Ustawienia systemu Windows, którymi można zarządzać za pośrednictwem profilu programu Endpoint Protection usługi Intune

Uwaga

Usługa Intune może obsługiwać więcej ustawień niż ustawienia wymienione w tym artykule. Nie wszystkie ustawienia są i nie będą dokumentowane. Aby wyświetlić ustawienia, które można skonfigurować, utwórz zasady konfiguracji urządzeń, a następnie wybierz pozycję Wykaz ustawień. Aby uzyskać więcej informacji, przejdź do katalogu ustawień.

Usługa Microsoft Intune oferuje wiele ustawień pomagających chronić urządzenia. W tym artykule opisano ustawienia w szablonie ochrony punktu końcowego konfiguracji urządzenia. Aby zarządzać zabezpieczeniami urządzeń, możesz również użyć zasad zabezpieczeń punktów końcowych, które koncentrują się bezpośrednio na podzbiorach zabezpieczeń urządzeń. Aby skonfigurować program antywirusowy Microsoft Defender, zobacz Ograniczenia urządzeń z systemem Windows lub użyj zasad antywirusowych zabezpieczeń punktu końcowego.

Przed rozpoczęciem

Utwórz profil konfiguracji urządzenia ochrony punktu końcowego.

Aby uzyskać więcej informacji na temat dostawców usług konfiguracji (CSP), zobacz Dokumentacja dostawcy usług konfiguracji.

Microsoft Defender Application Guard

W przypadku przeglądarki Microsoft Edge usługa Microsoft Defender Application Guard chroni środowisko przed witrynami, które nie są zaufane przez Twoją organizację. Za pomocą funkcji Application Guard witryny, które nie znajdują się w granicach Twojej izolowanej sieci, są otwierane w wirtualnej sesji przeglądania Hyper-V. Zaufane witryny są definiowane przez granicę sieci, która jest konfigurowana w konfiguracji urządzeń. Aby uzyskać więcej informacji, zobacz Tworzenie granicy sieci na urządzeniach z systemem Windows.

Funkcja Application Guard jest dostępna tylko na 64-bitowych urządzeniach z systemem Windows. Użycie tego profilu powoduje zainstalowanie składnika Win32 w celu aktywowania funkcji Application Guard.

  • Application Guard
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji Application Guard: Settings/AllowWindowsDefenderApplicationGuard

    • Włączone dla przeglądarki Edge — włącza tę funkcję, która otwiera niezaufane witryny w zwirtualizowanym kontenerze przeglądania Hyper-V.
    • Nieskonfigurowane — dowolna witryna (zaufana i niezaufana) może zostać otwarta na urządzeniu.

  • Zachowanie schowka
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji Application Guard: Settings/ClipboardSettings

    Wybierz dozwolone akcje kopiowania i wklejania między komputerem lokalnym a wirtualną przeglądarką funkcji Application Guard.

    • Nieskonfigurowane
    • Zezwalaj tylko na kopiowanie i wklejanie z komputera do przeglądarki
    • Zezwalaj tylko na kopiowanie i wklejanie z przeglądarki na komputer
    • Zezwalaj na kopiowanie i wklejanie między komputerem a przeglądarką
    • Blokowanie kopiowania i wklejania między komputerem a przeglądarką

  • Zawartość schowka
    To ustawienie jest dostępne tylko wtedy, gdy zachowanie schowka jest ustawione na jedno z ustawień dozwolonych . Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji Application Guard: Settings/ClipboardFileType

    Wybierz dozwoloną zawartość schowka.

    • Nieskonfigurowane
    • Text (Tekst)
    • Zdjęcia
    • Tekst i obrazy

  • Zawartość zewnętrzna w witrynach przedsiębiorstwa
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji Application Guard: Settings/BlockNonEnterpriseContent

    • Blokuj — blokuj ładowanie zawartości z niezatwierdzonych witryn internetowych.
    • Nieskonfigurowane — na urządzeniu mogą być otwierane witryny niebędące przedsiębiorstwami.

  • Drukowanie z wirtualnej przeglądarki
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji Application Guard: Ustawienia/PrintingSettings

    • Zezwalaj - Umożliwia drukowanie wybranej treści z przeglądarki wirtualnej.
    • Nieskonfigurowane Wyłącz wszystkie funkcje drukowania.

    Jeśli zezwalasz na drukowanie, możesz skonfigurować następujące ustawienie:

    • Typ(y) drukowania
      Wybierz jedną lub więcej z następujących opcji:
      • Plik PDF
      • Plik XPS
      • Drukarki lokalne
      • Drukarki sieciowe

  • Zbieranie dzienników
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji Application Guard: Audit/AuditApplicationGuard

    • Zezwalaj — zbieraj dzienniki zdarzeń występujących w ramach sesji przeglądania funkcji Application Guard.
    • Nie skonfigurowano — nie zbieraj żadnych dzienników w sesji przeglądania.

  • Zachowywanie danych przeglądarki wygenerowanych przez użytkownika
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji Application Guard: Ustawienia/AllowPersistence

    • Zezwalaj Zapisywanie danych użytkownika (takich jak hasła, ulubione i pliki cookie) utworzonych podczas sesji przeglądania wirtualnego funkcji Application Guard.
    • Nieskonfigurowane Odrzuć pliki i dane pobrane przez użytkownika po ponownym uruchomieniu urządzenia lub wylogowaniu się.

  • Przyspieszanie grafikiWartość domyślna: nieskonfigurowane
    Dostawca CSP funkcji Application Guard: Settings/AllowVirtualGPU

    • Włącz - Ładuj strony internetowe i wideo intensywnie korzystające z grafiki szybciej, uzyskując dostęp do wirtualnego procesora graficznego.
    • Nieskonfigurowane Użyj procesora urządzenia do grafiki; Nie używaj wirtualnego procesora graficznego.

  • Pobieranie plików do systemu plików hosta
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji Application Guard: Settings/SaveFilesToHost

    • Włącz — użytkownicy mogą pobierać pliki ze zwirtualizowanej przeglądarki do systemu operacyjnego hosta.
    • Nieskonfigurowane — pliki są przechowywane lokalnie na urządzeniu i nie są pobierane pliki do systemu plików hosta.

Zapora systemu Windows

Ustawienia globalne

Te ustawienia mają zastosowanie do wszystkich typów sieci.

  • File Transfer Protocol
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: MdmStore/Global/DisableStatefulFtp

    • Block - Wyłącz stanowy FTP.
    • Nieskonfigurowane — zapora wykonuje stanowe filtrowanie FTP w celu zezwolenia na połączenia pomocnicze.

  • Czas bezczynności skojarzenia zabezpieczeń przed usunięciem
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: MdmStore/Global/SaIdleTime

    Określ czas bezczynności w sekundach, po którym skojarzenia zabezpieczeń zostaną usunięte.

  • Kodowanie klucza wstępnego
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: MdmStore/Global/PresharedKeyEncoding

    • Włącz — koduj wstępnie nagrane klawisze przy użyciu UTF-8.
    • Nie skonfigurowano — koduj wstępnie zapisane klucze przy użyciu wartości magazynu lokalnego.

  • Wyłączenia protokołu IPsec
    Wartość domyślna: wybrano 0
    Firewall CSP: MdmStore/Global/IPsecExempt

    Wybierz jeden lub więcej z następujących typów ruchu, które mają zostać wykluczone z protokołu IPsec:

    • Sąsiedzi odkrywają kody typu IPv6 ICMP
    • ICMP
    • Wykrywanie przez router kodów typu protokołu IPv6 ICMP
    • Ruch sieciowy DHCP protokołu IPv4 i IPv6

  • Weryfikacja listy odwołań certyfikatów
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: MdmStore/Global/CRLcheck

    Wybierz sposób, w jaki urządzenie weryfikuje listę odwołań certyfikatów. Dostępne opcje:

    • Wyłączanie weryfikacji listy CRL
    • Niepowodzenie weryfikacji listy CRL tylko w przypadku odwołanego certyfikatu
    • Nie można zweryfikować listy CRL w przypadku napotkanego błędu.

  • Oportunistycznie dopasuj uwierzytelnianie ustawione dla modułu kluczy
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: MdmStore/Global/OpportunisticallyMatchAuthSetPerKM

    • Umożliwianie Moduły obsługi kluczy muszą ignorować tylko pakiety uwierzytelniania, których nie obsługują.
    • Nieskonfigurowane moduły obsługi kluczy muszą ignorować cały zestaw uwierzytelniania, jeśli nie obsługują wszystkich pakietów uwierzytelniania określonych w zestawie.

  • Kolejkowanie pakietów
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: MdmStore/Global/EnablePacketQueue

    Określ sposób włączania skalowania programowego po stronie odbierającej dla zaszyfrowanego odbierania i przekazywania zwykłego tekstu w scenariuszu bramy tunelowej IPsec. To ustawienie potwierdza, że kolejność pakietów została zachowana. Dostępne opcje:

    • Nieskonfigurowane
    • Wyłącz wszystkie kolejkowanie pakietów
    • Kolejkowanie tylko zaszyfrowanych pakietów przychodzących
    • Kolejkowanie pakietów po wykonaniu odszyfrowania tylko w celu przekazania dalej
    • Konfigurowanie pakietów przychodzących i wychodzących

Ustawienia sieci

W tym artykule wymieniono osobno poniższe ustawienia, ale wszystkie dotyczą trzech konkretnych typów sieci:

  • Sieć w domenie (w miejscu pracy)
  • Sieć prywatna (wykrywalna)
  • Sieć publiczna (niewykrywalna)

Ogólne

  • Zapora systemu Windows
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: EnableFirewall

    • Włącz — włącz zaporę i zaawansowane zabezpieczenia.
    • Nieskonfigurowane Zezwala na cały ruch sieciowy bez względu na inne ustawienia zasad.

  • Tryb ukrywania się
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: DisableStealthMode

    • Nieskonfigurowane
    • Blokuj — zapora jest zablokowana przed działaniem w trybie ukrycia. Blokowanie trybu ukrytego umożliwia również blokowanie wykluczania pakietów zabezpieczonych IPsec.
    • Zezwalaj — zapora działa w trybie niewidocznym, co uniemożliwia odpowiadanie na żądania sondowania.

  • Zabezpieczone wykluczenie pakietów IPsec z trybem ukrytym
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: DisableStealthModeIpsecSecuredPacketExemption

    Ta opcja jest ignorowana, jeśli tryb ukrycia jest ustawiony na Blokuj.

    • Nieskonfigurowane
    • Blok — pakiety zabezpieczone protokołem IPSec nie otrzymują wykluczeń.
    • Zezwalaj — włącz wyjątki. Tryb ukryty zapory NIE MOŻE uniemożliwiać komputerowi hostującemu odpowiadanie na niechciany ruch sieciowy zabezpieczony protokołem IPsec.

  • Ekranowany
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: Chronione

    • Nieskonfigurowane
    • Blokuj — gdy Zapora systemu Windows jest włączona i to ustawienie ma wartość Blokuj, cały ruch przychodzący jest blokowany, niezależnie od innych ustawień zasad.
    • Zezwalaj — po ustawieniu wartości Zezwalaj to ustawienie jest wyłączone, a ruch przychodzący jest dozwolony na podstawie innych ustawień zasad.

