurazione del sistema, agli utenti potrebbe essere richiesto:
      • Per verificare che la crittografia di un altro provider non sia abilitata.
      • Deve disabilitare Crittografia unità BitLocker e quindi riattivare BitLocker.
    • Non configurata

    Se la crittografia di Windows è attivata mentre è attivo un altro metodo di crittografia, il dispositivo potrebbe diventare instabile.

Impostazioni di base di BitLocker

Le impostazioni di base sono impostazioni universali di BitLocker per tutti i tipi di unità dati. Queste impostazioni gestiscono le attività di crittografia delle unità o le opzioni di configurazione che l'utente finale può modificare in tutti i tipi di unità dati.

  • Avviso per altre crittografie del disco
    Impostazione predefinita: non configurata
    CSP BitLocker: AllowWarningForOtherDiskEncryption

    • Blocca - Disabilita la richiesta di avviso se un altro servizio di crittografia del disco è presente nel dispositivo.
    • Non configurato : consente la visualizzazione dell'avviso per altri tipi di crittografia del disco.

    Consiglio

    Per installare BitLocker automaticamente e silenziosamente su un dispositivo aggiunto a Microsoft Entra ed esegue Windows 1809 o versione successiva, questa impostazione deve essere impostata su Blocca. Per altre informazioni, vedere Abilitare automaticamente BitLocker nei dispositivi.

    Se impostata su Blocca, puoi configurare l'impostazione seguente:

    • Consenti agli utenti standard di abilitare la crittografia durante l'adesione a Microsoft Entra
      Questa impostazione si applica solo ai dispositivi aggiunti a Microsoft Entra (Azure ADJ) e dipende dall'impostazione precedente. Warning for other disk encryption
      Impostazione predefinita: non configurata
      CSP BitLocker: AllowStandardUserEncryption

      • Consenti: gli utenti standard (non amministratori) possono abilitare la crittografia BitLocker quando eseguono l'accesso.
      • Non configurato : solo gli amministratori possono abilitare la crittografia BitLocker nel dispositivo.

    Consiglio

    Per installare BitLocker automaticamente e silenziosamente su un dispositivo associato a Microsoft Entra ed esegue Windows 1809 o versione successiva, questa impostazione deve essere impostata su Consenti. Per altre informazioni, vedere Abilitare automaticamente BitLocker nei dispositivi.

  • Configurare i metodi di crittografia
    Impostazione predefinita: non configurata
    CSP BitLocker: EncryptionMethodByDriveType

    • Abilita : consente di configurare algoritmi di crittografia per il sistema operativo, i dati e le unità rimovibili.
    • Non configurato : BitLocker usa XTS-AES a 128 bit come metodo di crittografia predefinito oppure usa il metodo di crittografia specificato da uno script di installazione.

    Se impostata su Abilita, è possibile configurare le impostazioni seguenti:

    • Crittografia per le unità del sistema operativo
      Impostazione predefinita: XTS-AES a 128 bit

      Scegliere il metodo di crittografia per le unità del sistema operativo. Ti consigliamo di usare l'algoritmo XTS-AES.

      • AES-CBC a 128 bit
      • AES-CBC a 256 bit
      • XTS-AES a 128 bit
      • XTS-AES a 256 bit

    • Crittografia per unità dati fisse
      Impostazione predefinita: AES-CBC 128 bit

      Scegliere il metodo di crittografia per le unità dati fisse (predefinite). Ti consigliamo di usare l'algoritmo XTS-AES.

      • AES-CBC a 128 bit
      • AES-CBC a 256 bit
      • XTS-AES a 128 bit
      • XTS-AES a 256 bit

    • Crittografia per unità dati rimovibili
      Impostazione predefinita: AES-CBC 128 bit

      Scegliere il metodo di crittografia per le unità dati rimovibili. Se l'unità rimovibile viene usata con dispositivi che non eseguono Windows, è consigliabile usare l'algoritmo AES-CBC.

      • AES-CBC a 128 bit
      • AES-CBC a 256 bit
      • XTS-AES a 128 bit
      • XTS-AES a 256 bit

Impostazioni dell'unità del sistema operativo BitLocker

Queste impostazioni si applicano in modo specifico alle unità dati del sistema operativo.

  • Autenticazione aggiuntiva all'avvio
    Impostazione predefinita: non configurata
    CSP BitLocker: SystemDrivesRequireStartupAuthentication

    • Richiedi : configurare i requisiti di autenticazione per l'avvio del computer, incluso l'uso del modulo TPM (Trusted Platform Module).
    • Non configurato : configura solo le opzioni di base nei dispositivi con un TPM.

    Se impostato su Richiedi, è possibile configurare le impostazioni seguenti:

    • BitLocker con chip TPM non compatibile
      Impostazione predefinita: non configurata

      • Blocco - Disabilita l'uso di BitLocker quando un dispositivo non ha un chip TPM compatibile.
      • Non configurato : gli utenti possono usare BitLocker senza un chip TPM compatibile. BitLocker può richiedere una password o una chiave di avvio.

    • Avvio TPM compatibile
      Impostazione predefinita: Consenti TPM

      Configurare se il TPM è consentito, necessario o non consentito.

      • Consenti TPM
      • Non consentire il TPM
      • Richiedere TPM

    • PIN di avvio TPM compatibile
      Impostazione predefinita: consenti PIN di avvio con TPM

      Scegliere di consentire, non consentire o richiedere l'uso di un PIN di avvio con il chip TPM. L'abilitazione di un PIN di avvio richiede l'interazione dell'utente finale.

      • Consenti PIN di avvio con TPM
      • Non consentire l'avvio PIN con TPM
      • Richiedi PIN di avvio con TPM

      Consiglio

      Per installare BitLocker automaticamente e silenziosamente in un dispositivo aggiunto a Microsoft Entra che esegue Windows 1809 o versione successiva, questa impostazione non deve essere configurata su Richiedi PIN di avvio con TPM. Per altre informazioni, vedere Abilitare automaticamente BitLocker nei dispositivi.

    • Chiave di avvio TPM compatibile
      Impostazione predefinita: consenti chiave di avvio con TPM

      Scegliere di consentire, non consentire o richiedere l'uso di una chiave di avvio con il chip TPM. L'abilitazione di un tasto di avvio richiede l'interazione dell'utente finale.

      • Consenti chiave di avvio con TPM
      • Non consentire la chiave di avvio con TPM
      • Richiedi chiave di avvio con TPM

      Consiglio

      Per installare BitLocker automaticamente e silenziosamente su un dispositivo aggiunto a Microsoft Entra ed esegue Windows 1809 o versione successiva, questa impostazione non deve essere impostata su Richiedi chiave di avvio con TPM. Per altre informazioni, vedere Abilitare automaticamente BitLocker nei dispositivi.

