Autorizzare app affidabili con Intelligent Security Graph (ISG)

Nota

Alcune funzionalità di Controllo delle applicazioni per le aziende sono disponibili solo in versioni specifiche di Windows. Altre informazioni sulla disponibilità della funzionalità Controllo app.

Il controllo delle applicazioni può essere difficile da implementare nelle organizzazioni che non distribuiscono e gestiscono le applicazioni tramite un sistema gestito dall'IT. In tali ambienti, gli utenti possono acquisire le applicazioni che desiderano utilizzare per lavoro, rendendo difficile la creazione di una politica di Controllo delle applicazioni efficace.

Per ridurre i problemi con gli utenti finali e le chiamate al supporto tecnico, è possibile impostare Controllo app per le aziende in modo da consentire automaticamente le applicazioni che Intelligent Security Graph (ISG) di Microsoft riconosce come di buona reputazione. L'opzione ISG consente alle organizzazioni di iniziare a implementare Controllo app anche quando l'organizzazione ha un controllo limitato sull'ecosistema di app. Per altre informazioni sull'ISG, vedere la sezione Sicurezza in Servizi e funzionalità principali in Microsoft Graph.

Warning

I file binari critici per l'avvio del sistema devono essere consentiti usando regole esplicite nei criteri di Controllo app. Non fare affidamento sull'ISG per autorizzare questi file.

L'opzione ISG non è il modo consigliato per consentire le app critiche per l'azienda. È consigliabile autorizzare sempre le app business critical usando regole di autorizzazione esplicite o installandole con un programma di installazione gestito.

Come funziona Controllo app con l'ISG?

Il gruppo ISG non è un "elenco" di app. Utilizza invece la stessa vasta intelligence di sicurezza e analisi di apprendimento automatico che alimentano Microsoft Defender SmartScreen e Microsoft Defender Antivirus per classificare le applicazioni come "note buone", "note cattive" o "sconosciute". Questa intelligenza artificiale basata sul cloud si basa su trilioni di segnali raccolti dagli endpoint di Windows e da altre origini di dati ed elaborati ogni 24 ore. Di conseguenza, la decisione dal cloud può cambiare.

Controllo applicazioni controlla solo l'ISG per i file binari non esplicitamente consentiti o negati dai criteri e che non sono stati installati da un programma di installazione gestito. Quando un file binario di questo tipo viene eseguito in un sistema con Controllo app abilitato con l'opzione ISG, Controllo app controllerà la reputazione del file inviando il suo hash e le informazioni di firma al cloud. Se il gruppo ISG segnala che il file ha una reputazione "nota buona", ne verrà consentita l'esecuzione. In caso contrario, verrà bloccato da Controllo app.

Se il file con una buona reputazione è un programma di installazione dell'applicazione, la reputazione del programma di installazione verrà trasferita a tutti i file che scrive su disco. In questo modo, tutti i file necessari per installare ed eseguire un'app ereditano i dati positivi sulla reputazione dal programma di installazione. Files autorizzati in base alla reputazione del programma di installazione avranno l'attributo $KERNEL.SMARTLOCKER.ORIGINCLAIM esteso del kernel (EA) scritto nel file.

Controllo app riesegue periodicamente una query sui dati di reputazione in un file. Inoltre, le aziende possono specificare che tutti i risultati della reputazione memorizzati nella cache vengano scaricati al riavvio utilizzando l'opzione Enabled:Invalidate EAs on Reboot .

Informazioni sulle attestazioni di origine

Quando il programma di installazione gestito o Intelligent Security Graph (ISG) autorizza un file, Controllo app registra il motivo per cui quel file è attendibile aggiungendo un attributo esteso gestito dal kernel (EA) al file. Nota come attestazione di origine, l'EA acquisisce l'origine della reputazione del file, in modo che l'integrità del codice possa valutare il file in un secondo momento senza ricontrollare l'origine originale. La rivendicazione dell'origine si chiama $KERNEL.SMARTLOCKER.ORIGINCLAIM. Un'attestazione di origine registra cosa ha scritto il file, indica che il processo che ha scritto il file è stato considerato attendibile come programma di installazione gestito o in base alla reputazione e se l'attendibilità è stata ereditata da un padre. Puoi usare il fsutil comando per visualizzare questo EA su un file. Per i passaggi esatti, vedere Utilizzo di fsutil per eseguire query sugli attributi estesi per il programma di installazione gestito (MI).

