Zasady kontroli urządzeń w Microsoft Defender dla Punktu Końcowego

W tym artykule opisano zasady kontroli urządzeń, reguły, wpisy, grupy i zaawansowane warunki. Zasadniczo zasady kontroli urządzeń definiują dostęp dla zestawu urządzeń. Urządzenia, które znajdują się w zakresie, są określane przez listę uwzględnionych grup urządzeń i listę wykluczonych grup urządzeń. Zasady mają zastosowanie, jeśli urządzenie znajduje się we wszystkich uwzględnionych grupach urządzeń i nie ma żadnej z wykluczonych grup urządzeń. Jeśli nie zostaną zastosowane żadne zasady, zostanie zastosowane domyślne wymuszanie.

Domyślnie kontrolka urządzenia jest wyłączona, więc dostęp do wszystkich typów urządzeń jest dozwolony. Aby dowiedzieć się więcej o funkcji kontroli urządzeń, zobacz Kontrola urządzeń w usłudze Ochrona punktu końcowego w usłudze Microsoft Defender.

Kontrolowanie zachowania domyślnego

Gdy kontrolka urządzenia jest włączona, jest domyślnie włączona dla wszystkich typów urządzeń. Domyślne wymuszanie można również zmienić z Zezwalaj na Odmów. Twój zespół ds. zabezpieczeń może również skonfigurować typy urządzeń chronionych przez kontrolę urządzenia. W poniższej tabeli pokazano, jak różne kombinacje ustawień zmieniają decyzję o kontroli dostępu.

Po skonfigurowaniu typów urządzeń kontrola urządzenia w usłudze Defender for Endpoint ignoruje żądania do innych rodzin urządzeń.

Aby uzyskać więcej informacji, zapoznaj się z następującymi artykułami:

• Konfiguruj sterowanie urządzeniami

Zasady

Aby jeszcze dokładniej kontrolować dostęp do urządzeń, kontrola urządzeń wykorzystuje zasady. Zasady to zestaw reguł i grup. Sposób definiowania reguł i grup różni się nieznacznie między środowiskami zarządzania i systemami operacyjnymi, zgodnie z opisem w poniższej tabeli.

Microsoft Intune jest zalecanym narzędziem do konfigurowania i wdrażania funkcji Defender for Endpoint na urządzeniach. Jednak usługa Intune jest oddzielnym produktem, który nie jest częścią Defender dla punktu końcowego i nie jest uwzględniony we wszystkich subskrypcjach. Aby korzystać z usługi Intune, potrzebujesz subskrypcji, która ją zawiera, lub możesz kupić ją oddzielnie jako autonomiczną subskrypcję lub dodatek. Jeśli nie masz usługi Intune, możesz użyć dowolnej z innych metod w tym artykule. Aby uzyskać więcej informacji, zobacz licencjonowanie Microsoft Intune.

Reguły i grupy są identyfikowane za pomocą globalnego unikatowego identyfikatora (GUID). Jeśli zasady sterowania urządzeniami są wdrażane przy użyciu narzędzia do zarządzania innego niż Intune, muszą zostać wygenerowane identyfikatory GUID. Identyfikatory GUID można wygenerować przy użyciu programu PowerShell.

Aby uzyskać szczegółowe informacje o schemacie, zobacz schemat JSON dla komputerów Mac.

Użytkownicy

Zasady sterowania urządzeniami mogą być stosowane do użytkowników i/lub grup użytkowników. W systemie Windows zasady kontroli urządzeń mogą mieć warunek przeznaczony dla użytkowników lub grup użytkowników zdefiniowanych w Microsoft Entra ID lub Windows Server Active Directory. Można zdefiniować zasady, które zezwalają określonym użytkownikom na posiadanie większej lub mniejszej liczby uprawnień w zależności od potrzeb biznesowych. Kontrola urządzeń aktywnie monitoruje sesje użytkowników i podejmuje decyzje o egzekwowaniu na podstawie zasad skierowanych do określonych użytkowników lub grup. Oznacza to, że niektóre akcje, takie jak zablokowanie urządzenia lub wylogowanie się z profilu użytkownika, mogą spowodować niezadowolenie warunków użytkownika, co jest oczekiwanym zachowaniem.

Najlepsze rozwiązania dotyczące używania kontroli urządzeń z użytkownikami i grupami użytkowników

• Aby utworzyć regułę dla pojedynczego użytkownika w systemie Windows, utwórz wpis z warunkiem Sid dla każdego użytkownika w regule.

• Aby utworzyć regułę dla grupy użytkowników w systemie Windows i Intune, utwórz wpis z warunkiem Sid dla każdej grupy użytkowników w [regule] i skieruj zasady do grupy maszyn w Intune lub utwórz regułę bez warunków i ukiekuj zasady Intune do grupy użytkowników.