  • Odpowiedzi emisji pojedynczej na emisję multiemisji
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: DisableUnicastResponsesToMulticastBroadcast

    Zazwyczaj nie chcesz otrzymywać odpowiedzi emisji pojedynczej na wiadomości multiemisji lub emisji. Te odpowiedzi mogą wskazywać na atak typu "odmowa usługi" (DOS) lub próbę sondowania przez osobę atakującą znanego działającego komputera.

    • Nieskonfigurowane
    • Blokuj — wyłącz odpowiedzi emisji pojedynczej dla emisji multiemisji.
    • Zezwalaj — zezwalaj na odpowiedzi emisji pojedynczej dla emisji multiemisji.

  • Powiadomienia przychodzące
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: DisableInboundNotifications

    • Nieskonfigurowane
    • Zablokuj — ukryj powiadomienia do użyć, gdy aplikacja ma zablokowaną możliwość nasłuchiwania na porcie.
    • Zezwalaj — włącza to ustawienie i może powodować wyświetlenie powiadomienia dla użytkowników, gdy aplikacja nie może nasłuchiwać na porcie.

  • Akcja domyślna dla połączeń wychodzących
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: DefaultOutboundAction

    Konfigurowanie domyślnego działania wykonywanego przez zaporę dla połączeń wychodzących. To ustawienie zostanie zastosowane do systemu Windows w wersji 1809 i nowszych.

    • Nieskonfigurowane
    • Blokuj — domyślna akcja zapory nie jest uruchamiana dla ruchu wychodzącego, chyba że jest jawnie określona, aby nie blokować.
    • Zezwalaj — domyślne akcje zapory są uruchamiane dla połączeń wychodzących.

  • Akcja domyślna dla połączeń przychodzących
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: DefaultInboundAction

    • Nieskonfigurowane
    • Blokuj — domyślna akcja zapory nie jest uruchamiana dla połączeń przychodzących.
    • Zezwalaj — domyślne akcje zapory są uruchamiane dla połączeń przychodzących.

Scalanie reguł

  • Autoryzowana aplikacja: reguły zapory systemu Windows ze sklepu lokalnego
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: AuthAppsAllowUserPrefMerge

    • Nieskonfigurowane
    • Blokuj — autoryzowane reguły zapory aplikacji w magazynie lokalnym są ignorowane i nie są wymuszane.
    • Zezwalaj — wybieranie pozycji Włącz Stosuje reguły zapory w lokalnym magazynie, aby były rozpoznawane i wymuszane.

  • Globalne reguły zapory systemu Windows portowania ze sklepu lokalnego
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: GlobalPortsAllowUserPrefMerge

    • Nieskonfigurowane
    • Blokuj — reguły globalnej zapory portów w magazynie lokalnym są ignorowane i nie są wymuszane.
    • Zezwalaj — zastosuj globalne reguły zapory portów w lokalnym magazynie, aby były rozpoznawane i wymuszane.

  • Reguły Zapory systemu Windows ze sklepu lokalnego
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: AllowLocalPolicyMerge

    • Nieskonfigurowane
    • Blokuj — reguły zapory z lokalnego magazynu są ignorowane i nie są wymuszane.
    • Zezwalaj — zastosuj reguły zapory w magazynie lokalnym, aby były rozpoznawane i wymuszane.

  • Reguły protokołu IPsec ze sklepu lokalnego
    Wartość domyślna: Nieskonfigurowane
    Firewall CSP: AllowLocalIpsecPolicyMerge

    • Nieskonfigurowane
    • Blokuj — reguły zabezpieczeń połączeń z magazynu lokalnego są ignorowane i nie są wymuszane, niezależnie od wersji schematu i wersji reguły zabezpieczeń połączenia.
    • Zezwalaj — stosuj reguły zabezpieczeń połączeń z lokalnego magazynu, niezależnie od schematu lub wersji reguł zabezpieczeń połączenia.

Reguły zapory

Możesz dodać jedną lub więcej niestandardowych reguł zapory. Aby uzyskać więcej informacji, zobacz Dodawanie niestandardowych reguł zapory dla urządzeń z systemem Windows.

Niestandardowe reguły zapory obsługują następujące opcje:

Ustawienia ogólne

  • Nazwa
    Wartość domyślna: Brak nazwy

    Podaj przyjazną nazwę reguły. Ta nazwa pojawi się na liście reguł, aby ułatwić jej zidentyfikowanie.

  • Opis
    Wartość domyślna: Brak opisu

    Podaj opis reguły.

  • Kierunek
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP zapory: FirewallRules/FirewallRuleName/Direction

    Określ, czy ta reguła ma zastosowanie do ruchu przychodzącego, czy wychodzącego . Po ustawieniu jako Nieskonfigurowana reguła jest automatycznie stosowana do ruchu wychodzącego.

  • Akcja
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP zapory: FirewallRules/FirewallRuleName/Action i FirewallRules/FirewallRuleName/Action/Type

    Wybierz pozycję Zezwalaj lub Blokuj. Po ustawieniu jako Nieskonfigurowana reguła domyślnie zezwala na ruch.

  • Typ sieci
    Wartość domyślna: wybrano 0
    Dostawca CSP zapory: FirewallRules/FirewallRuleName/Profiles

    Wybierz maksymalnie trzy typy typów sieci, do których należy ta reguła. Dostępne opcje to Domena, Prywatne i Publiczne. Jeśli nie wybrano żadnego typu sieci, reguła ma zastosowanie do wszystkich trzech typów sieci.

Ustawienia aplikacji

  • Aplikacja(-e)
    Wartość domyślna: wszystkie

    Sterowanie połączeniami aplikacji lub programu. Aplikacje i programy można określić za pomocą ścieżki pliku, nazwy rodziny pakietów lub nazwy usługi:

    • Nazwa rodziny pakietów — określ nazwę rodziny pakietów. Aby znaleźć nazwę rodziny pakietów, użyj polecenia Get-AppxPackage programu PowerShell.
      Dostawca CSP zapory: FirewallRules/FirewallRuleName/App/PackageFamilyName

    • Ścieżka pliku — musisz określić ścieżkę pliku do aplikacji na urządzeniu klienckim, która może być ścieżką bezwzględną lub względną. Na przykład: C:\Windows\System\Notepad.exe lub %WINDIR%\Notepad.exe.
      Firewall CSP: FirewallRules/FirewallRuleName/App/FilePath

    • Usługa systemu Windows — określ krótką nazwę usługi systemu Windows, jeśli jest to usługa, a nie aplikacja, która wysyła lub odbiera ruch. Aby znaleźć krótką nazwę usługi, użyj polecenia Get-Service programu PowerShell.
      Dostawca CSP zapory: FirewallRules/FirewallRuleName/App/ServiceName

    • Wszystko — nie są wymagane żadne konfiguracje

Ustawienia adresu IP

Określ adresy lokalne i zdalne, których dotyczy ta reguła.

  • Adresy lokalne
    Wartość domyślna: dowolny adres
    Dostawca CSP zapory: FirewallRules/FirewallRuleName/LocalPortRanges

    Wybierz dowolny adres lub określony adres.

    W przypadku używania określonego adresu można dodać jeden lub więcej adresów jako rozdzielaną przecinkami listę adresów lokalnych objętych regułą. Prawidłowe tokeny obejmują:

    • Użyj gwiazdki * w przypadku dowolnego adresu lokalnego. Jeśli używasz gwiazdki, musi to być jedyny token, którego używasz.
    • Określ podsieć za pomocą notacji maski podsieci lub prefiksu sieci. Jeśli maska podsieci lub prefiks sieci nie są określone, maską podsieci jest domyślnie 255.255.255.255.
    • Prawidłowy adres IPv6.
    • Zakres adresów IPv4 w formacie "adres początkowy — adres końcowy" bez spacji.
    • Zakres adresów IPv6 w formacie "adres początkowy — adres końcowy" bez spacji.

  • Adresy zdalne
    Wartość domyślna: dowolny adres
    Dostawca usług zapory zdrowotnej: FirewallRules/FirewallRuleName/RemoteAddressRanges

    Wybierz dowolny adres lub określony adres.

    W przypadku używania określonego adresu można dodać jeden lub więcej adresów jako rozdzieloną przecinkami listę adresów zdalnych, które są objęte regułą. W tokenach nie jest rozróżniana wielkość liter. Prawidłowe tokeny obejmują:

    • Użyj gwiazdki "*" dla dowolnego adresu zdalnego. Jeśli używasz gwiazdki, musi to być jedyny token, którego używasz.
    • Defaultgateway
    • DHCP
    • DNS
    • WINS
    • Intranet (obsługiwane w systemie Windows w wersji 1809 i nowszych)
    • RmtIntranet (obsługiwane w systemie Windows w wersji 1809 i nowszych)
    • Internet (obsługiwane w systemie Windows w wersji 1809 i nowszych)
    • Ply2Renders (obsługiwane w systemie Windows w wersji 1809 i nowszych)
    • LocalSubnet Wskazuje dowolny adres lokalny w podsieci lokalnej.
    • Określ podsieć za pomocą notacji maski podsieci lub prefiksu sieci. Jeśli maska podsieci lub prefiks sieci nie są określone, maską podsieci jest domyślnie 255.255.255.255.
    • Prawidłowy adres IPv6.
    • Zakres adresów IPv4 w formacie "adres początkowy — adres końcowy" bez spacji.
    • Zakres adresów IPv6 w formacie "adres początkowy — adres końcowy" bez spacji.

Ustawienia portu i protokołu

Określ porty lokalne i zdalne, do których ma zastosowanie ta reguła.

Konfiguracja zaawansowana

  • Typy interfejsów
    Wartość domyślna: wybrano 0
    Firewall CSP: FirewallRules/FirewallRuleName/InterfaceTypes

    Wybierz jedną z następujących opcji:

    • Dostęp zdalny
    • Łączność bezprzewodowa
    • Sieć lokalna

  • Zezwalaj tylko na połączenia od tych użytkowników
    Wartość domyślna: Wszyscy użytkownicy (wartość domyślna dla wszystkich zastosowań, jeśli nie określono listy)
    Dostawca CSP zapory: FirewallRules/FirewallRuleName/LocalUserAuthorizationList

    Określ listę autoryzowanych użytkowników lokalnych dla tej reguły. Nie można określić listy autoryzowanych użytkowników, jeśli ta reguła dotyczy usługi systemu Windows.

Ustawienia filtra Microsoft Defender SmartScreen

Na urządzeniu musi być zainstalowana przeglądarka Microsoft Edge.

  • Filtr SmartScreen dla aplikacji i plików
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP filtru SmartScreen: SmartScreen/EnableSmartScreenInShell

    • Nieskonfigurowane — wyłącza korzystanie z filtra SmartScreen.
    • Włącz — włącz filtr Windows SmartScreen na potrzeby wykonywania plików i uruchamiania aplikacji. Filtr SmartScreen to oparty na chmurze składnik chroniący przed phishingiem i złośliwym oprogramowaniem.