    • Chiave di avvio e PIN TPM compatibili
      Impostazione predefinita: consenti chiave di avvio e PIN con TPM

      Scegli di consentire, non consentire o richiedere l'uso di una chiave di avvio e di un PIN con il chip TPM. L'abilitazione della chiave di avvio e del PIN richiede l'interazione dell'utente finale.

      • Consenti chiave di avvio e PIN con TPM
      • Non consentire la chiave di avvio e il PIN con TPM
      • Richiedere chiave di avvio e PIN con TPM

      Consiglio

      Per installare BitLocker automaticamente e silenziosamente su un dispositivo aggiunto a Microsoft Entra ed esegue Windows 1809 o versione successiva, questa impostazione non deve essere impostata su Richiedi chiave di avvio e PIN con TPM. Per altre informazioni, vedere Abilitare automaticamente BitLocker nei dispositivi.

  • Lunghezza minima PIN
    Impostazione predefinita: non configurata
    CSP BitLocker: SystemDrivesMinimumPINLength

    • Abilita Configurare una lunghezza minima per il PIN di avvio del TPM.
    • Non configurato : gli utenti possono configurare un PIN di avvio di qualsiasi lunghezza compresa tra 6 e 20 cifre.

    Se impostata su Abilita, è possibile configurare l'impostazione seguente:

    • Caratteri minimi
      Impostazione predefinita: non configurata CSP BitLocker: SystemDrivesMinimumPINLength

      Immetti il numero di caratteri necessari per il PIN di avvio da 4-a 20.

  • Ripristino dell'unità del sistema operativo
    Impostazione predefinita: non configurata
    CSP BitLocker: SystemDrivesRecoveryOptions

    • Abilita - Controlla il modo in cui le unità del sistema operativo protette con BitLocker vengono ripristinate quando le informazioni di avvio richieste non sono disponibili.
    • Non configurato : sono supportate le opzioni di ripristino predefinite, tra cui DRA. L'utente finale può specificare le opzioni di ripristino. Il backup delle informazioni di ripristino non viene eseguito in Servizi di dominio Active Directory.

    Se impostata su Abilita, è possibile configurare le impostazioni seguenti:

    • Agente di recupero dati basato su certificato
      Impostazione predefinita: non configurata

      • Blocco - Impedisce l'uso dell'agente di recupero dati con unità del sistema operativo protette da BitLocker.
      • Non configurato : consenti l'uso degli agenti di recupero dati con unità del sistema operativo protette con BitLocker.

    • Creazione della password di ripristino da parte dell'utente
      Impostazione predefinita: consenti password di ripristino a 48 cifre

      Scegli se gli utenti sono autorizzati, obbligati o meno a generare una password di ripristino di 48 cifre.

      • Consenti password di ripristino a 48 cifre
      • Non consentire la password di ripristino a 48 cifre
      • Richiedi password di ripristino a 48 cifre

    • Creazione della chiave di ripristino da parte dell'utente
      Impostazione predefinita: consenti chiave di ripristino a 256 bit

      Scegliere se gli utenti sono autorizzati, obbligatori o non autorizzati a generare una chiave di ripristino a 256 bit.

      • Consenti chiave di ripristino a 256 bit
      • Non consentire la chiave di ripristino a 256 bit
      • Richiedi chiave di ripristino a 256 bit

    • Opzioni di ripristino nella configurazione guidata di BitLocker
      Impostazione predefinita: non configurata

      • Blocca - Gli utenti non possono visualizzare e modificare le opzioni di ripristino. Quando impostato su
      • Non configurato : gli utenti possono visualizzare e modificare le opzioni di ripristino quando attivano BitLocker.

    • Salvare le informazioni di ripristino di BitLocker in Microsoft Entra ID
      Impostazione predefinita: non configurata

      • Abilita - Archivia le informazioni di ripristino di BitLocker in Microsoft Entra ID.
      • Non configurato: le informazioni di ripristino di BitLocker non vengono archiviate in Microsoft Entra ID.

    • Informazioni di ripristino di BitLocker archiviate in Microsoft Entra ID
      Impostazione predefinita: eseguire il backup delle password di ripristino e dei pacchetti di chiavi

      Configura le parti delle informazioni di ripristino di BitLocker archiviate in Microsoft Entra ID. Scegliere una delle opzioni seguenti:

      • Eseguire il backup delle password di ripristino e dei pacchetti di chiavi
      • Backup solo delle password di ripristino

    • Rotazione delle password di ripristino basata sul client
      Impostazione predefinita: non configurata
      CSP BitLocker: ConfigureRecoveryPasswordRotation

      Questa impostazione avvia una rotazione della password di ripristino basata sul client dopo il ripristino di un'unità del sistema operativo (tramite bootmgr o WinRE).

      • Non configurata
      • Rotazione tasti disabilitata
      • Rotazione delle chiavi abilitata per i dispositivi uniti a Microsoft Entra
      • Rotazione delle chiavi abilitata per Microsoft Entra ID e dispositivi collegati in modalità ibrida

    • Archivia le informazioni di ripristino in Microsoft Entra ID prima di abilitare BitLocker
      Impostazione predefinita: non configurata

      Impedire agli utenti di abilitare BitLocker a meno che il computer non esegua correttamente il backup delle informazioni di ripristino di BitLocker in Microsoft Entra ID.

      • Richiedi - Impedisci agli utenti di attivare BitLocker a meno che le informazioni di ripristino di BitLocker non vengano archiviate correttamente in Microsoft Entra ID.
      • Non configurato: gli utenti possono attivare BitLocker, anche se le informazioni di ripristino non sono archiviate correttamente in Microsoft Entra ID.

  • Messaggio e URL di ripristino prima dell'avvio
    Impostazione predefinita: non configurata
    CSP BitLocker: SystemDrivesRecoveryMessage

    • Abilita - Configura il messaggio e l'URL visualizzati nella schermata di ripristino della chiave prima dell'avvio.
    • Non configurato : disabilitare questa funzionalità.

    Se impostata su Abilita, è possibile configurare l'impostazione seguente:

    • Messaggio di ripristino prima dell'avvio
      Impostazione predefinita: usa il messaggio e l'URL di ripristino predefiniti

      Configura la modalità di visualizzazione del messaggio di ripristino prima dell'avvio. Scegliere una delle opzioni seguenti:

      • Usa URL e messaggio di ripristino predefiniti
      • Usa messaggio e URL di ripristino vuoti
      • Usa un messaggio di ripristino personalizzato
      • Utilizza un URL di ripristino personalizzato

BitLocker: impostazioni corrette dell'unità dati

Queste impostazioni si applicano in modo specifico alle unità dati fisse.