• Na komputerze Mac użyj Intune i skieruj zasady do grupy użytkowników w Microsoft Entra ID.

Reguły

Reguła definiuje listę uwzględnionych grup i listę wykluczonych grup. Aby reguła została zastosowana, urządzenie musi znajdować się we wszystkich uwzględnionych grupach i żadnej z wykluczonych grup. Jeśli urządzenie pasuje do reguły, wówczas analizowane są wpisy dla tej reguły. Wpis definiuje zastosowane opcje akcji i powiadomień, jeśli żądanie jest zgodne z warunkami. Jeśli żadne reguły nie zostaną zastosowane lub żadne wpisy nie będą zgodne z żądaniem, zostanie zastosowane domyślne wymuszanie.

Aby na przykład zezwolić na dostęp do zapisu dla niektórych urządzeń USB i dostęp do odczytu dla wszystkich innych urządzeń USB, użyj następujących zasad, grup i wpisów z domyślnym wymuszaniem ustawionym na odmowę.

Nazwa reguły pojawia się w portalu raportowania oraz w powiadomieniach toast wyświetlanych użytkownikom, dlatego pamiętaj, aby nadawać regułom opisowe nazwy.

Reguły można skonfigurować, edytując zasady w Intune, używając pliku XML w systemie Windows lub używając pliku JSON na komputerze Mac. Wybierz każdą kartę, aby uzyskać więcej szczegółów.

<PolicyRule Id="{75a4e33a-5268-4552-bef2-e34dd0c39cb1}">
  <Name>Read Only Access for USBs</Name>
  <IncludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171694}</GroupId>
  </IncludedIdList>
  <ExcludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171695}</GroupId>
  </ExcludedIdList>
  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
   ...
  </Entry>
  <Entry Id="{34413b98-8198-4e16-accf-c95c3c775ba3}">
    ...
  </Entry>
</PolicyRule> 

{
      "id": "75a4e33a-5268-4552-bef2-e34dd0c39cb1",
      "name": "Read Only Access for USBs",
      "includeGroups": [
        "3f5253e4-0e73-4587-bb9e-bb29a2171694"
      ],
      "includedGroups":[
         "3f5253e4-0e73-4587-bb9e-bb29a2171695"
      ]
      "entries": [
        ...
      ]
    } 

Wpisy

Zasady kontroli urządzeń definiują dostęp (nazywany wpisem) dla zestawu urządzeń. Wpisy definiują opcje akcji i powiadomień dla urządzeń zgodnych z zasadami i warunkami zdefiniowanymi we wpisie.

Ocena wpisów

Występują dwa rodzaje wpisów: wpisy wymuszające (Zezwól/Odmów) oraz wpisy inspekcyjne (AuditAllow/AuditDeny).

Wpisy egzekwowania dla reguły są sprawdzane w kolejności aż do dopasowania wszystkich żądanych uprawnień. Jeśli żadne wpisy nie pasują do reguły, następna reguła zostanie oceniona. Jeśli żadne reguły nie są zgodne, zostanie zastosowana wartość domyślna.

Wpisy inspekcji

Zdarzenia inspekcji kontrolują zachowanie, gdy kontrolka urządzenia wymusza regułę (zezwalaj/odmawiaj). Kontrolka urządzenia może wyświetlać powiadomienie użytkownikowi końcowemu. Użytkownik otrzymuje powiadomienie zawierające nazwę zasad kontroli urządzenia i nazwę urządzenia. Powiadomienie jest wyświetlane raz na godzinę po odmowie początkowego dostępu.

Kontrola urządzeń może również utworzyć zdarzenie, które jest dostępne w funkcji Advanced Hunting.

Warunki

Wpis może zawierać następujące opcjonalne warunki:

• Warunek użytkownika/grupy użytkowników: stosuje tę akcję tylko do użytkownika/grupy użytkowników wskazanych przez identyfikator SID

• Warunek maszyny: stosuje akcję tylko do urządzenia/grupy zidentyfikowanej przez identyfikator SID
• Warunek parametrów: stosuje akcję tylko wtedy, gdy parametry są zgodne (zobacz Warunki zaawansowane)

Wpisy mogą być dalej ograniczone do określonych użytkowników i urządzeń. Na przykład zezwalaj na dostęp do odczytu do tych usb dla tego użytkownika tylko na tym urządzeniu.

Wszystkie warunki we wpisie muszą być prawdziwe, aby akcja została zastosowana.

Wpisy można skonfigurować przy użyciu Intune, pliku XML w systemie Windows lub pliku JSON na komputerze Mac. Wybierz każdą kartę, aby uzyskać więcej szczegółów.