  • Origine del programma di installazione gestito: Il file è stato scritto da un processo considerato attendibile dai criteri come programma di installazione gestito (ad esempio, uno strumento di distribuzione come Microsoft Configuration Manager o Microsoft Intune). Questa attendibilità si basa sul modo in cui il file è arrivato sul dispositivo, non sulle proprietà, le firme o il valore hash del file. Per altre informazioni, vedere Considerazioni sulla sicurezza con il programma di installazione gestito.
  • Origine di Intelligent Security Graph (ISG): Il file ha ricevuto una risposta di reputazione favorevole o ha ereditato la risposta di reputazione favorevole dal processo padre, ovvero un programma di installazione che ha creato il file. Queste risposte sulla reputazione provengono dai servizi di intelligence sulla sicurezza di Microsoft chiamati Intelligent Security Graph. La reputazione è associata al file specifico, quindi se il file viene modificato, la reputazione non è più applicabile e la dichiarazione di origine non viene più onorata. In questo caso, il file viene rivalutato da Controllo app alla successiva esecuzione. Per altre informazioni, vedere Autorizzare app affidabili con Intelligent Security Graph (ISG).

Le attestazioni di origine si propagano lungo un albero di processo. Quando un programma di installazione gestito è in esecuzione o quando un programma di installazione riceve una risposta di reputazione del programma di installazione attendibile dall'ISG, passa un'attendibilità equivalente ai file scritti e ai processi figlio avviati. Questa fiducia continua a fluire lungo l'albero del processo attivo attraverso i processi figlio, i loro figli e le generazioni successive, in modo che tutti i file di cui un programma di installazione ha bisogno per installare ed eseguire un'app siano autorizzati.

La propagazione non è illimitata. Termina quando la struttura ad albero del processo attendibile si interrompe, inclusi i casi seguenti:

  • Il processo di installazione originale termina. L'ambito dell'attendibilità è la durata dell'albero del processo attendibile. Un file creato dopo la chiusura del programma di installazione gestito originale o del processo del programma di installazione attendibile ISG non eredita la propria attestazione di origine. Nei dati dell'attributo esteso, tale file è contrassegnato come "figlio di un bambino" e non è autorizzato per l'esecuzione autonomamente, ma deve essere consentito con altri mezzi, ad esempio una regola esplicita, l'origine del programma di installazione gestito o la reputazione ISG.
  • Un processo attraversa un confine di sicurezza. Se un processo viene generato in un contesto di protezione o utente diverso, il processo padre può passare la propria attestazione di origine al processo figlio. In caso contrario, l'albero del processo viene interrotto e tutti i file creati dal processo figlio o dai suoi figli non sono autorizzati in base alla rivendicazione di origine del processo iniziale.

Dopo che l'albero del processo si interrompe per qualsiasi motivo, tutti i file creati devono essere autorizzati con altri mezzi, incluso se vengono eseguiti come programma di installazione gestito o ricevono una risposta di reputazione del programma di installazione attendibile dall'ISG.

Configurazione dell'autorizzazione ISG per i criteri di controllo delle app

La configurazione dell'ISG è semplice utilizzando qualsiasi soluzione di gestione desideri. La configurazione dell'opzione ISG prevede questi passaggi di base:

Assicurarsi che l'opzione ISG sia impostata nel file XML dei criteri di controllo delle app

Per consentire le app e i file binari basati su Microsoft Intelligent Security Graph, è necessario specificare l'opzione di autorizzazione Enabled:Intelligent Security Graph nei criteri di Controllo delle app. Questo passaggio può essere eseguito con il Set-RuleOption cmdlet. È inoltre necessario impostare l'opzione Enabled:Invalidate EAs on Reboot in modo che i risultati ISG vengano verificati nuovamente dopo ogni riavvio. L'opzione ISG non è consigliata per i dispositivi che non hanno accesso regolare a Internet. L'esempio seguente mostra entrambe le opzioni impostate.

<Rules>
    <Rule>
      <Option>Enabled:Unsigned System Integrity Policy</Option>
    </Rule>
    <Rule>
      <Option>Enabled:Advanced Boot Options Menu</Option>
    </Rule>
    <Rule>
      <Option>Required:Enforce Store Applications</Option>
    </Rule>
    <Rule>
      <Option>Enabled:UMCI</Option>
    </Rule>
    <Rule>
      <Option>Enabled:Managed Installer</Option>
    </Rule>
    <Rule>
      <Option>Enabled:Intelligent Security Graph Authorization</Option>
    </Rule>
    <Rule>
      <Option>Enabled:Invalidate EAs on Reboot</Option>
    </Rule>
</Rules>

Abilitare i servizi necessari per consentire a Controllo app di usare correttamente l'ISG sul client

Affinché l'euristica utilizzata dall'ISG funzioni correttamente, è necessario che gli altri componenti di Windows siano abilitati. È possibile configurare questi componenti eseguendo l'eseguibile appidtel in c:\windows\system32.

appidtel start

Questo passaggio non è necessario per i criteri di controllo delle app distribuiti tramite MDM, perché il CSP abiliterà i componenti necessari. Questo passaggio non è necessario nemmeno quando ISG viene configurato utilizzando l'integrazione di Controllo app di Gestione configurazione.