  • Wykonywanie niezweryfikowanych plików
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP filtru SmartScreen: SmartScreen/PreventOverrideForFilesInShell

    • Nieskonfigurowane — wyłącza tę funkcję i zezwala użytkownikom końcowym na uruchamianie plików, które nie zostały zweryfikowane.
    • Blokuj — uniemożliwia użytkownikom końcowym uruchamianie plików, które nie zostały zweryfikowane przez filtr Windows SmartScreen.

Szyfrowanie systemu Windows

Ustawienia systemu Windows

  • Szyfruj urządzenia
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji BitLocker: RequireDeviceEncryption

    • Wymagaj — monituj użytkowników o włączenie szyfrowania urządzeń. W zależności od wersji systemu Windows i konfiguracji systemu, użytkownicy mogą zostać poproszeni o wykonanie następujących pytań:
      • Aby potwierdzić, że szyfrowanie od innego dostawcy nie jest włączone.
      • Wymagane jest wyłączenie szyfrowania dysków funkcją BitLocker, a następnie ponowne włączenie funkcji BitLocker.
    • Nieskonfigurowane

    Jeśli szyfrowanie systemu Windows jest włączone, gdy inna metoda szyfrowania jest aktywna, urządzenie może stać się niestabilne.

Ustawienia podstawowe funkcji BitLocker

Ustawienia podstawowe to uniwersalne ustawienia funkcji BitLocker dla wszystkich typów dysków z danymi. Te ustawienia zarządzają zadaniami szyfrowania dysków lub opcjami konfiguracji, które użytkownik końcowy może modyfikować we wszystkich typach dysków z danymi.

  • Ostrzeżenie dotyczące innego szyfrowania dysku
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji BitLocker: AllowWarningForOtherDiskEncryption

    • Blokuj — wyłącz monit ostrzegawczy, jeśli na urządzeniu znajduje się inna usługa szyfrowania dysku.
    • Nie skonfigurowano — zezwalaj na wyświetlanie ostrzeżenia dotyczącego innego szyfrowania dysku.

    Porada

    Aby automatycznie i dyskretnie zainstalować funkcję BitLocker na urządzeniu, które jest dołączone do usługi Microsoft Entra i działa z systemem Windows 1809 lub nowszym, to ustawienie musi mieć wartość Zablokuj. Aby uzyskać więcej informacji, zobacz Włączanie funkcji BitLocker na urządzeniach w trybie dyskretnym.

    Po ustawieniu wartości Zablokuj można skonfigurować następujące ustawienie:

    • Zezwalaj użytkownikom standardowym na włączanie szyfrowania podczas dołączania do usługi Microsoft Entra
      To ustawienie dotyczy tylko urządzeń połączonych z usługą Microsoft Entra (Azure ADJ) i zależy od poprzedniego ustawienia. Warning for other disk encryption
      Wartość domyślna: Nieskonfigurowane
      Dostawca CSP funkcji BitLocker: AllowStandardUserEncryption

      • Zezwalaj — użytkownicy standardowi (bez uprawnień administratora) mogą włączyć szyfrowanie funkcją BitLocker po zalogowaniu.
      • Nieskonfigurowane Tylko administratorzy mogą włączyć szyfrowanie funkcją BitLocker na urządzeniu.

    Porada

    Aby automatycznie i dyskretnie zainstalować funkcję BitLocker na urządzeniu, które jest dołączone do usługi Microsoft Entra i działa pod kontrolą systemu Windows 1809 lub nowszego, to ustawienie musi mieć wartość Zezwalaj. Aby uzyskać więcej informacji, zobacz Włączanie funkcji BitLocker na urządzeniach w trybie dyskretnym.

  • Konfigurowanie metod szyfrowania
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji BitLocker: EncryptionMethodByDriveType

    • Włącz — skonfiguruj algorytmy szyfrowania dla systemu operacyjnego, danych i dysków wymiennych.
    • Nie skonfigurowano — funkcja BitLocker używa 128-bitowego XTS-AES jako domyślnej metody szyfrowania lub używa metody szyfrowania określonej przez dowolny skrypt konfiguracji.

    Po ustawieniu wartości Włącz możesz skonfigurować następujące ustawienia:

    • Szyfrowanie dysków systemu operacyjnego
      Domyślnie: XTS-AES 128-bitowy

      Wybierz metodę szyfrowania dla dysków z systemem operacyjnym. Zalecamy korzystanie z algorytmu XTS-AES.

      • AES-CBC, 128-bitowy
      • AES-CBC, 256-bitowy
      • XTS-AES (wersja 128-bitowa)
      • XTS-AES (wersja 256-bitowa)

    • Szyfrowanie stałych dysków danych
      Domyślnie: AES-CBC, 128-bitowy

      Wybierz metodę szyfrowania dla stałych (wbudowanych) dysków danych. Zalecamy korzystanie z algorytmu XTS-AES.

      • AES-CBC, 128-bitowy
      • AES-CBC, 256-bitowy
      • XTS-AES (wersja 128-bitowa)
      • XTS-AES (wersja 256-bitowa)

    • Szyfrowanie wymiennych dysków danych
      Domyślnie: AES-CBC, 128-bitowy

      Wybierz metodę szyfrowania dla wymiennych dysków danych. Jeśli dysk wymienny jest używany z urządzeniami, na których nie działa system Windows, zalecamy użycie algorytmu AES-CBC.

      • AES-CBC, 128-bitowy
      • AES-CBC, 256-bitowy
      • XTS-AES (wersja 128-bitowa)
      • XTS-AES (wersja 256-bitowa)

Ustawienia dysku systemu operacyjnego funkcji BitLocker

Te ustawienia dotyczą w szczególności dysków z danymi w systemie operacyjnym.

  • Dodatkowe uwierzytelnianie przy uruchomieniu
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji BitLocker: SystemDrivesRequireStartupAuthentication

    • Wymagaj — skonfiguruj wymagania uwierzytelniania dotyczące uruchamiania komputera, w tym użycie modułu TPM (Trusted Platform Module).
    • Nie skonfigurowano — skonfiguruj tylko podstawowe opcje na urządzeniach z modułem TPM.

    Po ustawieniu wartości Wymagaj można skonfigurować następujące ustawienia:

    • Funkcja BitLocker z niezgodnym mikroukładem TPM
      Wartość domyślna: Nieskonfigurowane

      • Blokuj — wyłącz korzystanie z funkcji BitLocker, gdy urządzenie nie ma zgodnego mikroukładu modułu TPM.
      • Nie skonfigurowano — użytkownicy mogą używać funkcji BitLocker bez zgodnego mikroukładu modułu TPM. Funkcja BitLocker może wymagać hasła lub klucza uruchamiania.

    • Zgodne uruchamianie modułu TPM
      Ustawienie domyślne: Zezwalaj na moduł TPM

      Skonfiguruj, czy moduł TPM jest dozwolony, wymagany, czy niedozwolony.

      • Zezwalaj na moduł TPM
      • Nie zezwalaj na moduł TPM
      • Wymagaj modułu TPM

    • Zgodny numer PIN uruchamiania modułu TPM
      Ustawienie domyślne: Zezwalaj na numer PIN uruchamiania z modułem TPM

      Wybierz, czy chcesz zezwolić, nie zezwalać lub wymagać używania numeru PIN uruchamiania z mikroukładem TPM. Włączenie numeru PIN uruchamiania wymaga interakcji ze strony użytkownika końcowego.

      • Zezwalaj na numer PIN uruchamiania z modułem TPM
      • Nie zezwalaj na numer PIN uruchamiania z modułem TPM
      • Wymagaj numeru PIN uruchamiania z modułem TPM

      Porada

      Aby automatycznie i dyskretnie zainstalować funkcję BitLocker na urządzeniu, które jest dołączone do usługi Microsoft Entra i działa na nim system Windows 1809 lub nowszy, to ustawienie nie może być ustawione jako Wymagaj numeru PIN uruchamiania z modułem TPM. Aby uzyskać więcej informacji, zobacz Włączanie funkcji BitLocker na urządzeniach w trybie dyskretnym.

    • Zgodny klucz uruchomienia modułu TPM
      Ustawienie domyślne: Zezwalaj na klucz uruchomienia z modułem TPM

      Wybierz, czy chcesz zezwolić, nie zezwolić lub wymagać użycia klucza uruchamiania z mikroukładem TPM. Włączenie klucza uruchomienia wymaga interakcji ze strony użytkownika końcowego.

      • Zezwalaj na klucz uruchomienia z modułem TPM
      • Nie zezwalaj na klucz uruchomienia z modułem TPM
      • Wymagaj klucza uruchomienia z modułem TPM

      Porada

      Aby automatycznie i dyskretnie zainstalować funkcję BitLocker na urządzeniu, które jest dołączone do usługi Microsoft Entra i działa z systemem Windows 1809 lub nowszym, to ustawienie nie może być ustawione jako Wymagaj klucza uruchomienia z modułem TPM. Aby uzyskać więcej informacji, zobacz Włączanie funkcji BitLocker na urządzeniach w trybie dyskretnym.

    • Zgodny klucz uruchomienia modułu TPM i kod PIN
      Ustawienie domyślne: Zezwalaj na klucz uruchomienia i numer PIN z modułem TPM

      Wybierz, czy chcesz zezwolić, nie zezwolić lub wymagać przy użyciu klucza uruchomienia i kodu PIN z mikroukładem TPM. Włączenie klucza uruchomienia i numeru PIN wymaga interakcji ze strony użytkownika końcowego.

      • Zezwalaj na klucz uruchomienia i numer PIN z modułem TPM
      • Nie zezwalaj na klucz uruchomienia i numer PIN z modułem TPM
      • Wymaganie klucza uruchomienia i numeru PIN w module TPM

      Porada

      Aby automatycznie i dyskretnie zainstalować funkcję BitLocker na urządzeniu, które jest dołączone do usługi Microsoft Entra i działa z systemem Windows 1809 lub nowszym, to ustawienie nie może być ustawione jako Wymagaj klucza uruchomienia i numeru PIN z modułem TPM. Aby uzyskać więcej informacji, zobacz Włączanie funkcji BitLocker na urządzeniach w trybie dyskretnym.

  • Minimalna długość numeru PIN
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji BitLocker: SystemDrivesMinimumPINLength

    • Umożliwianie Skonfiguruj minimalną długość numeru PIN uruchamiania modułu TPM.
    • Nie skonfigurowano — użytkownicy mogą skonfigurować numer PIN uruchomienia o dowolnej długości od 6 do 20 cyfr.

    Po ustawieniu wartości Włącz można skonfigurować następujące ustawienie:

    • Minimalna liczba znaków
      Wartość domyślna: Nieskonfigurowane Dostawca CSP funkcji BitLocker: SystemDrivesMinimumPINLength

      Wprowadź liczbę znaków wymaganą dla numeru PIN uruchamiania z 4-20.