  • Accesso in scrittura a un'unità dati fissa non protetta da BitLocker
    Impostazione predefinita: non configurata
    CSP BitLocker: FixedDrivesRequireEncryption

    • Blocca : consente l'accesso in sola lettura alle unità dati non protette da BitLocker.
    • Non configurato : per impostazione predefinita, l'accesso in lettura e scrittura alle unità dati non sono crittografate.

  • Risolto il problema del ripristino dell'unità
    Impostazione predefinita: non configurata
    CSP BitLocker: FixedDrivesRecoveryOptions

    • Abilita - Controlla il modo in cui le unità fisse protette con BitLocker vengono ripristinate quando le informazioni di avvio richieste non sono disponibili.
    • Non configurato : disabilitare questa funzionalità.

    Se impostata su Abilita, è possibile configurare le impostazioni seguenti:

    • Agente recupero dati
      Impostazione predefinita: non configurata

      • Blocco - Impedire l'uso dell'agente di recupero dati con unità fisse protette con BitLocker Editor dei criteri.
      • Non configurato : consente l'uso di agenti di recupero dati con unità fisse protette da BitLocker.

    • Creazione della password di ripristino da parte dell'utente
      Impostazione predefinita: consenti password di ripristino a 48 cifre

      Scegli se gli utenti sono autorizzati, obbligati o meno a generare una password di ripristino di 48 cifre.

      • Consenti password di ripristino a 48 cifre
      • Non consentire la password di ripristino a 48 cifre
      • Richiedi password di ripristino a 48 cifre

    • Creazione della chiave di ripristino da parte dell'utente
      Impostazione predefinita: consenti chiave di ripristino a 256 bit

      Scegliere se gli utenti sono autorizzati, obbligatori o non autorizzati a generare una chiave di ripristino a 256 bit.

      • Consenti chiave di ripristino a 256 bit
      • Non consentire la chiave di ripristino a 256 bit
      • Richiedi chiave di ripristino a 256 bit

    • Opzioni di ripristino nella configurazione guidata di BitLocker
      Impostazione predefinita: non configurata

      • Blocca - Gli utenti non possono visualizzare e modificare le opzioni di ripristino. Quando impostato su
      • Non configurato : gli utenti possono visualizzare e modificare le opzioni di ripristino quando attivano BitLocker.

    • Salvare le informazioni di ripristino di BitLocker in Microsoft Entra ID
      Impostazione predefinita: non configurata

      • Abilita - Archivia le informazioni di ripristino di BitLocker in Microsoft Entra ID.
      • Non configurato: le informazioni di ripristino di BitLocker non vengono archiviate in Microsoft Entra ID.

    • Informazioni di ripristino di BitLocker archiviate in Microsoft Entra ID
      Impostazione predefinita: eseguire il backup delle password di ripristino e dei pacchetti di chiavi

      Configura le parti delle informazioni di ripristino di BitLocker archiviate in Microsoft Entra ID. Scegliere una delle opzioni seguenti:

      • Eseguire il backup delle password di ripristino e dei pacchetti di chiavi
      • Backup solo delle password di ripristino

    • Archivia le informazioni di ripristino in Microsoft Entra ID prima di abilitare BitLocker
      Impostazione predefinita: non configurata

      Impedire agli utenti di abilitare BitLocker a meno che il computer non esegua correttamente il backup delle informazioni di ripristino di BitLocker in Microsoft Entra ID.

      • Richiedi - Impedisci agli utenti di attivare BitLocker a meno che le informazioni di ripristino di BitLocker non vengano archiviate correttamente in Microsoft Entra ID.
      • Non configurato: gli utenti possono attivare BitLocker, anche se le informazioni di ripristino non sono archiviate correttamente in Microsoft Entra ID.

Impostazioni unità dati rimovibili in BitLocker

Queste impostazioni si applicano in modo specifico alle unità dati rimovibili.

  • Accesso in scrittura a un'unità dati rimovibile non protetta da BitLocker
    Impostazione predefinita: non configurata
    CSP BitLocker: RemovableDrivesRequireEncryption

    • Blocca : consente l'accesso in sola lettura alle unità dati non protette da BitLocker.
    • Non configurato : per impostazione predefinita, l'accesso in lettura e scrittura alle unità dati non sono crittografate.

    Se impostata su Abilita, è possibile configurare l'impostazione seguente:

    • Accesso in scrittura ai dispositivi configurati in un'altra organizzazione
      Impostazione predefinita: non configurata

      • Blocca : consente di non accedere in scrittura ai dispositivi configurati in un'altra organizzazione.
      • Non configurato : nega accesso in scrittura.

Microsoft Defender Exploit Guard

Usa Protezione dagli exploit per gestire e ridurre la superficie di attacco delle app usate dai tuoi dipendenti.

Riduzione della superficie di attacco

Le regole di riduzione della superficie di attacco consentono di prevenire comportamenti spesso usati dal malware per infettare i computer con codice dannoso.

Regole per la riduzione della superficie di attacco

Per altre informazioni, vedere Regole di riduzione della superficie di attacco nella documentazione di Microsoft Defender per endpoint.

Comportamento di unione per le regole di riduzione della superficie di attacco in Intune:

Le regole di riduzione della superficie di attacco supportano una fusione di impostazioni di criteri diversi per creare un superset di criteri per ogni dispositivo. Solo le impostazioni non in conflitto vengono unite, mentre le impostazioni in conflitto non vengono aggiunte al superset di regole. In precedenza, se due criteri includevano conflitti per una singola impostazione, entrambi i criteri venivano contrassegnati come in conflitto e non veniva distribuita alcuna impostazione di nessuno dei profili.

Il comportamento di unione delle regole di riduzione della superficie di attacco è il seguente:

  • Le regole di riduzione della superficie di attacco dei profili seguenti vengono valutate per ogni dispositivo a cui si applicano le regole:
    • Dispositivi > Criterio > di configurazione Profilo > Endpoint Protection Riduzione della superficie di attacco di Microsoft Defender Exploit Guard >
    • Sicurezza degli > endpoint Criteri > di riduzione della superficie di attacco Regole per la riduzione della superficie di attacco
    • Sicurezza degli endpoint > Baseline > di sicurezza Baseline di Microsoft Defender per endpoint Regole di >riduzione della superficie di attacco.
  • Le impostazioni che non presentano conflitti vengono aggiunte a un superset di criteri per il dispositivo.
  • Se due o più criteri hanno impostazioni in conflitto, le impostazioni in conflitto non vengono aggiunte al criterio combinato. Le impostazioni senza conflitti vengono aggiunte al criterio superset che si applica a un dispositivo.
  • Vengono limitate solo le configurazioni per le impostazioni in conflitto.