Considerazioni sulla sicurezza con l'opzione ISG

Poiché ISG è un meccanismo basato sull'euristica, non fornisce le stesse garanzie di sicurezza delle regole esplicite di consenso o di negazione. È più adatto quando gli utenti operano con diritti utente standard e dove viene usata una soluzione di monitoraggio della sicurezza come Microsoft Defender per endpoint.

Precedenza delle regole con ISG

Quando si combina l'opzione ISG con regole esplicite di autorizzazione o negazione, Controllo app valuta le regole esplicite prima di utilizzare la reputazione. Una regola di rifiuto esplicita ha sempre la precedenza sulla reputazione ISG, quindi Controllo app blocca un file negato indipendentemente dalla relativa reputazione. Una regola di autorizzazione esplicita ha anche la precedenza sulla reputazione. Il gruppo ISG influisce solo sui file non coperti da alcuna regola esplicita di autorizzazione o negazione.

Puoi creare qualsiasi regola statica nel criterio in grado di autorizzare in modo affidabile i file binari critici per l'avvio, perché l'integrità del codice la valuta localmente dal criterio durante l'avvio senza dipendenza dal cloud o dal runtime disponibile. Sono incluse le regole AllowAll, le regole con i caratteri FileName='*' jolly, le regole del firmatario, le regole degli attributi file e le regole hash. Non fare mai affidamento sull'ISG o su un programma di installazione gestito per autorizzare i file critici per l'avvio: le loro decisioni dipendono dalla reputazione del cloud o dagli attributi estesi del kernel che non sono sempre disponibili all'inizio del percorso di avvio, il che può bloccare tali file o causare timeout di avvio o di avvio del servizio.

Importante

Le regole FilePath non possono essere utilizzate per autorizzare il codice in modalità kernel. Autorizzare i driver critici per l'avvio usando un firmatario, un attributo di file o una regola hash anziché una regola di percorso del file.

Se si utilizza un modello AllowAll con regole di negazione esplicite, le regole di negazione esplicite avranno comunque la precedenza. Per altre informazioni, vedere Creare un criterio Controllo app per bloccare driver o app. Per ulteriori informazioni sul programma di installazione gestito e sul comportamento ISG, vedere Documentazione tecnica per programma di installazione gestito e ISG e guida alla risoluzione dei problemi.

I processi in esecuzione con privilegi kernel possono aggirare Controllo app impostando l'attributo file esteso ISG per far sembrare che un file binario abbia una buona reputazione nota.

Inoltre, poiché l'opzione ISG trasmette la reputazione dai programmi di installazione delle app ai file binari che scrivono su disco, in alcuni casi può autorizzare eccessivamente i file. Ad esempio, se il programma di installazione avvia l'app al completamento, Controllo app consente anche tutti i file scritti dall'app durante la prima esecuzione.

Limitazioni note dell'uso di ISG

Poiché l'ISG consente solo file binari "noti validi", in alcuni casi potrebbe non essere in grado di prevedere se il software legittimo è sicuro da eseguire. In questo caso, il software verrà bloccato da Controllo app. In questo caso, è necessario autorizzare il software con una regola nel criterio Controllo app, distribuire un catalogo firmato da un certificato attendibile nel criterio Controllo app o installare il software da un programma di installazione gestito Controllo app. I programmi di installazione o le applicazioni che creano dinamicamente binari in fase di esecuzione e applicazioni ad aggiornamento automatico possono presentare questo sintomo.

Le app in pacchetto non sono supportate con ISG e dovranno essere autorizzate separatamente nei criteri di Controllo delle app. Poiché le app in pacchetto hanno un'identità di app forte e devono essere firmate, è semplice autorizzare le app in pacchetto con i criteri di Controllo app.

L'ISG non autorizza i driver in modalità kernel. I criteri Controllo app devono disporre di regole che consentano l'esecuzione dei driver necessari.

Nota

Una regola che nega o consente esplicitamente un file avrà la precedenza sui dati di reputazione del file. Il supporto per Controllo app integrato in Microsoft Intune include l'opzione per considerare attendibili le app con buona reputazione tramite ISG, ma non ha alcuna opzione per aggiungere regole esplicite di autorizzazione o negazione. Nella maggior parte dei casi, i clienti che usano Controllo app dovranno distribuire un criterio di Controllo app personalizzato (che può includere l'opzione ISG se necessario) usando la funzionalità URI OMA di Intune.

  • Last updated on