  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
    <Type>Allow</Type>
    <Options>0</Options>
    <AccessMask>1</AccessMask>
  </Entry> 

{
          "$type": "generic",
          "id": "e3837e60-5e56-43ce-8095-043ccd793eac",
          "enforcement": {
            "$type": "allow"
          },
          "access": [
            "generic_read"
          ]
} 

Grupy

Grupy definiują kryteria filtrowania obiektów według ich właściwości. Obiekt jest przypisywany do grupy, jeśli jej właściwości są zgodne z właściwościami zdefiniowanymi dla grupy.

Przykład:

• Dozwolone są wszystkie urządzenia USB pochodzące od dowolnego z tych producentów
• Utracone urządzenia USB to wszystkie urządzenia, których numery seryjne odpowiadają któremukolwiek z tych numerów seryjnych
• Dozwolone drukarki to wszystkie urządzenia, które odpowiadają dowolnemu z tych identyfikatorów VID/PID.

Właściwości można dopasować na cztery sposoby: MatchAll, MatchAny, MatchExcludeAll, i MatchExcludeAny

• MatchAll: Właściwości pozostają w relacji „AND”; na przykład jeśli administrator ustawi DeviceID i InstancePathID, system sprawdza dla każdego podłączonego urządzenia USB, czy urządzenie USB spełnia oba warunki.
• MatchAny: właściwości są powiązane relacją „lub”; na przykład jeśli administrator określi DeviceID i InstancePathID, system egzekwuje to dla każdego podłączonego urządzenia USB, o ile urządzenie USB ma identyczną wartość DeviceID lub InstanceID.
• MatchExcludeAll: Właściwości są połączone relacją „AND”, a wszystkie elementy, które NIE spełniają tych warunków, są uwzględniane. Jeśli na przykład administrator umieści DeviceID i InstancePathID oraz użyje MatchExcludeAll, system egzekwuje to dla każdego podłączonego urządzenia USB, o ile urządzenie USB nie ma jednocześnie identycznych wartości DeviceID i InstanceID.
• MatchExcludeAny: Właściwości są połączone relacją „lub”; uwzględnione są wszystkie elementy, które ich NIE spełniają. Jeśli na przykład administrator umieszcza DeviceID i InstancePathID oraz używa polecenia MatchExcludeAny, system wymusza to dla każdego podłączonego urządzenia USB, o ile urządzenie USB nie ma ani takiej samej wartości DeviceID, ani InstanceID.

Grupy są używane na dwa sposoby: wybieranie urządzeń do dołączania/wykluczania w regułach oraz filtrowanie dostępu pod kątem zaawansowanych warunków. Ta tabela zawiera podsumowanie typów grup i sposobu ich użycia.

Urządzenia objęte zasadami są określane przez listę uwzględnionych grup i listę wykluczonych grup. Reguła ma zastosowanie, jeśli urządzenie znajduje się we wszystkich uwzględnionych grupach i nie ma żadnej z wykluczonych grup. Grupy mogą być składane z właściwości urządzeń. Można użyć następujących właściwości:

Określanie właściwości urządzenia przy użyciu Menedżer urządzeń systemu Windows

W przypadku urządzeń z systemem Windows możesz użyć Menedżer urządzeń, aby poznać właściwości urządzeń.

1. Otwórz Menedżer urządzeń, znajdź urządzenie, kliknij prawym przyciskiem myszy pozycję Właściwości, a następnie wybierz kartę Szczegóły.

2. Na liście Właściwości wybierz pozycję Ścieżka wystąpienia urządzenia.

   Wartość wyświetlana dla ścieżki instancji urządzenia to wartość InstancePathId, ale zawiera ona również inne właściwości:

   • USB\VID_090C&PID_1000\FBH1111183300721
   • {BusId}\{DeviceId}\{SerialNumberId}

   Właściwości menedżera urządzeń są mapowane na kontrolkę urządzenia, jak pokazano w poniższej tabeli:

   Menedżer urządzeń	Kontrola urządzenia
   Identyfikatory sprzętu	HardwareId
   Przyjazna nazwa	FriendlyNameId
   Element nadrzędny	VID_PID
   DeviceInstancePath	InstancePathId

Używanie raportów i zaawansowanego wyszukiwania zagrożeń do określania właściwości urządzeń

Właściwości urządzenia mają nieco inne etykiety w zaawansowanym polowaniu. Poniższa tabela przyporządkowuje etykiety w portalu do propertyId w zasadzie sterowania urządzeniami.

Konfigurowanie grup w Intune, XML w systemie Windows lub JSON na komputerach Mac

Grupy można skonfigurować w Intune, przy użyciu pliku XML dla systemu Windows lub przy użyciu pliku JSON na komputerze Mac. Wybierz każdą kartę, aby uzyskać więcej szczegółów.