  • Odzyskiwanie dysku systemu operacyjnego
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji BitLocker: SystemDrivesRecoveryOptions

    • Włącz — kontroluj sposób odzyskiwania dysków systemu operacyjnego chronionego funkcją BitLocker, gdy wymagane informacje o uruchamianiu nie są dostępne.
    • Nie skonfigurowano — obsługiwane są domyślne opcje odzyskiwania, w tym DRA. Użytkownik końcowy może określić opcje odzyskiwania. W usługach AD DS nie jest tworzona kopia zapasowa informacji o odzyskiwaniu.

    Po ustawieniu wartości Włącz możesz skonfigurować następujące ustawienia:

    • Agent odzyskiwania danych oparty na certyfikatach
      Wartość domyślna: Nieskonfigurowane

      • Blokuj — uniemożliwia korzystanie z agenta odzyskiwania danych z dyskami systemu operacyjnego chronionymi funkcją BitLocker.
      • Nie skonfigurowano — zezwalaj na używanie agentów odzyskiwania danych z dyskami systemu operacyjnego chronionymi funkcją BitLocker.

    • Tworzenie hasła odzyskiwania przez użytkownika
      Ustawienie domyślne: Zezwalaj na użycie 48-cyfrowego hasła odzyskiwania

      Wybierz, czy użytkownicy mogą, muszą lub nie mogą generować 48-cyfrowego hasła odzyskiwania.

      • Zezwalaj na 48-cyfrowe hasło odzyskiwania
      • Nie zezwalaj na 48-cyfrowe hasło odzyskiwania
      • Wymaganie 48-cyfrowego hasła odzyskiwania

    • Tworzenie klucza odzyskiwania przez użytkownika
      Wartość domyślna: Zezwalaj na 256-bitowy klucz odzyskiwania

      Wybierz, czy użytkownicy mogą, muszą lub nie mogą generować 256-bitowego klucza odzyskiwania.

      • Zezwalaj na 256-bitowy klucz odzyskiwania
      • Nie zezwalaj na 256-bitowy klucz odzyskiwania
      • Wymaganie 256-bitowego klucza odzyskiwania

    • Opcje odzyskiwania w kreatorze konfiguracji funkcji BitLocker
      Wartość domyślna: Nieskonfigurowane

      • Blokuj — użytkownicy nie mogą wyświetlać i zmieniać opcji odzyskiwania. Gdy jest ustawiona na
      • Nie skonfigurowano — po włączeniu funkcji BitLocker użytkownicy mogą wyświetlać i zmieniać opcje odzyskiwania.

    • Zapisz informacje odzyskiwania funkcji BitLocker w usłudze Microsoft Entra ID
      Wartość domyślna: Nieskonfigurowane

      • Włącz — przechowuj informacje odzyskiwania funkcji BitLocker w usłudze Microsoft Entra ID.
      • Nie skonfigurowano — informacje odzyskiwania funkcji BitLocker nie są przechowywane w usłudze Microsoft Entra ID.

    • Informacje odzyskiwania funkcji BitLocker przechowywane w usłudze Microsoft Entra ID
      Ustawienie domyślne: Wykonaj kopię zapasową haseł odzyskiwania i pakietów kluczy

      Skonfiguruj, które części informacji odzyskiwania funkcji BitLocker są przechowywane w usłudze Microsoft Entra ID. Wybierz jedną z następujących opcji:

      • Tworzenie kopii zapasowych haseł odzyskiwania i pakietów kluczy
      • Tylko hasła odzyskiwania kopii zapasowej

    • Rotacja haseł odzyskiwania sterowana przez klienta
      Wartość domyślna: Nieskonfigurowane
      Dostawca CSP funkcji BitLocker: ConfigureRecoveryPasswordRotation

      To ustawienie inicjuje rotację haseł odzyskiwania sterowanych przez klienta po odzyskaniu dysku systemu operacyjnego (przy użyciu bootmgr lub WinRE).

      • Nieskonfigurowane
      • Obrót klawiszy wyłączony
      • Rotacja kluczy włączona dla urządzeń dołączonych do usługi Microsoft Entra
      • Rotacja kluczy włączona dla usługi Tożsamość Microsoft Entra i urządzeń połączonych hybrydowo

    • Przechowywanie informacji odzyskiwania w usłudze Microsoft Entra ID przed włączeniem funkcji BitLocker
      Wartość domyślna: Nieskonfigurowane

      Uniemożliwiaj użytkownikom włączanie funkcji BitLocker, chyba że komputer pomyślnie utworzy kopię zapasową informacji odzyskiwania funkcji BitLocker w usłudze Microsoft Entra ID.

      • Wymagaj — uniemożliwianie użytkownikom włączania funkcji BitLocker, chyba że informacje odzyskiwania funkcji BitLocker zostaną pomyślnie zapisane w usłudze Microsoft Entra ID.
      • Nie skonfigurowano — użytkownicy mogą włączyć funkcję BitLocker, nawet jeśli informacje odzyskiwania nie są pomyślnie przechowywane w usłudze Microsoft Entra ID.

  • Komunikat odzyskiwania przed rozruchem i adres URL
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji BitLocker: SystemDrivesRecoveryMessage

    • Włącz — skonfiguruj komunikat i adres URL wyświetlane na ekranie odzyskiwania klucza przed uruchomieniem.
    • Nie skonfigurowano — wyłącz tę funkcję.

    Po ustawieniu wartości Włącz można skonfigurować następujące ustawienie:

    • Komunikat dotyczący odzyskiwania przed rozruchem
      Ustawienie domyślne: Użyj domyślnego komunikatu odzyskiwania i adresu URL

      Skonfiguruj sposób wyświetlania użytkownikom komunikatu odzyskiwania przed rozruchem. Wybierz jedną z następujących opcji:

      • Użyj domyślnego komunikatu odzyskiwania i adresu URL
      • Użyj pustego komunikatu odzyskiwania i adresu URL
      • Użyj niestandardowego komunikatu odzyskiwania
      • Użyj niestandardowego adresu URL odzyskiwania

Ustawienia stałego dysku danych funkcji BitLocker

Te ustawienia dotyczą w szczególności stałych dysków danych.

  • Dostęp do zapisu do stałego dysku danych niechronionego funkcją BitLocker
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji BitLocker: FixedDrivesRequireEncryption

    • Blokuj — udziel dostępu tylko do odczytu do dysków danych, które nie są chronione funkcją BitLocker.
    • Nie skonfigurowano — domyślnie dostęp do odczytu i zapisu dysków danych, które nie są szyfrowane.

  • Odzyskiwanie dysku stałego
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji BitLocker: FixedDrivesRecoveryOptions

    • Włącz — kontroluj sposób odzyskiwania dysków stałych chronionych funkcją BitLocker, gdy wymagane informacje o uruchamianiu nie są dostępne.
    • Nie skonfigurowano — wyłącz tę funkcję.

    Po ustawieniu wartości Włącz możesz skonfigurować następujące ustawienia:

    • Agent odzyskiwania danych
      Wartość domyślna: Nieskonfigurowane

      • Blokuj — uniemożliwia korzystanie z agenta odzyskiwania danych za pomocą edytora zasad dysków stałych chronionych funkcją BitLocker.
      • Nieskonfigurowane — umożliwia korzystanie z agentów odzyskiwania danych z dyskami stałymi chronionymi funkcją BitLocker.

    • Tworzenie hasła odzyskiwania przez użytkownika
      Ustawienie domyślne: Zezwalaj na użycie 48-cyfrowego hasła odzyskiwania

      Wybierz, czy użytkownicy mogą, muszą lub nie mogą generować 48-cyfrowego hasła odzyskiwania.

      • Zezwalaj na 48-cyfrowe hasło odzyskiwania
      • Nie zezwalaj na 48-cyfrowe hasło odzyskiwania
      • Wymaganie 48-cyfrowego hasła odzyskiwania

    • Tworzenie klucza odzyskiwania przez użytkownika
      Wartość domyślna: Zezwalaj na 256-bitowy klucz odzyskiwania

      Wybierz, czy użytkownicy mogą, muszą lub nie mogą generować 256-bitowego klucza odzyskiwania.

      • Zezwalaj na 256-bitowy klucz odzyskiwania
      • Nie zezwalaj na 256-bitowy klucz odzyskiwania
      • Wymaganie 256-bitowego klucza odzyskiwania

    • Opcje odzyskiwania w kreatorze konfiguracji funkcji BitLocker
      Wartość domyślna: Nieskonfigurowane

      • Blokuj — użytkownicy nie mogą wyświetlać i zmieniać opcji odzyskiwania. Gdy jest ustawiona na
      • Nie skonfigurowano — po włączeniu funkcji BitLocker użytkownicy mogą wyświetlać i zmieniać opcje odzyskiwania.

    • Zapisz informacje odzyskiwania funkcji BitLocker w usłudze Microsoft Entra ID
      Wartość domyślna: Nieskonfigurowane

      • Włącz — przechowuj informacje odzyskiwania funkcji BitLocker w usłudze Microsoft Entra ID.
      • Nie skonfigurowano — informacje odzyskiwania funkcji BitLocker nie są przechowywane w usłudze Microsoft Entra ID.

    • Informacje odzyskiwania funkcji BitLocker przechowywane w usłudze Microsoft Entra ID
      Ustawienie domyślne: Wykonaj kopię zapasową haseł odzyskiwania i pakietów kluczy

      Skonfiguruj, które części informacji odzyskiwania funkcji BitLocker są przechowywane w usłudze Microsoft Entra ID. Wybierz jedną z następujących opcji:

      • Tworzenie kopii zapasowych haseł odzyskiwania i pakietów kluczy
      • Tylko hasła odzyskiwania kopii zapasowej

    • Przechowywanie informacji odzyskiwania w usłudze Microsoft Entra ID przed włączeniem funkcji BitLocker
      Wartość domyślna: Nieskonfigurowane

      Uniemożliwiaj użytkownikom włączanie funkcji BitLocker, chyba że komputer pomyślnie utworzy kopię zapasową informacji odzyskiwania funkcji BitLocker w usłudze Microsoft Entra ID.

      • Wymagaj — uniemożliwianie użytkownikom włączania funkcji BitLocker, chyba że informacje odzyskiwania funkcji BitLocker zostaną pomyślnie zapisane w usłudze Microsoft Entra ID.
      • Nie skonfigurowano — użytkownicy mogą włączyć funkcję BitLocker, nawet jeśli informacje odzyskiwania nie są pomyślnie przechowywane w usłudze Microsoft Entra ID.

Ustawienia wymiennych dysków danych funkcji BitLocker

Te ustawienia dotyczą w szczególności wymiennych dysków danych.

  • Dostęp do zapisu na wymiennym dysku danych niechronionym funkcją BitLocker
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP funkcji BitLocker: RemovableDrivesRequireEncryption

    • Blokuj — udziel dostępu tylko do odczytu do dysków danych, które nie są chronione funkcją BitLocker.
    • Nie skonfigurowano — domyślnie dostęp do odczytu i zapisu dysków danych, które nie są szyfrowane.

    Po ustawieniu wartości Włącz można skonfigurować następujące ustawienie:

    • Dostęp do zapisu do urządzeń skonfigurowanych w innej organizacji
      Wartość domyślna: Nieskonfigurowane

      • Blokuj — blokuj dostęp do zapisu do urządzeń skonfigurowanych w innej organizacji.
      • Nie skonfigurowano — odmowa dostępu do zapisu.