Impostazioni nel profilo:

Regole per prevenire le minacce alle macro di Office

Impedire alle app di Office di eseguire le azioni seguenti:

Regole per prevenire le minacce di script

Blocca quanto segue per prevenire le minacce agli script:

Regole per prevenire le minacce via e-mail

Blocca quanto segue per prevenire le minacce via email:

  • Esecuzione di contenuti eseguibili (exe, dll, ps, js, vbs, ecc.) eliminati dalla posta elettronica (webmail/client di posta) (nessuna eccezione)
    Impostazione predefinita: non configurata
    Regola: Blocca il contenuto eseguibile dal client di posta elettronica e dalla webmail

    • Non configurata
    • Blocco - Blocca l'esecuzione di contenuti eseguibili (exe, dll, ps, js, vbs, ecc.) eliminati dalla posta elettronica (webmail/mail-client).
    • Solo controllo

Regole per la protezione dal ransomware

Eccezioni per la riduzione della superficie di attacco

  • Files e cartella da escludere dalle regole di riduzione della superficie di attacco
    CSP Defender: AttackSurfaceReductionOnlyExclusions

    • Importare un file di .csv che contiene file e cartelle da escludere dalle regole di riduzione della superficie di attacco.
    • Aggiungere manualmente file o cartelle locali.

Importante

Per consentire la corretta installazione ed esecuzione delle app Win32 LOB, le impostazioni antimalware devono escludere dall'analisi le directory seguenti: Sui computer client X64: C:\Program Files (x86)\Microsoft Intune Management Extension\ContentC:\windows\IMECache

Sui computer client X86: C:\Program Files\Microsoft Intune Management Extension\ContentC:\windows\IMECache

Per ulteriori informazioni, vedere Suggerimenti per la scansione antivirus per i computer aziendali che eseguono versioni di Windows attualmente supportate.

Accesso alle cartelle controllato

Proteggere i dati importanti da app dannose e minacce, ad esempio ransomware.

  • Protezione delle cartelle
    Impostazione predefinita: non configurata
    CSP Defender: EnableControlledFolderAccess

    Proteggere file e cartelle da modifiche non autorizzate da parte di app poco amichevoli.

    • Non configurata
    • Attivazione
    • Solo controllo
    • Blocca la modifica del disco
    • Controlla modifica disco

    Quando si seleziona una configurazione diversa da Non configurato, è possibile configurare:

    • Elenco delle app che hanno accesso alle cartelle protette
      CSP Defender: ControlledFolderAccessAllowedApplications

      • Importare un file .csv che contiene un elenco di app.
      • Aggiungere manualmente le app all'elenco.

    • Elenco di cartelle aggiuntive da proteggere
      CSP Defender: ControlledFolderAccessProtectedFolders

      • Importare un file di .csv che contiene un elenco di cartelle.
      • Aggiungere manualmente le cartelle all'elenco.

Filtro di rete

Blocca le connessioni in uscita da qualsiasi app a indirizzi IP o domini con bassa reputazione. Il filtro di rete è supportato sia in modalità di controllo che in modalità di blocco.

  • Protezione di rete
    Impostazione predefinita: non configurata
    CSP Defender: EnableNetworkProtection

    Lo scopo di questa impostazione è proteggere gli utenti finali da app con accesso a tentativi di phishing, siti di hosting di exploit e contenuti dannosi su Internet. Inoltre, impedisce ai browser di terze parti di connettersi a siti pericolosi.

    • Non configurato : disabilitare questa funzionalità. Agli utenti e alle app non viene impedito di connettersi a domini pericolosi. Gli amministratori non possono visualizzare questa attività in Microsoft Defender Security Center.
    • Abilita : attiva la protezione della rete e impedisce a utenti e app di connettersi a domini pericolosi. Gli amministratori possono visualizzare questa attività in Microsoft Defender Security Center.
    • Solo controllo: - Agli utenti e alle app non viene impedito di connettersi a domini pericolosi. Gli amministratori possono visualizzare questa attività in Microsoft Defender Security Center.

Protezione dagli exploit

  • Carica XML
    Impostazione predefinita: non configurata

    Per usare la protezione dagli exploit per proteggere i dispositivi dagli exploit, creare un file XML che includa le impostazioni di prevenzione del sistema e dell'applicazione desiderate. Esistono due metodi per creare il file XML:

    • PowerShell : usare uno o più cmdlet Get-ProcessMitigation, Set-ProcessMitigation e ConvertTo-ProcessMitigationPolicy . I cmdlet configurano le impostazioni di mitigazione ed esportano una rappresentazione XML delle stesse.

    • Microsoft Defender Security Center Interfaccia utente: nella Microsoft Defender Security Center selezionare App & controllo browser e quindi scorrere fino alla fine della schermata risultante per trovare Protezione dagli exploit. Innanzitutto, utilizza le schede Impostazioni di sistema e Impostazioni programma per configurare le impostazioni di mitigazione. Quindi, trova il collegamento Impostazioni di esportazione nella parte inferiore dello schermo per esportarne una rappresentazione XML.

  • Modifica dell'interfaccia di protezione dagli exploit da parte dell'utente
    Impostazione predefinita: non configurata
    CSP ExploitGuard: ExploitProtectionSettings

    • Blocca - Caricare un file XML che consente di configurare la memoria, il flusso di controllo e le restrizioni dei criteri. Le impostazioni nel file XML possono essere usate per bloccare un'applicazione dagli exploit.
    • Non configurato : non viene usata alcuna configurazione personalizzata.

Controllo delle applicazioni di Microsoft Defender

Scegliere le app da controllare o che sono considerate attendibili per l'esecuzione da parte di Controllo applicazioni di Microsoft Defender Defender. I componenti di Windows e tutte le app di Windows Store vengono automaticamente considerati attendibili per l'esecuzione.

  • Criteri di integrità del codice di controllo delle applicazioni
    Impostazione predefinita: non configurata
    CSP: AppLocker CSP

    • Applica - Scegliere i criteri di integrità del codice di controllo delle applicazioni per i dispositivi degli utenti.

      Dopo essere stato abilitato in un dispositivo, il controllo delle applicazioni può essere disabilitato solo modificando la modalità da Applica a Solo controllo. La modifica della modalità da Applica a Non configurato , il controllo delle applicazioni continua a essere applicato ai dispositivi assegnati.

    • Non configurato : controllo applicazioni non viene aggiunto ai dispositivi. Tuttavia, le impostazioni aggiunte in precedenza continuano a essere applicate ai dispositivi assegnati.

    • Solo controllo : le applicazioni non vengono bloccate. Tutti gli eventi vengono registrati nei registri del client locale.

      Nota

      Se si usa questa impostazione, il comportamento del provider di servizi di configurazione AppLocker attualmente richiede all'utente finale di riavviare il computer quando viene distribuito un criterio.

Microsoft Defender Credential Guard

Microsoft Defender Credential Guard protegge dagli attacchi di furto delle credenziali. Isola i segreti in modo che solo il software di sistema con privilegi possa accedervi.