<Group Id="{3f5253e4-0e73-4587-bb9e-bb29a2171694}">
  <MatchType>MatchAny</MatchType>
  <DescriptorIdList>
   ...
  </DescriptorIdList>
</Group> 

    {
      "$type": "device",
      "id": "3f5253e4-0e73-4587-bb9e-bb29a2171694",
      "query": {
        "$type": "or",
        "clauses": [
    ...
        ]
      }
    } 

"query": {
        "$type": "or",
        "clauses": [
          {
            "$type": "serialNumber",
            "value": "FBH1111183300731"
          }
        ]
      } 

"query": {
    "$type":"not",
        "query": {
                    "$type": "or",
                    "clauses": [
                          {
                            "$type": "serialNumber",
                            "value": "FBH1111183300731"
                          }
                    ]
              }

} 

Warunki zaawansowane

Wpisy mogą być dodatkowo ograniczone na podstawie parametrów. Parametry stosują zaawansowane warunki, które wykraczają poza urządzenie. Zaawansowane warunki umożliwiają precyzyjne sterowanie na podstawie oceny sieci, połączenia sieci VPN, pliku lub zadania drukowania.

Warunki sieciowe

W poniższej tabeli opisano właściwości grupy sieciowej:

Te właściwości są dodawane do DescriptorIdList grupy typu Network. Oto przykładowy fragment kodu:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30a}" Type="Network" MatchType="MatchAll">
    <DescriptorIdList>
        <NetworkCategoryId>Public</PathId>
        <NetworkDomainId>NonDomain</PathId>
    </DescriptorIdList>
</Group>

Grupa jest następnie używana jako jeden z parametrów we wpisie, jak pokazano w poniższym fragmencie kodu:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <Network MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30a }</GroupId>
            </Network>
      </Parameters>
   </Entry>

Warunki połączenia sieci VPN

W poniższej tabeli opisano warunki połączenia sieci VPN:

Te właściwości są dodawane do DescriptorIdList grupy typu VPNConnection, jak pokazano w poniższym fragmencie kodu:

    <Group Id="{d633d17d-d1d1-4c73-aa27-c545c343b6d7}" Type="VPNConnection">
        <Name>Corporate VPN</Name>
        <MatchType>MatchAll</MatchType>
        <DescriptorIdList>
            <NameId>ContosoVPN</NameId>
            <VPNServerAddressId>contosovpn.*.contoso.com</VPNServerAddressId>
            <VPNDnsSuffixId>corp.contoso.com</VPNDnsSuffixId>
            <VPNConnectionStatusId>Connected</VPNConnectionStatusId>
        </DescriptorIdList>
    </Group>

Następnie do grupy odwołuje się jako do parametrów we wpisie, jak pokazano w poniższym fragmencie kodu:

       <Entry Id="{27c79875-25d2-4765-aec2-cb2d1000613f}">
          <Type>Allow</Type>
          <Options>0</Options>
          <AccessMask>64</AccessMask>
          <Parameters MatchType="MatchAny">
            <VPNConnection>
                    <GroupId>{d633d17d-d1d1-4c73-aa27-c545c343b6d7}</GroupId>
            </VPNConnection>
        </Parameters>
       </Entry>

Następnie do grupy odwołuje się we wpisie jako do parametrów, jak pokazano w poniższym fragmencie kodu:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <File MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30f }</GroupId>
            </File>
      </Parameters>
   </Entry>

Warunki zadania drukowania

W poniższej tabeli opisano właściwości grupy PrintJob:

Te właściwości są dodawane do DescriptorIdList grupy typu PrintJob, jak pokazano w poniższym fragmencie kodu:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30b}" Type="PrintJob" MatchType="MatchAny">
    <DescriptorIdList>
        <PrintOutputFileNameId>C:\Documents\*.pdf</PrintOutputFileNameId >
        <PrintDocumentNameId>*.xlsx</PrintDocumentNameId>
<PrintDocumentNameId>*.docx</PrintDocumentNameId>
    </DescriptorIdList>
</Group>

Następnie do grupy odwołuje się we wpisie jako do parametrów, jak pokazano w poniższym fragmencie kodu:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <PrintJob MatchType="MatchAny">
                   <GroupId>{e5f619a7-5c58-4927-90cd-75da2348a30b}</GroupId>
            </PrintJob>
      </Parameters>
   </Entry>

Następne kroki

• Wyświetl zdarzenia i informacje dotyczące kontroli urządzeń w Ochrona punktu końcowego w usłudze Microsoft Defender
• Konfiguruj kontrolę urządzeń w Ochrona punktu końcowego w usłudze Microsoft Defender
• Kontrola urządzenia dla systemu macOS