Microsoft Defender Exploit Guard

Użyj Exploit Protection , aby zarządzać i zmniejszać obszar ataków na aplikacje używane przez Twoich pracowników.

Zmniejszanie obszaru podatnego na ataki

Reguły zmniejszania obszaru podatnego na ataki pomagają zapobiegać zachowaniom często wykorzystywanym przez złośliwe oprogramowanie do infekowania komputerów złośliwym kodem.

Reguły zmniejszania obszaru podatnego na ataki

Aby dowiedzieć się więcej, zobacz Reguły zmniejszania obszaru ataków w dokumentacji Ochrona punktu końcowego w usłudze Microsoft Defender.

Zachowanie scalania dla reguł zmniejszania obszaru podatnego na ataki w usłudze Intune:

Reguły zmniejszania obszaru podatnego na ataki obsługują łączenie ustawień z różnych zasad w celu utworzenia nadzbioru zasad dla każdego urządzenia. Scalane są tylko ustawienia niepowodujące konfliktu, natomiast ustawienia powodujące konflikt nie są dodawane do nadzbioru reguł. Wcześniej jeśli dwie zasady zawierały konflikty dla jednego ustawienia, obie zasady były oflagowywane jako pozostające w konflikcie i żadne ustawienia z żadnego profilu nie były wdrażane.

Zachowanie scalania reguł zmniejszania obszaru podatnego na ataki jest następujące:

  • Reguły zmniejszania obszaru podatnego na ataki z następujących profilów są oceniane dla każdego urządzenia, którego dotyczą reguły:
    • Zasady > konfiguracji urządzeń > Profil > ochrony punktu końcowego Microsoft Defender Exploit Guard >Zmniejszanie obszaru ataków
    • Zabezpieczenia > punktu końcowego Zasady > zmniejszania obszaru podatnego na ataki Reguły zmniejszania obszaru podatnego na ataki
    • Punkty końcowe Punkty >> odniesienia zabezpieczeń Ochrona punktu końcowego w usłudze Microsoft Defender Podstawowe >reguły zmniejszania obszaru podatnego na ataki.
  • Ustawienia, w przypadku których nie występują konflikty, są dodawane do nadzbioru zasad dla urządzenia.
  • Jeśli co najmniej dwie zasady mają ustawienia powodujące konflikt, ustawienia powodujące konflikt nie są dodawane do połączonych zasad. Ustawienia, które nie powodują konfliktu, są dodawane do zasad nadzbioru stosowanego do urządzenia.
  • Ograniczane są tylko konfiguracje ustawień powodujących konflikty.

Ustawienia w profilu:

Reguły zapobiegające zagrożeniom ze strony makr pakietu Office

Zablokuj aplikacjom pakietu Office możliwość wykonywania następujących akcji:

Reguły zapobiegające zagrożeniom związanym ze skryptami

Aby chronić się przed zagrożeniami ze strony skryptów, zablokuj następujące działania:

Reguły zapobiegające zagrożeniom ze strony poczty e-mail

Aby zapobiec zagrożeniom ze strony poczty e-mail, zablokuj następujące działania:

  • Wykonywanie zawartości wykonywalnej (exe, dll, ps, js, vbs itp.) usuniętej z poczty e-mail (klient poczty internetowej/poczty) (bez wyjątków)
    Wartość domyślna: Nieskonfigurowane
    Reguła: Blokowanie wykonywalnej zawartości klienta poczty e-mail i poczty internetowej

    • Nieskonfigurowane
    • Blokuj — blokowanie wykonywania zawartości wykonywalnej (exe, dll, ps, js, vbs itp.) porzucanej z poczty e-mail (poczta internetowa/klient poczty).
    • Tylko inspekcja

Reguły ochrony przed oprogramowaniem wymuszającym okup

Wyjątki zmniejszania obszaru podatnego na ataki

  • Files i folder do wykluczenia z reguł zmniejszania obszaru podatnego na ataki
    Defender CSP: AttackSurfaceReductionOnlyExclusions

    • Zaimportuj plik .csv zawierający pliki i foldery, które mają zostać wykluczone z reguł zmniejszania obszaru podatnego na ataki.
    • Ręczne dodawanie plików lub folderów lokalnych.

Ważna

Aby umożliwić poprawne instalowanie i wykonywanie aplikacji LOB Win32, ustawienia ochrony przed złośliwym oprogramowaniem powinny wykluczać następujące katalogi ze skanowania: Na komputerach klienckich x64: C:\Program Files (x86)\Microsoft Intune Management Extension\ContentC:\windows\IMECache

On X86 client machines: C:\Program Files\Microsoft Intune Management Extension\ContentC:\windows\IMECache

Aby uzyskać więcej informacji, zobacz Zalecenia dotyczące skanowania antywirusowego dla komputerów przedsiębiorstwa z obecnie obsługiwanymi wersjami systemu Windows.

Kontrolowany dostęp do folderu

Pomóż chronić cenne dane przed złośliwymi aplikacjami i zagrożeniami, takimi jak oprogramowanie wymuszające okup.

  • Ochrona folderów
    Wartość domyślna: Nieskonfigurowane
    Defender CSP: EnableControlledFolderAccess

    Chroń pliki i foldery przed nieautoryzowanymi zmianami wprowadzanymi przez nieprzyjazne aplikacje.

    • Nieskonfigurowane
    • Umożliwianie
    • Tylko inspekcja
    • Zablokuj modyfikację dysku
    • Przeprowadź inspekcję modyfikacji dysku

    W przypadku wybrania konfiguracji innej niż Nieskonfigurowane możesz następnie skonfigurować:

    • Lista aplikacji, które mają dostęp do chronionych folderów
      Defender CSP: ControlledFolderAccessAllowedApplications

      • Zaimportuj plik .csv, który zawiera listę aplikacji.
      • Dodaj aplikacje do tej listy ręcznie.

    • Lista dodatkowych folderów, które muszą być chronione
      Defender CSP: ControlledFolderAccessProtectedFolders

      • Zaimportuj plik .csv zawierający listę folderów.
      • Dodaj foldery do tej listy ręcznie.

Filtrowanie sieci

Blokowanie połączeń wychodzących z dowolnej aplikacji do adresów IP lub domen o niskiej reputacji. Filtrowanie sieci jest obsługiwane zarówno w trybie inspekcji, jak i blokowania.

  • Ochrona sieci
    Wartość domyślna: Nieskonfigurowane
    Defender CSP: EnableNetworkProtection

    To ustawienie ma na celu ochronę użytkowników końcowych przed aplikacjami mającymi dostęp do wyłudzeń informacji, witryn wykorzystujących luki w zabezpieczeniach oraz złośliwej zawartości w Internecie. Uniemożliwia również przeglądarkom innych firm łączenie się z niebezpiecznymi witrynami.

    • Nie skonfigurowano — wyłącz tę funkcję. Użytkownicy i aplikacje nie mają zablokowanej możliwości łączenia się z niebezpiecznymi domenami. Administratorzy nie widzą tej aktywności w Centrum zabezpieczeń usługi Microsoft Defender.
    • Włącz — włącz ochronę sieci i zablokuj użytkownikom oraz aplikacjom możliwość łączenia się z niebezpiecznymi domenami. Administratorzy mogą zobaczyć to działanie w Centrum zabezpieczeń usługi Microsoft Defender.
    • Tylko inspekcja: — użytkownicy i aplikacje nie mają zablokowanej możliwości łączenia się z niebezpiecznymi domenami. Administratorzy mogą zobaczyć to działanie w Centrum zabezpieczeń usługi Microsoft Defender.

Ochrona przed wykorzystywaniem

  • Przekazywanie pliku XML
    Wartość domyślna: Nieskonfigurowane

    Aby używać Exploit Protection do ochrony urządzeń przed programami wykorzystującymi luki w zabezpieczeniach, utwórz plik XML zawierający odpowiednie ustawienia ograniczenia ryzyka dla systemu i aplikacji. Plik XML można utworzyć na dwie sposoby:

    • PowerShell — użyj co najmniej jednego polecenia cmdlet programu PowerShell Get-ProcessMitigation, Set-ProcessMitigation i ConvertTo-ProcessMitigationPolicy . Polecenia cmdlet konfigurują ustawienia ograniczania ryzyka i eksportują ich reprezentację XML.

    • Centrum zabezpieczeń usługi Microsoft Defender interfejsu użytkownika — w Centrum zabezpieczeń usługi Microsoft Defender wybierz kontrolkę aplikacji & przeglądarki, a następnie przewiń w dół wyświetlonego ekranu, aby znaleźć Exploit Protection. Najpierw skorzystaj z kart Ustawienia systemowe i Ustawienia programu, aby skonfigurować ograniczenia ryzyka. Następnie znajdź link Eksportuj ustawienia u dołu ekranu, aby wyeksportować ich reprezentację XML.

  • Edytowanie interfejsu exploit Protection przez użytkownika
    Wartość domyślna: Nieskonfigurowane
    ExploitGuard CSP: ExploitProtectionSettings

    • Blokuj — przekaż plik XML, który umożliwia skonfigurowanie pamięci, przepływu sterowania i ograniczeń zasad. Ustawienia w pliku XML mogą być używane do blokowania aplikacji przed programami wykorzystującymi luki w zabezpieczeniach.
    • Nie skonfigurowano — nie jest używana konfiguracja niestandardowa.

Kontrola aplikacji usługi Microsoft Defender

Wybierz aplikacje, które mają być poddawane inspekcji, lub takie, których uruchamianie przez funkcję Kontrola aplikacji Microsoft Defender zaufano. Składniki systemu Windows i wszystkie aplikacje ze Sklepu Windows są automatycznie uruchamiane.

  • Zasady integralności kodu kontroli aplikacji
    Wartość domyślna: Nieskonfigurowane
    Zasady zabezpieczeń zawartości: AppLocker CSP

    • Wymuś — wybierz zasady integralności kodu kontroli aplikacji dla urządzeń użytkowników.

      Po włączeniu na urządzeniu Kontrolę aplikacji można wyłączyć tylko poprzez zmianę trybu z wymuszania na tylko inspekcję. Zmiana trybu z Wymuś na Nieskonfigurowane powoduje, że kontrola aplikacji jest nadal wymuszana na przypisanych urządzeniach.

    • Nieskonfigurowane — Kontrola aplikacji nie jest dodawana do urządzeń. Jednak ustawienia, które zostały dodane wcześniej, będą nadal wymuszane na przypisanych urządzeniach.

    • Tylko inspekcja — aplikacje nie są blokowane. Wszystkie zdarzenia są rejestrowane w dziennikach klienta lokalnego.

      Uwaga

      Jeśli używasz tego ustawienia, zachowanie CSP funkcji AppLocker obecnie monituje użytkownika końcowego o ponowne uruchomienie komputera po wdrożeniu zasad.

Credential Guard usługi Microsoft Defender

Funkcja Microsoft Defender Credential Guard chroni przed atakami kradzieży poświadczeń. Izoluje tajemnice, aby tylko uprzywilejowane oprogramowanie systemowe mogło uzyskać do nich dostęp.