  • Credential Guard
    Impostazione predefinita: Disabilitato
    DeviceGuard CSP

    • Disabilita : disattivare Credential Guard in remoto, se è stato attivato in precedenza con l'opzione Abilitato senza blocco UEFI .

    • Abilita con blocco UEFI : Credential Guard non può essere disabilitato in remoto tramite una chiave del Registro di sistema o criteri di gruppo.

      Nota

      Se usi questa impostazione e desideri disabilitare Credential Guard in un secondo momento, devi impostare i Criteri di gruppo su Disabilitato. Inoltre, cancellare fisicamente le informazioni di configurazione UEFI da ogni computer. Finché la configurazione UEFI persiste, Credential Guard è abilitato.

    • Abilita senza blocco UEFI - Consente di disabilitare Credential Guard in remoto usando i Criteri di gruppo. I dispositivi che usano questa impostazione devono eseguire Windows 10 versione 1511 e successive o Windows 11.

      Importante

      Il 14 ottobre 2025 Windows 10 ha raggiunto la fine del supporto e non riceverà aggiornamenti relativi alla qualità e alle funzionalità. Windows 10 è una versione consentita in Intune. I dispositivi che eseguono questa versione possono comunque registrarsi in Intune e usare funzionalità idonee, ma la funzionalità non sarà garantita e può variare.

    Quando abiliti Credential Guard, sono abilitate anche le funzionalità richieste seguenti:

    • Sicurezza basata su virtualizzazione (VBS)
      Si accende durante il successivo riavvio. La sicurezza basata su virtualizzazione usa l'hypervisor Windows per fornire supporto per i servizi di sicurezza.
    • Avvio protetto con accesso alla memoria della directory
      Attiva VBS con protezioni Secure Boot e DMA (Direct Memory Access). Le protezioni DMA richiedono il supporto hardware e sono abilitate solo su dispositivi configurati correttamente.

Microsoft Defender Security Center

Microsoft Defender Security Center funziona come un'app o un processo separato da ognuna delle singole funzionalità. Visualizza le notifiche tramite il centro notifiche. Funge da raccoglitore o da un'unica posizione per visualizzare lo stato ed eseguire alcune configurazioni per ciascuna delle funzionalità. Per altre informazioni, vedi la documentazione di Microsoft Defender.

App e notifiche di Microsoft Defender Security Center

Bloccare l'accesso degli utenti finali alle varie aree dell'app Microsoft Defender Security Center. Nascondendo una sezione, vengono bloccate anche le notifiche correlate.

  • Protezione da virus e minacce
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: DisableVirusUI

    Configura se gli utenti finali possono visualizzare l'area Protezione da virus e minacce in Microsoft Defender Security Center. Nascondendo questa sezione, verranno bloccate anche tutte le notifiche relative alla protezione da virus e minacce.

    • Non configurata
    • Nascondi

  • Protezione ransomware
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: HideRansomwareDataRecovery

    Configura se gli utenti finali possono visualizzare l'area Protezione ransomware in Microsoft Defender Security Center. Nascondendo questa sezione verranno bloccate anche tutte le notifiche relative alla protezione Ransomware.

    • Non configurata
    • Nascondi

  • Protezione dell'account
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: DisableAccountProtectionUI

    Configura se gli utenti finali possono visualizzare l'area Protezione account in Microsoft Defender Security Center. Nascondendo questa sezione, verranno bloccate anche tutte le notifiche relative alla protezione dell'account.

    • Non configurata
    • Nascondi

  • Protezione per firewall e rete
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: DisableNetworkUI

    Configura se gli utenti finali possono visualizzare l'area Firewall e protezione rete nel centro sicurezza di Microsoft Defender. Nascondendo questa sezione, verranno bloccate anche tutte le notifiche relative al firewall e alla protezione della rete.

    • Non configurata
    • Nascondi

  • Controllo app e browser
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: DisableAppBrowserUI

    Configura se gli utenti finali possono visualizzare l'area di controllo App e browser nel centro sicurezza di Microsoft Defender. Nascondendo questa sezione, verranno bloccate anche tutte le notifiche correlate al controllo dell'app e del browser.

    • Non configurata
    • Nascondi

  • Protezione hardware
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: DisableDeviceSecurityUI

    Configura se gli utenti finali possono visualizzare l'area Protezione hardware in Microsoft Defender Security Center. Nascondendo questa sezione, verranno bloccate anche tutte le notifiche relative alla protezione hardware.

    • Non configurata
    • Nascondi

  • Prestazioni e integrità del dispositivo
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: DisableHealthUI

    Configura se gli utenti finali possono visualizzare l'area Prestazioni e integrità del dispositivo nel centro sicurezza di Microsoft Defender. Nascondendo questa sezione, verranno bloccate anche tutte le notifiche relative alle prestazioni e all'integrità del dispositivo.

    • Non configurata
    • Nascondi

  • Opzioni famiglia
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: DisableFamilyUI

    Configura se gli utenti finali possono visualizzare l'area Opzioni famiglia nel centro sicurezza di Microsoft Defender. Nascondendo questa sezione, verranno bloccate anche tutte le notifiche relative alle opzioni famiglia.

    • Non configurata
    • Nascondi

  • Notifiche dalle aree visualizzate dell'app
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: DisableNotifications

    Scegliere le notifiche da visualizzare agli utenti finali. Le notifiche non critiche includono riepiloghi dell'attività di Antivirus Microsoft Defender, incluse le notifiche quando le analisi sono state completate. Tutte le altre notifiche sono considerate critiche.

    • Non configurata
    • Blocca le notifiche non critiche
    • Blocca tutte le notifiche

  • Icona Centro Sicurezza di Windows nella barra delle applicazioni
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: HideWindowsSecurityNotificationAreaControl

    Configurare la visualizzazione del controllo dell'area di notifica. Per rendere effettiva questa impostazione, l'utente deve disconnettersi e accedere oppure riavviare il computer.

    • Non configurata
    • Nascondi

  • Pulsante Cancella TPM
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: DisableClearTpmButton

    Configura la visualizzazione del pulsante Cancella TPM.

    • Non configurata
    • Disable

  • Avviso relativo all'aggiornamento del firmware TPM
    Impostazione predefinita: non configurata
    CSP WindowsDefenderSecurityCenter: DisableTpmFirmwareUpdateWarning

    Configura la visualizzazione del firmware TPM di aggiornamento quando viene rilevato un firmware vulnerabile.

    • Non configurata
    • Nascondi

  • Protezione antimanomissione
    Impostazione predefinita: non configurata

    Attivare o disattivare la protezione antimanomissione nei dispositivi. Per usare Protezione antimanomissione è necessario integrare Microsoft Defender per endpoint con Intune e disporre di licenze di Enterprise Mobility + Security E5.