  • Credential Guard
    Wartość domyślna: wyłączone
    DeviceGuard CSP

    • Wyłącz — wyłącz zdalnie funkcję Credential Guard, jeśli została wcześniej włączona z opcją Włącz bez blokady interfejsu UEFI .

    • Włącz z blokadą UEFI — funkcji Credential Guard nie można wyłączyć zdalnie przy użyciu klucza rejestru lub zasad grupy.

      Uwaga

      Jeśli używasz tego ustawienia, a następnie chcesz później wyłączyć funkcję Credential Guard, musisz ustawić dla zasady grupy wartość Wyłączone. Wyczyść fizycznie informacje o konfiguracji interfejsu UEFI na każdym z komputerów. Dopóki konfiguracja UEFI jest utrzymywana, funkcja Credential Guard jest włączona.

    • Włącz bez blokady UEFI — umożliwia zdalne wyłączenie funkcji Credential Guard przy użyciu zasady grupy. Na urządzeniach, które używają tego ustawienia, musi być system Windows 10 w wersji 1511 lub nowszej lub Windows 11.

      Ważna

      14 października 2025 r. system Windows 10 osiągnął koniec wsparcia technicznego i nie będzie otrzymywać aktualizacji dotyczących jakości i funkcji. System Windows 10 jest dozwoloną wersją w usłudze Intune. Urządzenia z tą wersją nadal mogą zarejestrować się w usłudze Intune i korzystać z kwalifikujących się funkcji, ale funkcjonalność nie będzie gwarantowana i może się różnić.

    Po włączeniu funkcji Credential Guard są również włączane następujące wymagane funkcje:

    • Zabezpieczenia oparte na wirtualizacji (VBS)
      Włącza się przy następnym ponownym uruchomieniu. Zabezpieczenia oparte na wirtualizacji wykorzystują funkcję Windows Hypervisor do zapewnienia obsługi usług zabezpieczeń.
    • Bezpieczny rozruch z dostępem do pamięci katalogowej
      Włącza zabezpieczenia VBS za pomocą bezpiecznego rozruchu i bezpośredniego dostępu do pamięci (DMA). Zabezpieczenia DMA wymagają obsługi sprzętowej i są włączane tylko na poprawnie skonfigurowanych urządzeniach.

Centrum zabezpieczeń usługi Microsoft Defender

Centrum zabezpieczeń usługi Microsoft Defender działa jako aplikacja lub proces oddzielny od poszczególnych funkcji. Powiadomienia są wyświetlane za pośrednictwem Centrum akcji. Działa jako kolektor lub pojedyncze miejsce, w którym można zobaczyć stan i uruchomić konfigurację dla każdej z funkcji. Dowiedz się więcej z dokumentacji usługi Microsoft Defender.

Aplikacja i powiadomienia aplikacji Centrum zabezpieczeń usługi Microsoft Defender

Zablokuj dostęp użytkowników końcowych do różnych obszarów aplikacji Centrum zabezpieczeń usługi Microsoft Defender. Ukrycie sekcji powoduje również zablokowanie powiązanych powiadomień.

  • Ochrona przed wirusami i zagrożeniami
    Wartość domyślna: Nieskonfigurowane
    WindowsDefenderSecurityCenter CSP: DisableVirusUI

    Skonfiguruj, czy użytkownicy końcowi mogą wyświetlać obszar Ochrona przed wirusami i zagrożeniami w Centrum zabezpieczeń usługi Microsoft Defender. Ukrycie tej sekcji spowoduje również zablokowanie wszystkich powiadomień związanych z ochroną przed wirusami i zagrożeniami.

    • Nieskonfigurowane
    • ukryć

  • Ochrona przed oprogramowaniem ransomware
    Wartość domyślna: Nieskonfigurowane
    WindowsDefenderSecurityCenter CSP: HideRansomwareDataRecovery

    Skonfiguruj, czy użytkownicy końcowi mogą wyświetlać obszar ochrony przed oprogramowaniem wymuszającym okup w Centrum zabezpieczeń usługi Microsoft Defender. Ukrycie tej sekcji spowoduje również zablokowanie wszystkich powiadomień związanych z ochroną przed oprogramowaniem ransomware.

    • Nieskonfigurowane
    • ukryć

  • Ochrona konta
    Wartość domyślna: Nieskonfigurowane
    WindowsDefenderSecurityCenter CSP: DisableAccountProtectionUI

    Skonfiguruj, czy użytkownicy końcowi mogą wyświetlać obszar ochrony konta w Centrum zabezpieczeń usługi Microsoft Defender. Ukrycie tej sekcji spowoduje również zablokowanie wszystkich powiadomień związanych z ochroną konta.

    • Nieskonfigurowane
    • ukryć

  • Zapora i ochrona sieci
    Wartość domyślna: Nieskonfigurowane
    WindowsDefenderSecurityCenter CSP: DisableNetworkUI

    Skonfiguruj, czy użytkownicy końcowi mogą wyświetlać obszar Zapora i ochrona sieci w Centrum zabezpieczeń usługi Microsoft Defender. Ukrycie tej sekcji spowoduje również zablokowanie wszystkich powiadomień związanych z Zaporą i ochroną sieci.

    • Nieskonfigurowane
    • ukryć

  • Sterowanie aplikacjami i przeglądarką
    Wartość domyślna: Nieskonfigurowane
    Zasady zabezpieczeń zawartości: DisableAppBrowserUI

    Skonfiguruj, czy użytkownicy końcowi mogą wyświetlać obszar sterowania aplikacjami i przeglądarką w Centrum zabezpieczeń usługi Microsoft Defender. Ukrycie tej sekcji spowoduje również zablokowanie wszystkich powiadomień związanych z kontrolą aplikacji i przeglądarki.

    • Nieskonfigurowane
    • ukryć

  • Ochrona sprzętu
    Wartość domyślna: Nieskonfigurowane
    Zasady zabezpieczeń zawartości: DisableDeviceSecurityUI

    Skonfiguruj, czy użytkownicy końcowi mogą wyświetlać obszar ochrony sprzętu w Centrum zabezpieczeń usługi Microsoft Defender. Ukrycie tej sekcji spowoduje również zablokowanie wszystkich powiadomień związanych z ochroną sprzętu.

    • Nieskonfigurowane
    • ukryć

  • Wydajność i kondycja urządzenia
    Wartość domyślna: Nieskonfigurowane
    WindowsDefenderSecurityCenter CSP: DisableHealthUI

    Skonfiguruj, czy użytkownicy końcowi mogą wyświetlać obszar Wydajność i kondycja urządzenia w Centrum zabezpieczeń usługi Microsoft Defender. Ukrycie tej sekcji spowoduje również zablokowanie wszystkich powiadomień związanych z wydajnością i kondycją urządzenia.

    • Nieskonfigurowane
    • ukryć

  • Opcje rodzinne
    Wartość domyślna: Nieskonfigurowane
    WindowsDefenderSecurityCenter CSP: DisableFamilyUI

    Skonfiguruj, czy użytkownicy końcowi mogą wyświetlać obszar Opcje rodziny w Centrum zabezpieczeń usługi Microsoft Defender. Ukrycie tej sekcji spowoduje również zablokowanie wszystkich powiadomień związanych z opcjami rodziny.

    • Nieskonfigurowane
    • ukryć

  • Powiadomienia z wyświetlanych obszarów aplikacji
    Wartość domyślna: Nieskonfigurowane
    WindowsDefenderSecurityCenter CSP: DisableNotifications

    Wybierz powiadomienia, które mają być wyświetlane użytkownikom końcowym. Powiadomienia niekrytyczne zawierają podsumowania aktywności programu antywirusowego Microsoft Defender, w tym powiadomienia o ukończeniu skanowania. Wszystkie inne powiadomienia są traktowane jako krytyczne.

    • Nieskonfigurowane
    • Blokuj powiadomienia niekrytyczne
    • Zablokuj wszystkie powiadomienia

  • Ikona aplikacji Zabezpieczenia Windows Center na pasku zadań
    Wartość domyślna: Nieskonfigurowane
    Dostawca CSP WindowsDefenderSecurityCenter: HideWindowsSecurityNotificationAreaControl

    Skonfiguruj sposób wyświetlania kontrolki obszaru powiadomień. Aby to ustawienie zostało zastosowane, użytkownik musi się wylogować i zalogować lub ponownie uruchomić komputer.

    • Nieskonfigurowane
    • ukryć

  • Przycisk Wyczyść moduł TPM
    Wartość domyślna: Nieskonfigurowane
    Zasady zabezpieczeń zawartości: DisableClearTpmButton

    Skonfiguruj sposób wyświetlania przycisku Wyczyść moduł TPM.

    • Nieskonfigurowane
    • Wyłącz

  • Ostrzeżenie o aktualizacji oprogramowania układowego modułu TPM
    Wartość domyślna: Nieskonfigurowane
    WindowsDefenderSecurityCenter CSP: DisableTpmFirmwareUpdateWarning

    Skonfiguruj wyświetlanie aktualizacji oprogramowania układowego modułu TPM w przypadku wykrycia oprogramowania układowego zawierającego luki w zabezpieczeniach.

    • Nieskonfigurowane
    • ukryć

  • Ochrona przed sabotażem
    Wartość domyślna: Nieskonfigurowane

    Włącz lub wyłącz funkcję ochrony przed naruszeniami na urządzeniach. Aby używać ochrony przed naruszeniami, musisz zintegrować usługę Ochrona punktu końcowego w usłudze Microsoft Defender z usługą Intune i mieć licencje na usługę Enterprise Mobility + Security E5.

    • Nie skonfigurowano — ustawienia urządzenia nie są zmieniane.
    • Włączone — funkcja Ochrona przed naruszeniami jest włączona i na urządzeniach są wymuszane ograniczenia.
    • Wyłączone — funkcja Ochrona przed naruszeniami jest wyłączona, a ograniczenia nie są wymuszane.

Informacje kontaktowe działu IT

Podaj informacje kontaktowe działu IT, które będą wyświetlane w aplikacji Centrum zabezpieczeń usługi Microsoft Defender i powiadomieniach aplikacji.

Możesz wybrać opcję Wyświetlaj tylko w aplikacji i w powiadomieniach, Wyświetlaj tylko w aplikacji, Wyświetlaj tylko w powiadomieniach lub Nie wyświetlaj. Wprowadź nazwę organizacji IT i co najmniej jedną z następujących opcji kontaktu:

  • Informacje kontaktowe działu IT
    Ustawienie domyślne: Nie wyświetlaj
    WindowsDefenderSecurityCenter CSP: EnableCustomizedToasts

    Skonfiguruj miejsce wyświetlania informacji kontaktowych działu IT dla użytkowników końcowych.

    • Wyświetlanie w aplikacji i w powiadomieniach
    • Wyświetl tylko w aplikacji
    • Wyświetlaj tylko w powiadomieniach
    • Nie wyświetlaj

    Po skonfigurowaniu wyświetlania można skonfigurować następujące ustawienia:

    • Nazwa organizacji IT
      Wartość domyślna: Nieskonfigurowane
      Dostawca CSP WindowsDefenderSecurityCenter: CompanyName

    • Numer telefonu działu IT lub identyfikator Skype
      Wartość domyślna: Nieskonfigurowane
      WindowsDefenderSecurityCenter CSP: Telefon

    • Adres e-mail działu IT
      Wartość domyślna: Nieskonfigurowane
      WindowsDefenderSecurityCenter CSP: Email

    • Adres URL witryny internetowej pomocy technicznej IT
      Wartość domyślna: Nieskonfigurowane
      Dostawca CSP WindowsDefenderSecurityCenter: adres URL

Opcje zabezpieczeń urządzeń lokalnych

Te opcje służą do konfigurowania ustawień zabezpieczeń lokalnych na urządzeniach z systemem Windows.

Konta

  • Dodawanie nowych kont Microsoft
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: Accounts_BlockMicrosoftAccounts

    • Zablokuj Uniemożliwia użytkownikom dodawanie nowych kont Microsoft do urządzenia.
    • Nieskonfigurowane — użytkownicy mogą korzystać z kont Microsoft na urządzeniu.

  • Zdalne logowanie bez hasła
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: Accounts_LimitLocalAccountUseOfBlankPasswordsToConsoleLogonOnly

    • Blokuj — zezwalaj tylko kontom lokalnym z pustymi hasłami na logowanie się przy użyciu klawiatury urządzenia.
    • Nie skonfigurowano — zezwalaj kontom lokalnym z pustymi hasłami na logowanie się z lokalizacji innych niż urządzenie fizyczne.

Administrator

  • Konto administratora lokalnego
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: Accounts_LimitLocalAccountUseOfBlankPasswordsToConsoleLogonOnly

    • Zablokuj Nie zezwalaj na korzystanie z konta administratora lokalnego.
    • Nieskonfigurowane

  • Zmienianie nazwy konta administratora
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: Accounts_RenameAdministratorAccount

    Zdefiniuj inną nazwę konta, która będzie skojarzona z identyfikatorem zabezpieczeń (SID) dla konta "Administrator".

Gość

  • Konto gościa
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: LocalPoliciesSecurityOptions

    • Zablokuj — uniemożliwia korzystanie z konta gościa.
    • Nieskonfigurowane

  • Zmień nazwę konta gościa
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: Accounts_RenameGuestAccount

    Zdefiniuj inną nazwę konta, która będzie skojarzona z identyfikatorem zabezpieczeń (SID) konta "Gość".

Urządzenia

  • Oddokowanie urządzenia bez logowania
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: Devices_AllowUndockWithoutHavingToLogon

    • Blokuj — użytkownik musi zalogować się do urządzenia i otrzymać uprawnienie do oddokowania urządzenia.
    • Nieskonfigurowane — użytkownicy mogą nacisnąć fizyczny przycisk wysuwania zadokowanego urządzenia przenośnego, aby bezpiecznie oddokować urządzenie.

  • Instalowanie sterowników drukarek udostępnionych
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: Devices_PreventUsersFromInstallingPrinterDriversWhenConnectingToSharedPrinters

    • Włączone — każdy użytkownik może zainstalować sterownik drukarki w ramach łączenia się z drukarką udostępnioną.
    • Nie skonfigurowano — tylko administratorzy mogą zainstalować sterownik drukarki w ramach łączenia się z drukarką udostępnioną.

  • Ogranicz dostęp CD-ROM do aktywnego użytkownika lokalnego
    Wartość domyślna: Nieskonfigurowane
    Zasady zabezpieczeń zawartości: Devices_RestrictCDROMAccessToLocallyLoggedOnUserOnly

    • Włączone — z nośnika CD-ROM może korzystać tylko użytkownik zalogowany interaktywnie. Jeśli ta zasada jest włączona i nikt nie jest zalogowany interakcyjnie, dostęp do dysku CD-ROM odbywa się przez sieć.
    • Nieskonfigurowane — każdy ma dostęp do dysku CD-ROM.

  • Formatowanie i wysuwanie nośników wymiennych
    Wartość domyślna: Administratorzy
    Zasady zabezpieczeń zawartości: Devices_AllowedToFormatAndEjectRemovableMedia

    Określ, kto może formatować i wysuwać wymienne nośniki systemu plików NTFS:

    • Nieskonfigurowane
    • Administratorzy
    • Administratorzy i użytkownicy zaawansowani
    • Administratorzy i użytkownicy interakcyjni

Logowanie interakcyjne

  • Minuty braku aktywności ekranu blokady do momentu aktywowania wygaszacza ekranu
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_MachineInactivityLimit

    Wprowadź maksymalną liczbę minut braku aktywności przed aktywowaniem wygaszacza ekranu. (0 - 99999)

  • Wymaganie kombinacji klawiszy CTRL+ALT+DEL do zalogowania się
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_DoNotRequireCTRLALTDEL

    • Włącz — wymagaj od użytkowników naciśnięcia klawiszy CTRL+ALT+DEL przed zalogowaniem się do systemu Windows.
    • Nie skonfigurowano — użytkownicy nie muszą się logować, naciskając klawisze CTRL+ALT+DEL.

  • Zachowanie podczas wyjmowania karty inteligentnej
    Wartość domyślna: Brak akcji
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_SmartCardRemovalBehavior

    Określa, co się stanie, gdy karta inteligentna zalogowanego użytkownika zostanie usunięta z czytnika kart inteligentnych. Dostępne opcje:

    • Zablokuj stację roboczą — stacja robocza zostaje zablokowana po wyjęciu karty inteligentnej. Ta opcja umożliwia użytkownikom opuszczenie obszaru, zabranie ze sobą karty inteligentnej i zachowanie chronionej sesji.
    • Brak akcji
    • Wymuś wylogowanie — użytkownik jest automatycznie wylogowywany po wyjęciu karty inteligentnej.
    • Rozłącz, jeśli sesja usług pulpitu zdalnego — wyjęcie karty inteligentnej powoduje rozłączenie sesji bez wylogowywania użytkownika. Ta opcja umożliwia użytkownikowi włożenie karty inteligentnej i wznowienie sesji później albo na innym komputerze wyposażonym w czytnik kart inteligentnych bez konieczności ponownego logowania. Jeśli sesja jest lokalna, ta zasada działa identycznie jak zasada Zablokuj stację roboczą.

Wyświetl

  • Informacje o użytkowniku na ekranie blokady
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_DisplayUserInformationWhenTheSessionIsLocked

    Skonfiguruj informacje o użytkowniku, które są wyświetlane, gdy sesja jest zablokowana. Jeśli nie skonfigurowano tego ustawienia, są wyświetlane nazwa wyświetlana użytkownika, domena i nazwa użytkownika.

    • Nieskonfigurowane
    • Nazwa wyświetlana użytkownika, domena i nazwa użytkownika
    • Tylko nazwa wyświetlana użytkownika
    • Nie wyświetlaj informacji o użytkowniku

  • Ukrywanie ostatnio zalogowanego użytkownika
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_DoNotDisplayLastSignedIn

    • Włącz — ukryj nazwę użytkownika.
    • Nie skonfigurowano — pokaż ostatnią nazwę użytkownika.

  • Ukryj nazwę użytkownika przy logowaniu
    Wartość domyślna: nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_DoNotDisplayUsernameAtSignIn

    • Włącz — ukryj nazwę użytkownika.
    • Nie skonfigurowano — pokaż ostatnią nazwę użytkownika.

  • Tytuł komunikatu logowania
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_MessageTitleForUsersAttemptingToLogOn

    Ustawianie tytułu wiadomości dla logujących się użytkowników.

  • Tekst komunikatu logowania
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: InteractiveLogon_MessageTextForUsersAttemptingToLogOn

    Ustaw tekst komunikatu dla logujących się użytkowników.

Dostęp do sieci i zabezpieczenia

  • Anonimowy dostęp do nazwanych potoków i udziałów
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: NetworkAccess_RestrictAnonymousAccessToNamedPipesAndShares

    • Nie skonfigurowano — ograniczanie dostępu anonimowego do ustawień udziału i nazwanego potoku. Dotyczy ustawień, do których dostęp można uzyskać anonimowo.
    • Zablokuj — wyłącz tę zasadę, udostępniając dostęp anonimowy.

  • Anonimowe wyliczanie kont SAM
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: NetworkAccess_DoNotAllowAnonymousEnumerationOfSAMAccounts

    • Nie skonfigurowano — użytkownicy anonimowi mogą wyliczać konta SAM.
    • Blokuj — zapobiegaj anonimowemu wyliczaniu kont SAM.

  • Anonimowe wyliczanie kont SAM i udostępnień
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: NetworkAccess_DoNotAllowAnonymousEnumerationOfSamAccountsAndShares

    • Nie skonfigurowano — użytkownicy anonimowi mogą wyliczać nazwy kont domeny i udziałów sieciowych.
    • Blokuj — zapobiegaj anonimowemu wyliczaniu kont SAM i udostępnień.

  • Wartość skrótu programu LAN Manager przechowywana przy zmianie hasła
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: NetworkSecurity_DoNotStoreLANManagerHashValueOnNextPasswordChange

    Określ, czy wartość skrótu hasła zostanie zapisana po następnej zmianie hasła.

    • Nie skonfigurowano — wartość skrótu nie jest przechowywana
    • Block - LAN Manager (LM) przechowuje wartość skrótu dla nowego hasła.

  • Żądania uwierzytelnienia PKU2U
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: NetworkSecurity_AllowPKU2UAuthenticationRequests

    • Nieskonfigurowane — zezwalaj na żądania PU2U.
    • Block - Blokuj żądania uwierzytelnienia PKU2U do urządzenia.

  • Ograniczanie zdalnych połączeń RPC do SAM
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: NetworkAccess_RestrictClientsAllowedToMakeRemoteCallsToSAM

    • Nie skonfigurowano — użyj domyślnego deskryptora zabezpieczeń, który może zezwalać użytkownikom i grupom na wykonywanie zdalnych wywołań RPC do SAM.

    • Zezwalaj — zablokuj użytkownikom i grupom możliwość wykonywania zdalnych wywołań RPC do menedżera kont zabezpieczeń (SAM), w którym są przechowywane konta użytkowników i hasła. Pozycja Zezwalaj pozwala również zmienić domyślny ciąg języka SDDL (Security Descriptor Definition Language) w celu jawnego zezwolenia lub odmowy wykonywania tych wywołań zdalnych przez użytkowników i grupy.

      • Deskryptor zabezpieczeń
        Wartość domyślna: Nieskonfigurowane

  • Minimalne zabezpieczenia sesji dla klientów opartych na protokole SSP NTLM
    Wartość domyślna: brak
    LocalPoliciesSecurityOptions CSP: NetworkSecurity_MinimumSessionSecurityForNTLMSSPBasedClients

    To ustawienie zabezpieczeń umożliwia serwerowi wymaganie negocjacji szyfrowania 128-bitowego i/lub zabezpieczeń sesji NTLMv2.