    • Non configurato : non viene apportata alcuna modifica alle impostazioni del dispositivo.
    • Abilitato : la protezione antimanomissione è attivata e vengono applicate restrizioni ai dispositivi.
    • Disabilitato : la protezione antimanomissione è disattivata e le restrizioni non vengono applicate.

Informazioni di contatto IT

Fornisci le informazioni di contatto IT da visualizzare nell'app Microsoft Defender Security Center e nelle notifiche dell'app.

È possibile scegliere Visualizza nell'app e nelle notifiche, Visualizza solo nell'app, Visualizza solo nelle notifiche o Non visualizzare. Immettere il nome dell'organizzazione IT e almeno una delle opzioni di contatto seguenti:

  • Informazioni di contatto IT
    Impostazione predefinita: Non visualizzare
    CSP WindowsDefenderSecurityCenter: EnableCustomizedToasts

    Configurare dove visualizzare le informazioni di contatto IT per gli utenti finali.

    • Visualizzazione nell'app e nelle notifiche
    • Visualizza solo nell'app
    • Visualizza solo nelle notifiche
    • Non visualizzare

    Se configurato per la visualizzazione, puoi configurare le impostazioni seguenti:

    • Nome organizzazione IT
      Impostazione predefinita: non configurata
      CSP WindowsDefenderSecurityCenter: CompanyName

    • Numero di telefono del reparto IT o ID Skype
      Impostazione predefinita: non configurata
      CSP WindowsDefenderSecurityCenter: Phone

    • Indirizzo di posta elettronica del reparto IT
      Impostazione predefinita: non configurata
      CSP WindowsDefenderSecurityCenter: Email

    • URL del sito Web del supporto IT
      Impostazione predefinita: non configurata
      CSP WindowsDefenderSecurityCenter: URL

Opzioni di sicurezza dei dispositivi locali

Usa queste opzioni per configurare le impostazioni di sicurezza locali nei dispositivi Windows.

Account

  • Aggiungere nuovi account Microsoft
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: Accounts_BlockMicrosoftAccounts

    • Blocco Impedire agli utenti di aggiungere nuovi account Microsoft al dispositivo.
    • Non configurato : gli utenti possono usare gli account Microsoft nel dispositivo.

  • Accesso remoto senza password
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: Accounts_LimitLocalAccountUseOfBlankPasswordsToConsoleLogonOnly

    • Blocca - Consenti solo agli account locali con password vuote di accedere usando la tastiera del dispositivo.
    • Non configurato : consente agli account locali con password vuote di accedere da posizioni diverse dal dispositivo fisico.

Amministratore

  • Account amministratore locale
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: Accounts_LimitLocalAccountUseOfBlankPasswordsToConsoleLogonOnly

    • Blocco Impedire l'uso di un account amministratore locale.
    • Non configurata

  • Rinomina account amministratore
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: Accounts_RenameAdministratorAccount

    Definire un nome account diverso da associare all'ID di sicurezza (SID) per l'account "Amministratore".

Guest

  • Account ospite
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: LocalPoliciesSecurityOptions

    • Blocca - Impedire l'uso di un account guest.
    • Non configurata

  • Rinomina account ospite
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: Accounts_RenameGuestAccount

    Definire un nome account diverso da associare all'ID di sicurezza (SID) per l'account "Guest".

Dispositivi

  • Disancorare il dispositivo senza accesso
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: Devices_AllowUndockWithoutHavingToLogon

    • Blocca - Un utente deve accedere al dispositivo e ricevere l'autorizzazione per disancorare il dispositivo.
    • Non configurato : gli utenti possono premere il pulsante di espulsione fisica di un dispositivo portatile ancorato per disancorare il dispositivo in modo sicuro.

  • Installare i driver della stampante per le stampanti condivise
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: Devices_PreventUsersFromInstallingPrinterDriversWhenConnectingToSharedPrinters

    • Abilitato - Qualsiasi utente può installare un driver della stampante come parte della connessione a una stampante condivisa.
    • Non configurato : solo gli amministratori possono installare un driver della stampante come parte della connessione a una stampante condivisa.

  • Limita l'accesso al CD-ROM all'utente attivo locale
    Impostazione predefinita: non configurata
    CSP: Devices_RestrictCDROMAccessToLocallyLoggedOnUserOnly

    • Abilitato - Solo l'utente che ha effettuato l'accesso interattivo può utilizzare il supporto CD-ROM. Se questo criterio è abilitato e nessuno è connesso in modo interattivo, l'accesso al CD-ROM è effettuato in rete.
    • Non configurato : chiunque ha accesso al CD-ROM.

  • Formattare ed espellere i supporti rimovibili
    Impostazione predefinita: Administrators
    CSP: Devices_AllowedToFormatAndEjectRemovableMedia

    Definire chi è autorizzato a formattare ed espellere i supporti NTFS rimovibili:

    • Non configurata
    • Amministratori
    • Amministratori e utenti esperti
    • Amministratori e utenti interattivi

Accesso interattivo

  • Minuti di inattività della schermata di blocco fino all'attivazione dello screen saver
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: InteractiveLogon_MachineInactivityLimit

    Immettere i minuti massimi di inattività prima dell'attivazione dello screensaver. (0 - 99999)

  • Richiedi accesso CTRL+ALT+CANC
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: InteractiveLogon_DoNotRequireCTRLALTDEL

    • Abilita - Richiedere agli utenti di premere CTRL+ALT+CANC prima di accedere a Windows.
    • Non configurato : premere CTRL+ALT+CANC non è necessario per consentire agli utenti di eseguire l'accesso.

  • Comportamento di rimozione della smart card
    Impostazione predefinita: nessuna azione
    CSP LocalPoliciesSecurityOptions: InteractiveLogon_SmartCardRemovalBehavior

    Determina cosa accade quando la smart card per un utente connesso viene rimossa dal lettore di smart card. Le opzioni disponibili sono:

    • Blocca workstation - La workstation viene bloccata quando la smart card viene rimossa. Questa opzione consente agli utenti di uscire dall'area, portare con sé la smart card e mantenere comunque una sessione protetta.
    • Nessuna azione
    • Forza disconnessione : l'utente viene disconnesso automaticamente quando la smart card viene rimossa.
    • Disconnetti se una sessione di Servizi Desktop remoto - La rimozione della smart card disconnette la sessione senza disconnettersi dall'utente. Questa opzione consente all'utente di inserire la smart card e riprendere la sessione in un secondo momento o in un altro computer dotato di lettore di smart card, senza dover effettuare nuovamente l'accesso. Se la sessione è locale, questo criterio funziona in modo identico a Blocca Workstation.

Visualizza

  • Informazioni utente nella schermata di blocco
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: InteractiveLogon_DisplayUserInformationWhenTheSessionIsLocked

    Configurare le informazioni utente visualizzate quando la sessione viene bloccata. Se non configurato, vengono visualizzati il nome visualizzato, il dominio e il nome utente dell'utente.