    • Brak
    • Wymaganie zabezpieczeń sesji NTLMv2
    • Wymaganie szyfrowania 128-bitowego
    • NTLMv2 i szyfrowanie 128-bitowe

  • Minimalne zabezpieczenia sesji dla serwera opartego na protokole SSP NTLM
    Wartość domyślna: brak
    LocalPoliciesSecurityOptions CSP: NetworkSecurity_MinimumSessionSecurityForNTLMSSPBasedServers

    To ustawienie zabezpieczeń określa, który protokół uwierzytelniania wezwania/odpowiedzi jest używany do logowania w sieci.

    • Brak
    • Wymaganie zabezpieczeń sesji NTLMv2
    • Wymaganie szyfrowania 128-bitowego
    • NTLMv2 i szyfrowanie 128-bitowe

  • Poziom uwierzytelniania LAN Managera
    Wartość domyślna: LM i NTLM
    LocalPoliciesSecurityOptions CSP: NetworkSecurity_LANManagerAuthenticationLevel

    • LM i NTLM
    • LM, NTLM i NTLMv2
    • NTLM
    • NTLMv2
    • NTLMv2, a nie LM
    • NTLMv2, a nie LM lub NTLM

  • Niezabezpieczone logowania gości
    Wartość domyślna: Nieskonfigurowane
    LanmanWorkstation CSP: LanmanWorkstation

    Jeśli to ustawienie zostanie włączone, klient SMB będzie odrzucał niezabezpieczone logowania gości.

    • Nieskonfigurowane
    • Blokuj — klient SMB odrzuca niezabezpieczone logowania gości.

Odzyskiwanie konsoli i zamykanie konsoli

  • Wyczyść plik stronicowania pamięci wirtualnej podczas zamykania
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: Shutdown_ClearVirtualMemoryPageFile

    • Włącz — wyczyść plik stronicowania pamięci wirtualnej, gdy urządzenie jest wyłączone.
    • Nieskonfigurowane — nie czyści pamięci wirtualnej.

  • Zamknięcie bez logowania
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: Shutdown_AllowSystemToBeShutDownWithoutHavingToLogOn

    • Zablokuj — ukryj opcję zamykania na ekranie logowania systemu Windows. Użytkownicy muszą zalogować się na urządzeniu, a następnie je wyłączyć.
    • Nieskonfigurowane — zezwalaj użytkownikom na wyłączanie urządzenia z poziomu ekranu logowania systemu Windows.

Kontrola konta użytkownika

  • Integralność UIA bez bezpiecznej lokalizacji
    Wartość domyślna: nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: UserAccountControl_OnlyElevateUIAccessApplicationsThatAreInstalledInSecureLocations

    • Blokuj — aplikacje, które znajdują się w bezpiecznej lokalizacji w systemie plików, będą działać tylko z integralnością UIAccess.
    • Nieskonfigurowane — umożliwia aplikacjom uruchamianie z integralnością UIAccess, nawet jeśli aplikacje nie znajdują się w bezpiecznej lokalizacji w systemie plików.

  • Wirtualizowanie błędów zapisu plików i rejestru w lokalizacjach poszczególnych użytkowników
    Wartość domyślna: nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: UserAccountControl_VirtualizeFileAndRegistryWriteFailuresToPerUserLocations

    • Włączone — aplikacje, które zapisują dane w chronionych lokalizacjach kończą się niepowodzeniem.
    • Nie skonfigurowano — błędy zapisu aplikacji są przekierowywane w czasie wykonywania do lokalizacji zdefiniowanych przez użytkownika dla systemu plików i rejestru.

  • Podnieś poziom tylko plików wykonywalnych, które są podpisane i zweryfikowane
    Wartość domyślna: nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: UserAccountControl_OnlyElevateUIAccessApplicationsThatAreInstalledInSecureLocations

    • Włączone — wymuś walidację ścieżki certyfikatu PKI dla pliku wykonywalnego przed jego uruchomieniem.
    • Nie skonfigurowano — nie wymuszaj sprawdzania poprawności ścieżki certyfikatu PKI przed uruchomieniem pliku wykonywalnego.

Zachowanie monitu o podniesienie UIA

  • Monit o podniesienie uprawnień dla administratorów
    Ustawienie domyślne: Monituj o zgodę dla plików binarnych innych niż Windows
    LocalPoliciesSecurityOptions CSP: UserAccountControl_BehaviorOfTheElevationPromptForAdministrators

    Zdefiniuj zachowanie monitu o podniesienie uprawnień dla administratorów w trybie zatwierdzania administracji.

    • Nieskonfigurowane
    • Podnoszenie poziomu bez monitowania
    • Monituj o poświadczenia na bezpiecznym pulpicie
    • Monituj o poświadczenia
    • Monituj o zgodę
    • Monituj o zgodę dla plików binarnych innych niż Windows

  • Monit o podniesienie uprawnień dla użytkowników standardowych
    Ustawienie domyślne: Monituj o poświadczenia
    LocalPoliciesSecurityOptions CSP: UserAccountControl_BehaviorOfTheElevationPromptForStandardUsers

    Zdefiniuj zachowanie monitu o podniesienie uprawnień dla użytkowników standardowych.

    • Nieskonfigurowane
    • Automatycznie odrzucaj żądania podniesienia uprawnień
    • Monituj o poświadczenia na bezpiecznym pulpicie
    • Monituj o poświadczenia

  • Kierowanie monitów o podniesienie uprawnień do interakcyjnego pulpitu użytkownika
    Wartość domyślna: nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: UserAccountControl_SwitchToTheSecureDesktopWhenPromptingForElevation

    • Włączone — wszystkie żądania podniesienia uprawnień przechodzą do interakcyjnego pulpitu użytkownika, a nie do bezpiecznego pulpitu. Używane są wszelkie ustawienia zasad zachowania monitów dla administratorów i użytkowników standardowych.
    • Nie skonfigurowano — wymuszaj , aby wszystkie żądania podniesienia uprawnień były kierowane do bezpiecznego pulpitu, niezależnie od jakichkolwiek ustawień zasad zachowania monitu dla administratorów i użytkowników standardowych.

  • Monit o podwyższony poziom uprawnień dla instalacji aplikacji
    Wartość domyślna: nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: UserAccountControl_DetectApplicationInstallationsAndPromptForElevation

    • Włączone — pakiety instalacyjne aplikacji nie są wykrywane lub nie jest wyświetlany monit o podniesienie uprawnień.
    • Nie skonfigurowano — gdy pakiet instalacyjny aplikacji wymaga podwyższonych uprawnień, użytkownicy są monitowani o nazwę użytkownika administracyjnego i hasło.

  • Monit UIA o podniesienie uprawnień bez bezpiecznego pulpitu
    Wartość domyślna: nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: UserAccountControl_AllowUIAccessApplicationsToPromptForElevation

  • Włącz — zezwalaj aplikacjom UIAccess na monitowanie o podniesienie uprawnień bez korzystania z bezpiecznego pulpitu.

  • Nie skonfigurowano — monity o podniesienie uprawnień używają bezpiecznego pulpitu.

Tryb zatwierdzania administracji

  • Tryb zatwierdzania administracji dla administratora wbudowanego
    Wartość domyślna: nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: UserAccountControl_UseAdminApprovalMode

    • Włączone — zezwalanie na tryb zatwierdzania administracji dla wbudowanego konta administratora. Każda operacja wymagająca podniesienia uprawnień powoduje wyświetlenie monitu o zatwierdzenie operacji.
    • Nieskonfigurowane — uruchamia wszystkie aplikacje z pełnymi uprawnieniami administratora.

  • Uruchamianie wszystkich administratorów w trybie zatwierdzania administracji
    Wartość domyślna: nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: UserAccountControl_RunAllAdministratorsInAdminApprovalMode

    • Włączone — włącz tryb zatwierdzania administracji.
    • Nie skonfigurowano — wyłącz tryb zatwierdzania administracji i wszystkie powiązane ustawienia zasad kontroli konta użytkownika.

Microsoft Network Client

  • Podpisywanie cyfrowo komunikacji (jeśli serwer wyrazi na to zgodę)
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: MicrosoftNetworkClient_DigitallySignCommunicationsIfServerAgrees

    Określa, czy klient SMB negocjuje podpisywanie pakietów SMB.

    • Blokuj — klient SMB nigdy nie negocjuje podpisywania pakietów SMB.
    • Nieskonfigurowane — klient sieci firmy Microsoft monituje serwer o uruchomienie podpisywania pakietów SMB podczas konfigurowania sesji. Jeśli na serwerze włączono podpisywanie pakietów, podpisywanie pakietów jest negocjowane.

  • Wysyłanie niezaszyfrowanego hasła do serwerów SMB innych firm
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: MicrosoftNetworkClient_SendUnencryptedPasswordToThirdPartySMBServers

    • Blok — przekierowanie bloku komunikatów serwera (SMB) może wysyłać hasła w postaci zwykłego tekstu do serwerów SMB innych niż Microsoft, które nie obsługują szyfrowania haseł podczas uwierzytelniania.
    • Nie skonfigurowano — blokuj wysyłanie haseł w postaci zwykłego tekstu. Hasła są szyfrowane.

  • Podpisuj cyfrowo komunikację (zawsze)
    Wartość domyślna: Nieskonfigurowane
    LocalPoliciesSecurityOptions CSP: MicrosoftNetworkClient_DigitallySignCommunicationsAlways

    • Włącz — klient sieci firmy Microsoft nie komunikuje się z serwerem sieci firmy Microsoft, chyba że serwer wyrazi zgodę na podpisywanie pakietów SMB.
    • Nie skonfigurowano — podpisywanie pakietów SMB jest negocjowane między klientem a serwerem.

Microsoft Network Server

  • Podpisywanie cyfrowo komunikacji (jeśli klient wyrazi na to zgodę)
    Wartość domyślna: Nieskonfigurowane
    Zasady zabezpieczeń zawartości: MicrosoftNetworkServer_DigitallySignCommunicationsIfClientAgrees

    • Enable — serwer sieci firmy Microsoft negocjuje podpisywanie pakietów SMB zgodnie z żądaniem klienta. Oznacza to, że jeśli podpisywanie pakietów jest włączone na kliencie, podpisywanie pakietów jest negocjowane.
    • Nie skonfigurowano — klient SMB nigdy nie negocjuje podpisywania pakietów SMB.

  • Podpisuj cyfrowo komunikację (zawsze)
    Wartość domyślna: Nieskonfigurowane
    Zasady zabezpieczeń zawartości: MicrosoftNetworkServer_DigitallySignCommunicationsAlways

    • Włącz — serwer sieci firmy Microsoft nie komunikuje się z klientem sieci firmy Microsoft, chyba że ten klient wyrazi zgodę na podpisywanie pakietów SMB.
    • Nie skonfigurowano — podpisywanie pakietów SMB jest negocjowane między klientem a serwerem.

Usługi Xbox

Następne kroki

Profil został utworzony, ale jeszcze nic nie robi. Następnie przypisz profil i monitoruj jego stan.

Skonfiguruj ustawienia ochrony punktów końcowych na urządzeniach z systemem macOS .

  • Ostatnia aktualizacja o