    • Non configurata
    • Nome visualizzato dell'utente, dominio e nome utente
    • Solo nome visualizzato dell'utente
    • Non visualizzare informazioni utente

  • Nascondi ultimo utente che ha eseguito l'accesso
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: InteractiveLogon_DoNotDisplayLastSignedIn

    • Abilita - Nasconde il nome utente.
    • Non configurato : mostra l'ultimo nome utente.

  • Nascondi nome utente all'accesso
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: InteractiveLogon_DoNotDisplayUsernameAtSignIn

    • Abilita - Nasconde il nome utente.
    • Non configurato : mostra l'ultimo nome utente.

  • Titolo del messaggio di accesso
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: InteractiveLogon_MessageTitleForUsersAttemptingToLogOn

    Impostare il titolo del messaggio per gli utenti che eseguono l'accesso.

  • Testo del messaggio di accesso
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: InteractiveLogon_MessageTextForUsersAttemptingToLogOn

    Impostare il testo del messaggio per gli utenti che accedono.

Accesso alla rete e sicurezza

  • Accesso anonimo a named pipe e condivisioni
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: NetworkAccess_RestrictAnonymousAccessToNamedPipesAndShares

    • Non configurato : limita l'accesso anonimo alle impostazioni di condivisione e named pipe. Si applica alle impostazioni a cui è possibile accedere in modo anonimo.
    • Blocca - Disabilita questo criterio, rendendo disponibile l'accesso anonimo.

  • Enumerazione anonima degli account SAM
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: NetworkAccess_DoNotAllowAnonymousEnumerationOfSAMAccounts

    • Non configurato : gli utenti anonimi possono enumerare gli account SAM.
    • Blocca - Impedisce l'enumerazione anonima degli account SAM.

  • Enumerazione anonima di account e condivisioni SAM
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: NetworkAccess_DoNotAllowAnonymousEnumerationOfSamAccountsAndShares

    • Non configurato : gli utenti anonimi possono enumerare i nomi degli account di dominio e delle condivisioni di rete.
    • Blocca - Impedisce l'enumerazione anonima di account e condivisioni SAM.

  • Valore hash di LAN Manager archiviato al cambio della password
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: NetworkSecurity_DoNotStoreLANManagerHashValueOnNextPasswordChange

    Determina se il valore hash per le password viene archiviato alla successiva modifica della password.

    • Non configurato : il valore hash non viene archiviato
    • Blocco - LAN Manager (LM) memorizza il valore hash per la nuova password.

  • Richieste di autenticazione PKU2U
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: NetworkSecurity_AllowPKU2UAuthenticationRequests

    • Non configurato- Consenti richieste PU2U.
    • Blocca - Blocca le richieste di autenticazione PKU2U al dispositivo.

  • Limitare le connessioni RPC remote a SAM
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: NetworkAccess_RestrictClientsAllowedToMakeRemoteCallsToSAM

    • Non configurato : utilizzare il descrittore di sicurezza predefinito, che può consentire a utenti e gruppi di effettuare chiamate RPC remote al SAM.

    • Consenti - Nega a utenti e gruppi di effettuare chiamate RPC remote a SAM (Security Accounts Manager), che archivia gli account utente e le password. Consenti consente inoltre di modificare la stringa SDDL (Security Descriptor Definition Language) predefinita per consentire o negare in modo esplicito a utenti e gruppi di effettuare queste chiamate remote.

      • Descrittore di sicurezza
        Impostazione predefinita: non configurata

  • Sicurezza sessione minima per client basati su NTLM SSP
    Impostazione predefinita: nessuna
    CSP LocalPoliciesSecurityOptions: NetworkSecurity_MinimumSessionSecurityForNTLMSSPBasedClients

    Questa impostazione di sicurezza consente a un server di richiedere la negoziazione della crittografia a 128 bit e/o della sicurezza della sessione NTLMv2.

    • Nessuna
    • Richiedi sicurezza sessione NTLMv2
    • Richiedere la crittografia a 128 bit
    • NTLMv2 e crittografia a 128 bit

  • Sicurezza sessione minima per server basato su NTLM SSP
    Impostazione predefinita: nessuna
    CSP LocalPoliciesSecurityOptions: NetworkSecurity_MinimumSessionSecurityForNTLMSSPBasedServers

    Questa impostazione di sicurezza determina il protocollo di autenticazione challenge/response usato per gli accessi alla rete.

    • Nessuna
    • Richiedi sicurezza sessione NTLMv2
    • Richiedere la crittografia a 128 bit
    • NTLMv2 e crittografia a 128 bit

  • Livello di autenticazione di LAN Manager
    Impostazione predefinita: LM e NTLM
    CSP LocalPoliciesSecurityOptions: NetworkSecurity_LANManagerAuthenticationLevel

    • LM e NTLM
    • LM, NTLM e NTLMv2
    • NTLM
    • NTLMv2
    • NTLMv2 e non LM
    • NTLMv2 e non LM o NTLM

  • Accessi guest non sicuri
    Impostazione predefinita: non configurata
    CSP LanmanWorkstation: LanmanWorkstation

    Se si abilita questa impostazione, il client SMB rifiuterà gli accessi guest non sicuri.

    • Non configurata
    • Blocco : il client SMB rifiuta gli accessi guest non sicuri.

Console di ripristino di emergenza e arresto

  • Cancella il file di paging della memoria virtuale all'arresto
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: Shutdown_ClearVirtualMemoryPageFile

    • Abilita : cancella il file di paging della memoria virtuale quando il dispositivo è spento.
    • Non configurato : non cancella la memoria virtuale.

  • Arresto senza accesso
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: Shutdown_AllowSystemToBeShutDownWithoutHavingToLogOn

    • Blocca - Nasconde l'opzione di arresto nella schermata di accesso di Windows. Gli utenti devono accedere al dispositivo e quindi arrestarlo.
    • Non configurato : consente agli utenti di arrestare il dispositivo dalla schermata di accesso di Windows.

Controllo dell'account utente

  • Integrità dell'interfaccia utente senza posizione sicura
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: UserAccountControl_OnlyElevateUIAccessApplicationsThatAreInstalledInSecureLocations

    • Blocca : le app che si trovano in una posizione sicura nel file system verranno eseguite solo con integrità UIAccess.
    • Non configurato : consente alle app di essere eseguite con l'integrità dell'accesso all'interfaccia utente, anche se le app non si trovano in una posizione sicura nel file system.

  • Virtualizza errori di scrittura su file e nel Registro di sistema in percorsi distinti per ogni utente
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: UserAccountControl_VirtualizeFileAndRegistryWriteFailuresToPerUserLocations

    • Abilitato : le applicazioni che scrivono dati in percorsi protetti hanno esito negativo.
    • Non configurato : gli errori di scrittura dell'applicazione vengono reindirizzati in fase di esecuzione a posizioni utente definite per il file system e il Registro di sistema.

  • Eleva solo file eseguibili firmati e convalidati
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: UserAccountControl_OnlyElevateUIAccessApplicationsThatAreInstalledInSecureLocations

    • Abilitato - Applica la convalida del percorso di certificazione PKI per un file eseguibile prima che possa essere eseguito.
    • Non configurato : non imporre la convalida del percorso di certificazione PKI prima dell'esecuzione di un file eseguibile.

Comportamento della richiesta di elevazione dei privilegi dell'interfaccia utente

  • Richiesta di elevazione dei privilegi per gli amministratori
    Impostazione predefinita: richiedi consenso per i file binari non Windows
    CSP LocalPoliciesSecurityOptions: UserAccountControl_BehaviorOfTheElevationPromptForAdministrators

    Definisce il comportamento della richiesta di elevazione dei privilegi per gli amministratori in modalità Amministrazione approvazione.

    • Non configurata
    • Eleva senza chiedere conferma
    • Richiedi le credenziali sul desktop sicuro
    • Richiedi le credenziali
    • Richiedi consenso
    • Richiedi consenso per i file binari non Windows

  • Richiesta di elevazione dei privilegi per utenti standard
    Impostazione predefinita: Richiedi credenziali
    CSP LocalPoliciesSecurityOptions: UserAccountControl_BehaviorOfTheElevationPromptForStandardUsers

    Definisce il comportamento della richiesta di elevazione dei privilegi per gli utenti standard.

    • Non configurata
    • Nega automaticamente le richieste di elevazione dei privilegi
    • Richiedi le credenziali sul desktop sicuro
    • Richiedi le credenziali

  • Instradare le richieste di elevazione al desktop interattivo dell'utente
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: UserAccountControl_SwitchToTheSecureDesktopWhenPromptingForElevation

    • Abilitato : tutte le richieste di elevazione dei privilegi devono passare al desktop dell'utente interattivo anziché al desktop sicuro. Vengono utilizzate tutte le impostazioni dei criteri di comportamento della richiesta per amministratori e utenti standard.
    • Non configurato : forza tutte le richieste di elevazione dei privilegi sul desktop sicuro, indipendentemente dalle impostazioni dei criteri di comportamento di richiesta per amministratori e utenti standard.

  • Richiesta elevata per l'installazione di app
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: UserAccountControl_DetectApplicationInstallationsAndPromptForElevation

    • Abilitato : i pacchetti di installazione dell'applicazione non vengono rilevati o non viene richiesta l'elevazione.
    • Non configurato : agli utenti vengono richiesti un nome utente e una password di amministratore quando un pacchetto di installazione dell'applicazione richiede privilegi elevati.

  • Richiesta di elevazione dell'interfaccia utente senza desktop sicuro
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: UserAccountControl_AllowUIAccessApplicationsToPromptForElevation

  • Abilita : consente alle app con accesso all'interfaccia utente di richiedere l'elevazione, senza usare il desktop sicuro.

  • Non configurato : le richieste di elevazione dei privilegi usano un desktop sicuro.

Modalità Approvazione Amministrazione

  • Modalità di approvazione dell'amministratore per l'amministratore predefinito
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: UserAccountControl_UseAdminApprovalMode

    • Abilitato: consente all'account amministratore predefinito di usare Amministrazione modalità approvazione. Qualsiasi operazione che richieda l'elevazione dei privilegi richiede all'utente di approvare l'operazione.
    • Non configurato : esegue tutte le app con privilegi di amministratore completi.

  • Eseguire tutti gli amministratori in modalità Amministrazione Approvazione
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: UserAccountControl_RunAllAdministratorsInAdminApprovalMode

    • Abilitato- Abilita la modalità Approvazione Amministrazione.
    • Non configurato: disabilita la modalità Approvazione Amministrazione e tutte le impostazioni dei criteri di controllo dell'account utente correlate.

Client di rete Microsoft

  • Aggiungere la firma digitale alle comunicazioni (se autorizzato dal server)
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: MicrosoftNetworkClient_DigitallySignCommunicationsIfServerAgrees

    Determina se il client SMB negozia la firma dei pacchetti SMB.

    • Blocco : il client SMB non negozia mai la firma dei pacchetti SMB.
    • Non configurato : il client di rete Microsoft chiede al server di eseguire la firma dei pacchetti SMB al momento dell'installazione della sessione. Se la firma dei pacchetti è abilitata sul server, la firma dei pacchetti viene negoziata.

  • Invia password non crittografata a server SMB di terze parti
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: MicrosoftNetworkClient_SendUnencryptedPasswordToThirdPartySMBServers

    • Blocca - Il redirector SMB (Server Message Block) può inviare password in testo normale a server SMB non Microsoft che non supportano la crittografia delle password durante l'autenticazione.
    • Non configurato : blocca l'invio di password in chiaro. Le password sono crittografate.

  • Aggiungere la firma digitale alle comunicazioni (sempre)
    Impostazione predefinita: non configurata
    CSP LocalPoliciesSecurityOptions: MicrosoftNetworkClient_DigitallySignCommunicationsAlways

    • Abilitare - Il client di rete Microsoft non comunica con un server di rete Microsoft a meno che tale server non accetti la firma dei pacchetti SMB.
    • Non configurato : la firma dei pacchetti SMB viene negoziata tra il client e il server.

Server di rete Microsoft

  • Aggiungere la firma digitale alle comunicazioni (se il cliente è d'accordo)
    Impostazione predefinita: non configurata
    CSP: MicrosoftNetworkServer_DigitallySignCommunicationsIfClientAgrees

    • Abilita : il server di rete Microsoft negozia la firma dei pacchetti SMB come richiesto dal client. In altre parole, se la firma dei pacchetti è abilitata sul client, la firma dei pacchetti viene negoziata.
    • Non configurato : il client SMB non negozia mai la firma dei pacchetti SMB.

  • Aggiungere la firma digitale alle comunicazioni (sempre)
    Impostazione predefinita: non configurata
    CSP: MicrosoftNetworkServer_DigitallySignCommunicationsAlways

    • Abilitare - Il server di rete Microsoft non comunica con un client di rete Microsoft a meno che il client non accetti la firma dei pacchetti SMB.
    • Non configurato : la firma dei pacchetti SMB viene negoziata tra il client e il server.

Servizi Xbox

Passaggi successivi

Il profilo è stato creato, ma non sta ancora eseguendo alcuna operazione. Assegnare quindi il profilo e monitorarne lo stato.

Configurare le impostazioni di protezione degli endpoint nei dispositivi macOS .

  • Last updated on